第 32 章 使用 IdM Web UI 管理基于角色的访问控制

权限是基于角色的访问控制的最低级别单元，它们定义这些操作所应用到的 LDAP 条目。与构建块类似，可以根据需要将权限分配给多个特权。
一个或多个权利定义了允许的操作 ：

这些操作适用于三个基本目标：

此外，以下方便选项可设置对应的属性：

使用 IdM 权限，您可以控制哪些用户有权访问哪些对象，甚至控制这些对象的属性。IdM 允许您允许或阻止单个属性，或更改特定 IdM 功能（如用户、组或 sudo）的所有可见性，适用于所有匿名用户、所有经过身份验证的用户，或者只更改一组特定的特权用户。
例如，如果管理员只想将用户或组的访问权限限制到这些用户或组需要访问的特定部分，并且使其他部分完全隐藏于他们，此方法的灵活性对管理员很有用。

管理的权限是 IdM 默认附带的权限。它们的行为与用户创建的其他权限类似，但有以下区别：

管理的权限适用于 default 和 included 属性集中显示的所有属性，但不应用到排除集中的所有属性。

所有受管权限的名称都以 System: 开头，例如 System: Add Sudo rule 或 System: Modify Services。IdM 的早期版本将不同的方案用于默认权限。例如，用户无法删除它们，而只能将它们分配到特权。这些默认权限大部分已转换为受管权限，但以下权限仍使用以前的方案：

特权是一组适用于角色的权限。
虽然权限提供了执行单个操作的权限，但某些 IdM 任务需要多个权限才能成功。因此，特权组合了执行特定任务所需的不同权限。
例如，为新 IdM 用户设置帐户需要以下权限：

将这三个低级别任务合并到一个更高级别的任务中，例如名为 Add User，可使系统管理员更加轻松地管理角色。IdM 已包含几个默认权限。除了用户和用户组外，还将特权分配到主机和主机组，以及网络服务。这种方法允许精细控制一组主机上使用特定网络服务的操作。

角色是用户为角色指定的特权列表。
实际上，权限授予执行给定低级别任务（如创建用户条目和向组添加条目）的能力，特权组合更高级别任务（如在给定组中创建新用户）所需的一个或多个这些权限。角色根据需要收集权限：例如，用户管理员角色能够添加、修改和删除用户。

Red Hat Identity Management 提供以下预定义角色范围：