管理资源组

PAM360 通过将资源组织到资源组中实现高效的资源管理，资源组可通过两种方式创建：静态资源组（管理员手动选择特定资源组成组）和动态资源组（根据预定义条件自动包含资源）。 任何新添加且符合这些条件的资源都会自动加入该组，从而确保资源组织过程的无缝衔接与自动化。此外，管理员可将资源组共享给用户或用户组，从而确保对特权账户的访问受到严格控制。对资源组的任何修改（如添加或移除资源）都会直接影响通过该组共享的特权账户访问权限。拥有共享资源组访问权限的用户仅能访问当前包含在该组中的资源密码。

此外，PAM360 支持 嵌套分组 功能来组织资源组。这使管理员能够创建反映组织部门或分部层级的节点或子组，从而改善资源管理和导航。

阅读完本文后，您将详细了解以下内容：

1. 动态资源组
2. 静态资源组
3. 查看资源组
4. 嵌套组
5. 管理资源组

1. 动态资源组

动态资源组会根据预定义的条件或表达式自动包含特权资源。当新资源满足指定条件时，它们会自动添加到资源组中；而不再满足条件的资源则会被移除。此资源组适用于：

• 根据属性（例如资源类型、部门、密码策略等）管理资源组中的资源
• 通过自动化资源分组来减少管理开销。

要在 PAM360 中添加动态资源组，请导航至“组”>>“添加组”>>“动态组”。在弹出的窗口中，

1. 在“组名”字段中输入一个唯一名称。
2. 在“描述”字段中提供清晰的描述，以便日后参考。
3. 为该组选择合适的密码策略。所选密码策略将应用于资源组中账户定期重置密码时的密码分配。
4. 如果您选择了基于节点的嵌套分组，请在“子组所属”下拉菜单中选择所需的根节点或子节点，以确保新资源组位于正确的层次结构节点下。
5. 如果您选择了基于继承的嵌套分组，请在“所属子组”下拉菜单中选择一个现有组，将此新资源组添加为子组。此外，请勾选“从指定父组继承共享权限”复选框，以继承所选父组的共享设置。如果未勾选，则必须手动将此资源组共享给具有所需权限级别的相应用户或用户组。
   

   附加说明

   基于继承的资源分组功能仅适用于 7410 及以上版本。

6. 如有需要，请勾选“允许在没有工单 ID 的情况下检索密码和其他操作”复选框。这允许在无需工单 ID 的情况下访问或检索该资源组内账户的密码。选择此选项前，请确保已启用工单系统配置。
7. 对于 7200 之前的版本，请执行以下步骤：
   1. 使用可用筛选器指定组的筛选条件。
   2. 指定所需条件后，点击“搜索”以查看将纳入该组的可用资源列表。
   3. 点击“保存”以创建符合所定义条件的资源组。
   
8. 对于 7200 之前的版本，请执行以下步骤：
   1. 单击“保存并继续”以定义动态组的条件。
   2. 在下一窗口中，使用可用的条件/子集以及“AND”或“OR”运算符创建条件，以实现组内的动态资源管理。如果您已有现成的条件模板，可以通过从模板字段中选择并点击“应用”来使用它们。
   3. 指定条件后，点击“搜索”以查看根据所定义条件将被纳入该组的资源。
   4. 点击“保存”以完成具有指定条件的资源组的创建。
   
   

每当资源被添加到 PAM360 或被修改，且符合动态组的创建条件时，该资源将被添加到相应的资源组中。

1.1 创建动态组的场景

对于 7200 及以上版本，以下是几个有效创建条件以关联所需资源的场景：

场景 1：某组织中的系统管理员需要创建一个资源组，该组仅包含市场部的 Windows 资源和开发部的 Linux 资源。这将使管理员能够通过单击即可高效地管理和执行这些资源的操作。

然而，挑战在于这两个部门均管理 Windows 和 Linux 资源，且资源会频繁变动——因部门政策和限制，每月都有资源被添加或移除。

为简化此流程并最大限度减少每月所需的手动操作，可利用 PAM360 中的动态资源组功能。通过创建如下所示具有特定条件的动态组，系统管理员可自动纳入相关资源，确保该组在几乎无需人工干预的情况下保持最新状态。

场景 2：某组织的 IT 管理员需要对一组特定的 Linux 资源进行维护、应用安全策略或审核配置，这些资源的 DNS 名称以“pc01”和“dc23”开头，并以“.abccorp.com”结尾。

挑战在于高效定位并分组这些资源，因为它们可能承担不同功能，需要相应地进行管理。然而，管理员发现需要分组的 Linux 资源是以“CV-1”为资源名、且顺序不规则创建的。尽管管理员已搜索并整理了符合此条件的 Linux 资源，但仍可利用动态资源组功能来自动化该过程。

通过创建一个符合下图所示条件的动态组，管理员可以自动将相关的 Linux 资源纳入其中。这种方法确保了资源组的准确性和及时性，简化了日常管理任务，并减少了定期手动干预的需求。

2. 静态资源组

静态资源组包含一组由管理员手动添加的固定特权资源。一旦分配，资源组中的资源将保持不变，除非手动修改。要在 PAM360 中添加静态资源组，请导航至“组”>>“添加组”>>“静态组”。在弹出的窗口中，执行以下操作：

1. 在“组名称”字段中输入一个唯一名称。
2. 在“描述”字段中提供清晰的描述，以便日后参考。
3. 为静态资源组选择合适的“密码策略”。
4. 为静态组选择访问策略。
5. 若要将新资源组设为现有资源组的子组，请从“所属子组”下拉菜单中选择父组。所选资源组将成为新静态资源组的父组。
   
6. 如有需要，请勾选“允许在没有票证 ID 的情况下检索密码和其他操作”复选框。这允许访问或检索该资源组内账户的密码，而无需票证 ID。在选择此选项之前，请确保已启用票证系统配置。
7. 点击“保存并继续”。
8. 在弹出的对话框中，将所需资源添加到已创建的静态资源组中。

3. 查看资源组

可在“组”和“资源”选项卡中查看资源组及其关联资源。在“组”选项卡中，选择一个资源组并点击顶部窗格中的“显示树形视图”，即可显示资源组的层次结构视图。

在“资源”选项卡中，资源组以树形视图显示在左侧窗格中。点击某个组名即可查看其关联的资源及其密码。

4. 嵌套组

请参阅此 帮助文档 以详细了解嵌套组。

5. 资源组操作

在“组”选项卡中，管理员可以对资源组进行类似于单个资源的单独和批量配置，包括与用户或用户组共享、转移资源组所有权、重置密码（手动和定期重置）、配置 SSH 命令控制等。

此外，PAM360 在“组”选项卡中提供了若干资源组级别的操作，以增强安全性和完整性。

5.1 查找未同步的密码

此功能用于验证 PAM360 中存储的密码是否与目标设备上的密码一致。这是一次性操作。要启动检查，请点击“立即开始”。

5.2 定期完整性检查

在“定期完整性检查”窗口中 ，管理员可安排定期完整性检查以确保密码的一致性：

1. 一次：执行完整性检查，但不安排未来的检查。
2. 每天/每月：指定自动检查的时间间隔（以天或月为单位）。
3. 选择定期检查的开始日期和时间。
4. 要禁用计划检查，请选择“从不”。
5. 单击“计划”以确认设置。

5.3 生成报告

若要为资源组生成“密码库存”、“策略合规性”、“密码过期”或“密码不一致”等报告：

1. 导航至“组”选项卡，并从列表中选择资源组。
2. 点击列表视图顶部的“生成报告”按钮。
3. 从下拉列表中选择所需的报告以生成它。

有关 PAM360 报告的更多信息，请点击 此处。

5.4 删除资源组

要删除资源组，请转到“组”选项卡，选择目标组，然后在列表视图顶部点击“删除组”。