目錄

> # 策略配置服務屬性

> 策略配置服務屬性由全域屬性與組織屬性組成。套用於全域屬性的值也套用於整個 Sun Java System Access Manager 配置，並且由每個配置的組織繼承。(由於全域屬性的目標是自訂 Access Manager 應用程式，因此這些值無法直接套用於角色或組織。)在服務管理下套用於組織屬性的值會成為策略配置的預設值。組織註冊服務後，需要建立服務範本。註冊後組織的管理員可以變更預設值。組織屬性不會由組織中的項目繼承。策略配置屬性可分為：

> - 「全域屬性」
> - 「組織屬性」

> ## 全域屬性

> 策略配置服務中的全域屬性為：

> - 「資源比較程式」
> - 「繼續拒絕決策評估」

> ## 資源比較程式

> 此屬性指定資源比較程式資訊，該資訊用於比對策略規則定義中指定的資源。在建立和評估策略時均會使用資源比較。此屬性包含以下值：

> serviceType | 指定應該使用此比較程式的服務。
> class | 定義實施資源比較演算法的 java 類別。
> wildcard | 指定可以在資源名稱中定義的萬用字元。
> delimiter | 指定在資源名稱中使用的分割元。
> caseSensitivity | 指定在比較兩種資源時，是否應該考量或忽略大小寫。False 忽略大小寫，True 考量大小寫。

> ## 繼續拒絕決策評估

> 此屬性指定策略框架是否應繼續評估後續策略 (即使 DENY 策略決策存在)。如果未選取它 (預設)，則一旦識別了 DENY 決策，策略評估將略過後續策略。

> ## 組織屬性

> 策略配置服務中的組織屬性包括：

> - 「主 LDAP 伺服器」
> - 「LDAP 基底 DN」
> - 「LDAP 使用者基底 DN」
> - 「Access Manager 角色基本 DN」
> - 「LDAP 連結 DN」
> - 「LDAP 連結密碼」
> - 「LDAP 連結密碼 (確認)」
> - 「LDAP 組織搜尋過濾器」
> - 「LDAP 組織搜尋範圍」
> - 「LDAP 群組搜尋過濾器」
> - 「LDAP 群組搜尋範圍」
> - 「LDAP 使用者搜尋過濾器」
> - 「LDAP 使用者搜尋範圍」
> - 「LDAP 角色搜尋過濾器」
> - 「LDAP 角色搜尋範圍」
> - 「Access Manager 角色搜尋範圍」
> - 「LDAP 組織搜尋屬性」
> - 「LDAP 群組搜尋屬性」
> - 「LDAP 使用者搜尋屬性」
> - 「LDAP 角色搜尋屬性」
> - 「搜尋傳回的最大結果數」
> - 「搜尋逾時」
> - 「啟用 LDAP SSL」
> - 「LDAP 連線區最小大小」
> - 「LDAP 連線區最大大小」
> - 「選取的策略主旨」
> - 「選取的策略條件」
> - 「選取的策略參考」
> - 「持續的主旨結果時間」
> - 「啟用使用者別名」

> ## 主 LDAP 伺服器

> 此欄位指定 Access Manager 安裝期間指定的主 LDAP 伺服器之主機名稱與連接埠號 (用於搜尋策略主旨，例如 LDAP 使用者、LDAP 角色、LDAP 群組等)。格式為 hostname:port，例如：

> machine1.example.com:389

> 對於多重 LDAP 伺服器主機的防故障備用配置，本值可以為以空格分隔的主機清單。格式為 hostname1:port1 hostname2:port2...

> 例如：

> machine1.example1.com:389 machine2.example1.com:389

> 多重項目必須以本機伺服器名稱為字首。這樣可以將特定的 Access Manager 配置為與特定的 Directory Server 通訊。

> 格式為 servername|hostname:port

> 例如：

> machine1.example1.com|machine1.example1.com:389

> machine1.example2.com|machine1.example2.com:389

> 對於防故障備用配置：

> IS_Server1.example1.com|machine1.example1.com:389 machine2.example.com1:389

> IS_Server2.example2.com|machine1.example2.com:389 machine2.example2.com:389

> ## LDAP 基底 DN

> 此欄位指定要開始搜尋的 LDAP 伺服器中的基底 DN。依預設，它是 Access Manager 安裝的頂層組織。

> ## LDAP 使用者基底 DN

> 此屬性指定 LDAP 伺服器中由 LDAP 使用者主旨使用的基底 DN，搜尋將從此基底 DN 開始。依預設，它是 Access Manager 安裝基準的頂層組織。

> ## Access Manager 角色基本 DN

> 此屬性指定 LDAP 伺服器中由 Access Manager 角色主旨使用的基底 DN，搜尋將從此基底 DN 開始。依預設，它是 Access Manager 安裝基準的頂層組織。

> ## LDAP 連結 DN

> 此欄位指定 LDAP 伺服器中的連結 DN。

> ## LDAP 連結密碼

> 此屬性定義用於連結至 LDAP 伺服器的密碼。依預設，在安裝期間輸入的 amldapuser 密碼將用作連結使用者。

> ## LDAP 連結密碼 (確認)

> 對 LDAP 連結密碼的確認。

> ## LDAP 組織搜尋過濾器

> 指定用於尋找組織項目的搜尋過濾器。預設值為 (objectclass=sunMangagedOrganization)。

> ## LDAP 組織搜尋範圍

> 此屬性定義用於尋找組織項目的範圍。此範圍必須為以下一種範圍：

> - SCOPE_BASE
> - SCOPE_ONE
> - SCOPE_SUB (預設)

> ## LDAP 群組搜尋過濾器

> 指定用於尋找群組項目的搜尋過濾器。預設值為 (objectclass=groupOfUniqueNames)。

> ## LDAP 群組搜尋範圍

> 此屬性定義用於尋找群組項目的範圍。此範圍必須為以下一種範圍：

> - SCOPE_BASE
> - SCOPE_ONE
> - SCOPE_SUB (預設)

> ## LDAP 使用者搜尋過濾器

> 指定用於尋找使用者項目的搜尋過濾器。預設值為 (objectclass=inetorgperson)。

> ## LDAP 使用者搜尋範圍

> 此屬性定義用於尋找使用者項目的範圍。此範圍必須為以下一種範圍：

> - SCOPE_BASE
> - SCOPE_ONE
> - SCOPE_SUB (預設)

> ## LDAP 角色搜尋過濾器

> 指定用於尋找角色項目的搜尋過濾器。預設值為 (&(objectclass=ldapsubentry)(objectclass=nsroledefinitions))

> ## LDAP 角色搜尋範圍

> 此屬性定義用於尋找角色項目的範圍。此範圍必須為以下一種範圍：

> - SCOPE_BASE
> - SCOPE_ONE
> - SCOPE_SUB (預設)

> ## Access Manager 角色搜尋範圍

> 此屬性定義用於尋找 Access Manager 角色主旨項目的範圍。此範圍必須為以下一種範圍：

> - SCOPE_BASE
> - SCOPE_ONE
> - SCOPE_SUB (預設)

> ## LDAP 組織搜尋屬性

> 此欄位定義對組織進行搜尋的屬性類型。預設值為 o。

> ## LDAP 群組搜尋屬性

> 此欄位定義對群組進行搜尋的屬性類型。預設值為 cn。

> ## LDAP 使用者搜尋屬性

> 此欄位定義對使用者進行搜尋的屬性類型。預設值為 uid。

> ## LDAP 角色搜尋屬性

> 此欄位定義對角色進行搜尋的屬性類型。預設值為 cn。

> ## 搜尋傳回的最大結果數

> 此欄位定義搜尋傳回的最大結果數。預設值為 100。如果搜尋限制超過了指定時間，則會傳回到此指定時間點時已經找到的項目。

> ## 搜尋逾時

> 此屬性指定發生搜尋逾時之前的時間。如果搜尋超過了指定時間，則會傳回到此指定時間點時已經找到的項目。

> ## 啟用 LDAP SSL

> 此屬性指定 LDAP 伺服器是否正在執行 SSL。選取此屬性會啟用 SSL，取消選取此屬性 (預設) 會停用 SSL。

> 如果 LDAP 伺服器已啟用 SSL (LDAPS)，您必須確認 Access Manager 已配置適當的 SS 信任證書。

> ## LDAP 連線區最小大小

> 此屬性指定用於連線至 Directory Server 的連線區最小大小，如 LDAP 伺服器屬性中指定的最小大小。預設值為 1。

> ## LDAP 連線區最大大小

> 此屬性指定用於連線至 Directory Server 的連線區最大大小，如 LDAP 伺服器屬性中指定的最大大小。預設值為 10。

> ## 選取的策略主旨

> 此屬性允許您選取可用於組織中策略定義的主旨類型集。

> ## 選取的策略條件

> 此屬性允許您選取可用於組織中策略定義的條件類型集。

> ## 選取的策略參考

> 此屬性允許您選取可用於組織中策略定義的參考類型集。

> ## 持續的主旨結果時間

> 此屬性指定快取主旨結果 (基於單次登入記號) 可用於評估同一策略請求的時間 (以分鐘計算)。

> 在最初評估某策略是否與 SSO 記號相符時，會評估策略中的主旨實例，以決定此策略是否適用於給定使用者。使用 SSO 記號 ID 加密的主旨結果，在策略中進行快取。如果在 [持續的主旨結果時間] 屬性指定的時間內，對同一 SSO 記號 ID 的同一策略進行評估，策略框架會擷取快取的主旨結果，而不是評估主旨實例。這會大大減少策略評估的時間。

> ## 啟用使用者別名

> 如果建立策略以保護在遠端 Directory Server 中主旨成員別名為本機使用者的資源，則必須啟用此屬性。

> 例如，如果在遠端 Directory Server 中建立 uid=rmuser，然後將 rmuser 作為別名加入到 Access Manager 中的本機使用者 (如 uid=luser)，則必須啟用此屬性。當您以 rmuser 登入時，系統會經由本機使用者 (luser) 建立階段作業，從而使策略執行成功。

目錄