Users Guide

例如，您（以管理员身份）创建名为 dm1 的 DM 用户并分配自定义组下的组 g1。那么，dm1 将仅拥有 g1 中的所有设备的操作访问权
限。用户 dm1 将无法访问与任何其他设备相关的任何其他组或实体。
此外，借助 SBAC，dm1 也将无法查看其他 DM（假设 dm2）在同一个组 g1 中创建的实体。这意味着 DM 用户将只能查看用户拥有
的实体。
例如，您（以管理员身份）创建另一个名为 dm2 的 DM 用户并分配自定义组下的相同组 g1。如果 dm2 为 g1 中的设备创建配置模
板、配置基线或配置文件，则 dm1 将无权访问这些实体，反之亦然。
范围为“所有设备”的 DM 对 DM 拥有的所有设备和组实体具有 RBAC 权限指定的操作访问权限。
AD/LDAP 用户的 SBAC：
在导入或编辑 AD/LDAP 组时，管理员可以将范围分配给具有 DM 角色的用户组。如果用户是多个 AD 组（每个都有一个 DM 角色）
的成员，并且每个 AD 组都具有不同的范围分配，则用户的范围是这些 AD 组的范围并集。
例如，
● 用户 dm1 是两个 AD 组（RR5-Floor1-LabAdmins 和 RR5-Floor3-LabAdmins）的成员。两个 AD 组都分配有 DM 角色，并且 AD 组
的范围分配如下：RR5-Floor1-LabAdmins 获得 ptlab-servers，而 RR5-Floor3-LabAdmins 获得 smdlab-servers。现在，DM dm1 的
范围是 ptlab-servers 和 smdlab-servers 的并集。
● 用户 dm1 是两个 AD 组（adg1 和 adg2）的成员。两个 AD 组均分配有 DM 角色，其中 AD 组的范围分配如下： adg1 具有 g1 的访
问权限，而 adg2 具有 g2 的访问权限。如果 g1 是 g2 的超集，则 dm1 的范围是较大的范围（g1、其所有子组和所有叶设备）。
如果用户是具有不同角色的多个 AD 组的成员，则功能更高的角色优先（按管理员、DM、查看者的顺序）。
具有无限范围的 DM 对所有设备和组实体具有 RBAC 权限指定的操作访问权限。
注: 将 OpenManage Enterprise 升级到版本 3.6 后，AD/LDAP 和 OIDC（PingFederate 或 KeyCloak）设备管理者需要重新创建所
有先前版本的实体，因为在升级后这些实体仅可供管理员使用。有关更多信息，请参阅发行说明，网址为 https://
www.dell.com/support/home/en-yu/product-support/product/dell-openmanage-enterprise/docs。
OIDC 用户的 SBAC：
在 OME 控制台内不会进行 OIDC 用户的范围分配。在用户配置过程中，您可以在 OIDC 提供程序中为 OIDC 用户分配范围。当用户
使用 OIDC 提供程序凭据登录时，角色和范围分配将可用于 OME。有关配置用户角色和范围的更多信息，请参阅在 PingFederate 中
配置 OpenID Connect 提供程序策略，以提供基于角色的 OpenManage Enterprise 访问权限 页面上的 134。
注: 如果要将 PingFederate 用作 OIDC 提供程序，则只能使用管理员角色。有关更多信息，请参阅在 PingFederate 中配置
OpenID Connect 提供程序策略，以提供基于角色的 OpenManage Enterprise 访问权限 页面上的 134 和发行说明（网址为 https://
www.dell.com/support/home/en-yu/product-support/product/dell-openmanage-enterprise/docs）。
转移所有权：管理员可以将拥有的资源从一个设备管理者（源）转移给另一个设备管理者。例如，管理员可以将分配的资源从源 dm1
转移给 dm2。具有所拥有实体（如固件和/或配置基线、配置模板、警报策略和配置文件）的设备管理者被视为合格源用户。“所有
权转移”仅将实体而不是设备管理者拥有的设备组（范围）转移给另一个设备管理者。有关更多信息，请参阅设备管理者实体的所
有权转移 页面上的 129。
相关参考资料
OpenManage Enterprise 用户角色类型 页面上的 13
相关任务
安装 OpenManage Enterprise 页面上的 17
16 OpenManage Enterprise 中的安全功能