Users Guide

Rollen- und bereichsbasierte Zugriffskontrolle
in OpenManage Enterprise
OpenManage Enterprise verfügt über rollenbasierte Zugriffskontrolle (RBAC), die die Nutzerberechtigungen für die drei integrierten Rollen
(Administrator, Device Manager und Viewer) eindeutig definiert. Darüber hinaus kann ein Administrator mithilfe der bereichsbasierten
Zugriffskontrolle (SBAC) die Gerätegruppen begrenzen, auf die ein Device Manager Zugriff hat. In den folgenden Themen werden die
RBAC-und SBAC-Funktionen erläutert.
Berechtigungen der rollenbasierten Zugriffskontrolle (RBAC)
in OpenManage Enterprise
Den Benutzern werden Rollen zugewiesen, die ihren Zugriff auf die Appliance-Einstellungen und Geräteverwaltungsfunktionen bestimmen.
Diese Funktion wird als rollenbasierte Zugriffskontrolle (RBAC, Role-Based Access Control) bezeichnet. Die Konsole erzwingt die für eine
bestimmte Aktion erforderliche Berechtigung, bevor die Aktion zugelassen wird.
Bereichsbasierte Zugriffskontrolle (SBAC) in OpenManage
Enterprise
Mithilfe der Funktion der rollenbasierten Zugriffskontrolle (RBAC) können Administratoren Rollen zuweisen, während sie Nutzer erstellen.
Die Rollen bestimmen den Zugriff der Nutzer auf die Appliance-Einstellungen und Gerätemanagementfunktionen. Die bereichsbasierte
Zugriffskontrolle (SBAC) ist eine Erweiterung der RBAC-Funktion, die es einem Administrator ermöglicht, eine Device Manager-Rolle auf
eine Teilmenge von Gerätegruppen, genannt Bereich, zu beschränken.
Beim Erstellen oder Aktualisieren eines Device Manager (DM) können Administratoren einen Bereich zuweisen, um den betrieblichen
Zugriff des DM auf eine oder mehrere Systemgruppen, benutzerdefinierte Gruppen und/oder Plug-in-Gruppen zu beschränken.
Administrator- und Viewer-Rollen haben einen uneingeschränkten Bereichszugriff. Das bedeutet, dass Sie den betrieblichen Zugriff haben,
wie durch RBAC-Berechtigungen für alle Geräte- und Gruppeneinheiten angegeben.
In OpenManage Enterprise kann der Bereich beim Erstellen eines lokalen oder Importieren eines AD/LDAP-Nutzers zugewiesen werden.
Die Bereichszuweisung für OIDC-Nutzer kann nur auf Open-ID Connect (OIDC)-Anbietern erfolgen.
SBAC für lokale Nutzer:
Beim Erstellen oder Bearbeiten eines lokalen Nutzers mit DM-Rolle kann der Administrator eine oder mehrere Gerätegruppen auswählen,
die den Bereich für den DM definieren.
Sie können z. B. (als Administrator) einen DM-Nutzer mit dem Namen DM1 erstellen und die Gruppe G1 in benutzerdefinierten Gruppen
zuweisen. Dann hat DM1 nur betrieblichen Zugriff auf alle Geräte in G1 . Der Benutzer DM1 kann nicht auf andere Gruppen oder Einheiten
zugreifen, die mit anderen Geräten verknüpft sind.
Außerdem kann DM1 mit SBAC die Einheiten, die von anderen DMs (z. B. DM2) erstellt wurden, nicht in der gleichen Gruppe G1sehen. Das
bedeutet, dass ein DM-Nutzer nur die Einheiten sehen kann, die im Besitz des Nutzers sind.
Sie können z. B. (als Administrator) einen anderen DM-Nutzer mit dem Namen DM2 erstellen und die gleiche Gruppe G1 in
benutzerdefinierten Gruppen zuweisen. Wenn DM2 Konfigurationsvorlagen, Konfigurations-Baselines oder Profile für die Geräte in G1
erstellt, hat DM1 keinen Zugriff auf diese Einheiten und umgekehrt.
Ein DM mit Bereich für alle Geräte hat betrieblichen Zugriff, wie durch RBAC-Berechtigungen für alle Geräte- und Gruppeneinheiten, die
dem DM gehören, festgelegt.
SBAC für AD/LDAP-Nutzer:
Beim Importieren oder Bearbeiten von AD/LDAP-Gruppen können Administratoren Bereiche zu Nutzergruppen mit DM-Rolle zuweisen.
Wenn ein Nutzer Mitglied mehrerer AD-Gruppen ist, von denen jede eine DM-Rolle hat, und jede AD-Gruppe verschiedene
Bereichszuweisungen hat, ist der Bereich des Nutzers die Vereinigung der Bereiche dieser AD-Gruppen.
5
12 Rollen- und bereichsbasierte Zugriffskontrolle in OpenManage Enterprise