Users and administrators¶
Тази страница обхваща трите модула, използвани за управление на акаунтите в Bastion: потребители (на портала и на конзолата), административни групи (които предоставят административни права на група) и делегирани администратори (поименни присвоявания). Тя е предназначена за администратор, който иска да създава, редактира или изтрива тези акаунти и да присвоява съответните административни права.
Трите модула са достъпни от модула Authentication domains, като първо изберете домейн и след това щракнете върху един от бутоните Users, Administration groups или Delegated administrators. Модулът Users е достъпен и чрез директен пряк път в административната конзола.
Users¶
Модулът Users изброява, създава, редактира и изтрива потребителските акаунти на даден домейн. Поведението му зависи от типа на домейна.
| Тип на домейна | Управление на акаунтите |
|---|---|
| Local directory | Ръчно създаване, редактиране и изтриване. Могат да се дефинират роля и опции за сесията. |
| SAML (федерация) | Ръчно създаване, редактиране и изтриване, но без парола (удостоверяването се извършва от доставчика на самоличност). Акаунтите се използват главно за съхраняване на метаданни (имейл, членство в групи). |
| LDAP и Anonymous directory | Не са изброени в селектора на домейни — акаунтите се управляват от страна на директорията или не са приложими. |
Избор и филтриране¶
| Елемент | Описание |
|---|---|
| Domain | Избира домейна, чиито акаунти се изброяват. Предлагат се само локални домейни и домейни за федерация. |
| Group | Филтрира списъка по група. В началото се добавя обобщаващ запис All, за да се покажат всички акаунти. |
| Поле за търсене | Филтрира по част от името на акаунта. Търсенето се задейства 700 ms след последното натискане на клавиш или веднага с клавиша Enter. |
| Колони на таблицата | ID, Name (скрита за домейните SAML), Email, Groups. Когато няма акаунт, таблицата показва No available users. |
Добавяне на потребител — локален домейн¶
Ограничения при въвеждане и налични полета:
| Поле | Описание |
|---|---|
| User name | Задължително. Знаците < и > са забранени. Трябва да е уникално в рамките на домейна. |
| Password / Confirm | Задължителни при създаване. Прилага се политиката за пароли, действаща в домейна. |
| Full name | Показвано име, което замества техническото име в някои изгледи. |
| Проверява се дали е валиден имейл адрес. | |
| Phone | Проверява се дали е валиден телефонен номер. |
| IP lock | Списък с IP адреси или диапазони (с незадължителна маска, разделени със запетаи), от които на потребителя е разрешено да се свързва. Това е адресът, който вижда компонентът Mediation Controller: при междинен NAT въведете публичния адрес. |
| Role | Вижте таблицата с ролите по-долу. |
Роли, налични в локален домейн:
| Роля | Ефект |
|---|---|
| User (по подразбиране) | Достъп само до потребителския портал. |
| Administrator | Достъп до административната конзола с пълни права. |
| Delegated administrator | Достъп до административната конзола с ограничени права. Действителните права зависят от профила на делегиран администратор и от административните групи, към които принадлежи акаунтът. |
Две разгъващи се опции ограничават срока на действие на акаунта:
| Опция | Описание |
|---|---|
| Limited sessions | Ограничава броя на влизанията. Когато този брой бъде достигнат, се прилага избраното действие: заключване (по подразбиране) или изтриване на акаунта. Минимумът е 1. |
| Temporary account | Ограничава валидността на акаунта с начална и крайна дата и час. На крайната дата се прилага избраното действие: заключване или изтриване. Крайната дата трябва да е строго след началната. |
Акаунтът admin на локалния домейн по подразбиране
Вграденият акаунт admin на локалния домейн по подразбиране е специален. Ролята му е принудително зададена на Administrator, а опциите Limited sessions и Temporary account са скрити — тези ограничения не могат да бъдат приложени към него.
Разделът Groups присвоява акаунта към една или повече групи чрез плъзгане и пускане от списъка с наличните в списъка с избраните. Поле за търсене филтрира левия списък.
Добавяне на потребител — домейн SAML¶
За домейн за федерация формулярът е съкратен: тъй като удостоверяването е делегирано на доставчика на самоличност, от страната на Bastion не се съхранява парола.
| Поле | Описание |
|---|---|
| User name | Задължително. Знаците < и > са забранени. Трябва да съответства на идентификатора, върнат от доставчика на самоличност. |
| Description | Свободен текст. |
| Проверява се дали е валиден имейл адрес. |
Разделът Groups показва списък с две колони (налични / избрани) с търсене и бутон „избиране на всички“.
Редактиране на потребител¶
За да отворите формуляра за редактиране, изберете акаунт в списъка и щракнете върху иконата Properties или щракнете двукратно върху реда. Прилагат се същите ограничения като при създаването, с три допълнителни раздела, специфични за редактирането:
Прикачва към акаунта произволни двойки ключ/стойност. Въведете етикет и стойност, след което щракнете върху Add. Вече използван етикет се отхвърля. Всеки запис може да бъде изтрит поотделно чрез бутона за изтриване на неговия ред, с потвърждение.
Изброява ресурсите, до които акаунтът има достъп, изчислени от договорите за достъп.
За всеки ресурс се показва следната информация:
- името и иконата на типа услуга (RDP, HTML5 RDP, SSH, VNC, SMB, VPN, ICA и т.н.),
- приложимите ограничения като икони: записване на видео или на събития, заключване от работен поток, еднократен достъп, оставаща продължителност, диапазон от дати, времеви прозорец,
- наличния достъп: зелена икона, ако поне един сайт от договора има шлюз Edge Gateway онлайн, в противен случай червена.
Поле за търсене и разгъващ се блок с филтри стесняват списъка по тип на приложението (стандартно / привилегировано), по тип услуга или по състояние на ограниченията.
Изброява ключовете FIDO / WebAuthn, регистрирани от акаунта в портала.
Колони: Display name, Creation date. Всеки ключ може да бъде изтрит поотделно, с потвърждение. Нов ключ се добавя от потребителя в портала.
Изтриване на потребител¶
Изберете един или повече акаунти в списъка и щракнете върху бутона ×. Показва се запитване за потвърждение.
Прилагат се няколко предпазни мерки:
- Акаунтът
adminна локалния домейн по подразбиране никога не може да бъде изтрит. - Делегиран администратор не може да изтрие акаунт, чиято роля не е User (следователно не може да изтрие друг администратор или делегиран администратор).
Administration groups¶
Модулът Administration groups декларира, че група, съществуваща в даден домейн, дава административни права на своите членове. Той се отваря от модула Authentication domains чрез бутона Administration groups.
| Тип на домейна | Наличност |
|---|---|
| Локална директория по подразбиране | Налично. Могат да се декларират само групи на делегирани администратори (квадратчето за отметка е принудително отметнато). |
| LDAP | Налично. Избор между група на администратори с пълни права и група на делегирани администратори. |
| SAML (федерация) | Налично. Избор между група на администратори с пълни права и група на делегирани администратори. |
| Други локални директории, анонимна директория | Не е налично. |
Колони на таблицата: Group name и Type (администратор или делегиран администратор).
Добавяне на група¶
- Изберете домейна от падащия списък.
- Щракнете върху бутона +.
- Попълнете полетата и потвърдете.
| Поле | Описание |
|---|---|
| Group | Избира групата. Въвеждането на няколко знака филтрира динамично списъка с групи, извлечени от домейна. За локален домейн стойността трябва да съответства на група, която вече съществува в домейна (свободен текст се отхвърля). За домейни LDAP или домейни за федерация свободният текст се приема. |
| Delegated administrators group | Квадратче за отметка, което разграничава група на делегирани администратори (отметнато) от група на администратори с пълни права (неотметнато). Скрито и принудително отметнато в локалните домейни. |
Изтриване на група¶
Изберете групата в списъка и щракнете върху бутона ×. Изтриването изисква потвърждение. Поддържа се избор на няколко елемента.
Delegated administrators¶
Модулът Delegated administrators изброява поименно акаунтите, признати за делегирани администратори в домейн LDAP или SAML. Той се отваря от модула Authentication domains чрез бутона Delegated administrators.
| Тип на домейна | Наличност |
|---|---|
| LDAP | Налично. |
| SAML (федерация) | Налично. |
| Други типове | Не е налично. |
Защо поименна регистрация?
За домейните LDAP и SAML членството в административна група може да не е достатъчно: този модул ви позволява изрично да посочите акаунт като делегиран администратор. Регистрацията влиза в сила само ако акаунтът принадлежи и към група на делегирани администратори, декларирана в предишния модул (част Administration groups).
Добавяне на делегиран администратор¶
- Изберете домейна от падащия списък.
- Щракнете върху бутона +.
- Въведете потребителското име така, както съществува в директорията (знаците
<и>са забранени), след което потвърдете.
Изтриване на делегиран администратор¶
Изберете един или повече акаунти в списъка и щракнете върху бутона ×. Изтриването изисква потвърждение. Прилагат се същите предпазни мерки като в списъка с потребители (делегиран администратор не може да изтрие друг акаунт, чиято роля не е User).