#### Richtlinienkonfiguration

Mit den Attributen zur Richtlinienkonfiguration kann der Administrator globale Eigenschaften und Bereichseigenschaften festlegen, die vom Richtliniendienst verwendet werden.

- Globale Eigenschaften

- Bereichsattribute

##### Globale Eigenschaften

Es gibt folgende globale Eigenschaften:

##### Ressourcen-Vergleichsoperator

Gibt die Ressourcen-Vergleichsinformationen an, die für den Vergleich der in einer Richtlinienregeldefinition angegebenen Ressourcen verwendet werden. Der Ressourcenvergleich wird sowohl für die Erstellung als auch für die Bewertung von Richtlinien verwendet.

Klicken Sie auf ";Hinzufügen" und legen Sie die folgenden Attribute fest:

Diensttyp

  Gibt den Dienst an, für den der Vergleichsoperator verwendet werden soll.

Klasse

  Gibt die Java-Klasse an, die den Ressourcen-Vergleichsalgorithmus implementiert.

Trennzeichen

  Gibt das Trennzeichen an, das im Ressourcennamen verwendet werden soll.

Platzhalter

  Gibt das Platzhalterzeichen an, das in Ressourcennamen definiert werden kann.

Ein Ebenenplatzhalter

  Steht für 0 oder mehr Zeichen in derselben Trennzeichengrenze.

Groß-/Kleinschreibung

  Gibt an, ob beim Vergleich zweier Ressourcen die Groß-/Kleinschreibung beachtet werden muss. Bei ";False" wird die Schreibweise ignoriert, bei "True" wird sie beachtet.

##### Bewertung bei Verweigerungsentscheidung fortsetzen

Legt fest, ob das Richtlinien-Framework nachfolgende Richtlinien bewerten soll, wenn bereits eine DENY-Richtlinienentscheidung existiert. In der Standardeinstellung (deaktiviert) werden bei der Richtlinienbewertung nachfolgende Richtlinien ignoriert, sobald eine DENY-Entscheidung eingeht.

##### Von OpenSSO verarbeitbare Advices

Legt die Namen der Richtlinien-Advice-Schlüssel fest, bei denen die Richtliniendurchsetzungsinstanz (Richtlinienagent) den Benutzeragenten zu OpenSSO umleitet. Wenn der Agent eine Richtlinienentscheidung erhält, die zwar den Zugriff auf eine Ressource ablehnt, die jedoch Advices enthält, überprüft der Agent, ob dieses Attribut einen entsprechenden Advice-Schlüssel enthält.

Ist ein solcher Advice-Schlüssel vorhanden, wird der Benutzeragent zu OpenSSO umgeleitet. Dies kann den Zugriff auf die Ressource nun zulassen.

##### Organisations-Aliasbezüge

Wenn dieses Attribut auf ";Ja" eingestellt ist, können Sie Richtlinien in Unterbereichen erstellen, ohne Bezugsrichtlinien im oberen bzw. übergeordneten Bereich erstellen zu müssen. Sie können nur Richtlinien zum Schutz von HTTP- bzw. HTTPS-Ressourcen erstellen, deren vollständiger Hostname mit dem DNS-Alias des Bereichs übereinstimmt. Standardmäßig ist für dieses Attribut der Wert "Nein" angegeben.

##### Bereichsattribute

Es gibt folgende LDAP-Eigenschaften:

##### Primärer LDAP-Server

Gibt den Hostnamen und die Anschlussnummer des während der OpenSSO-Installation festgelegten primären LDAP-Servers an, der für die Suche nach Richtlinienobjekten wie LDAP-Benutzer, LDAP-Rollen oder LDAP-Gruppen verwendet wird.

Das Format lautet hostname:port. For example: `machine1.example.com:389`

Bei einer Failover-Konfiguration mit mehreren LDAP-Serverhosts kann dieser Wert auch eine durch Leerzeichen getrennte Hostliste sein. Das Format lautet hostname1:port1 hostname2:port2...

For example: `machine1.example1.com:389 machine2.example1.com:389`

Bei Mehrfacheingaben muss der lokale Servername vorangestellt werden. Nur so können bestimmte OpenSSOs so konfiguriert werden, dass sie mit bestimmten Directory Servern kommunizieren können.

Das Format lautet servername|hostname:port Beispiel:

`machine1.example1.com|machine1.example1.com:389`

`machine1.example2.com|machine1.example2.com:389`

Für die Failover-Konfiguration:

`AM_Server1.example1.com|machine1.example1.com:389 machine2.example.com1:389`

`AM_Server2.example2.com|machine1.example2.com:389 machine2.example2.com:389`

##### LDAP-Basis-DN

Legt den Basis-DN des LDAP-Servers fest, bei dem die Suche beginnt. Standardmäßig ist dies der oberste Bereich der OpenSSO-Installation.

##### LDAP-Benutzer-Basis-DN

Dieses Attribut legt den vom LDAP-Benutzer-Betreff verwendeten Basis-DN des LDAP-Servers fest, bei dem die Suche beginnt. Standardmäßig ist dies der oberste Bereich der OpenSSO-Installationsbasis.

##### Basis-DN für OpenSSO-Rollen

Legt den DN des Bereichs bzw. der Organisation fest, der bei der Suche nach den Werten von OpenSSO-Rollen als Basis verwendet wird. Dieses Attribut wird vom AccessManagerRoles-Richtlinienbetreff verwendet.

##### LDAP-BIND-DN

Dieses Attribut gibt den BIND-DN des LDAP-Servers an.

##### LDAP-BIND-Passwort

Dieses Attribut legt das Passwort fest, dass für die Verbindung zum LDAP-Server verwendet wird. Standardmäßig wird das Passwort `amldapuser`, das während der Installation eingegeben wurde, als Bind-Benutzer verwendet.

##### Suchfilter (LDAP-Organisation)

Gibt den Suchfilter an, der bei der Suche nach Organisationseinträge verwendet wird. Der Standardwert lautet `(objectclass=sunMangagedOrganization)`.

##### Suchbereich (LDAP-Organisationen)

Legt den Bereich fest, der nach Organisationseinträgen durchsucht wird. Der Bereich muss einer der folgenden Werte sein:

- SCOPE_BASE

- SCOPE_ONE

- SCOPE_SUB (Standardwert)

##### Suchbereich (LDAP-Gruppen)

Legt den Bereich fest, der nach Gruppeneinträgen durchsucht wird. Der Bereich muss einer der folgenden Werte sein:

- SCOPE_BASE

- SCOPE_ONE

- SCOPE_SUB (Standardwert)

##### Suchfilter (LDAP-Gruppen)

Gibt den Suchfilter an, der bei der Suche nach Gruppeneinträgen verwendet wird. Der Standardwert ist `(objectclass=groupOfUniqueNames)`.

##### Suchfilter (LDAP-Benutzer)

Gibt den Suchfilter an, der bei der Suche nach Benutzereinträgen verwendet wird. Der Standardwert lautet `(objectclass=inetorgperson)`.

##### Suchbereich (LDAP-Benutzer)

Legt den Bereich fest, der nach Benutzereinträgen durchsucht wird. Der Bereich muss einer der folgenden Werte sein:

- SCOPE_BASE

- SCOPE_ONE

- SCOPE_SUB (Standardwert)

##### Suchfilter (LDAP-Rollen)

Gibt den Suchfilter an, der bei der Suche nach Rolleneinträgen verwendet wird. Der Standard lautet `(&(objectclass=ldapsubentry)(objectclass=nsroledefinitions))` .

##### Suchbereich (LDAP-Rollen)

Legt den Bereich fest, der nach Rolleneinträgen durchsucht wird. Der Bereich muss einer der folgenden Werte sein:

- SCOPE_BASE

- SCOPE_ONE

- SCOPE_SUB (Standardwert)

##### Suchbereich (OpenSSO-Rollen)

Legt den Bereich fest, der nach OpenSSO-Rollenbetreffeinträgen durchsucht wird.

- SCOPE_BASE

- SCOPE_ONE

- SCOPE_SUB (Standardwert)

##### Suchattribut (LDAP-Organisation)

Legt den bei der Suche nach einer Organisation verwendeten Attributtyp fest. Der Standardwert ist o.

##### Suchattribut (LDAP-Gruppen)

Legt den bei der Suche nach einer Gruppe verwendeten Attributtyp fest. Der Standardwert ist `cn`.

##### Suchattribut (LDAP-Benutzer)

Legt den bei der Suche nach einem Benutzer verwendeten Attributtyp fest. Der Standardwert lautet `uid.`

##### Suchattribut (LDAP-Rollen)

Legt den bei der Suche nach einer Rolle verwendeten Attributtyp fest. Der Standardwert ist `cn`.

##### Maximale Ergebnisse aus Suchlauf

Legt fest, wie viele Suchergebnisse maximal angezeigt werden. The default value is 100. If the search limit exceeds the amount specified, the entries that have been found to that point will be returned.

##### Timeout für Suche

Dieses Attribut gibt an, wie lange eine Suche fortgesetzt wird, bevor sie wegen Zeitüberschreitung abgebrochen wird. Wenn die Suche länger dauert, als der angegebene Wert zulässt, werden nur die Einträge zurückgegeben, die bis zu diesem Punkt gefunden wurden.

##### LDA-SSL

Gibt an, ob der LDAP-Server SSL unterstützt. Durch Aktivierung dieses Attributs wird die Unterstützung von SSL aktiviert, durch Deaktivierung (Standard) wird die Unterstützung von SSL deaktiviert.

Wenn der LDAP-Server mit aktiviertem SSL (LDAPS) ausgeführt wird, muss OpenSSO mit den entsprechenden vertrauenswürdigen SSL-Zertifikaten konfiguriert sein, damit OpenSSO über das LDAPS-Protokoll eine Verbindung zum Directory Server herstellen kann.

##### LDAP-Verbindung Pool-Mindestgröße

Gibt die minimale Größe der Verbindungspools an, die für die Verbindung zum Directory Server verwendet werden, der im LDAP Server-Attribut festgelegt ist. Der Standardwert ist 1.

##### Maximalgröße des Verbindungspools

Gibt die maximale Größe der Verbindungspools an, die für die Verbindung zum Directory Server verwendet werden, der im LDAP Server-Attribut festgelegt ist. Der Standardwert ist 10.

##### Ausgewählte Richtlinienbetreffe

Ermöglicht Ihnen die Auswahl eines Satzes von Betrefftypen, die für die Richtliniendefinition innerhalb des Bereichs zur Verfügung stehen.

##### Ausgewählte Richtlinienbedingungen

Ermöglicht Ihnen die Auswahl eines Satzes von Bedingungstypen, die für die Richtliniendefinition innerhalb des Bereichs zur Verfügung stehen.

##### Ausgewählte Richtlinienbezüge

Ermöglicht Ihnen die Auswahl eines Satzes von Bezugstypen, die für die Richtliniendefinition innerhalb des Bereichs zur Verfügung stehen.

##### Time to Live für Betreffergebnis

Dieses Attribut gibt an, wie lange (in Minuten) ein gecachtes Betreffergebnis verwendet werden kann, um eine gleichartige Richtlinienanfrage aufgrund des Single Sign-on-Tokens zu beantworten.

Wenn die Richtlinie zuerst für ein SSO-Token bewertet wird, wird anhand der Betreffinstanzen der Richtlinie festgestellt, ob die Richtlinie für einen bestimmten Benutzer zutrifft. Das Betreffergebnis, das in der SSO-Token-ID verschlüsselt ist, wird durch die Richtlinie gecacht. Wenn für die gleiche SSO-Token-ID dieselbe Richtlinie innerhalb der im Attribut ";Time to Live für Betreffergebnis" angegebenen Zeitspanne bewertet wird, wird statt einer erneuten Bewertung der Betreffinstanzen das gecachte Betreffergebnis verwendet. Dadurch wird die für die Richtlinienbewertung benötigte Zeit deutlich verringert.

##### Benutzer-Alias

Dieses Attribut muss aktiviert sein, wenn Sie eine Richtlinie zum Schutz einer Ressource erstellen, deren Objekt ein Mitglied eines entfernten Directory Servers enthält, das Alias für einen lokalen Benutzer ist. Dieses Attribut muss aktiviert sein, wenn Sie beispielsweise auf dem entfernten Directory Server den Benutzer `uid=rmuser` erstellen und dann in OpenSSO `rmuser` als Alias für einen lokalen Benutzer hinzufügen (beispielsweise für `uid=luser`). Wenn Sie sich als `rmuser` anmelden, wird eine Sitzung für den lokalen Benutzer (`luser`) aufgebaut. Die Richtlinie wurde erfolgreich durchgeführt.

##### Ausgewählte Response-Anbieter

Legt die für den Bereich aktivierten Response-Anbieter-Plugins für Richtlinien fest. Nur die in diesem Attribut ausgewählten Response-Anbieter-Plugins können den im Bereich definierten Richtlinien hinzugefügt werden.

##### Ausgewählte dynamische Antwortattribute

Legt die für den Bereich aktivierten dynamischen Antwortattribute fest. Nur eine Teilmenge der in diesem Attribut ausgewählten Namen kann in der dynamischen Attributliste in IDResponseProvider festgelegt und den im Bereich definierten Richtlinien hinzugefügt werden.