Campaign による権限の評価方法

Campaign による権限の評価方法

ユーザーがタスクを実行する際、またはオブジェクトへのアクセスを試行する際、Campaign は以下のステップを実行します。

1.	グローバル・セキュリティー・ポリシーの中で、このユーザーが属するすべてのグループと役割を識別します。ユーザーは、1 つまたは複数の役割に属することができ、役割に属さないこともできます。オブジェクトを所有しているユーザーは、所有者役割に属します。オブジェクトが存在するフォルダーを所有するユーザーは、フォルダー所有者 (Folder Owner) 役割に属します。ユーザーがその他の役割に属するのは、その役割に (直接、またはその役割に割り当てられたグループに属しているために) 割り当てられた場合だけです。

2.	アクセスされようとしているオブジェクトにカスタム定義ポリシーが (存在する場合) 割り当てられているかどうかを識別します。割り当てられていれば、システムはそのカスタム・ポリシー内でユーザーが属するすべてのグループと役割を識別します。

3.	ステップ 1 と 2 からの結果に基づいて、ユーザーの属するすべての役割の権限を集約します。この複合役割を使用して、システムは以下のようにアクションのための権限を評価します。

a.	このアクションについて、いずれかの役割のアクセス権が「拒否済み」の場合、ユーザーはアクションの実行を許可されません。

b.	このアクションについて、どの役割のアクセス権も「拒否済み」でなければ、このアクションについて、いずれかの役割のアクセス権が「付与」であるかどうかを検査します。そうであれば、ユーザーはアクションの実行を許可されます。

c.	a と b がどちらも真でない場合、ユーザーはアクセス権を拒否されます。

Copyright IBM Corporation 2012. All Rights Reserved.