20장. IdM의 액세스 제어
액세스 제어는 호스트 또는 서비스와 같은 다른 사용자 또는 오브젝트에 대한 작업을 수행하기 위해 사용자에게 부여된 권한 또는 권한을 정의합니다. IdM(Identity Management)은 다양한 액세스 제어 영역을 제공하여 어떤 종류의 액세스 권한이 부여되고 있는지 명확하게 합니다. 이 과정의 일환으로 IdM은 액세스 제어와 도메인 내의 리소스에 대한 액세스 제어와 IdM 구성 자체에 대한 액세스 제어 간의 차이를 가져옵니다.
이 장에서는 도메인 내의 리소스와 IdM 구성 자체에서 IdM 사용자에게 사용할 수 있는 다양한 내부 액세스 제어 메커니즘에 대해 간단히 설명합니다.
20.1. IdM의 액세스 제어 명령 링크 복사링크가 클립보드에 복사되었습니다!
IdM(Identity Management) 액세스 제어 구조는 389 Directory Server 액세스 제어를 기반으로 합니다. ACI(액세스 제어 명령)를 사용하면 다른 항목에 대한 특정 IdM 사용자에게 액세스 권한을 부여하거나 거부할 수 있습니다. IdM 사용자를 포함한 모든 항목은 LDAP에 저장됩니다.
ACI에는 세 가지 부분이 있습니다.
- 행위자
- 어떤 작업을 수행할 수 있는 권한이 부여되는 엔티티입니다. 예를 들어 LDAP 액세스 제어 모델에서는 사용자가 고유 이름(DN)을 사용하여 디렉터리에 바인딩할 때만 ACI 규칙이 적용되도록 지정할 수 있습니다. 이러한 사양을 바인딩 규칙 이라고 합니다. 사용자가 누구인지 정의하고 특정 시간 또는 특정 시스템에 대한 시도 제한과 같은 바인딩 시도에 다른 제한이 필요할 수 있습니다.
- 대상
- 액터가 작업을 수행할 수 있는 항목입니다.
- 작업 유형
- 배우가 수행할 수 있는 작업의 종류를 결정합니다. 가장 일반적인 작업은 add, delete, write, read, search입니다. IdM에서는 관리자가 아닌 사용자의 읽기 및 검색 권한이 제한되며 IdM CLI보다 IdM 웹 UI에서도 더 많습니다.
LDAP 작업을 시도하면 다음이 수행됩니다.
- IdM 클라이언트는 바인딩 작업의 일부로 사용자 자격 증명을 IdM 서버에 보냅니다.
- IdM 서버 DS는 사용자 자격 증명을 확인합니다.
- IdM 서버 DS는 사용자 계정을 확인하여 사용자가 요청한 작업을 수행할 수 있는 권한이 있는지 확인합니다.