目录

> # 管理服务属性

> 管理服务由全局属性和组织属性组成。全局属性所采用的值将被应用到整个 Sun Java System Access Manager 配置中，并被所有已配置的组织所继承。由于全局属性的目的在于自定义 Access Manager 应用程序，因此此类属性不能直接应用到角色和组织。组织属性所采用的值是各个已配置的组织的缺省值，当服务注册到组织时，这些值可以更改。组织属性不会被组织项继承。管理属性可分为：

> - 全局属性
> - 组织属性

> ## 全局属性

> 管理服务中的全局属性包括：

> - “启用联合管理”
> - “启用用户管理”
> - “显示人员容器”
> - “在视图菜单中显示容器”
> - “显示组容器”
> - 管理的组类型
> - 缺省角色权限
> - 启用域组件树
> - “启用管理组”
> - “启用符合用户删除”
> - “动态管理角色 ACI”
> - “用户配置文件服务类”
> - “DC 节点属性列表”
> - “用于删除的对象的搜索过滤器”
> - “缺省人员容器”
> - “缺省组容器”
> - “缺省代理容器”

> ## 启用联合管理

> 选中该字段将启用联合管理。缺省情况下将选中该字段。要禁用此功能，请取消选择该字段。控制台中将不再显示“联合管理服务”选项卡。

> ## 启用用户管理

> 选中该字段将启用用户管理。缺省情况下将启用该字段。

> ## 显示人员容器

> 该属性用于指定是否在 Access Manager 控制台中显示“人员容器”。如果选中该选项，组织、容器和组容器的“查看”菜单中将显示“人员容器”菜单选项。仅在平面结构的 DIT 的顶层才会显示“人员容器”。

> 人员容器是包含用户配置文件的组织单元。建议在 DIT 中只使用一个人员容器，并利用角色的灵活性来管理帐户和服务。Access Manager 控制台在缺省情况下会隐藏人员容器。但是，如果 DIT 中有多个人员容器，请选择“显示人员容器”以将人员容器显示为 Access Manager 控制台中的管理对象。

> ## 在视图菜单中显示容器

> 该属性用于指定是否在 Access Manager 控制台的“查看”菜单中显示所有容器。缺省值是 false。管理员可以选择以下两个值之一：

> - false（未选中复选框）— 不在组织和其他容器顶层的“查看”菜单的选择项中列出容器。
> - true（选中复选框）— 在组织和其他容器顶层的“查看”菜单的选择项中列出容器。

> ## 显示组容器

> 该属性用于指定是否在 Access Manager 控制台中显示“组容器”。如果选中该选项，组织、容器和组容器的“查看”菜单中将显示“组容器”菜单选项。组容器是组的组织单元。

> ## 管理的组类型

> 该选项用于指定通过控制台创建的是静态订阅组还是动态订阅组。控制台将创建并显示静态订阅组和/或动态订阅组。（不管为这个属性指定了何值，始终都支持过滤组。）缺省值是 Dynamic。

> - 通过使用 groupOfNames 或 groupOfUniqueNames 对象类，静态组明确列出每个组成员。组条目包含组中每个成员的 uniqueMember 属性。可以手动添加静态组成员；用户条目本身将保持不变。静态组适用于成员较少的组。
> - 动态组使用每个组成员条目中的 memberOf 属性。通过使用 LDAP 过滤器来搜索并返回所有包含 memberOf 属性的条目，可以生成动态组成员。动态组适用于成员较多的组。
> - 过滤组使用 LDAP 过滤器来搜索并返回符合过滤器要求的成员。例如，过滤器可以生成具有特定 uid (uid=g*) 或电子邮件地址 (email=*@sun.com) 的成员。在示例中，LDAP 过滤器将分别返回 uid 以 g 开头和电子邮件地址以 sun.com 结尾的所有用户。只能在“用户管理”视图中通过选择“过滤成员”来创建过滤组。

> 管理员可以选择以下选项之一：

> - Dynamic — 通过“按订阅指定成员”选项创建的将是动态组。
> - Static — 通过“按订阅指定成员”选项创建的将是静态组。

> ## 缺省角色权限

> 该属性定义用于在创建新角色时授予管理员权限的缺省访问控制指令 (ACI) 或权限列表。可以根据所需的权限级别来选择某个 ACI。Access Manager 在出厂时设置了四种缺省角色权限：

> ### 无权限

> 对角色不设置权限。

> ### 组织管理员

> 组织管理员拥有对已配置的组织中所有条目的读写权限。

> ### 组织帮助台管理员

> 组织帮助台管理员拥有对已配置的组织中所有条目的读取权限以及对 userPassword 属性的写入权限。

> ### 组织策略管理员

> 组织策略管理员拥有对组织中所有策略的读写权限。组织策略管理员不能创建对等组织的侯选策略。

> 注 | 使用 aci_name | aci_desc | dn:aci ## dn:aci ## dn:aci 格式定义角色，其中： aci_name 是 ACI 的名称， aci_desc 是对这些 ACI 允许的权限的说明。为了使说明更加浅显易懂，假定该说明的阅读者并不了解 ACI 或其他目录概念。 aci_name 和 aci_desc 是 amAdminUserMsgs.properties 文件中包含的 i18n key。控制台中显示的值来自 .properties 文件，可以使用这两个关键字来检索这些值。 dn:aci 代表用 ## 分隔的 DN 和 ACI 对。Access Manager 将在关联的 DN 条目中设置各个 ACI。该格式还支持可以代替值的标记（否则需要在 ACI 中实际指定值）：ROLENAME、ORGANIZATION、GROUPNAME 和 PCNAME。使用这些标记您可以非常灵活地定义角色，以将其用作缺省角色。当基于某个缺省角色创建角色时，ACI 中的标记将解析为从新角色的 DN 中提取的值。

> ## 启用域组件树

> 域组件树（DC 树）是许多 Sun Java System 组件使用的特定 DIT 结构，用于在 DNS 名称与组织的条目之间建立映射。

> 如果在创建组织时输入了组织的 DNS 名称，则启用该选项将创建组织的 DC 树条目。“创建组织”页面中将显示“DNS 名称”字段。该选项仅适用于顶层组织，对于子组织将不显示该选项。

> 通过 Access Manager SDK 对组织树中的 inetdomainstatus 属性所作的任何状态更改将会更新相应的 DC 树条目状态。（不是通过 Access Manager SDK 进行的状态更新将不会同步进行。）例如，如果创建一个 DNS 名称属性为 sun.com 的新组织：sun，则将在 DC 树中创建以下条目：

> dc=sun,dc=com,o=internet,root suffix

> 通过在 AMConfig.properties 中设置 com.iplanet.am.domaincomponent，可以选择性地配置 DC 树的根后缀。缺省情况下，它将被设置成 Access Manager 的根。如果需要其他后缀，则需要使用 LDAP 命令创建后缀。需要修改创建组织的管理员的 ACI，以使他们能够无限制地访问新的 DC 树根。

> ## 启用管理组

> 该选项用于指定是否创建 DomainAdministrators 和 DomainHelpDeskAdministrators 组。如果选中该选项 (true)，将创建这些组，并将其分别与组织管理员角色和组织帮助台管理员角色关联。创建成功后，当在某个关联的角色中添加或删除用户时，对应的组中也将自动添加或删除该用户。但是该操作不能反向进行。当在其中的某个组中添加或删除用户时，不会在该用户的关联角色中添加或移除该用户。

> 只有在启用该选项后创建的组织中才能创建 DomainAdministrators 和 DomainHelpDeskAdministrators 组。

> 注 | 该选项不适用于子组织，但 root org 除外。对于 root org，将创建 ServiceAdministrators 和 ServiceHelpDeskAdministrators 组，并将其分别与顶层管理员和顶层帮助台管理员角色关联。上面的操作同样适用于该组织。

> ## 启用符合用户删除

> 该选项指定是从目录中删除用户条目还是只将其标记为已删除。如果是在选中该选项 (true) 的情况下删除用户条目，该用户条目仍将存在于目录中，只是将被标记为已删除。Directory Server 搜索时不会返回标记为已删除的用户条目。如果未选定该选项，将会从目录中删除用户条目。

> ## 动态管理角色 ACI

> 该属性用于定义管理员角色的访问控制指令，其中的管理员角色是在使用 Access Manager 配置组或组织时动态创建的。这些角色用于为创建的特定条目分组授予管理 Liberty。仅在该属性列表中才能修改缺省 ACI。

> 注意 | 组织级别的管理员拥有比组管理员更大的权限。但是，如果在缺省情况下将某用户添加到组管理员角色中，则该用户可以修改组中任何人员的口令，其中包括同时是该组中成员的任何组织管理员。

> ### 容器帮助台管理员

> 容器帮助台管理员角色拥有对组织单元内所有条目的读取权限，但仅对自身容器单元中用户条目的 userPassword 属性拥有写入权限。

> ### 组织帮助台管理员

> 组织帮助台管理员拥有对组织中所有条目的读取权限以及对 userPassword 属性的写入权限。

> 注 | 创建一个子组织时，请注意要在该子组织中创建管理角色，而不是在父组织中创建管理角色。

> ### 容器管理员

> 容器管理员角色拥有对 LDAP 组织单元中所有条目的读写权限。在 Access Manager 中，LDAP 组织单元通常被称为容器。

> ### 组织策略管理员

> 组织策略管理员具有对所有策略的读写权限，可以创建、指定、修改和删除自身组织内的所有策略。

> ### 人员容器管理员

> 缺省情况下，新创建的组织中的所有用户条目都是该组织的“人员容器”的成员。“人员容器管理员”对该组织的“人员容器”中的所有用户条目都具有读写权限。请注意，该角色“并不”具有对包含角色和组 DN 的属性的读写权限，因此他们不能修改角色和组的属性，也不能从角色或组中删除用户。

> 注 | 可以使用 Access Manager 配置其他容器，以包含用户条目、组条目甚至其他容器。要将管理员角色应用到配置组织之后创建的容器，请使用缺省的容器管理员角色或容器帮助台管理员角色。

> ### 组管理员

> 组管理员对特定组的所有成员具有读写权限，可以创建新用户、将用户指定到自己所管理的组以及删除自己创建的用户。

> 创建组时，将自动生成组管理员角色，并赋予管理组所必需的权限，但不会将角色自动指定到组成员。角色必须由组创建者或任何拥有“组管理员角色”访问权限的人员来指定。

> ### 顶层管理员

> 顶层管理员拥有对顶层组织中所有条目的读写权限。换句话说，顶层管理员角色具有 Access Manager 应用程序内所有配置负责人所拥有的 Liberty。

> ### 组织管理员

> 组织管理员拥有对组织中所有条目的读写权限。创建组织时将自动生成组织管理员角色，该角色拥有管理组织所必需的权限。

> ## 用户配置文件服务类

> 该属性列出了“用户配置文件”页面中具有自定义显示的服务。对于某些服务来说，由控制台生成的缺省显示不能完全满足需要。该属性为任意服务创建自定义显示，并完全控制显示信息的内容和方式。其语法如下所示：

> service name | relative url

> 注 | “创建用户”页面中将不会显示该属性中列出的服务。必须在“用户配置文件”页面中执行自定义服务显示的所有数据配置。

> ## DC 节点属性列表

> 该字段用于定义当创建对象时将在 DC 树条目中设置的属性集。缺省参数包括：

> - maildomainwelcomemessage
> - preferredmailhost
> - mailclientattachmentquota
> - mailroutingsmarthost
> - mailroutingsmarthost
> - mailroutingsmarthost
> - mailaccessproxyreplay
> - preferredlanguage
> - domainuidseparator
> - maildomainmsgquota
> - maildomainallowedserviceaccess
> - preferredmailmessagestore
> - maildomaindiskquota
> - maildomaindiskquota
> - objectclass=maildomain
> - mailroutinghosts

> ## 用于删除的对象的搜索过滤器

> 该字段定义当启用用户符合删除模式时，用于要删除的对象的搜索过滤器。

> ## 缺省人员容器

> 此属性用于指定将在其中创建用户的缺省人员容器。

> ## 缺省组容器

> 此属性用于指定将在其中创建组的缺省组容器。

> ## 缺省代理容器

> 此属性用于指定将在其中创建代理的缺省代理容器。

> ## 组织属性

> 管理服务中的组织属性包括：

> - “组缺省人员容器”
> - “组人员容器列表”
> - “用户配置文件显示类”
> - “在“用户配置文件”页面中显示角色”
> - “在“用户配置文件”页面中显示组”
> - “对组启用用户自订阅”
> - “用户配置文件显示选项”
> - “用户创建缺省角色”
> - ““管理控制台”选项卡”
> - “搜索返回的结果的最大数目”
> - “搜索超时”
> - “JSP 目录名称”
> - “联机帮助文档”
> - “所需的服务"
> - “用户搜索关键字”
> - “用户搜索返回属性”
> - “用户创建通知列表”
> - “用户删除通知列表”
> - “用户修改通知列表”
> - “每页可以显示的最大条目数”
> - “事件侦听程序类”
> - “处理前和处理后的类”
> - “启用外部属性获取”
> - “无效的用户 ID 字符”
> - “用户 ID 和口令验证插件类”

> ## 组缺省人员容器

> 该字段用于指定在创建用户时，用户将被放到缺省人员容器中。该字段没有缺省值。其有效值是人员容器的 DN。有关人员容器属性为空时的替代顺序，请参见组人员容器列表属性下的说明。

> ## 组人员容器列表

> 该字段用于指定人员容器列表，组管理员在创建新用户时会从中选择人员容器。如果目录树中存在多个人员容器，则可以使用该列表。（如果没有在这个列表和“组缺省人员容器”字段中指定“人员容器”，则将在缺省的 Access Manager人员容器 ou=people 中创建用户。）该字段不存在缺省值。该属性的语法如下所示：

> dn of group | dn of people container

> 注 | 创建用户时，将查看要在其中放置用户条目的容器的该属性。如果该属性为空，则检查容器的“组缺省人员容器”属性。如果后一个属性也为空，将在 ou=people 中创建用户。

> ## 用户配置文件显示类

> 该属性指定显示“用户配置文件”页面时，Access Manager 控制台使用的 Java 类。

> ## 最终用户配置文件显示类

> 该属性用于指定显示“最终用户配置文件”页面时，Access Manager 控制台使用的 Java 类。

> ## 在“用户配置文件”页面中显示角色

> 该选项指定是否在用户的“用户配置文件”页面中显示指定给用户的角色列表。如果值为 false（即未选中该选项），则“用户配置文件”页面将只对管理员显示用户的角色。缺省值是 false。

> ## 在“用户配置文件”页面中显示组

> 该选项指定是否在用户的“用户配置文件”页面中显示指定给用户的组列表。如果值为 false（即未选中该选项），则“用户配置文件”页面将只对管理员显示用户的组。缺省值是 false。

> ## 对组启用用户自订阅

> 该选项用于指定用户是否能够将自身添加到可以自由订阅的组。如果值为 false，则“用户配置文件”页面将只允许管理员修改用户的组成员资格。缺省值是 false。

> 注 | 仅当选定在“用户配置文件”页面中显示组选项时，此选项才可用。

> ## 用户配置文件显示选项

> 该菜单用于指定“用户配置文件”页面中显示的服务属性。管理员可以选择以下选项之一：

> - UserOnly — 显示指定给用户的服务的可查看“用户”模式属性。

> 属性包含关键字“Display”时，用户可以查看用户服务属性。有关详细信息，请参见 Access Manager Developer’s Guide。

> - Combined — 显示指定给用户的服务的可查看“用户”和“动态”模式属性。

> ## 用户创建缺省角色

> 该列表用于定义将被自动指定给新创建的用户的角色。该字段没有缺省值。管理员可以输入一个或多个角色的 DN。

> 注 | 该字段只接受完整的独特名称地址，不接受角色名称。角色只能是 Access Manager 角色，而不能是 LDAP (Directory Server) 角色。

> ## “管理控制台”选项卡

> 此字段列出要显示在控制台顶部的模块的 Java 类。语法是 i18N key | java class name。（i18N key 是“查看”菜单中条目的本地化名称。）

> ## 搜索返回的结果的最大数目

> 该字段定义搜索返回的结果的最大数目。缺省值为 100。

> 注意 | 将该属性设置为较大值时，请参考本注意。有关属性值大小限制的信息，请参见位于以下位置的 《Sun Java System Directory Server Installation and Tuning Guide》： http://docs.sun.com/db/doc/816-6697-10

> ## 搜索超时

> 该字段用于定义在执行多长时间（以秒为单位）后搜索将超时。它可用于终止可能耗时过长的搜索。达到最大搜索时间后，将返回错误信息。缺省值是 5 秒。

> ## JSP 目录名称

> 该字段用于指定包含 .jsp 文件的目录名称，该 .jsp 文件用于构造控制台，以使组织具有一个不同的外观（自定义）。.jsp 文件需要复制到该字段指定的目录中。

> ## 联机帮助文档

> 该字段列出将在 Access Manager 主帮助页上创建的联机帮助链接。这样，其他应用程序也可以在 Access Manager 页面中添加自己的联机帮助链接。该属性的格式如下：

> 链接 i18nkey | 单击时要装入的 HTML 页面| i18n 特性文件 | 远程服务器

> 注 | 其中远程服务器是可选变量，可用于指定联机帮助文档所在的远程服务器。

> 例如：

> IdentityServer Help | /AMAdminHelp.html | amAdminModuleMsgs

> ## 所需的服务

> 该字段列出创建用户条目时向其动态添加的服务。管理员可以选择创建时要添加的服务。

> 该属性不适用于控制台，但适用于 Access Manager SDK。动态创建和通过 amadmin 命令行实用程序创建的用户，将被指定此属性中列出的服务。

> ## 用户搜索关键字

> 该属性用于定义在“导航”页中进行搜索时依据的属性名称。该属性的缺省值是 cn。例如，如果该属性使用缺省值，则：

> 如果在浏览框的“名称”字段中输入 j*，将显示名称以“j”或“J”开头的用户。

> ## 用户搜索返回属性

> 该字段定义当显示简单搜索返回的用户时，使用的属性名，缺省值为 uid cn。此时将显示用户 ID 和用户的全名。

> 列出的第一个属性名称还将作为对要返回的用户集进行排序时使用的关键字。要防止性能下降，请使用其值在用户条目中进行设置的属性。

> ## 用户创建通知列表

> 该字段用于定义在创建新用户时，要向其发送通知的电子邮件地址列表。可以指定多个电子邮件地址，语法如下：

> e-mail|locale|charset

> e-mail|locale|charset

> e-mail|locale|charset

> 通过使用 |locale 选项，通知列表还可以接受不同的语言环境。例如，将通知发送到在法国的管理员：

> someuser@example.com|fr|fr

> 注 | 通过修改 amProfile.properties（缺省情况下位于 AccessManager-base/SUNWam/locale 中）中的属性 497，可以更改发送者的电子邮件 ID。

> ## 用户删除通知列表

> 该字段用于定义在删除用户时，要向其发送通知的电子邮件地址列表。可以指定多个电子邮件地址，语法如下：

> e-mail|locale|charset

> e-mail|locale|charset

> e-mail|locale|charset

> 通过使用 |locale 选项，通知列表还可以接受不同的语言环境。例如，将通知发送到在法国的管理员：

> someuser@example.com|fr|fr

> 注 | 通过修改 amProfile.properties（缺省情况下位于 AccessManager-base/SUNWam/locale 中）中的属性 497，可以更改发送者的电子邮件 ID。缺省的发送者 ID 是 Access-Manager。

> ## 用户修改通知列表

> 该字段用于定义属性及其关联的电子邮件地址列表。如果修改了列表中定义的用户属性，将向该属性关联的电子邮件地址发送通知。每个属性都可以有不同的关联地址集。可以指定多个电子邮件地址，语法如下：

> attrName e-mail|locale|charset e-mail|locale|charset .....

> attrName e-mail|locale|charset e-mail|locale|charset .....

> self 关键字可以用于代替某个地址。这时将向其配置文件被修改的用户发送电子邮件。

> 例如：

> manager someuser@sun.com|self|admin@sun.com

> 邮件将被发送到 manager 属性中指定的地址：someuser@sun.com、admin@sun 以及修改用户的人员 (self)。

> 通过使用 |locale 选项，通知列表还可以接受不同的语言环境。例如，将通知发送到在法国的管理员：

> manager someuser@sun.com|self|admin@sun.com|fr

> 注 | 该属性名称与 Directory Server 方案中显示的名称相同，但与控制台中显示的名称不同。

> ## 每页可以显示的最大条目数

> 该属性允许您定义每页可以显示的最大行数。缺省值是 25。例如，如果某个用户搜索返回 100 行，将用 4 页来显示该结果，每页上显示 25 行。

> ## 事件侦听程序类

> 该属性包含用于接收 Access Manager 控制台中创建、修改和删除事件的侦听程序的列表。

> ## 处理前和处理后的类

> 该字段通过插件定义实现类列表，这些插件会扩展 com.iplanet.am.sdk.AMCallBack 类，以接收在处理对用户、组织、角色和组的操作前和处理后之间的回叫。这些操作包括：

> - 创建
> - 删除
> - 修改
> - 将用户添加到角色/组
> - 从角色/组中删除用户

> 必须输入插件的完整类名。例如：

> com.iplanet.am.sdk.AMCallbacSample

> 然后，必须更改 Web 容器的类路径（从 Access Manager 安装库），以包含插件类位置的完整路径。

> ## 启用外部属性获取

> 该选项启用插件的回叫以检索外部属性（所有专用于外部应用程序的属性）。外部属性不会在 Access Manager SDK 中缓存，因此该属性允许您在各个组织级别启用属性检索。缺省情况下，不启用该选项。

> ## 无效的用户 ID 字符

> 这个属性定义用户名称中不允许使用的字符清单。

> 各个字符之间必须用 | 字符分隔开。 例如：

> *|(|)|&|!

> ## 用户 ID 和口令验证插件类

> 此类提供了一种用户 ID 和口令验证插件机制。

> 需要由为用户验证用户 ID 和/或口令的实现插件模块来覆盖此类的方法。每当使用 Access Manager 控制台、amadmin 命令行界面或使用 SDK 来添加或修改用户 ID 或口令值时，将调用该实现插件模块。

> 可以为每个组织配置扩展此类的插件。如果未为组织配置插件，将使用在全局级别上配置的插件。

> 如果插件的验证失败，则插件模块可能抛出异常，通知应用程序指示用户所提供的用户 ID 或口令中的错误。

目录