Mit den Attributen zur Richtlinienkonfiguration kann der Administrator globale Eigenschaften und Bereichseigenschaften festlegen, die vom Richtliniendienst verwendet werden.
Es gibt folgende globale Eigenschaften:
Gibt die Ressourcen-Vergleichsinformationen an, die für den Vergleich der in einer Richtlinienregeldefinition angegebenen Ressourcen verwendet werden. Der Ressourcenvergleich wird sowohl für die Erstellung als auch für die Bewertung von Richtlinien verwendet.
Klicken Sie auf ";Hinzufügen" und legen Sie die folgenden Attribute fest:
Gibt den Dienst an, für den der Vergleichsoperator verwendet werden soll.
Gibt die Java-Klasse an, die den Ressourcen-Vergleichsalgorithmus implementiert.
Gibt das Trennzeichen an, das im Ressourcennamen verwendet werden soll.
Gibt das Platzhalterzeichen an, das in Ressourcennamen definiert werden kann.
Steht für 0 oder mehr Zeichen in derselben Trennzeichengrenze.
Gibt an, ob beim Vergleich zweier Ressourcen die Groß-/Kleinschreibung beachtet werden muss. Bei ";False" wird die Schreibweise ignoriert, bei "True" wird sie beachtet.
Legt fest, ob das Richtlinien-Framework nachfolgende Richtlinien bewerten soll, wenn bereits eine DENY-Richtlinienentscheidung existiert. In der Standardeinstellung (deaktiviert) werden bei der Richtlinienbewertung nachfolgende Richtlinien ignoriert, sobald eine DENY-Entscheidung eingeht.
Legt die Namen der Richtlinien-Advice-Schlüssel fest, bei denen die Richtliniendurchsetzungsinstanz (Richtlinienagent) den Benutzeragenten zu OpenSSO umleitet. Wenn der Agent eine Richtlinienentscheidung erhält, die zwar den Zugriff auf eine Ressource ablehnt, die jedoch Advices enthält, überprüft der Agent, ob dieses Attribut einen entsprechenden Advice-Schlüssel enthält.
Ist ein solcher Advice-Schlüssel vorhanden, wird der Benutzeragent zu OpenSSO umgeleitet. Dies kann den Zugriff auf die Ressource nun zulassen.
Wenn dieses Attribut auf ";Ja" eingestellt ist, können Sie Richtlinien in Unterbereichen erstellen, ohne Bezugsrichtlinien im oberen bzw. übergeordneten Bereich erstellen zu müssen. Sie können nur Richtlinien zum Schutz von HTTP- bzw. HTTPS-Ressourcen erstellen, deren vollständiger Hostname mit dem DNS-Alias des Bereichs übereinstimmt. Standardmäßig ist für dieses Attribut der Wert "Nein" angegeben.
Es gibt folgende LDAP-Eigenschaften:
Gibt den Hostnamen und die Anschlussnummer des während der OpenSSO-Installation festgelegten primären LDAP-Servers an, der für die Suche nach Richtlinienobjekten wie LDAP-Benutzer, LDAP-Rollen oder LDAP-Gruppen verwendet wird.
Das Format lautet hostname:port. For example: machine1.example.com:389
Bei einer Failover-Konfiguration mit mehreren LDAP-Serverhosts kann dieser Wert auch eine durch Leerzeichen getrennte Hostliste sein. Das Format lautet hostname1:port1 hostname2:port2...
For example: machine1.example1.com:389 machine2.example1.com:389
Bei Mehrfacheingaben muss der lokale Servername vorangestellt werden. Nur so können bestimmte OpenSSOs so konfiguriert werden, dass sie mit bestimmten Directory Servern kommunizieren können.
Das Format lautet servername|hostname:port Beispiel:
machine1.example1.com|machine1.example1.com:389
machine1.example2.com|machine1.example2.com:389
Für die Failover-Konfiguration:
AM_Server1.example1.com|machine1.example1.com:389 machine2.example.com1:389
AM_Server2.example2.com|machine1.example2.com:389 machine2.example2.com:389
Legt den Basis-DN des LDAP-Servers fest, bei dem die Suche beginnt. Standardmäßig ist dies der oberste Bereich der OpenSSO-Installation.
Dieses Attribut legt den vom LDAP-Benutzer-Betreff verwendeten Basis-DN des LDAP-Servers fest, bei dem die Suche beginnt. Standardmäßig ist dies der oberste Bereich der OpenSSO-Installationsbasis.
Legt den DN des Bereichs bzw. der Organisation fest, der bei der Suche nach den Werten von OpenSSO-Rollen als Basis verwendet wird. Dieses Attribut wird vom AccessManagerRoles-Richtlinienbetreff verwendet.
Dieses Attribut gibt den BIND-DN des LDAP-Servers an.
Dieses Attribut legt das Passwort fest, dass für die Verbindung zum LDAP-Server verwendet wird. Standardmäßig wird das Passwort amldapuser, das während der Installation eingegeben wurde, als Bind-Benutzer verwendet.
Gibt den Suchfilter an, der bei der Suche nach Organisationseinträge verwendet wird. Der Standardwert lautet (objectclass=sunMangagedOrganization).
Legt den Bereich fest, der nach Organisationseinträgen durchsucht wird. Der Bereich muss einer der folgenden Werte sein:
SCOPE_BASE
SCOPE_ONE
SCOPE_SUB (Standardwert)
Legt den Bereich fest, der nach Gruppeneinträgen durchsucht wird. Der Bereich muss einer der folgenden Werte sein:
SCOPE_BASE
SCOPE_ONE
SCOPE_SUB (Standardwert)
Gibt den Suchfilter an, der bei der Suche nach Gruppeneinträgen verwendet wird. Der Standardwert ist (objectclass=groupOfUniqueNames).
Gibt den Suchfilter an, der bei der Suche nach Benutzereinträgen verwendet wird. Der Standardwert lautet (objectclass=inetorgperson).
Legt den Bereich fest, der nach Benutzereinträgen durchsucht wird. Der Bereich muss einer der folgenden Werte sein:
SCOPE_BASE
SCOPE_ONE
SCOPE_SUB (Standardwert)
Gibt den Suchfilter an, der bei der Suche nach Rolleneinträgen verwendet wird. Der Standard lautet (&(objectclass=ldapsubentry)(objectclass=nsroledefinitions)) .
Legt den Bereich fest, der nach Rolleneinträgen durchsucht wird. Der Bereich muss einer der folgenden Werte sein:
SCOPE_BASE
SCOPE_ONE
SCOPE_SUB (Standardwert)
Legt den Bereich fest, der nach OpenSSO-Rollenbetreffeinträgen durchsucht wird.
SCOPE_BASE
SCOPE_ONE
SCOPE_SUB (Standardwert)
Legt den bei der Suche nach einer Organisation verwendeten Attributtyp fest. Der Standardwert ist o.
Legt den bei der Suche nach einer Gruppe verwendeten Attributtyp fest. Der Standardwert ist cn.
Legt den bei der Suche nach einem Benutzer verwendeten Attributtyp fest. Der Standardwert lautet uid.
Legt den bei der Suche nach einer Rolle verwendeten Attributtyp fest. Der Standardwert ist cn.
Legt fest, wie viele Suchergebnisse maximal angezeigt werden. The default value is 100. If the search limit exceeds the amount specified, the entries that have been found to that point will be returned.
Dieses Attribut gibt an, wie lange eine Suche fortgesetzt wird, bevor sie wegen Zeitüberschreitung abgebrochen wird. Wenn die Suche länger dauert, als der angegebene Wert zulässt, werden nur die Einträge zurückgegeben, die bis zu diesem Punkt gefunden wurden.
Gibt an, ob der LDAP-Server SSL unterstützt. Durch Aktivierung dieses Attributs wird die Unterstützung von SSL aktiviert, durch Deaktivierung (Standard) wird die Unterstützung von SSL deaktiviert.
Wenn der LDAP-Server mit aktiviertem SSL (LDAPS) ausgeführt wird, muss OpenSSO mit den entsprechenden vertrauenswürdigen SSL-Zertifikaten konfiguriert sein, damit OpenSSO über das LDAPS-Protokoll eine Verbindung zum Directory Server herstellen kann.
Gibt die minimale Größe der Verbindungspools an, die für die Verbindung zum Directory Server verwendet werden, der im LDAP Server-Attribut festgelegt ist. Der Standardwert ist 1.
Gibt die maximale Größe der Verbindungspools an, die für die Verbindung zum Directory Server verwendet werden, der im LDAP Server-Attribut festgelegt ist. Der Standardwert ist 10.
Ermöglicht Ihnen die Auswahl eines Satzes von Betrefftypen, die für die Richtliniendefinition innerhalb des Bereichs zur Verfügung stehen.
Ermöglicht Ihnen die Auswahl eines Satzes von Bedingungstypen, die für die Richtliniendefinition innerhalb des Bereichs zur Verfügung stehen.
Ermöglicht Ihnen die Auswahl eines Satzes von Bezugstypen, die für die Richtliniendefinition innerhalb des Bereichs zur Verfügung stehen.
Dieses Attribut gibt an, wie lange (in Minuten) ein gecachtes Betreffergebnis verwendet werden kann, um eine gleichartige Richtlinienanfrage aufgrund des Single Sign-on-Tokens zu beantworten.
Wenn die Richtlinie zuerst für ein SSO-Token bewertet wird, wird anhand der Betreffinstanzen der Richtlinie festgestellt, ob die Richtlinie für einen bestimmten Benutzer zutrifft. Das Betreffergebnis, das in der SSO-Token-ID verschlüsselt ist, wird durch die Richtlinie gecacht. Wenn für die gleiche SSO-Token-ID dieselbe Richtlinie innerhalb der im Attribut ";Time to Live für Betreffergebnis" angegebenen Zeitspanne bewertet wird, wird statt einer erneuten Bewertung der Betreffinstanzen das gecachte Betreffergebnis verwendet. Dadurch wird die für die Richtlinienbewertung benötigte Zeit deutlich verringert.
Dieses Attribut muss aktiviert sein, wenn Sie eine Richtlinie zum Schutz einer Ressource erstellen, deren Objekt ein Mitglied eines entfernten Directory Servers enthält, das Alias für einen lokalen Benutzer ist. Dieses Attribut muss aktiviert sein, wenn Sie beispielsweise auf dem entfernten Directory Server den Benutzer uid=rmuser erstellen und dann in OpenSSO rmuser als Alias für einen lokalen Benutzer hinzufügen (beispielsweise für uid=luser). Wenn Sie sich als rmuser anmelden, wird eine Sitzung für den lokalen Benutzer (luser) aufgebaut. Die Richtlinie wurde erfolgreich durchgeführt.
Legt die für den Bereich aktivierten Response-Anbieter-Plugins für Richtlinien fest. Nur die in diesem Attribut ausgewählten Response-Anbieter-Plugins können den im Bereich definierten Richtlinien hinzugefügt werden.
Legt die für den Bereich aktivierten dynamischen Antwortattribute fest. Nur eine Teilmenge der in diesem Attribut ausgewählten Namen kann in der dynamischen Attributliste in IDResponseProvider festgelegt und den im Bereich definierten Richtlinien hinzugefügt werden.