Access contracts¶

Модулът Access contracts групира правилата, които предоставят на групите потребители правото да достигат до публикуваните приложения. Договорът отговаря на четири оперативни въпроса: кой (кои групи), какво (кои приложения и с какви ограничения), къде (на кой сайт) и при какви условия (условия за достъп, сигнали, мрежово филтриране).

Групите потребители, приложенията и условията за достъп трябва да съществуват, преди да бъдат посочени в договор.

Правата се натрупват

Една група може да присъства в няколко договора, а един потребител може да принадлежи към няколко групи. И в двата случая правата се натрупват. Обратно, когато даден договор е насочен към няколко групи, членството в която и да е от тях е достатъчно, за да се ползват правата му.

Списък с договори¶

Основната таблица изброява съществуващите договори. Всеки ред може да бъде разгънат или свит, за да се покажат подробности (домейни/групи, условия, сайтове, категории и приложения, ограничени приложения, сигнали, мрежово филтриране, псевдоними, които могат да бъдат разкрити).

Колона	Описание
Name	Име на договора, предшествано от икона на катинар.
Groups	Брой на асоциираните групи потребители.
Access conditions	Брой на асоциираните условия за достъп.
Sites	Брой на посочените сайтове.
Applications	Брой на разрешените приложения.
Restricted applications	Брой на приложенията, поставени зад работен поток.
Alerts	Брой на сигналите за достъп, прикачени към договора.
Network connections	Брой на правилата за мрежово филтриране (колоната е скрита по подразбиране).
Revealable aliases	Брой на асоциираните псевдоними, които могат да бъдат разкрити (показва се само когато функцията е активирана).

Полето за търсене в горния десен ъгъл филтрира списъка по име.

Добавяне на договор¶

Щракнете върху бутона +, за да отворите съветника за създаване. Полетата в заглавната част са общи за всички раздели:

Поле	Описание
Name	Задължително. Идентифицира договора.
Description	Свободно описание.

Формулярът е разделен на няколко раздела, които се попълват в логическа последователност.

GroupsAccess conditionsSitesApplicationsApplications to restrictPersonal aliasesRevealable aliasesAlertsNetwork connections

Изберете домейна за удостоверяване от падащия списък, след което плъзнете и пуснете желаните групи потребители в дясната колона. Един договор може да комбинира групи от няколко домейна. Трябва да бъде избрана поне една група, за да бъде договорът валиден.

Плъзнете и пуснете условията за достъп, които да се прилагат. Условието разрешава или забранява достъпа въз основа на критерий (IP, дата, сертификат и т.н. — вижте Access conditions).

Няколко условия се комбинират с AND

Когато към един и същ договор са прикачени няколко условия за достъп, всички те трябва да са валидни, за да се приложи договорът: едно невалидно условие е достатъчно, за да бъде той отхвърлен, и потребителят не получава правата, които договорът дава. За да получите OR, използвайте метаправило в модула Access conditions.

Видимост на раздела

Разделът се показва само когато в съответния модул съществува поне едно условие за достъп.

Плъзнете и пуснете сайта или сайтовете, в които се хостват приложенията. Сайтът е набор от шлюзове Edge Gateway, които определят защитена входна точка към локална мрежа.

Няколко сайта: потребителят избира

Когато договорът посочва няколко сайта, при стартиране на приложението на потребителя се предлага екранът Select a site, за да избере сайта, през който да премине.

Дървото изброява приложенията, групирани по категории. Отметването на категория избира всички нейни приложения и автоматично включва всяко приложение, добавено по-късно към тази категория. Отметването на отделни квадратчета ви позволява да изберете подмножество. Трябва да бъде отметнато поне едно приложение.

Приложения на Workplace — взаимно изключване

Когато асоциирането с Workplace е активирано, се появяват две виртуални приложения: Access to Workplace applications by merged cloud и Access to Workplace applications by redirection. Те са взаимно изключващи се в рамките на един и същ договор.

Поставя някои от избраните преди това приложения зад работен поток за одобрение. Потребителите ще трябва да подадат заявка за достъп, а администратор ще приема или отхвърля заявките от модула Workflow.

Опция	Описание
Ask the user to complete a form when requesting access	Ако опцията е отметната, потребителят трябва да попълва формуляр всеки път, когато подава заявка за достъп до ограничено приложение.
Applications to restrict	Списък в две колони (налични / ограничени) с търсене.

Свит по подразбиране. Когато е отметнато Allow personal aliases, можете да посочите сред избраните приложения тези, за които потребителят може да записва собствени псевдоними (идентификационни данни, съхранявани в портала).

Видим само когато опцията Allow password display in alias е отметната в general options. Списък в две колони за избор на псевдонимите (асоциирани с потребители), които могат да бъдат разкрити чрез този договор.

Метапсевдоними

Когато изборът съдържа поне един метапсевдоним, преди записването се показва диалогов прозорец за потвърждение.

Плъзнете и пуснете профилите на сигнали, които да се задействат при използване на достъпите, обхванати от този договор.

Разделът е активен само когато в раздела Applications е избрано поне едно приложение от тип RDS, HTML5 RDS, SSH или HTML5 SSH.

На целевия сървър се изисква агент, независимо от протокола

Филтрирането има ефект само ако на целевия сървър е инсталиран съответният агент: агентът Bastion на сървърите RDS и HTML5 RDS и агентът за мрежово филтриране на сървърите SSH и HTML5 SSH. Без него въведените тук правила нямат ефект.

Отметнете Filter network connections, за да активирате филтрирането, след което за всяко правило посочете:

Поле	Описание
Target IP	Разрешен IP адрес или хост. Проверка на формата IPv4.
Network mask	Незадължително. Когато полето е празно, правилото се прилага само за целевия IP адрес.
Port	0 по подразбиране: правилото се прилага за всички портове.
Protocol	TCP, UDP или TCP and UDP.

Щракнете върху Add, за да вмъкнете правилото в списъка с разрешени мрежи. Всяко правило може да бъде премахнато поотделно.

Семантика на филтрирането

Ако Filter network connections е отметнато, но не е разрешена нито една мрежа, потребителят не може да се свърже с никоя мрежа. В противен случай могат да бъдат достигнати само изброените мрежи.

Щракнете върху Validate, за да запишете договора. Разделите Groups, Sites и Applications са задължителни, в противен случай договорът се отхвърля.

Редактиране на договор¶

Изберете договора в списъка, след което щракнете върху иконата Properties или щракнете двукратно върху реда. Прозорецът е идентичен с прозореца за създаване и е предварително попълнен с текущите стойности.

Изтриване на договор¶

Изберете един или повече договори, след което щракнете върху бутона ×. Изтриването изисква потвърждение.

Експортиране на договори¶

Бутонът Export изтегля всички показани договори във файл CSV. Експортираните данни отразяват текущите филтри (търсене и т.н.).

Структура на файла¶

Файлът съдържа един заглавен ред, след което по един ред за всеки договор. Колоните се появяват в следната последователност:

#	Колона	Съдържание	Задължителна при импортиране
1	Alerts	Наименования на профилите на сигнали.
2	Categories	Имена на категориите приложения.
3	Description	Свободен текст.
4	Groups	Групи потребители във вида `group@domain`.	Да
5	Name	Име на договора.	Да
6	Applications	Имена на разрешените приложения.
7	Restricted applications	Имена на приложенията, поставени зад работен поток.
8	Access conditions	Имена на условията за достъп.
9	Sites	Имена на сайтовете.	Да
10	Request a form	`True` или `False`.
11	Filter network connections	`True` или `False`.
12	Network connections	Правила за филтриране във вида `ip/mask:port:protocol`.
13	Revealable aliases	Имена на псевдоними.
14	Revealable password rotation aliases	Имена на псевдоними.
15	Revealable dynamic aliases	Имена на псевдоними.
16	Personal aliases	Имена на приложенията, за които са разрешени лични псевдоними.

Синтаксис¶

Елемент	Разделител	Пример
Колони	`;`	`Name;Description;…`
Няколко стойности в една клетка	`+`	`Accounting+Management+Support`
Група потребители	`@` между групата и нейния домейн	`Accounting@AD-Internal`
Всички групи на даден домейн	ключова дума `all`	`all@AD-Internal`
Правило за мрежово филтриране	`/`, след това `:`	`10.0.0.5/255.255.255.0:3389:TCP` — порт, зададен на `0`, означава „всички портове“
Булеви стойности	—	`True` или `False`; празна клетка се счита за `False`

Обем

Експортирането е ограничено: над максималния брой редове, зададен на платформата, във файла се записват само първите договори.

Импортиране на договори¶

Бутонът Import отваря прозорец, в който може да се качи файл CSV. Структурата му трябва да бъде описаната в частта Експортиране на договори: най-сигурният начин е да започнете от експортиран файл и да го редактирате.

Поле	Описание
File	Файл CSV за импортиране.
Record delimiter	Разделителят на колоните, `;` за файл, създаден чрез експортиране.
Value delimiter inside a field	Разделителят за няколко стойности, `+` за файл, създаден чрез експортиране.

Колоните Name, Groups и Sites са задължителни: ред, в който липсва някоя от тях, се отхвърля. Посочените стойности (приложения, категории, условия за достъп, сигнали, псевдоними, сайтове) трябва вече да съществуват и се съпоставят по име.

След валидирането се отваря прозорец, който обобщава резултата от импортирането за всеки договор във файла.