Access contracts¶

Modul Access contracts seskupuje pravidla, která skupinám uživatelů udělují právo přistupovat k publikovaným aplikacím. Smlouva odpovídá na čtyři provozní otázky: kdo (které skupiny), co (které aplikace a s jakými omezeními), kde (na kterém site) a za jakých podmínek (podmínky přístupu, výstrahy, filtrování sítě).

Skupiny uživatelů, aplikace a podmínky přístupu musí existovat dříve, než na ně bude ve smlouvě odkazováno.

Kumulativní práva

Skupina se může objevit v několika smlouvách a uživatel může patřit do několika skupin. V obou případech se práva sčítají. Naopak pokud smlouva cílí na několik skupin, stačí k získání jejích práv členství v kterékoli z nich.

Seznam smluv¶

Hlavní tabulka obsahuje seznam existujících smluv. Každý řádek lze rozbalit nebo sbalit a zobrazit podrobnosti (domény/skupiny, podmínky, site, kategorie a aplikace, omezené aplikace, výstrahy, filtrování sítě, odhalitelné aliasy).

Sloupec	Popis
Name	Název smlouvy, před kterým je ikona visacího zámku.
Groups	Počet přidružených skupin uživatelů.
Access conditions	Počet přidružených podmínek přístupu.
Sites	Počet odkazovaných site.
Applications	Počet povolených aplikací.
Restricted applications	Počet aplikací umístěných za workflow.
Alerts	Počet výstrah přístupu připojených ke smlouvě.
Network connections	Počet pravidel filtrování sítě (sloupec je ve výchozím nastavení skrytý).
Revealable aliases	Počet přidružených odhalitelných aliasů (zobrazuje se pouze tehdy, když je funkce povolena).

Vyhledávací pole v pravém horním rohu filtruje seznam podle názvu.

Přidání smlouvy¶

Kliknutím na tlačítko + otevřete průvodce vytvořením. Pole záhlaví jsou společná pro všechny karty:

Pole	Popis
Name	Povinné. Identifikuje smlouvu.
Description	Volný popisek.

Formulář je rozdělen do několika karet, které se vyplňují v logickém pořadí.

GroupsAccess conditionsSitesApplicationsApplications to restrictPersonal aliasesRevealable aliasesAlertsNetwork connections

Z rozevíracího seznamu vyberte doménu ověřování a poté přetáhněte požadované skupiny uživatelů do pravého sloupce. Jedna smlouva může kombinovat skupiny z několika domén. Aby byla smlouva platná, musí být vybrána alespoň jedna skupina.

Přetáhněte podmínky přístupu, které se mají použít. Podmínka povoluje nebo odepírá přístup na základě kritéria (IP, datum, certifikát atd. — viz Access conditions).

Více podmínek se kombinuje pomocí AND

Pokud je k téže smlouvě připojeno několik podmínek přístupu, musí být splněny všechny, aby se smlouva uplatnila: k jejímu vyřazení stačí jediná nesplněná podmínka a uživatel nezíská práva, která smlouva uděluje. Chcete-li dosáhnout OR, použijte metapravidlo v modulu Access conditions.

Viditelnost karty

Karta se zobrazí pouze tehdy, když ve vyhrazeném modulu existuje alespoň jedna podmínka přístupu.

Přetáhněte site, ve kterých jsou aplikace hostovány. Site je sada serverů Edge Gateway, která vymezuje zabezpečený vstupní bod do místní sítě.

Více site: volí uživatel

Pokud smlouva odkazuje na několik site, zobrazí se uživateli při spuštění aplikace obrazovka Select a site, kde zvolí, přes který site se připojí.

Strom zobrazuje aplikace seskupené podle kategorií. Zaškrtnutím kategorie vyberete všechny její aplikace a automaticky zahrnete i každou aplikaci, která do této kategorie bude přidána později. Zaškrtáváním jednotlivých políček můžete vybrat podmnožinu. Musí být zaškrtnuta alespoň jedna aplikace.

Aplikace Workplace — vzájemné vyloučení

Pokud je povoleno přidružení Workplace, zobrazí se dvě virtuální aplikace: Access to Workplace applications by merged cloud a Access to Workplace applications by redirection. V rámci téže smlouvy se vzájemně vylučují.

Umístí některé z dříve vybraných aplikací za schvalovací workflow. Uživatelé budou muset o přístup požádat a správce bude žádosti přijímat nebo zamítat v modulu Workflow.

Možnost	Popis
Ask the user to complete a form when requesting access	Pokud je zaškrtnuto, musí uživatel při každé žádosti o přístup k omezené aplikaci vyplnit formulář.
Applications to restrict	Dvousloupcový seznam (dostupné / omezené) s vyhledáváním.

Ve výchozím nastavení je karta sbalená. Pokud je zaškrtnuta možnost Allow personal aliases, můžete mezi vybranými aplikacemi určit ty, pro které si uživatel může ukládat vlastní aliasy (přihlašovací údaje uložené na portálu).

Karta je viditelná pouze tehdy, když je v general options zaškrtnuta možnost Allow password display in alias. Dvousloupcový seznam pro výběr aliasů (propojených s uživateli), které lze prostřednictvím této smlouvy odhalit.

Metaaliasy

Pokud výběr obsahuje alespoň jeden metaalias, zobrazí se před uložením potvrzovací dialog.

Přetáhněte profily výstrah, které se mají spustit při použití přístupů, na něž se tato smlouva vztahuje.

Karta je aktivní pouze tehdy, když je na kartě Applications vybrána alespoň jedna aplikace RDS, HTML5 RDS, SSH nebo HTML5 SSH.

Na cílovém serveru je vyžadován agent bez ohledu na protokol

Filtrování se uplatní pouze tehdy, pokud je na cílovém serveru odpovídající agent: agent Bastion na serverech RDS a HTML5 RDS a agent filtrování sítě na serverech SSH a HTML5 SSH. Bez něj nemají zde zadaná pravidla žádný účinek.

Zaškrtnutím Filter network connections povolte filtrování a poté pro každé pravidlo zadejte:

Pole	Popis
Target IP	Povolená adresa IP nebo hostitel. Ověření formátu IPv4.
Network mask	Volitelné. Pokud je prázdné, pravidlo platí pouze pro cílovou adresu IP.
Port	Ve výchozím nastavení 0: pravidlo platí pro všechny porty.
Protocol	TCP, UDP nebo TCP and UDP.

Kliknutím na Add vložte pravidlo do seznamu povolených sítí. Každé pravidlo lze odebrat jednotlivě.

Význam filtrování

Pokud je zaškrtnuto Filter network connections, ale není povolena žádná síť, uživatel se nemůže připojit k žádné síti. V opačném případě jsou dostupné pouze uvedené sítě.

Kliknutím na Validate smlouvu uložte. Karty Groups, Sites a Applications jsou všechny povinné, jinak je smlouva odmítnuta.

Úprava smlouvy¶

Vyberte smlouvu v seznamu a klikněte na ikonu Properties nebo na řádek dvakrát klikněte. Okno je stejné jako při vytváření a je předvyplněno aktuálními hodnotami.

Odstranění smlouvy¶

Vyberte jednu nebo více smluv a klikněte na tlačítko ×. Odstranění vyžaduje potvrzení.

Export smluv¶

Tlačítko Export stáhne všechny zobrazené smlouvy v souboru CSV. Exportovaná data odrážejí aktuální filtry (vyhledávání atd.).

Struktura souboru¶

Soubor obsahuje jeden řádek záhlaví a poté jeden řádek pro každou smlouvu. Sloupce jsou v následujícím pořadí:

#	Sloupec	Obsah	Povinné při importu
1	Alerts	Popisky profilů výstrah.
2	Categories	Názvy kategorií aplikací.
3	Description	Volný text.
4	Groups	Skupiny uživatelů ve tvaru `group@domain`.	Ano
5	Name	Název smlouvy.	Ano
6	Applications	Názvy povolených aplikací.
7	Restricted applications	Názvy aplikací umístěných za workflow.
8	Access conditions	Názvy podmínek přístupu.
9	Sites	Názvy site.	Ano
10	Request a form	`True` nebo `False`.
11	Filter network connections	`True` nebo `False`.
12	Network connections	Pravidla filtrování ve tvaru `ip/mask:port:protocol`.
13	Revealable aliases	Názvy aliasů.
14	Revealable password rotation aliases	Názvy aliasů.
15	Revealable dynamic aliases	Názvy aliasů.
16	Personal aliases	Názvy aplikací, pro které jsou povoleny osobní aliasy.

Syntaxe¶

Prvek	Oddělovač	Příklad
Sloupce	`;`	`Name;Description;…`
Více hodnot v jedné buňce	`+`	`Accounting+Management+Support`
Skupina uživatelů	`@` mezi skupinou a její doménou	`Accounting@AD-Internal`
Všechny skupiny domény	klíčové slovo `all`	`all@AD-Internal`
Pravidlo filtrování sítě	`/` a poté `:`	`10.0.0.5/255.255.255.0:3389:TCP` — port nastavený na `0` znamená „všechny porty“
Logické hodnoty	—	`True` nebo `False`; prázdná buňka se počítá jako `False`

Objem

Export je omezen: po překročení maximálního počtu řádků nastaveného na platformě se do souboru zapíší pouze první smlouvy.

Import smluv¶

Tlačítko Import otevře okno, ve kterém lze nahrát soubor CSV. Jeho struktura musí odpovídat popisu v části Export smluv: nejbezpečnější je vyjít z exportu a upravit ho.

Pole	Popis
File	Soubor CSV k importu.
Record delimiter	Oddělovač sloupců, `;` u souboru vytvořeného exportem.
Value delimiter inside a field	Oddělovač více hodnot, `+` u souboru vytvořeného exportem.

Sloupce Name, Groups a Sites jsou povinné: řádek, ve kterém některý z nich chybí, je odmítnut. Odkazované hodnoty (aplikace, kategorie, podmínky přístupu, výstrahy, aliasy, site) musí již existovat a párují se podle názvu.

Po potvrzení okno shrne výsledek importu pro každou smlouvu v souboru.