WebSphere Everyplace Access

Configuración de la autorización

Everyplace Access soporta un meticuloso control de acceso sobre los recursos. Durante la personalización, los usuarios sólo pueden seleccionar y ver aquellos recursos sobre los que tienen derechos de acceso. Durante la presentación de un recurso, la infraestructura verifica que el usuario tiene los derechos adecuados para utilizar el recurso solicitado. En la mayoría de los casos, los derechos de acceso se administran a través del portlet Lista de control de acceso y se almacenan en la base de datos de administración de Portal Server.

• Conceptos de autorización
• Portlet Lista de control de acceso
• Derechos de acceso
  • Permiso DELEGAR
  • Niveles de acceso
  • Valores iniciales de control de acceso
  • Subadministradores
  • Escenario de gestión de acceso
• Información relacionada

Conceptos de autorización

A veces una autorización también recibe el nombre de control de acceso. El portlet Lista de control de acceso (ACL) le permite configurar el acceso a los recursos del portal otorgando permisos a los usuarios y a los grupos. Consulte Gestión de suscriptores para obtener información sobre cómo gestionar usuarios y grupos. El portlet Lista de control de acceso también transfiere, si lo desea, el control de los recursos a y desde mecanismos de seguridad externos.

Antes de que el usuario esté autorizado para acceder a un recurso, deberá producirse una autenticación satisfactoria. Excepto por el requisito de realizar una autenticación satisfactoria, la autorización es independiente de WebSphere Application Server o de cualquier proxy de autenticación personalizado. WebSphere Application Server protege los servlets y los EJB; no obstante, Everyplace Access protege todos los recursos internos del portal, ya sean páginas, lugares o portlets. Ser miembro de un grupo puede significar tener los permisos necesarios para acceder a un objeto o para realizar una petición, pero el control de acceso también puede efectuarse a nivel de usuarios individuales. Aunque los roles J2EE no se soportan en Everyplace Access, los grupos de usuarios pueden aproximarse en ocasiones a esa función.

Portlet Lista de control de acceso

El portlet Lista de control de acceso es la interfaz que le permite controlar los derechos de acceso a los recursos del portal. Puede buscar un usuario o grupo y limitar la búsqueda a un tipo de recurso, nombre o fecha de modificación específicos, o puede seleccionar que se visualicen todos los recursos disponibles para el usuario o el grupo. El portlet Lista de control de acceso le permite mover recursos del control interno al externo y viceversa. Consulte la ayuda de Lista de control de acceso para obtener instrucciones sobre cómo utilizar este portlet.

Nota: Cuando dé un permiso de usuario para desplegar portlets, asegúrese de que el usuario también está en el rol de administración de WebSphere Application Server. Puede añadir el usuario a un grupo que se encuentre en el rol de administración, o bien, puede añadir el usuario a este rol en el Centro de seguridad de la Consola de administración de WebSphere Application Server.

Derechos de acceso

Existen cinco permisos simples que se pueden asignar a los recursos. Uno de estos, DELEGAR, es el permiso para cambiar el control de acceso. En las tablas siguientes se explican los otros cuatro permisos y se ofrece un ejemplo de cómo cada permiso limita el control a un recurso.

Nota: algunos portlets pueden tener tareas que necesiten correlaciones exclusivas con permisos ACL. Por ejemplo, un portlet puede tener una tarea de vistas que necesite el permiso EDITAR. En esos casos, consulte la documentación de cada portlet si desea más información.

Permiso DELEGAR

El permiso DELEGAR es necesario para administradores o subadministradores. Un usuario con permiso DELEGAR para un recurso, como un portlet o un lugar, y para un grupo de usuarios puede otorgar a estos usuarios permiso para ese recurso. Los usuarios sólo pueden otorgar el mismo nivel o uno inferior de permiso (VER, EDITAR, GESTIONAR, CREAR) que el que ya tengan para ese recurso. El permiso DELEGAR no implica otros derechos de acceso. Los usuarios con derecho DELEGAR no pueden asignar permisos superiores a los que ostentan. Por ejemplo, si Marta puede EDITAR y DELEGAR en la página Financiera y DELEGAR en el grupo de usuarios del que Juan es miembro, Marta podrá asignar permisos VER o EDITAR para la página Financiera a Juan o a cualquier otro usuario del grupo de Juan. No obstante, Marta no puede asignar permiso GESTIONAR para esa página porque la propia Marta no tiene permiso GESTIONAR para ese lugar.

Niveles de acceso

Los recursos creados recientemente tienen un estado inicial de control de acceso muy específico. Sólo el usuario que ha creado el recurso tiene permisos para ese recurso y el creador siempre tiene permisos GESTIONAR y DELEGAR para el nuevo recurso. Si el creador también tiene acceso al portlet Lista de control de acceso, ese usuario podrá otorgar a otros usuarios acceso a ese portlet dentro de las restricciones comentadas en el apartado sobre permisos DELEGAR. Los administradores del portal también pueden ver el nuevo recurso y, si es necesario, otorgarse a sí mismos permisos que les permitan compartir ese recurso con otros usuarios. Los usuarios deben tener el permiso mínimo actual o activo correcto para acceder a un recurso. Los permisos activos se pueden heredar de los grupos a los que el usuario o el grupo de usuarios pertenece. Los permisos mínimos actuales se otorgan a un usuario por el nombre en lugar de por su pertenencia como miembro a un grupo.

Valores iniciales de control de acceso

El portlet Lista de control de acceso define los derechos de acceso después de que el portal esté en ejecución; no obstante, durante la instalación de Portal Server, los derechos de acceso iniciales se asignarán para el administrador del portal y para diversos grupos de usuarios. A menos que haya creado un nuevo nombre de administrador del portal y una contraseña durante la instalación, el administrador por omisión del portal es wpsadmin en el grupo de usuarios wpsadmins. Si selecciona la instalación estándar y decide personalizar sus valores LDAP, podrá sustituir al usuario wpsadmin por otro; no obstante, ese usuario deberá tener una contraseña y existir en LDAP antes de realizar la instalación. El grupo de usuarios wpsadmins también se puede cambiar si el grupo de usuarios que desea que lo sustituya ya existe en LDAP. Si decide cambiar el administrador o el grupo de usuarios administradores, deberá seleccionar la opción de instalación estándar, personalizar la configuración de LDAP y suministrar la información de grupos de usuarios y de usuarios necesaria cuando se lo pida el Gestor de instalación. Cuando la base de datos se inicialice por primera vez, los permisos para el administrador y el grupo administrador del portal se establecen en GESTIONAR PORTAL, proporcionando a estos usuarios el control completo sobre el portal. Consulte Configuración LDAP para obtener más detalles sobre cómo trabajar con servidores de directorios.

Everyplace Access también configura permisos definidos en un archivo XML de configuración del portal para que el portal lo utilice inicialmente. El administrador y el grupo de administradores del portal tienen permisos GESTIONAR y DELEGAR sobre todos los recursos configurados del portal. El acceso VER se establece para todos los usuarios autenticados. Los usuarios anónimos tienen acceso VER a todos los recursos que forman parte de la página de bienvenida. Puede modificar estos derechos de acceso o asignar nuevos derechos de acceso utilizando el portlet Lista de control de acceso.

Nota: el administrador del portal y el grupo de administradores no disponen de permiso GESTIONAR sobre los usuarios como valor por omisión.

Subadministradores

Para otorgar a un usuario acceso a un recurso, deberá tener permiso DELEGAR sobre el recurso y permiso DELEGAR sobre el usuario o sobre el grupo de usuarios del que el usuario sea miembro. Everyplace Access soporta niveles de delegación ilimitados. Por ejemplo, los administradores pueden crear un número ilimitado de subadministradores que, a su vez, también pueden crear un número ilimitado de subadministradores. Consulte Situación de gestión de acceso para obtener más información sobre cómo los administradores pueden utilizar los permisos GESTIONAR y DELEGAR.

Escenario de gestión de acceso

Nicolás, director de la división de Marketing, es responsable de crear y mantener una página para la división y distintas páginas para los departamentos de la división. Las páginas y los portlets que contienen deben tener exactamente el mismo aspecto para todos los miembros de todos los departamentos. Los grupos MarketDiv, MarketUSA, MarketEurope y sus miembros ya están configurados en el directorio corporate. MarketUSA y MarketEurope son miembros del grupo MarketDiv.

El administrador del portal asigna acceso DELEGAR para los nuevos grupos de usuarios MarketDiv, MarketUSA y MarketEurope al usuario Nicolás. El administrador otorga a Nicolás permiso DELEGAR y EDITAR para el portlet Objetivos de marcación. Nicolás puede ahora editar los valores del portlet Objetivos de mercado. No podrá gestionar grupos de usuarios, tan sólo delegarles nuevos permisos.

A continuación, el administrador proporcionará a Nicolás acceso VER para el portlet Lista de control de acceso para que puede colocar este portlet en una de sus páginas y pueda utilizarlo para crear nuevos permisos para los nuevos grupos de usuarios. Nicolás también tiene permiso para crear nuevas páginas en el portal. Cuando lo haga, recibirá automáticamente permiso DELEGAR y GESTIONAR para las páginas que ha creado.

Ahora Nicolás puede crear las nuevas páginas para la división de Marketing y sus departamentos. Nicolás sólo puede hacer visibles estas páginas y sus portlets para los usuarios o grupos sobre los que tiene permiso DELEGAR. Después de personalizar la página Noticias del mercado con el portlet Objetivos del mercado, pone la página a disposición del grupo MarketDiv, otorgando al grupo acceso VER para la página y el portlet. Esta acción permite a todos los miembros del grupo MarketDiv, incluidos los miembros de los grupos MarketUSA y MarketEurope, ver la página preconfigurada y que su pestaña aparezca en su portal.

Nicolás crea la página Noticias del mercado EE.UU. y la personaliza con el portlet Objetivos de mercado. Después pone la página a disposición del grupo MarketUSA, otorgando al grupo acceso VER para la página y el portlet. Esta acción permite a todos los miembros del grupo MarketUSA ver la página preconfigurada y que su pestaña aparezca en su portal.

A continuación, Nicolás personaliza la página Noticias del mercado Europa con el portlet Objetivos de mercado y hace disponible la página al grupo MarketEurope otorgándoles acceso VER para la página y el portlet. Esta acción permite a todos los miembros del grupo MarketEurope ver la página preconfigurada y que aparezca su pestaña en el portal.

Esto permite a los miembros del grupo de usuarios MarketUSA ver la página Noticias del mercado EE.UU. y el portlet Objetivos de mercado como está configurado en esta página. Los miembros del grupo de usuarios MarketEurope pueden ver la página Noticias del mercado Europa. Ambos grupos pueden ver la página Noticias del mercado. Nicolás gestiona las tres páginas de noticias y puede editar los valores del portlet Objetivos de mercado.

Ahora, Nicolás delega la gestión de la página Noticias del mercado Europa en Antonio, que es miembro del grupo de usuarios MarketEurope. Nicolás sólo asigna permiso EDITAR para la página a Antonio. Por lo tanto, Antonio puede modificar la página pero no puede gestionarla, lo que significa que no puede realizar tareas globales como la supresión de la página. Antonio puede ver el portlet Objetivos de mercado porque es miembro del grupo de usuarios MarketEurope, pero sigue sin poder editar los valores del portlet. El permiso DELEGAR sólo le permite delegar sus derechos de acceso en otros usuarios o grupos de usuarios.

Como Nicolás ha otorgado a Antonio permiso DELEGAR, Antonio puede ahora delegar y gestionar el grupo de usuarios SalesEurope. Antonio puede dar a los miembros de este grupo permiso para ver la página y su portlet, pero también puede delegar permisos GESTIONAR, EDITAR o VER a los miembros del grupo. Como tiene permisos EDITAR en la página Noticias del mercado Europa, Antonio puede personalizar sus valores personales para la página pero otros usuarios no verán los cambios que realice en la página. La siguiente tabla ilustra los permisos de acceso individuales de Antonio.