目录

> # 组

> 组代表具有共同职责、特征或利益的用户集合。通常来说，这种分组不会涉及权限。组可存在于两个级别，分别是组织和其他被管理组中。存在于其他组中的组称为子组。子组是“物理上”存在于父组中的子节点。

> Access Manager 还支持嵌套组，其代表了单个组中所含的现有组。与子组不同，嵌套组可以存在于 DIT 中的任何位置。使用嵌套组可以快速地为多个用户设置访问权限。

> 创建组时，您可以创建采用“订阅成员”的组（静态组），也可以创建采用“按过滤指定成员”的组（过滤组）。这样可以控制将用户添加到组的方式。只能将用户添加到静态组，动态组则用来通过过滤器控制用户的添加。但是，嵌套组或子组却可以添加到静态组和动态组。

> 本节包含以下主题：

> - 创建静态组的步骤
> - 在静态组中添加或删除成员的步骤
> - 创建过滤组的步骤
> - 在过滤组中添加或删除成员的步骤
> - 将组添加到策略的步骤

> ## 创建静态组的步骤

> 1. 查找将在其中创建组的组织、组或组容器。
> 2. 从“查看”菜单中选择“组”。
> 3. 单击“新建”。
> 4. 从“数据”窗格中选择“订阅成员”作为组类型。
> 5. 在“名称”字段中输入组的名称。单击“下一步”。
> 6. 选择“用户可以订阅该组”属性可以使用户自行订阅组。
> 7. 如果已在 DIT 中定义了多个组容器，并且未启用（管理服务的）“显示组容器”属性，则可以选择静态组所属的父组容器。否则，将不显示此字段。
> 8. 单击“完成”。

> 组创建完毕后，可以通过从“数据”窗格的“查看”菜单中选择“常规”来编辑“用户可以订阅该组”属性。

> ## 在静态组中添加或删除成员的步骤

> 1. 单击要向其添加成员的组旁边的属性箭头。
> 2. 在“数据”窗格中，从“查看”菜单中选择“成员”。

> 在“选择操作”菜单中选择要执行的操作。可以执行以下操作：

> 新建用户。保存用户信息时，此操作将创建新用户并自动将该用户添加到组。

> 添加用户。此操作可将现有用户添加到组。选择此操作后，请创建搜索条件指定要添加的用户。用来构造该条件的字段使用 ANY 或 ALL 运算符。ALL 将根据所有指定的字段向用户返回结果。ANY 将根据所指定的任一字段向用户返回结果。如果某个字段保留为空，则该字段将匹配该特定属性的所有可能条目。

> 搜索标准创建完毕，请单击“下一步”。从返回的用户列表中，选择要添加的用户并单击“完成”。

> 提示 | 要查看用户组织的完整路径，请单击“显示路径”按钮。

> 添加组。此操作可把嵌套组添加到当前组。选择此操作时要创建搜索条件，包括搜索范围、组的名称（允许使用通配符“*”），并且可指定用户是否可以自行订阅组。信息输入完毕，请单击“下一步”。从返回的组列表中，选择要添加的组并单击“完成”。

> 移除成员。此操作只是从组中移除成员（包括用户和组），不会进行永久性删除。选择要移除的成员并从“可用操作”列表中选择“移除成员”。

> 删除成员。此操作可永久删除所选成员。选择要删除的成员并从可用操作列表中选择“删除成员”。

> ## 创建过滤组的步骤

> 1. 找到要在其中创建组的组织（或组）。
> 2. 从“查看”菜单中选择“组”。
> 3. 单击“新建”。
> 4. 从“数据”窗格中为组类型选择“按过滤指定成员”。
> 5. 在“名称”字段中输入组的名称。单击“下一步”。
> 6. 构造 LDAP 搜索过滤器。

> 缺省情况下，Access Manager 将显示 Basic 搜索过滤器界面。用于构造过滤器的 Basic 字段使用 ANY 或 ALL 运算符。ALL 将根据所有指定的字段向用户返回结果。ANY 将根据所指定的任一字段向用户返回结果。如果某个字段保留为空，则该字段将匹配该特定属性的所有可能条目。

> 另外，您可以选择“高级”按钮来自行定义过滤器属性。例如：

> (&(uid=user1)(|(inetuserstatus=active)(!(inetuserstatus=*))))

> 单击“完成”后，系统将自动把与搜索条件匹配的所有用户添加到组。

> ## 在过滤组中添加或删除成员的步骤

> 1. 单击要向其添加成员的组旁边的属性箭头。
> 2. 在“数据”窗格中，从“查看”菜单中选择“成员”。

> 在“选择操作”菜单中选择要执行的操作。可以执行以下操作：

> 添加组。此操作可把嵌套组添加到当前组。选择此操作时要创建搜索条件，包括搜索范围、组的名称（允许使用通配符“*”），并且可指定用户是否可以自行订阅组。信息输入完毕，请单击“下一步”。从返回的组列表中，选择要添加的组并单击“完成”。

> 移除成员。此操作只是从组中移除成员，不会进行永久性删除。选择要移除的成员并从可用操作列表中选择“移除成员”。

> 删除成员。此操作可永久删除所选成员。选择要移除的成员并从可用操作列表中选择“删除成员”。

> ## 将组添加到策略的步骤

> 可以通过定义策略的主题将 Access Manager 对象添加到策略中。在创建或修改策略时，可以在策略的“主题”页面中将组织、角色、组和用户定义为主题。定义了主题后，策略将被应用到对象。

目录