Access conditions¶
Modul Access conditions definuje pravidla, která po připojení k access contract uživatelům povolují, nebo odepírají připojení k uživatelskému portálu na základě technického kritéria (adresa IP, časové okno, prohlížeč, operační systém, certifikát, atribut profilu uživatele atd.).
Podmínka se vyhodnocuje v okamžiku připojení: pokud je splněna, použije se přidružená akce (povolení nebo odepření).
Seznam podmínek¶
Tabulka zobrazuje všechny existující podmínky, stránkované po 15, 25 nebo 50 položkách.
| Sloupec | Popis |
|---|---|
| Name | Název podmínky, před kterým je ikona znázorňující typ a rozhodnutí (povolení nebo odepření). |
| Type | Typ podmínky (viz tabulka níže). |
| Condition | Textové shrnutí nakonfigurovaných parametrů (rozsahy IP, data, prohlížeče atd.). |
Vyhledávací pole vpravo nahoře filtruje seznam podle názvu.
Přidání podmínky¶
Kliknutím na tlačítko + se otevře formulář pro vytvoření. Pole společná pro všechny typy:
| Pole | Popis |
|---|---|
| Condition type | Povinné. Určuje povahu pravidla (viz tabulka níže). Po prvním uložení ho nelze změnit. |
| Name | Povinné. |
| Description | Volný text. |
| Access | Dvě možnosti: Allow if valid (výchozí) nebo Deny if valid. |
| Notify the user if invalid | Pokud je zaškrtnuto, uživatel uvidí zprávu, když podmínka odepře přístup. |
| Log if invalid | Pokud je zaškrtnuto, při odepření se do logu zapíše záznam. |
Dostupné typy¶
| Typ | Prováděná kontrola | Vyžaduje klienta |
|---|---|---|
| Connection address | Adresa URL serveru Mediation Controller, kterou používá klient. | Ne |
| Antispyware | Přítomnost aktivního antispywaru na pracovní stanici. | Ano |
| Antivirus | Přítomnost aktivního antivirového programu na pracovní stanici. | Ano |
| Windows Security Center | Stav nastavení zabezpečení systému Windows (automatické aktualizace, nastavení prohlížeče Internet Explorer, UAC). | Ano |
| Certificate | Certifikát, který prohlížeč předkládá k ověření ve webovém rozhraní. | Ne |
| Date | Rozsah dat, časové okno, seznam měsíců, dny v týdnu. | Ne |
| IP | Adresa IP / doménová adresa, rozsah IP nebo podsíť. | Ne |
| MD5 | Přítomnost souboru v dané cestě s očekávaným kontrolním součtem MD5. | Ano |
| Meta-rule | Logická kombinace (AND / OR) alespoň dvou dalších existujících podmínek. | Závisí na kombinovaných podmínkách |
| Browser | Prohlížeč používaný klientem. | Ne |
| Operating system | Operační systém zjištěný na pracovní stanici. | Ano, pokud není zaškrtnuto Use the User-Agent |
| Firewall | Přítomnost aktivní brány firewall. | Ano |
| System | Místní kontrola (soubor, číslo svazku, sériové číslo disku, spuštěný proces, klíč registru). | Ano |
| User | Přítomnost / hodnota atributu profilu uživatele. | Ne |
| FIDO2 | Ověření uživatele pomocí klíče FIDO2 / WebAuthn. | Ne |
Sloupec „Vyžaduje klienta“
Některé kontroly se týkají stavu pracovní stanice: provádějí se místně, a proto vyžadují, aby byl na pracovní stanici uživatele nainstalován klient Bastion. Pokud klient chybí, podmínku, která ho potřebuje, nelze vyhodnotit a považuje se za neplatnou — což je zejména případ připojení navázaných z Cleanroom Desktop.
Parametry podle typu¶
| Pole | Popis |
|---|---|
| Domain | Hostitelská část adresy URL serveru Mediation Controller (bez https:// a bez cesty). Přijímá písmena, číslice, spojovníky, tečku a znaky regulárních výrazů. |
Nabízejí se dva režimy:
| Režim | Popis |
|---|---|
| User authenticated using a certificate (výchozí) | Ověří, že se uživatel ověřil pomocí certifikátu. |
| Test certificate's contents | Navíc porovná pole certifikátu s polem profilu uživatele. |
Další pole pro druhý režim:
| Pole | Popis |
|---|---|
| Certificate field | Rozevírací seznam: DN field of the user certificate, CN field of the user certificate (výchozí), Email field of the user certificate, O field of the user certificate, OR field of the user certificate nebo PEM-encoded certificate for client X509. |
| User profile field | Pole profilu uživatele, jehož hodnota se porovnává. |
Musí být zaškrtnuta alespoň jedna ze čtyř možností; aktivní možnosti se kombinují logickým AND.
| Možnost | Popis |
|---|---|
| Date | Rozsah dat (začátek, konec). Datum konce nesmí být dřívější než datum začátku. |
| Hour | Časové okno (HH:MM). Čas konce musí být pozdější než čas začátku (pokud podmínka nepřesahuje více dní). |
| Month | Dvanáct zaškrtávacích políček, ve výchozím nastavení všechna zaškrtnutá. |
| Day of the week | Sedm zaškrtávacích políček, ve výchozím nastavení všechna zaškrtnutá. |
Tři vzájemně se vylučující režimy:
| Režim | Pole |
|---|---|
| IP or domain list | Jedna nebo více adres IPv4 oddělených znakem ;. |
| IP range | Počáteční a koncová adresa IP. |
| Subnetwork | Adresa IP a maska (CIDR 0 až 32). |
| Pole | Popis |
|---|---|
| File path | Úplná cesta (např. C:\Test.ext). |
| MD5 checksum | Šestnáctkové číslo o délce 32 znaků. |
Odkaz umožňuje stáhnout nástroj pro výpočet kontrolních součtů MD5 pro Windows, který poskytuje Bastion.
| Pole | Popis |
|---|---|
| Logical operator | AND (výchozí) nebo OR. |
| Component rules | Přetáhněte alespoň dvě podmínky z levého sloupce do pravého. Metapravidlo nemůže odkazovat samo na sebe ani na metapravidlo, které je již použito v jeho vlastní hierarchii. |
Zaškrtávací políčka odpovídající prohlížečům, které se mají zjišťovat: Internet Explorer 7 až 11, Konqueror, Firefox, Safari, Chrome, Opera, Edge. Možnost Other zpřístupní pole pro volný text s přesným názvem jiného prohlížeče. Ve výchozím nastavení je zaškrtnuta možnost Internet Explorer.
Rozlišení připojení z Cleanroom Desktop
Platforma vnímá Cleanroom Desktop jako prohlížeč: identifikuje se řetězcem user-agent ve tvaru Cleanroom Desktop 1.2.3.4. Zaškrtnutím možnosti Other a zadáním Cleanroom Desktop se tedy cílí na přístupy z tohoto klienta. Po připojení ke smlouvě o přístupu umožňuje podmínka vyhradit některé prostředky pro klienta Desktop a jiné pro uživatelský portál.
| Možnost | Popis |
|---|---|
| Use the User-Agent | Pokud je zaškrtnuto, zjišťování se opírá o hlavičku User-Agent, a ne o místního agenta. |
| Seznam operačních systémů | Zaškrtávací políčka (Windows XP až 11, Windows Server 2003 až 2022, Linux, MacOS X, Vista, 9x, NT, CE atd.). Možnost Other zpřístupní pole pro volný text. Musí být zaškrtnuto alespoň jedno políčko. |
Místní kontrola v jednom z těchto režimů:
| Režim | Popis | Vyhodnocení seznamu |
|---|---|---|
| File | Seznam cest k souborům, které se mají zkontrolovat. | Všechny musí být přítomny (AND). |
| C:\ volume number | Seznam čísel svazků (k jejich zjištění pomůže nástroj ke stažení). | Stačí shoda jediného čísla (OR). |
| Hard disk serial number | Seznam sériových čísel. | Stačí shoda jediného čísla (OR). |
| Running process | Seznam názvů procesů. | Všechny musí být spuštěny (AND). |
| Registry Key | Seznam klíčů / hodnot ve tvaru HKEY_LOCAL_MACHINE\path\name=value. |
Všechny musí existovat, případně se zadanou hodnotou (AND). |
V každém režimu zadejte hodnotu a kliknutím na Add ji přidejte do tabulky. Každý řádek lze odstranit jednotlivě (s potvrzením).
Logika se v jednotlivých režimech liší
Oba hardwarové režimy — C:\ volume number a Hard disk serial number — jsou splněny, jakmile se shoduje jediná hodnota ze seznamu: seznam v nich vyjmenovává povolené pracovní stanice. Ostatní tři režimy vyžadují ověření každé hodnoty.
| Pole | Popis |
|---|---|
| Attribute name | Atribut profilu uživatele, který se má testovat (např. mail, employeeID, mobile). |
| Attribute value | Volitelné. Výraz porovnávaný s vrácenou hodnotou. Pokud zůstane prázdné, podmínka pouze ověří, že atribut obsahuje hodnotu. |
| Exclusive comparison | Pokud je zaškrtnuto, výraz se musí shodovat od začátku hodnoty; jinak se může shodovat kdekoli v hodnotě. |
Podporované typy domén
Tato podmínka se neomezuje na adresáře: u domény LDAP se atributy čtou z adresáře a u místní domény z databáze. U ostatních typů domén — zejména SAML — se žádný atribut nevrací, takže podmínka tam nikdy není splněna, což má význam podle toho, zda je nastavena na Allow, nebo na Deny.
Úprava podmínky¶
Vyberte podmínku v seznamu a klikněte na ikonu Properties nebo na řádek dvakrát klikněte. Zobrazí se stejná pole jako při vytváření, kromě pole Type, které je pouze pro čtení.
Odstranění podmínky¶
Vyberte jednu nebo více podmínek a klikněte na tlačítko ×. Odstranění vyžaduje potvrzení. Je podporován vícenásobný výběr.