Создание групп и эквивалентов защиты
Сейчас это может уже быть достаточно очевидным, но пока об этом
нигде не говорилось: способ задания для одного объекта защиты,
эквивалентной другому объекту, и включение объекта в члены группы
очень похоже на присваивание полномочий с помощью ACL. Так как
эквивалентность защиты и членство в группе реализуется с помощью
атрибутов, для получения нужного результата требуется только изменить
соответствующий атрибут.
При изменении членства в группе нужно учитывать еще один момент.
Список групп, членом которых объект является, и список членов
группы - это разные списки. Оба списка должны обновляться приложением.
Членство в группе (Group Membership) представляет собой атрибут
объекта пользователя и содержит идентификацию групп, членом которых
является пользователь. Атрибут член группы (Member) - это атрибут
объекта группы, который содержит идентификацию объектов, являющихся
членами группы.
В итоге, в дереве каталога полномочия доступа вы можете получить:
- от объектов, которым вы подчиняетесь;
- от объектов, к которым вы приравнены по защите;
- от объектов, членами группы которых вы являетесь;
- путем прямого присваивания.
