手順 3： Win-Admin システムアクセスポリシーの作成

管理ガイド › カスタムロールおよびカスタムポリシー › ユーザ： Win-Admin のデータアクセスを制限するシナリオ › 手順 3： Win-Admin システムアクセスポリシーの作成

手順 3： Win-Admin システムアクセスポリシーの作成

手順 2 では、CA Enterprise Log Manager アプリケーションにログオンするためのアクセス権を付与しました。

手順 3 では、ログオン後の CA Enterprise Log Manager アプリケーションへのアクセス権の制限、すなわちスコープを設定します。最も広いレベルでは、指定した ID に、読み取り専用のアクセス権、または読み取りおよび書き込み両方のアクセス権を付与できます。

ポリシータイプを選択すると、許可されるアクションを指定する際の詳細レベルが決定します。

アクセスポリシーでは、選択したアクセス可能なリソースに対して、選択したアクションが許可されます。
アクセス制御リストポリシーでは、追加されたリソースごとに許可されるアクションを指定できます。
ID アクセス制御リストポリシーでは、ID 別に、アクセス可能なリソースへの許可されるアクションを指定できます。

対象リソースの EEM フォルダを指定するフィルタを作成し、そのフォルダへの制限を指定することで、リソースへの制限付きアクセスを許可できます。

以下の例では、一般的な読み取りアクセスに特定の機能への制限を追加して、アクセス権を制限する方法を説明します。具体的には、手順 3 で、Win-Admin ユーザがシステムアクセスレポートのみを表示できるよう制限します。以下の例では、Win-Admin システムアクセスというスコープポリシーを作成し、SafeObject と AppObject への読み取りアクセス権を付与し、システムアクセスタグが付いたレポートのみにアクセスできるようフィルタを作成する方法を説明します。また、ポリシーのテスト方法と、検証後に導入前設定を削除する方法についても説明します。

アプリケーションアクセスを読み取り専用、または読み取りおよび書き込みに指定するよう設計されたスコープポリシーで、［一般］領域のリソースクラス名を「SafeObject」に指定します。以下の例では、Win-Admin システムアクセスというポリシー名が表示されています。テストが完了し、実稼働環境で使用可能であることが確認できるまで、新規ポリシーでは［導入前］チェックボックスをオンにすることをお勧めします。

ユーザのスコープポリシーを作成する場合、ポリシー名にそのユーザ名を付加します。

ユーザまたはグループのどちらかにアクセス権を付与できます。この例では、アクセス権は新規ユーザの Win-Admin に付与されます。

［ユーザ］を選択する場合、選択対象としてユーザ名だけが表示されます。

CA Enterprise Log Manager 用に作成された「最高レベルの」ポリシーは CALM アクセスポリシーで、ここでは CAELM はアプリケーションインスタンスです。このスコープポリシーは、アプリケーションオブジェクトである AppObject に対する読み取りアクションを許可するためのものです。AppObject は、すべてのアプリケーション機能を指します。

このシナリオのユーザのシステムアクセスポリシーを使用すると、制限がフィルタで定義されているすべてのリソースを表示することができます。

フィルタを指定すれば、すべてのオブジェクトに対して許可したアクションに、さらに制限を加えることができます。通常、フィルタは 2 つ 1 組で指定します。1 つは、特定の機能に関連するデータが保存された CA EEM フォルダを指定するフィルタで、2 つ目は、その場所にあるオブジェクトへの制限を指定するフィルタです。以下の例における 1 つ目のフィルタは、レポートリソースが保存されたフォルダへの CA EEM フォルダアクセスを制限しています。具体的には、「pozFolder contains /CALM_Configuration/Content/Reports」と指定されています。 2 つ目のフィルタは、calmTag がシステムアクセスと等しいと指定することで、システムアクセスタグの付いたレポートだけにアクセスできるよう制限しています。

フィルタによって、レポートアクセスが「システムアクセス」というタグが付いたものに制限されます。