グループの構成
Citrix ADM では、グループには機能レベルとリソースレベルのアクセス権の両方があります。たとえば、あるユーザーのグループが、選択したCitrix ADC インスタンスのみにアクセスしたり、少数のアプリケーションしかアクセスできない別のグループにアクセスしたりできます。
グループを作成するときに、グループにロールを割り当てたり、グループへのアプリケーションレベルのアクセスを提供したり、ユーザーをグループに割り当てることができます。Citrix ADM では、そのグループのすべてのユーザーに、同じアクセス権が割り当てられます。
Citrix ADM では、ネットワーク機能エンティティの個々のレベルでユーザーアクセスを管理できます。エンティティレベルでユーザーまたはグループに特定のアクセス許可を動的に割り当てることができます。
Citrix ADM は、仮想サーバー、サービス、サービスグループ、およびサーバーをネットワーク機能エンティティとして扱います。
-
仮想サーバー（アプリケーション） -負荷分散（lb）、GSLB、コンテキストスイッチング（CS）、キャッシュリダイレクト（CR）、認証（
Auth）、およびCitrix Gateway（VPN） - サービス -負荷分散とGSLBサービス
- サービスグループ -負荷分散とGSLBサービスグループ
- サーバ -負荷分散サーバ
ユーザーグループの作成
-
Citrix ADM で、［ 設定］>［ユーザー管理］>［グループ］に移動します。
-
［追加］ をクリックします。
「 システム・グループの作成 」ページが表示されます。
-
[ グループ名 ] フィールドに、グループの名前を入力します。
-
[グループの説明] フィールドに、グループの説明を入力します。グループについてよく説明すると、後でグループの役割と機能を理解しやすくなります。
-
[ ロール ] セクションで、1 つ以上のロールを [ 構成済み ] リストに追加または移動します。
注: [ 使用可能 ] ボックスの一覧で、[ 新規 ] または [ 編集 ] をクリックし、ロールを作成または変更することができます。または、[ 設定] > [ユーザー管理] > [ユーザー] に移動して、ユーザーを作成または変更することもできます。
-
［次へ］ をクリックします。[ 承認設定 ] タブでは、次のリソースの承認設定を指定できます。
- AutoScaleグループ
- インスタンス
- アプリケーション
- 構成テンプレート
- StyleBook
- コンフィグパック
- ドメイン名
ユーザーがアクセスできるカテゴリから特定のリソースを選択することもできます。
AutoScaleグループ:
ユーザーが表示または管理できる特定の Autoscale グループを選択する場合は、次の手順を実行します。
-
[ すべてのAutoScaleグループ ] チェックボックスをオフにし、[ AutoScaleグループの追加] をクリックします。
-
リストから必要なAutoScaleグループを選択し、「 OK」をクリックします。
インスタンス:
ユーザーが表示または管理できる特定のインスタンスを選択する場合は、次の手順を実行します。
-
[ すべてのインスタンス ] チェックボックスをオフにして、[ インスタンスを選択] をクリックします。
-
リストから必要なインスタンスを選択し、「 OK」をクリックします。
アプリケーション:
「アプリケーションの選択」 リストでは、必要なアプリケーションへのアクセス権をユーザーに付与できます。
インスタンスを選択せずに、アプリケーションへのアクセスを許可できます。アプリケーションは、ユーザーアクセスを許可するためにインスタンスから独立しているためです。
アプリケーションへのアクセス権をユーザーに付与すると、インスタンスの選択に関係なく、そのアプリケーションのみにアクセスする権限が付与されます。
このリストには、次のオプションがあります。
-
すべてのアプリケーション: このオプションはデフォルトで選択されています。これは、Citrix ADM に存在するすべてのアプリケーションを追加します。
-
[選択したインスタンスのすべてのアプリケーション]:このオプションは、[ すべてのインスタンス] カテゴリからインスタンスを 選択した場合にのみ表示されます。これは、選択したインスタンスに存在するすべてのアプリケーションを追加します。
-
特定のアプリケーション: このオプションでは、ユーザーがアクセスできるように必要なアプリケーションを追加できます。「 アプリケーションの追加 」をクリックし、リストから必要なアプリケーションを選択します。
-
個々のエンティティタイプを選択: このオプションでは、特定のタイプのネットワーク機能エンティティと対応するエンティティを選択できます。
個々のエンティティを追加するか、必要なエンティティタイプの下にあるすべてのエンティティを選択して、ユーザーにアクセスを許可できます。
[ バインドされたエンティティにも適用 ] オプションは、選択したエンティティタイプにバインドされているエンティティを承認します。たとえば、アプリケーションを選択して [ バインドされたエンティティにも適用]を選択すると、選択したアプリケーションにバインドされているすべてのエンティティがCitrix ADM によって承認されます。
注記
バインドされたエンティティを承認する場合は、エンティティタイプを 1 つだけ選択してください。
正規表現を使用して、グループの正規表現条件を満たすネットワーク関数エンティティを検索して追加できます。指定した正規表現式は、Citrix ADM で保持されます。正規表現を追加するには、次の手順を実行します。
-
[ 正規表現の追加] をクリックします。
-
テキストボックスに正規表現を指定します。
次の図は、「 特定のアプリケーション」オプションを選択した場合に、正規表現を使用してアプリケーション を追加する方法を示しています。
次の図は、[ 個々のエンティティタイプを選択] オプションを選択した場合に、正規表現を使用してネットワーク関数エンティティ を追加する方法を示しています。
正規表現を追加する場合は、[ + ] アイコンをクリックします。
注:**
正規表現は、サーバーエンティティタイプのサーバー名にのみ一致し、サーバー IP アドレスには一致しません。**
検出されたエンティティの [バインドされたエンティティにも適用 ] オプションを選択すると、ユーザーは検出されたエンティティにバインドされたエンティティに自動的にアクセスできます。
正規表現は、認可スコープを更新するためにシステムに格納されています。新しいエンティティがエンティティタイプの正規表現と一致すると、Citrix ADM は新しいエンティティに認証スコープを更新します。
構成テンプレート:
ユーザが表示または管理できる特定の設定テンプレートを選択する場合は、次の手順を実行します。
-
[ すべての構成テンプレート ] チェックボックスをオフにし、[ 構成テンプレートの追加] をクリックします。
-
リストから目的のテンプレートを選択し、[ OK] をクリックします。
スタイルブック:
ユーザーが表示または管理できる特定のStyleBookを選択する場合は、次の手順を実行します。
-
「 すべてのスタイルブック 」チェックボックスをオフにして、「 グループにスタイルブックを追加」をクリックします。StyleBookを個別に選択するか、StyleBookを承認するフィルタクエリを指定します。
個々のStyleBookを選択する場合は、「個々のStyleBooks」ペインから StyleBook を選択し、「 選択範囲を保存」をクリックします。
クエリを使用してStyleBookを検索する場合は、 カスタムフィルタ ペインを選択します。クエリは、キーと値のペアの文字列です。キーは
name、namespace、versionです。正規表現を値として使用して、グループの正規表現条件を満たすStyleBookを検索して追加することもできます。StyleBooksを検索するカスタムフィルタクエリは 、
AndとOrの両方をサポートしています。例：
name=lb-mon|lb AND namespace=com.citrix.adc.stylebooks AND version=1.0 <!--NeedCopy-->このクエリは、次の条件を満たすStyleBookをリストします。
- StyleBook名は
lb-monまたはlbのいずれかです。 - StyleBookの名前空間は
com.citrix.adc.stylebooksです。 - StyleBook版は
1.0です。
キー式に定義された値式の間で
Or演算を使用します。例：
-
name=lb-mon|lbクエリは有効です。これは、名前lb-monまたはlbのいずれかを持つStyleBooksを返します 。 -
name=lb-mon | version=1.0クエリは無効です。
Enterを押して検索結果を表示し、[ クエリーの保存] をクリックします。
保存したクエリが [ カスタムフィルタクエリー] に表示されます。保存されたクエリに基づいて、ADMはそれらのStyleBookへのユーザーアクセスを提供します。
- StyleBook名は
-
リストから必要なStyleBookを選択し、「 OK」をクリックします。
グループを作成し、そのグループにユーザーを追加するときに、必要なStyleBookを選択できます。ユーザーが許可されたStyleBookを選択すると、依存するすべてのStyleBookも選択されます。
コンフィグパック:
Configpacksで、次のいずれかのオプションを選択します。
-
[すべての設定]: このオプションはデフォルトで選択されています。ADM にあるすべての構成パックが追加されます。
-
選択したStyleBookのすべての構成: このオプションでは、選択したStyleBookのすべての構成パックが追加されます。
-
特定の構成: このオプションでは、必要な構成パックを追加できます。
グループを作成し、そのグループにユーザーを追加するときに、必要な構成パックを選択できます。
ドメイン名:
ユーザーが表示または管理できる特定のドメイン名を選択する場合は、次の手順を実行します。
-
[ すべてのドメイン名 ] チェックボックスをオフにし、[ ドメイン名の追加] をクリックします。
-
リストから必要なドメイン名を選択し、[ OK] をクリックします。
-
［Create Group］ をクリックします。
-
[ ユーザーの割り当て ] セクションで、[ 使用可能 ] リストでユーザーを選択し、[ 構成済み ] リストにユーザーを追加します。
注:
[ 新規作成] をクリックしてユーザーを追加することもできます。
-
［完了］ をクリックします。
複数のネットワーク機能エンティティにわたるユーザーアクセスの管理
管理者は、Citrix ADM ネットワーク機能エンティティの個々のレベルでユーザーアクセスを管理できます。また、正規表現フィルターを使用して、エンティティレベルでユーザーまたはグループに特定のアクセス許可を動的に割り当てることができます。
このドキュメントでは、エンティティレベルでユーザ認可を定義する方法について説明します。
開始する前に、グループを作成します。詳しくは、「 Citrix ADM でのグループの構成 」を参照してください。
使用シナリオ:
1 つ以上のアプリケーション (仮想サーバー) が同じサーバー上でホストされているシナリオを考えてみましょう。スーパー管理者（George）は、Steve（アプリケーション管理者）にホスティングサーバーではなく、App1 へのアクセス権を付与したいと考えています。
次の表は、サーバー A がアプリケーション App-1 と App-2 をホストするこの環境を示しています。
| ホスト サーバー | アプリケーション（仮想サーバ） | Service | サービスグループ |
|---|---|---|---|
| サーバ A | App1 | App-service-1 | App-service-group-1 |
| サーバ A | App2 | App-service-2 | App-service-group-2 |
注：
Citrix ADM は、仮想サーバー、サービス、サービスグループ、およびサーバーをネットワーク機能エンティティとして扱います。エンティティタイプの仮想サーバーは、アプリケーションと呼ばれます。
ネットワーク機能エンティティにユーザ権限を割り当てるために、George はユーザ認可を次のように定義します。
-
「 アカウント」>「ユーザー管理」>「グループ」 に移動し、グループを追加します。
-
[ 承認設定 ] タブで、[アプリケーションの選択] を選択します。
-
「 個々のエンティティ・タイプの選択」を選択します。
-
[ すべてのアプリケーション ] エンティティタイプを選択し、使用可能なリストから App-1 エンティティを追加します。
-
［Create Group］ をクリックします。
-
[ ユーザーの割り当て] で、権限を必要とするユーザーを選択します。このシナリオでは、George は Steve のユーザープロファイルを選択します。
-
［完了］ をクリックします。
この認証設定では、Steve は App-1 のみを管理でき、他のネットワーク機能エンティティは管理できません。
注記
「 バインドされたエンティティにも適用 」オプションをオフにします。それ以外の場合、Citrix ADM はApp-1にバインドされているすべてのネットワーク機能エンティティへのアクセスを許可します。その結果、はホスティングサーバーへのアクセスも許可します。
スーパー管理者は、エンティティタイプごとに正規表現 (regex) を指定できます。正規表現は、ユーザー認可スコープを更新するためにシステムに格納されています。新しいエンティティがエンティティタイプの正規表現と一致すると、Citrix ADM は特定のネットワーク機能エンティティへのアクセスを動的にユーザーに付与できます。
ユーザー権限を動的に付与するために、スーパー管理者は [ 承認設定 ] タブで正規表現を追加できます。
このシナリオでは、George は Applications エンティティタイプの正規表現としてApp*を追加し、正規表現条件に一致するアプリケーションがリストに表示されます。この認証設定により、Steve は App* 正規表現に一致するすべてのアプリケーションにアクセスできます。しかし、彼のアクセスは、ホストされたサーバーではなく、アプリケーションにのみ制限されます。
承認スコープに基づくユーザーアクセスの変更方法
管理者が異なるアクセスポリシー設定を持つグループにユーザーを追加すると、そのユーザーは複数の承認スコープとアクセスポリシーにマップされます。
この場合、ADM は、特定の認可スコープに応じて、アプリケーションへのユーザアクセスを許可します。
ポリシー 1 とポリシー 2 の 2 つのポリシーを持つグループに割り当てられているユーザを考えてみましょう。
-
Policy-1 ：アプリケーションに対する権限のみを表示します。
-
ポリシー2 ：アプリケーションに対する表示および編集権限。
ユーザーは、Policy-1 で指定されたアプリケーションを表示できます。また、このユーザーは、Policy-2 で指定されたアプリケーションを表示および編集できます。Group-1 アプリケーションに対する編集アクセスは、Group-1 認可スコープにはないため、制限されます。
Citrix ADM を12.0以降のリリースにアップグレードするときのRBACのマッピング
Citrix ADM を12.0から13.1にアップグレードすると、グループの作成時に「読み取り/書き込み」または「読み取り」権限を付与するオプションは表示されません。これらの権限は「役割」と「アクセスポリシー」に置き換えられており、より柔軟に役割ベースの権限をユーザーに提供できます。次の表に、リリース 12.0 の権限がリリース 13.1 にどのようにマッピングされるかを示します。
| 12.0 | アプリケーションのみ許可 | 13.1 |
|---|---|---|
| admin read-write | False | admin |
| admin read-write | True | appAdmin |
| admin read-only | False | readonly |
| admin read-only | 真 | appReadonly |