Authentication domain¶
Домейнът за удостоверяване определя къде и как се проверяват самоличностите на потребителите при свързване. Всеки акаунт принадлежи на група, а всяка група — на домейн: именно домейнът определя откъде идват акаунтите — от корпоративна директория, от вътрешна база или от външен доставчик на самоличност.
Този модул изброява декларираните домейни. Щракнете върху +, за да добавите домейн, или щракнете двукратно върху име, за да го конфигурирате. Типът директория се избира при създаването и не може да бъде променян впоследствие.
Предлагат се четири типа:
| Тип директория | Източник на акаунтите | Употреба |
|---|---|---|
| LDAP directory | Външна директория (Active Directory, OpenLDAP…) | Обичайният случай: съществуващите акаунти и групи се използват повторно такива, каквито са, без копиране. |
| Local directory | Вътрешна за платформата база | Акаунти, създавани и управлявани директно от конзолата, наред с директория или за малък обхват. |
| SAML domain | Външен доставчик на самоличност (IdP) | Удостоверяването е делегирано на IdP; платформата действа като доставчик на услуги. |
| Anonymous directory | Няма | Редки случаи, в които достъпът до приложение не изисква никакво удостоверяване. |
Ред на създаване
Създайте първо домейна, след това групите, а накрая потребителските акаунти: правата за достъп до приложенията след това се предоставят на групите чрез договор за достъп.
Общи елементи на конфигурацията¶
Тези настройки са налични за всеки тип домейн:
| Поле | Описание |
|---|---|
| Name | Изберете смислено име на домейна. |
| Shortcut URL | Показва се само в режим на редактиране. Директен URL адрес, който дава достъп до потребителския портал за този конкретен домейн, без да се минава през списъка с наличните домейни. Формат: https://{server}/cloud/?orgname={organisation}&domainid={id}. |
| Description | Незадължително поле, описващо съдържанието на домейна. |
| Microsoft domain | Информация, която придружава идентификацията на потребителя, когато е активирано еднократното влизане (SSO). |
| Expiration | Максимално време на неактивност, след което сесията изтича. Стойност по подразбиране: 60 минути. |
| Number of attempts before lockout | Ограничава броя на опитите за влизане. Препоръчителна стойност: 3 опита (защита срещу атаки с груба сила). Това ограничение трябва да е ≤ всяко ограничение, зададено в директорията LDAP. |
| Time before unlock (minutes) | Време, след което заключените сесии се отключват. Задайте 0, за да деактивирате. |
| The domain is part of cascading authentication | Вижте частта Каскадно удостоверяване. |
| Delegate authentication to an external server | Опции: No, CAS, IdeoSSO. |
| Alternative username attribute | Атрибут на LDAP, използван като вторичен идентификатор, когато основният атрибут не успее да намери потребителя (напр. mail, userPrincipalName). |
| Maximum number of simultaneous sessions per user | Препоръчителна стойност: 1 сесия. |
| Automatic deletion of the oldest session | Автоматично затваря активна сесия, когато бъде заявена нова. |
| Note displayed in the authentication form | Бележка, предназначена само за потребителите на домейна. |
Метод на удостоверяване¶
| Поле | Описание |
|---|---|
| Authentication method | Определя как се проверява самоличността на потребителя при влизане: Form (потребителското име и паролата се въвеждат ръчно) / User certificate (потребителското име се извлича от полето CN на сертификата) / User certificate and form (след удостоверяването със сертификат все пак се изисква парола) / Apache authentication (удостоверяването е делегирано на уеб сървъра Apache) / Pro Santé Connect (CIBA) (удостоверяване чрез френския национален доставчик на самоличност в здравеопазването). |
| Force the use of the virtual keyboard | Показва екранна клавиатура на страницата за удостоверяване, за да защити въвеждането на паролата от кийлогъри. |
Pro Santé Connect (CIBA)¶
Тези полета се показват само когато е избран методът на удостоверяване Pro Santé Connect (CIBA). Pro Santé Connect е френският национален доставчик на самоличност за медицинските специалисти.
| Поле | Описание |
|---|---|
| Identifier (client id) | Идентификатор на клиента, предоставен от Pro Santé Connect при регистрирането на приложението. |
| Secret (client secret) | Свързаният таен ключ на клиента, използван за валидиране на обмена по OIDC с Pro Santé Connect. |
| Sandbox | Когато е отметнато, CyberElements се свързва с тестовата среда на PSC вместо с производствената среда. Използвайте само за интеграционно тестване. |
| RPPS retrieval | Определя откъде идва номерът RPPS на потребителя (френският регистър на медицинските специалисти): Use the authentication attribute (номерът RPPS се извлича от основния атрибут за удостоверяване) или Use another user attribute (номерът RPPS се извлича от отделен атрибут, който се посочва в следващото поле). |
| User attribute containing the RPPS | Име на атрибута, съдържащ номера RPPS (напр. rpps, healthcareProfessionalId). Видимо и задължително само ако за предишната опция е зададено „Use another user attribute“. |
Маркер за удостоверяване с OTP¶
| Поле | Описание |
|---|---|
| Authentication token | Избор на генератора или генераторите на OTP, които да се използват (декларирани предварително чрез менюто на генераторите на маркери OTP). Възможен е множествен избор. |
| User attribute used to send the OTP | Указва атрибута на потребителя, чрез който се доставя кодът OTP за всеки избран маркер (напр. mobile за изпращане чрез SMS, mail за изпращане по имейл). За всеки избран маркер се показва по едно поле. |
| Token expiration duration | Продължителност, след която изпратен код OTP вече не се приема. Задайте 0, за да деактивирате изтичането. |
| Time unit | Единица на продължителността до изтичане: Hours или Days. Стойността, въведена в предишното поле, се умножава по тази единица (1 за часове, 24 за дни). |
| Expiration starts | Начална точка на обратното отброяване до изтичането: From the last OTP validation (кодът OTP изтича X часа след валидирането му) или From the last successful login (кодът OTP изтича X часа след отварянето на сесията). |
| *Replace OTP characters with "" | Маскира знаците, въвеждани в полето за еднократна парола при влизане. |
Удостоверяване с neomia Pulse¶
neomia Pulse е решение за непрекъснато удостоверяване, основано на поведенчески анализ. Тези полета се показват, когато е отметнато квадратчето за отметка Enable neomia Pulse authentication.
| Поле | Описание |
|---|---|
| Enable neomia Pulse authentication | Активира интеграцията с neomia Pulse. За домейна се създава конфигурация на Pulse. |
| API URL | Базов URL адрес на API на neomia Pulse за проверка на потребителите (напр. https://pulse.example.com/api). |
| Authentication API URL | URL адрес на крайната точка за удостоверяване на Pulse, ако е различен от основния URL адрес. |
| API key | Таен ключ, който позволява на CyberElements да се удостоверява пред API на Pulse. |
| Number of neomia Pulse attempts | Максимален брой опити за удостоверяване чрез Pulse, след които заявката се блокира. Стойност по подразбиране: 3. |
| If Pulse authentication succeeds | Поведение, когато Pulse успешно валидира потребителя: Skip the OTP token (всички кодове OTP, конфигурирани в домейна, се пропускат) или Reinforce authentication (кодовете OTP остават задължителни дори след успешно валидиране от Pulse). |
| If Pulse authentication fails | Резервно поведение, ако Pulse не успее или е недостъпен: Block access (потребителят не може да влезе, връща се код на грешка PULSE_API_ERROR) или Request an additional authentication factor (автоматично връщане към стандартното удостоверяване с OTP). |
| Display graphical components | Показва на страницата за удостоверяване визуалните елементи на модела на писане от интерфейса на neomia Pulse. |
| Display authentication factors | Показва на потребителя списъка с факторите за удостоверяване, открити от Pulse. |
Делегиране на удостоверяването към външен сървър¶
Сървър CAS¶
| Поле | Описание |
|---|---|
| CAS server URL | Пълен URL адрес на сървъра CAS, към който е делегирано удостоверяването. |
IdeoSSO¶
| Поле | Описание |
|---|---|
| CAS server URL | Пълен URL адрес на сървъра IdeoSSO. |
| IdeoSSO, user property matching the identifier | Име на свойството на потребителя в IdeoSSO, използвано като идентификатор за влизане в CyberElements. |
Конфигуриране на домейн от тип „Local directory“¶
Раздел: General information¶
| Поле | Описание |
|---|---|
| Invisible shortcut | Ако съществуват няколко домейна, отметнете това квадратче, за да не се показва домейнът в списъка, предлаган на потребителя. Тогава домейнът е достъпен само чрез пълния си URL адрес за пряк път. |
| Display the access condition if it is invalid | Ако е отметнато и невалидно условие за достъп попречи на потребителя да влезе, му се показва съответното съобщение за грешка. Ако не е отметнато, потребителят не получава никакво обяснение. Налично само в режим на редактиране. |
Раздел: Password¶
Този раздел служи за конфигуриране на управлението на паролите на потребителите на локалния домейн.
| Поле | Описание |
|---|---|
| Change the user's password at first login | Ако е отметнато, при първото си влизане потребителят се пренасочва автоматично към екран за смяна на паролата. Той няма достъп до портала, докато не извърши смяната. |
| Display the password change form | Ако е отметнато, на екрана за влизане се показва връзка, която позволява на потребителя да смени паролата си. |
| Define a custom password policy | Позволява дефинирането на политика за сложност и срок на валидност на паролите, специфична за този домейн. |
Когато е отметнато Define a custom password policy, стават налични следните настройки:
| Поле | Описание |
|---|---|
| Display the password policy to the user | Ако е отметнато, правилата за сложност се показват на потребителя, когато задава или сменя паролата си. |
| Minimum number of characters | Минимална изисквана дължина на паролата. Стойност по подразбиране: 10. Задайте 0, за да деактивирате. |
| Minimum number of lowercase letters | Минимален изискван брой малки букви. Задайте 0, за да деактивирате. |
| Minimum number of uppercase letters | Минимален изискван брой главни букви. Задайте 0, за да деактивирате. |
| Minimum number of digits | Минимален изискван брой цифри. Задайте 0, за да деактивирате. |
| Minimum number of special characters | Минимален изискван брой специални знаци. Задайте 0, за да деактивирате. |
| Minimum password lifetime (days) | Минимално време, преди потребителят да може да смени паролата си. Предотвратява твърде честите смени. Задайте 0, за да деактивирате. |
| Maximum password lifetime (days) | Време, след което паролата изтича и трябва да бъде подновена. Стойност по подразбиране: 60 дни. Задайте 0, за да деактивирате. |
| Notify the user before expiration (days) | Изпраща имейл на потребителя зададения брой дни преди изтичането на паролата му. Изисква конфигуриран максимален срок на валидност, SMTP сървър и имейл адрес на подателя. Задайте 0, за да деактивирате. |
| SMTP server | Сървър, използван за изпращане на известията за изтичане (измежду декларираните в конфигурацията на SMTP). |
| Source e-mail | Имейл адрес, показван като подател на известията. |
| Reject the new password if it contains the login | Ако е отметнато, забранява пароли, които съдържат идентификатора за влизане на потребителя (защита срещу очевидни пароли). |
| Reject the new password if it matches one of the last X | Съхранява история на паролите и забранява повторното използване на зададения брой предишни пароли. Задайте 0, за да деактивирате. |
Конфигуриране на домейн от тип „LDAP directory“¶
Раздел: General information¶
| Поле | Описание |
|---|---|
| Invisible shortcut | Ако съществуват няколко домейна, отметнете това квадратче, за да не се показва домейнът в списъка, предлаган на потребителя. |
Раздел: LDAP settings¶
Връзка¶
| Поле | Описание |
|---|---|
| Authentication through a site | Ако е отметнато, CyberElements използва сървъра Edge Gateway на даден сайт, за да достигне до директорията, като така се избягва отварянето на правила на защитната стена за входящ трафик от DMZ. Второ поле ви позволява да изберете сайта, който да се използва. |
| Authentication type | Протокол за свързване (bind) със сървъра LDAP: SIMPLE (bind с DN + парола в явен текст през TLS) / NTLM (удостоверяване на Windows, изисква суфикса на домейна на Microsoft) / SASL/Digest-MD5 (удостоверяване SASL с хеширане MD5, не предава паролата в явен текст). |
| Microsoft domain suffix | Суфикс на домейна на Windows, използван за изграждане на идентификатора NTLM (напр. CONTOSO). Видимо само ако типът на удостоверяване е NTLM. |
Търсене на потребители и групи¶
| Поле | Описание |
|---|---|
| Search mode | Определя стратегията за извличане на групите от директорията: Retrieve groups from a group attribute (обхожда групите и чете техните членове — подходящо за стандартни директории) / Retrieve groups from a user attribute (чете атрибута memberOf на всеки потребител — по-бързо в Active Directory) / Retrieve nested groups through the TokenGroups attribute (използва специалния атрибут на AD tokenGroups, за да разреши рекурсивно вложените групи — препоръчва се в Active Directory). |
| User attribute containing the groups | Име на атрибута на обекта потребител, който изброява групите, към които той принадлежи. Видимо само ако е избран режимът „from a user attribute“. |
| Use the user's DN to log in | Ако е отметнато, пълното DN на потребителя се използва по време на операцията bind на LDAP (удостоверяване). |
| User authentication attribute | Атрибут на LDAP, използван като уникален идентификатор на потребителя при влизане. Предлагани стойности: sAMAccountName (Active Directory), cn, sn, uid, mailNickname, userPrincipalName, employeeID или персонализиран. |
| User attribute customisation | Позволява ръчно въвеждане на атрибут, който не присъства в списъка. Видимо само ако е избрано „custom“. |
| Group authentication attribute | Атрибут на LDAP, използван за еднозначно идентифициране на групите (напр. cn, sAMAccountName). |
Дърво¶
| Поле | Описание |
|---|---|
| Users branch | Пълно DN на организационната единица, съдържаща потребителите (напр. ou=Users,dc=example,dc=com). |
| Groups branch | Пълно DN на организационната единица, съдържаща групите (напр. ou=Groups,dc=example,dc=com). |
| Manual group management | Ако е отметнато, групите не се синхронизират автоматично от директорията LDAP. Администраторите трябва да добавят и премахват групите ръчно в CyberElements. |
Акаунт на услуга¶
| Поле | Описание |
|---|---|
| Service account (must be able to reset passwords) | Идентификатор на акаунта на услуга, който CyberElements използва за заявки към директорията — например неговото sAMAccountName (svc_cye). Този акаунт трябва да може да нулира паролите на потребителите на домейна, в противен случай смяната на паролата от потребителския портал е неуспешна. Конзолата не препоръчва пълно DN, което може да създаде проблеми с управлението на сървърите RDS. Силно се препоръчва да се определи специален акаунт и да се деактивира анонимното свързване (bind) с директорията. |
| Password | Парола на акаунта на услуга. |
| User class | Клас на обекта LDAP на потребителите, които да се търсят в директорията (напр. person, inetOrgPerson, user за Active Directory). |
| Group filter | Допълнителен филтър атрибут/стойност за идентифициране на групите в директорията. Използва се само с режима на търсене „from a group attribute“. |
Парола на потребителя¶
| Поле | Описание |
|---|---|
| Display the password change form | Ако е отметнато, на екрана за влизане се показва връзка за смяна на паролата. Тази опция е налична само ако връзката с директорията използва SSL (LDAPS) или минава през сайт. |
| Check whether the password must be changed | Ако е отметнато, CyberElements изпраща заявка към директорията LDAP, за да установи дали потребителят трябва да смени паролата си (атрибут pwdLastSet в Active Directory), и при необходимост го задължава да го направи. |
| Check the password complexity when it is changed | Ако е отметнато, CyberElements проверява дали новата парола отговаря на политиката за сложност, дефинирана в директорията, когато смяната е инициирана от портала. |
Опция Radius¶
| Поле | Описание |
|---|---|
| Enable the Radius option | Отметнете това квадратче само ако директорията LDAP е съчетана с удостоверяване Radius (двуфакторно). Тази опция може да се активира само при създаването на домейна и не може да се променя след това. |
Когато опцията Radius е активирана, се показват следните настройки:
| Поле | Описание |
|---|---|
| Mode | Режим на работа на сървъра Radius: quicklog (директно удостоверяване: паролата се предава без промяна на сървъра Radius) или challenge/response (сървърът Radius изпраща предизвикателство, на което потребителят трябва да отговори). |
| Server | IP адрес или DNS име на сървъра Radius. |
| Port | Порт, на който слуша сървърът Radius. Стойност по подразбиране: 1812. |
| Secret | Споделен таен ключ между CyberElements и сървъра Radius, използван за шифроване на обмена. |
| Number of attempts | Максимален брой опити, след които CyberElements се отказва от заявката към сървъра Radius. Стойност по подразбиране: 3. |
| Timeout (seconds) | Максимално време за изчакване на отговора от сървъра Radius, преди да изтече времето за изчакване. Стойност по подразбиране: 10 секунди. |
| Radius NAS IP address | IP адрес на източника, който CyberElements декларира пред сървъра Radius (атрибут NAS-IP-Address). Задава се, ако сървърът Radius филтрира заявките по IP адрес на източника. |
Други настройки¶
| Поле | Описание |
|---|---|
| Allow RDS server management | Ако е отметнато, акаунтите в този домейн могат да бъдат свързани със сървъри RDS в модула за управление на сървърите RDS. |
| Use specific certificate authorities to validate LDAPS certificates | Ако е отметнато, CyberElements използва персонализиран сертификат на CA за валидиране на сертификата, представен от сървъра LDAP при SSL връзки. Ако не е отметнато, се използват системните CA (/etc/ssl/certs/ca-certificates.crt). |
| Certificate authorities (base64 encoding) | Файл, съдържащ основния CA или основните CA във формат PEM (текст, започващ с -----BEGIN CERTIFICATE-----). Видимо и задължително само ако предишната опция е активирана. |
Сървъри LDAP¶
Таблицата на сървърите изброява сървърите, свързани с домейна (колони: Server, Port, Protocol). Дефинирането на няколко сървъра осигурява висока достъпност: при отказ CyberElements автоматично превключва към наличен сървър.
За да добавите сървър, щракнете върху +. Въведете:
| Поле | Описание |
|---|---|
| Server | IP адрес или DNS име на сървъра LDAP. |
| Port | Порт за достъп. Стойност по подразбиране: 389 (LDAP) или 636 (LDAPS). |
| Protocol | LDAP или LDAP през SSL. Използването на SSL е силно препоръчително дори във вътрешна мрежа. |
За да редактирате съществуващ сървър, изберете го и щракнете върху иконата Properties.
За да изтриете сървър, изберете го и щракнете върху ×.
Конфигуриране на домейн от тип „Anonymous directory“¶
Анонимен домейн може да се използва в редките случаи, когато достъпът до дадено приложение не изисква удостоверяване, тъй като потребителят вече е удостоверен по специфичен начин.
| Поле | Описание |
|---|---|
| Maximum number of connections | Ограничава броя на едновременните връзки, разрешени в този домейн. |
| Use the certificate CN as the user identifier | Ако е отметнато, идентификаторът на потребителя се извлича автоматично от полето CN на клиентския сертификат, представен при свързването. След това този идентификатор се използва за SSO. |
| Identifier format, from the DN | Израз за изграждане на идентификатора от компонентите на DN на сертификата (напр. %CN%@%OU%). Видимо само ако предишната опция е активирана. |
Конфигуриране на домейн от тип „SAML“¶
Когато се използва домейн SAML, CyberElements действа като доставчик на услуги (SP) и делегира удостоверяването на външен доставчик на самоличност (IdP).
Раздел: General information¶
| Поле | Описание |
|---|---|
| Identity provider | Тип на доставчика на самоличност: Other (всеки стандартен IdP за SAML) или Azure (Microsoft Azure AD / Entra ID, което допълнително активира асинхронната синхронизация на групите). |
| Identity provider EntityId | Уникален идентификатор на IdP във федерацията SAML. Стойността му се предоставя от IdP (напр. https://sts.windows.net/{tenant-id}/ за Azure, https://[serverName]/idp/shibboleth за Shibboleth). |
| Group names variable | Име на атрибута SAML, който пренася членството на потребителя в групи в потвърждението (напр. http://schemas.microsoft.com/ws/2008/06/identity/claims/groups за Azure). |
| Email variable | Име на атрибута SAML, от който платформата чете имейл адреса. Поле само за четене: стойността е фиксирана на saml-mail и не може да се конфигурира. |
| Login variable | Име на атрибута SAML, използван като идентификатор за влизане в CyberElements (напр. http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name). |
| The domain is part of cascading authentication | Вижте частта Каскадно удостоверяване. |
| Manual configuration | Ако е отметнато, параметрите на доставчика на самоличност трябва да се въведат ръчно (EntityId на крайните точки на SAML). Ако не е отметнато, тези параметри се извличат автоматично от файла с метаданни. Налично само в режим на редактиране. |
Метаданни на доставчика на самоличност
Административната конзола не предоставя екран за обмен на метаданни SAML: този раздел принадлежи на офертата SaaS. При client hosted метаданните на IdP и метаданните на доставчика на услуги се конфигурират ръчно, в конфигурационните файлове на Shibboleth на сървъра Mediation Controller.
Каскадно удостоверяване¶
Отворете страницата с общите опции, за да активирате каскадното удостоверяване.
Когато потребител отвори портала, системата търси сред каскадните домейни тези, за които е възможно удостоверяване без потребителско име и парола (SAML, Apache, сертификат). Използва се първият домейн, който разпознае потребителя. Ако нито един домейн не може да удостовери без парола, се показват полетата за потребителско име и парола.
След активирането в списъка с домейни се показват два бутона:
- Отметнете „The domain is part of cascading authentication“ за всеки желан домейн.
- Редът може да се променя чрез стрелките нагоре/надолу. Ред 0 се обработва първи.
Забележка
Анонимните домейни и домейните Radius, както и тези, които делегират удостоверяването към външен сървър (CAS), не могат да се използват в каскадното удостоверяване.