%HRTABLE%
¿ Qué es la LDAP-CACHE ?
%HRTABLE%
Es un mecanismo alternativo para proporcionar <exec &hlink($text{appscredent},'appscredent')> a las peticiones del usuario de Tarantella

¿ Por qué LDAP-CACHE ?
%HRTABLE%
La explotación del Servicio <exec &hlink($text{stup_passwdcache},'stup_passwdcache')> ofrece serias limitaciones, aunque puede ser gestionada por STTA, en un contexto donde se requiere sobre la <exec &hlink($text{appscredent},'appscredent')>:

- Establecer diferentes de valores según contexto: por usuario, por host, por grupo, por aplicción, etc. Trabajar sobre la idea de perfil de acceso más que sobre credenciales de hosts.
- Establecer una jerarquía entre los mismos configurable según entorno, de modo que se evalue cada valor en un orden configurable.
- <exec &hlink($text{tclextend},'tclextend')> según cada credencial.
- Ofrecer mecanismos ampliados en el acceso a las aplicaciones como: <exec &hlink($text{sec_sesstickets},'sec_sesstickets')>, <exec &hlink($text{cfgmonitor},'cfgmonitor')> según cada credencial.
- Disponer de un mecanismo de gestión fácil e intergrado, almacenado en repositorios abiertos, alternativos, que puede ser ubicado de modo independiente a los Servidores de Acceso, con acondicionamientos de seguridad propios.
- Disponer de medios de depuración y seguimiento en el suministro de las credenciales solicitadas.

¿ Cómo funciona LDAP-CACHE ?
%HRTABLE%
El <exec &hlink($text{cacheobj},'cacheobj')> define los atributos de cada perfil de acceso, que es almacenado en el <exec &hlink($text{f_ldapcacheserver},'fldapcacheserver')>.
STTA gestiona los perfil de acceso:

- asociando a los <exec &hlink($text{sec_elementsandobjects},'sec_objects')> un <exec $text{default_obj}>
- según los contextos y necesidades del Servico permite gestionar objetos a medida: <exec &hlink('Navegar','cache_selobj')>, <exec &hlink($text{index_addldapcache},'addldapcache')>, <exec &hlink($text{index_modldapcache},'modldapcache')>, <exec &hlink($text{index_delldapcache},'delldapcache')>.

La modificación de los TCLs de Tarantella permite la conexión con el <exec &hlink($text{f_ldapcacheserver},'fldapcacheserver')> usando la utilidad <exec &hlink('scancache','scancache')> que:

- Carga la configuración de STTA y entorno de Tarantella.
- Extrae las credenciales según el objeto Tarantella solicitado y la <exec &hlink($text{accesscredent},'accesscredent')>.
- Evalua las reglas establecidas según su prioridad para proporcionar la <exec &hlink($text{appscredent},'appscredent')>.
- Si no se encuentra credencial alguna se cargan valores por defecto o los del Acceso al servicio, según se configure STTA.
- Si así se ha configurado, según cada credencial y el contexto, aplica los controles de: <exec &hlink($text{sec_sesstickets},'sec_sesstickets')>, <exec &hlink($text{cfgmonitor},'cfgmonitor')>.
- Escribe los logs y trazas según se haya configurado el Servicio.
- Envia a Tarantella la credendial junto con la <exec &hlink($text{tclextend},'tclextend')>.
- Devuelve el control a Tarantella con el resultado de:
  - Acceso correcto y carga de la aplicación
  - Credenciales no válidas y acceso no permitido
  - <exec $text{msg_nosess}> y acceso no permitido
  - <exec $text{msg_noticket}> y acceso no permitido
  - Se dispara tarea o proceso segun contexto, con acceso correcto o no permitido

Configuración de LDAP-CACHE - evaluación de credenciales
%HRTABLE%

- $infoCfg{cache_rulelimit} - Establece el número máximo de reglas a utilizar,el máximo son siete.
- Cada Regla de Cache va asociada a un tipo de los <exec &hlink($text{sec_elementsandobjects},'sec_objects')>.
- Excepto la reglas de Usuarios y Organizaciones o grupos, que sólo son evaluadas una vez (paso 3), el resto se evaluan tres veces:
  - Paso 1: Se busca un <exec &hlink($text{cacheobj},'cacheobj')> asociado al <exec &hlink($text{f_username},'fusername')>.
  - Paso 2: Si no existe credencial se busca un <exec &hlink($text{cacheobj},'cacheobj')> asociado al <exec &hlink($text{f_userou},'fuserou')> Usuario.
  - Paso 3: Si no existe credencial se busca un <exec $text{default_obj}> asociado al <exec &hlink('Objeto','sec_objects')> que se ha solicitado. Este paso es el único usado de la secuencia de los 3 si el tipo es Usuario u Organización
  - Los pasos 1,2 y 3 se repiten por cada Regla de Cache configurada hasta encontrar alguna credencial o alcanzar el máximo de $infoCfg{cache_rulelimit}.
  - Si no existe credencial y se admiten valores por defecto, se usan las credenciales por defecto del Servicio
  - Si no existe credencial aún y así se configura, se usan las del Acceso al Servicio