第8章 Get Effective Rights 検索を使用したエントリーのアクセス権の管理

管理者は、特定のエントリー内の属性に対してユーザーが持つアクセス権を検索および制御できます。

Get effective rights (GER) は、ディレクトリー検索を拡張して、指定したエントリーに対してユーザーが持っているアクセス権を表示する方法です。次の権限を指定できます。

エントリーに対する有効な権限を確認すると、次のような場合に役立ちます。

GER コマンドを使用して、ディレクトリーのアクセス制御命令をより適切に編成できます。あるユーザーグループが閲覧または編集できる内容を、別のユーザーグループと比較して制限しなければならない状況は頻繁に発生します。たとえば、QA Managers グループのメンバーは、manager や salary などの属性を検索して読み取る権限を持っていますが、それを変更または削除する権限を持っているのは HR Group のメンバーだけです。他にも方法はありますが、ユーザーまたはグループの実効権限を確認することで、管理者が適切なアクセス制御を設定しているか確認できます。
GER コマンドを使用して、個人のエントリーで表示または変更できる属性を確認できます。たとえば、ユーザーは homePostalAddress や cn などの属性にアクセスできるはずですが、manager 属性や salary 属性に対しては読み取り権限しか持っていない場合があります。

getEffectiveRights 検索では、次のエンティティーが使用されます。

8.1. Get Effective Rights 検索のパーミッション
リンクのコピー

Get Effective Rights (GER) 検索では、すべてのエントリーが持つことができる、以下のアクセス権が表示されます。

エントリーに対する権限である 上位権限。そのアクセス権は、ユーザー A が ユーザー B のエントリーに対して実行できる操作の種類を示します。
第 2 位権限 は、ユーザー A が特定の属性に対して持つ権利を示します。ユーザー A は、同じエントリー内の異なる属性に対して異なる権限を持っている場合があります。ユーザーが持つアクセス制御は、そのエントリーに対して有効な権限です。

以下に例を示します。

entryLevelRights: vadn
attributeLevelRights: givenName:rscWO, sn:rscW, objectClass:rsc, uid:rsc, cn:rscW

entryLevelRights: vadn
attributeLevelRights: givenName:rscWO, sn:rscW, objectClass:rsc, uid:rsc, cn:rscW

Copy to Clipboard

Toggle word wrap

GER 検索には、エントリーと属性に対する次のアクセス権があります。

Expand

Expand