Capítulo 22. Gestión de los controles de acceso basados en funciones mediante la interfaz web de IdM

Los permisos son la unidad de nivel más bajo del control de acceso basado en roles, definen las operaciones junto con las entradas LDAP a las que se aplican dichas operaciones. Comparable a los bloques de construcción, los permisos pueden asignarse a tantos privilegios como sea necesario.
Uno o más rights definen qué operaciones están permitidas:

Estas operaciones se aplican a tres direcciones básicas targets:

Además, las siguientes opciones de conveniencia establecen los atributos correspondientes:

Con los permisos de IdM, puede controlar qué usuarios tienen acceso a qué objetos e incluso a qué atributos de estos objetos. IdM le permite permitir o bloquear atributos individuales o cambiar toda la visibilidad de una función específica de IdM, como usuarios, grupos o sudo, a todos los usuarios anónimos, a todos los usuarios autenticados o sólo a un determinado grupo de usuarios privilegiados.
Por ejemplo, la flexibilidad de este enfoque de los permisos es útil para un administrador que quiere limitar el acceso de los usuarios o grupos sólo a las secciones específicas a las que estos usuarios o grupos necesitan acceder y hacer que las otras secciones estén completamente ocultas para ellos.

Los permisos gestionados son permisos que vienen por defecto con IdM. Se comportan como otros permisos creados por el usuario, con las siguientes diferencias:

Un permiso gestionado se aplica a todos los atributos que aparecen en los conjuntos de atributos predeterminados e incluidos, pero no en el conjunto excluido.

Los nombres de todos los permisos gestionados comienzan con System:, por ejemplo System: Add Sudo rule o System: Modify Services. Las versiones anteriores de IdM utilizaban un esquema diferente para los permisos por defecto. Por ejemplo, el usuario no podía eliminarlos y sólo podía asignarlos a los privilegios. La mayoría de estos permisos por defecto se han convertido en permisos gestionados, sin embargo, los siguientes permisos siguen utilizando el esquema anterior:

Un privilegio es un grupo de permisos aplicables a un rol.
Mientras que un permiso proporciona los derechos para hacer una sola operación, hay ciertas tareas de IdM que requieren múltiples permisos para tener éxito. Por lo tanto, un privilegio combina los diferentes permisos necesarios para realizar una tarea específica.
Por ejemplo, añadir un usuario requiere los siguientes permisos:

La combinación de estas tres tareas de bajo nivel en una tarea de nivel superior en forma de privilegio denominada Add User facilita la gestión de los roles. Además de usuarios y grupos de usuarios, también se asignan privilegios a hosts y grupos de hosts, así como a servicios de red. Esta práctica permite un control detallado de las operaciones de un conjunto de usuarios en un conjunto de hosts que utilizan servicios de red específicos.

Un rol es una lista de privilegios que los usuarios especificados para el rol poseen.
En efecto, los permisos conceden la capacidad de realizar determinadas tareas de bajo nivel (crear una entrada de usuario, añadir una entrada a un grupo, etc.), los privilegios combinan uno o más de estos permisos necesarios para una tarea de nivel superior (como crear un nuevo usuario en un grupo determinado). Las funciones reúnen los privilegios necesarios: por ejemplo, una función de administrador de usuarios podría añadir, modificar y eliminar usuarios.

Red Hat Identity Management proporciona la siguiente gama de funciones predefinidas: