Présentation des groupes d’applications du Gestionnaire d’autorisations

Dans le Gestionnaire d’autorisations, vous pouvez faire appel à des requêtes LDAP pour rechercher des objets dans les services AD DS, les services AD LDS et d’autres annuaires compatibles LDAP.

Vous pouvez faire appel à une requête LDAP pour préciser un groupe de requêtes LDAP en tapant la requête LDAP voulue dans l’espace prévu à cet effet sur l’onglet Requête de la boîte de dialogue Propriétés du groupe d’application.

Le Gestionnaire d’autorisations prend en charge deux types de requêtes LDAP qui permettent de définir un groupe de requêtes LDAP : les requêtes de Gestionnaire d’autorisations version 1 et les requêtes d’URL LDAP.

• Requêtes LDAP de Gestionnaire d’autorisations version 1
  
  Les requêtes LDAP de version 1 offrent une prise en charge limitée de la syntaxe de requête d’URL LDAP décrite dans le document RFC 2255. Ces requêtes sont limitées à l’interrogation de la liste d’attributs de l’objet utilisateur spécifié dans le contexte client actuel.
  
  Par exemple, la requête suivante recherche tout le monde à l’exception de Andy :
  
  (&(objectCategory=person)(objectClass=user)(!cn=andy)).
  
  La requête suivante détermine si le client est membre de l’alias StatusReports chez northwindtraders.com :
  
  (memberOf=CN=StatusReports,OU=Distribution Lists,DC=nwtraders,DC=com)
  
  Le Gestionnaire d’autorisations continue de prendre en charge les requêtes de version 1 afin que les solutions développées à l’aide des versions antérieures du Gestionnaire d’autorisations puissent être mises à niveau sans effort particulier.
  
  
• Requêtes d’URL LDAP
  
  Afin de supprimer les limitations associées aux objets et attributs pouvant être interrogés, le Gestionnaire d’autorisations prend en charge une syntaxe de requête d’URL LDAP basée sur le document RFC 2255. Cela vous permet de créer des groupes de requêtes LDAP qui utilisent des objets répertoire autres que l’objet utilisateur actuel comme racine de la recherche.
  
  Une URL LDAP commence par le préfixe de protocole « ldap » et présente le format suivant :
  
  

	Remarques
	« Nom unique » et « NU » sont synonymes.

ldap://<serveur:port>/<NU_Objet_Base>?<attributs>?<Étendue_Requête>?<Filtre>

Plus spécifiquement, la grammaire suivante est prise en charge :

       ldapurl    = scheme "://" [hostport] ["/"
                    [dn ["?" [attributes] ["?" [scope]
                    ["?" [filter]]]]]]
       scheme     = "ldap"
       attributes = attrdesc *("," attrdesc)
       scope      = "base" / "one" / "sub"
       dn         = distinguishedName 
       hostport   = hostport 
       attrdesc   = AttributeDescription 
       filter     = filter 

Par exemple, la requête suivante retourne les utilisateurs dont l’attribut de société est défini sur « FabCo » à partir du serveur LDAP exécuté sur le port 389 sur un hôte nommé « fabserver » :

ldap://fabserver:389/OU=Customers,DC=FABCO-PN,DC=com?*?sub?(&(company=FabCo)(objectClass=user)(objectCategory=user))

Lors de l’utilisation d’une requête d’URL LDAP, vous pouvez utiliser la valeur d’espace réservé spéciale %AZ_CLIENT_DN%. Cet espace réservé est remplacé par le nom unique du client qui effectue le contrôle d’accès. Cela vous permet de construire des requêtes qui retournent des objets à partir de l’annuaire en fonction de leur relation avec le nom unique du client qui effectue la requête.

Dans l’exemple suivant, la requête LDAP vérifie si l’utilisateur est membre de l’unité d’organisation « Customers » :

ldap://server:<port>/OU=Customers,DC=FABCO-PN,DC=com?(objectclass=*)?sub?(& (objectClass=user)(objectCategory=user) (distinguishedName= %AZ_CLIENT_DN% ))

Dans l’exemple suivant, la requête LDAP vérifie si l’utilisateur est un subalterne direct du responsable nommé « SomeManager » et si le « searchattribute » de SomeManager est égal à la valeur particulière « searchvalue ».

ldap://server:port/Cn=SomeManager,OU=Users,DC=FABCO-PN,DC=com?(objectclass=*)?base?(&(searchattribute= searchvalue) (directreports = %AZ_CLIENT_DN%))

Pour plus d’informations sur la syntaxe des requêtes d’URL LDAP, voir le texte de la RFC 2255 (éventuellement en anglais) (https://go.microsoft.com/fwlink/?linkid=65973).

	Important
	Si la requête LDAP commence par « ldap », elle est traitée en tant que requête d’URL LDAP. Autrement, elle est traitée en tant que requête de version 1.

Les groupes d’applications de base sont spécifiques au Gestionnaire d’autorisations.

Pour définir l’appartenance à un groupe d’application de base, vous devez :

1. définir qui est membre,
   
   
2. définir qui n’est pas membre.
   
   

Ces deux étapes se déroulent de la même manière :

• Dans un premier temps, vous spécifiez zéro ou plus utilisateurs et groupes Windows, groupes d’applications de base déjà définis ou groupes de requêtes LDAP.
  
  
• Dans un second temps, l’appartenance au groupe d’application de base est calculée en supprimant tous les non-membres du groupe. Le Gestionnaire d’autorisations s’en charge automatiquement au moment de l’exécution.
  
  

	Important
	La non-appartenance à un groupe d’applications de base prime sur l’appartenance.

Les groupes d’applications de règle métier sont spécifiques au Gestionnaire d’autorisations.

Pour définir une appartenance à un groupe d’applications de règle métier, vous devez écrire un script en VBScript ou JScript. Le code source du script est chargé à partir d’un fichier texte dans la page Propriétés du groupe d’applications de règle métier.