Dynamische Gruppen

Dynamische Gruppen

Seit der IBM® Domino® Version 8.5 ist es möglich, Benutzerkonten über bestimmte Auswahlkriterien an Gruppen zuzuweisen. Ein Kriterium ist beispielsweise der Mailserver eines Benutzerkontos. Benutzerkonten können darüber hinaus explizit aus einer Gruppe ausgeschlossen oder zusätzlich aufgenommen werden. Eine Gruppe wird im One Identity Manager als dynamische Gruppe abgebildet, wenn in der Eigenschaft "Dynamische Mitglieder einlesen" die Methode "Home server" ausgewählt ist (Spalte AutoPopulateInput = '1'). An diese Gruppen können keine Mitglieder direkt zugewiesen werden.

Dynamische Gruppen sind von der Vererbung über hierarchische Rollen ausgeschlossen. Damit können Systemrollen, Geschäftsrollen und Organisationen nicht an dynamische Gruppen zugewiesen werden. Es kann kein Vererbungsausschluss festgelegt werden. Dynamische Gruppen können nicht im IT Shop bestellt werden.

Erweiterungsgruppen

Erweiterungsgruppen

IBM® Notes® legt sogenannte Erweiterungsgruppen an, wenn die maximale Anzahl der Mitglieder einer dynamischen Gruppe erreicht ist. Diese Erweiterungsgruppen werden durch die SynchronisationVorgang des Datenabgleichs zwischen der One Identity Manager Datenbank und einem ZielsystemEine Instanz eines Zielsystemtyps, in dem die vom One Identity Manager verwalteten Personen Zugriff auf Netzwerkressourcen besitzen. Beispiele: eine Active Directory® Domäne X für den Zielsystemtyp „Active Directory®“, ein Verzeichnis Y für den Zielsystemtyp „LDAP“, ein Mandant Z für den Zielsystemtyp „SAP® R/3®“. Es werden Objekte und ihre Eigenschaften nach festgelegten Regeln angeglichen. Das Ergebnis der Synchronisation ist eine identische Datensituation im Zielsystem und der One Identity Manager Datenbank. in die One Identity Manager Datenbank eingelesen, können jedoch nicht bearbeitet werden. Die Verbindung zur dynamischen Gruppe wird über die Eigenschaft Übergeordnete Notes Gruppe (Spalte UID_NotesGroupParent) hergestellt. Ausschluss- und Einschlusslisten werden ausschließlich an der übergeordneten dynamischen Gruppe gepflegt. Erweiterungsgruppen werden nur im Überblicksformular angezeigt.

Mitgliedschaften in dynamischen Gruppen

Mitgliedschaften in dynamischen Gruppen

An dynamische Gruppen können keine Mitglieder direkt zugewiesen werden. Die Mitglieder werden über die Homeserver ermittelt, welche der Gruppe zugewiesen sind. Alle Benutzerkonten, denen einer dieser Server als Mailserver zugeordnet ist, sind automatisch Mitglied der dynamischen Gruppe. Zusätzlich können die Mitgliedschaften über eine Ausschluss- und eine Einschlussliste bearbeitet werden. Dabei werden Benutzerkonten, die sowohl der Ausschluss- als auch der Einschlussliste zugewiesen sind, nicht Mitglied der dynamischen Gruppe. Es können sowohl Benutzerkonten als auch Gruppen in die Ausschluss- und die Einschlussliste aufgenommen werden.

Bei der Berechnung der effektiven Mitglieder einer dynamischen Gruppe ermittelt IBM® Notes® alle Benutzerkonten,

• denen einer der Homeserver als Mailserver zugeordnet ist,
• die einer Einschlussliste direkt zugewiesen sind,
• die als Mitglied einer Notes Gruppe einer Einschlussliste zugewiesen sind,
• die einer Ausschlussliste zugewiesen sind,
• die als Mitglied einer Notes Gruppe einer Ausschlussliste zugewiesen sind.

Die effektiven Mitgliedschaften in dynamischen Gruppen (Tabelle NDOUserInGroup) werden nicht im One Identity Manager gepflegt, sondern nur durch die SynchronisationVorgang des Datenabgleichs zwischen der One Identity Manager Datenbank und einem ZielsystemEine Instanz eines Zielsystemtyps, in dem die vom One Identity Manager verwalteten Personen Zugriff auf Netzwerkressourcen besitzen. Beispiele: eine Active Directory® Domäne X für den Zielsystemtyp „Active Directory®“, ein Verzeichnis Y für den Zielsystemtyp „LDAP“, ein Mandant Z für den Zielsystemtyp „SAP® R/3®“. Es werden Objekte und ihre Eigenschaften nach festgelegten Regeln angeglichen. Das Ergebnis der Synchronisation ist eine identische Datensituation im Zielsystem und der One Identity Manager Datenbank. in die One Identity Manager eingelesen. Die Ausschluss- und die Einschlussliste können im Manager bearbeitet werden. Änderungen werden sofort in das Zielsystem provisioniert. Dort wird die Mitgliederliste neu berechnet. Nach erneuter Synchronisation sind die Änderungen an den effektiven Mitgliedschaften auch im One Identity Manager sichtbar und können beispielsweise bei Complianceprüfungen berücksichtigt werden.

Wenn Sie die Identity Audit Funktionalität des One Identity Manager nutzen und in den Complianceregeln auch Mitgliedschaften in dynamischen Notes Gruppen prüfen, beachten Sie folgenden Hinweis:

Zusätzliche Aufgaben für dynamische Gruppen

Um Mitgliedschaften in dynamischen Gruppen zu pflegen, können Sie auf dynamische Gruppen zusätzlich die folgenden Aufgaben anwenden. Die Aufgabe Mitglieder zuweisen steht nicht zur Verfügung.