Authentication domain¶
Doména ověřování definuje, kde a jak se při připojení ověřují identity uživatelů. Každý účet patří do skupiny a každá skupina do domény: právě doména určuje, odkud účty pocházejí — z firemního adresáře, z interní databáze, nebo od externího zprostředkovatele identity.
Tento modul uvádí deklarované domény. Kliknutím na + doménu přidáte, dvojím kliknutím na název ji nakonfigurujete. Typ adresáře se volí při vytváření a později jej nelze změnit.
Nabízejí se čtyři typy:
| Typ adresáře | Zdroj účtů | Použití |
|---|---|---|
| LDAP directory | Externí adresář (Active Directory, OpenLDAP…) | Běžný případ: existující účty a skupiny se použijí tak, jak jsou, bez kopírování. |
| Local directory | Interní databáze platformy | Účty vytvářené a spravované přímo z konzoly, vedle adresáře nebo pro malý rozsah. |
| SAML domain | Externí zprostředkovatel identity (IdP) | Ověřování je delegováno na IdP; platforma vystupuje jako poskytovatel služeb. |
| Anonymous directory | Žádný | Vzácné případy, kdy přístup k aplikaci nevyžaduje vůbec žádné ověřování. |
Pořadí vytváření
Nejprve vytvořte doménu, poté skupiny a nakonec uživatelské účty: přístupová práva k aplikacím se pak udělují skupinám prostřednictvím smlouvy o přístupu.
Společné prvky konfigurace¶
Tato nastavení jsou k dispozici pro každý typ domény:
| Pole | Popis |
|---|---|
| Name | Zvolte smysluplný název domény. |
| Shortcut URL | Zobrazuje se pouze v režimu úprav. Přímá adresa URL, která poskytuje přístup k uživatelskému portálu pro tuto konkrétní doménu bez procházení seznamu dostupných domén. Formát: https://{server}/cloud/?orgname={organisation}&domainid={id}. |
| Description | Volitelné pole popisující obsah domény. |
| Microsoft domain | Informace, která doprovází identifikaci uživatele, když je povoleno jednotné přihlašování (SSO). |
| Expiration | Maximální doba nečinnosti, po jejímž uplynutí relace vyprší. Výchozí hodnota: 60 minut. |
| Number of attempts before lockout | Omezuje počet pokusů o přihlášení. Doporučená hodnota: 3 pokusy (ochrana proti útokům hrubou silou). Tento limit musí být ≤ libovolnému limitu nastavenému v adresáři LDAP. |
| Time before unlock (minutes) | Doba, po jejímž uplynutí se uzamčené relace odemknou. Nastavením hodnoty 0 funkci zakážete. |
| The domain is part of cascading authentication | Viz část Kaskádové ověřování. |
| Delegate authentication to an external server | Možnosti: No, CAS, IdeoSSO. |
| Alternative username attribute | Atribut LDAP používaný jako sekundární identifikátor, pokud se pomocí primárního atributu nepodaří uživatele najít (např. mail, userPrincipalName). |
| Maximum number of simultaneous sessions per user | Doporučená hodnota: 1 relace. |
| Automatic deletion of the oldest session | Automaticky zavře aktivní relaci, když je požadována nová. |
| Note displayed in the authentication form | Poznámka určená pouze uživatelům domény. |
Metoda ověřování¶
| Pole | Popis |
|---|---|
| Authentication method | Určuje, jak se při přihlášení ověřuje identita uživatele: Form (uživatelské jméno a heslo zadané ručně) / User certificate (uživatelské jméno se získá z pole CN certifikátu) / User certificate and form (po ověření certifikátem se stále vyžaduje heslo) / Apache authentication (ověřování delegované na webový server Apache) / Pro Santé Connect (CIBA) (ověřování prostřednictvím francouzského národního zprostředkovatele identity ve zdravotnictví). |
| Force the use of the virtual keyboard | Zobrazí na stránce ověřování klávesnici na obrazovce, která chrání zadávání hesla před keyloggery. |
Pro Santé Connect (CIBA)¶
Tato pole se zobrazují pouze tehdy, když je vybrána metoda ověřování Pro Santé Connect (CIBA). Pro Santé Connect je francouzský národní zprostředkovatel identity pro zdravotnické pracovníky.
| Pole | Popis |
|---|---|
| Identifier (client id) | Identifikátor klienta, který poskytuje Pro Santé Connect při registraci aplikace. |
| Secret (client secret) | Přidružený tajný klíč klienta, který slouží k ověřování výměn OIDC s Pro Santé Connect. |
| Sandbox | Pokud je zaškrtnuto, CyberElements se připojuje k testovacímu prostředí PSC namísto produkčního prostředí. Používejte pouze pro integrační testování. |
| RPPS retrieval | Určuje, odkud pochází číslo RPPS uživatele (francouzský registr zdravotnických pracovníků): Use the authentication attribute (RPPS se získá z primárního atributu ověřování) nebo Use another user attribute (RPPS se získá ze samostatného atributu, který se zadává v dalším poli). |
| User attribute containing the RPPS | Název atributu, který obsahuje číslo RPPS (např. rpps, healthcareProfessionalId). Viditelné a povinné pouze tehdy, když je předchozí možnost nastavena na „Use another user attribute“. |
Ověřovací token OTP¶
| Pole | Popis |
|---|---|
| Authentication token | Výběr generátoru nebo generátorů OTP, které se mají použít (dříve deklarovaných v nabídce generátorů tokenů OTP). Je možný vícenásobný výběr. |
| User attribute used to send the OTP | Určuje atribut uživatele, jehož prostřednictvím se OTP doručuje pro každý vybraný token (např. mobile pro odeslání SMS, mail pro odeslání e-mailem). Pro každý vybraný token se zobrazí jedno pole. |
| Token expiration duration | Doba, po jejímž uplynutí již odeslaný OTP není přijat. Nastavením hodnoty 0 vypršení platnosti zakážete. |
| Time unit | Jednotka doby platnosti: Hours nebo Days. Hodnota zadaná v předchozím poli se vynásobí touto jednotkou (1 pro hodiny, 24 pro dny). |
| Expiration starts | Počáteční bod odpočtu platnosti: From the last OTP validation (OTP vyprší X hodin po svém ověření) nebo From the last successful login (OTP vyprší X hodin po otevření relace). |
| *Replace OTP characters with "" | Maskuje znaky zadávané při přihlašování do pole jednorázového hesla. |
Ověřování neomia Pulse¶
neomia Pulse je řešení průběžného ověřování založené na behaviorální analýze. Tato pole se zobrazí, když je zaškrtnuto políčko Enable neomia Pulse authentication.
| Pole | Popis |
|---|---|
| Enable neomia Pulse authentication | Povolí integraci s neomia Pulse. Pro doménu se vytvoří konfigurace Pulse. |
| API URL | Základní adresa URL rozhraní API neomia Pulse pro kontrolu uživatelů (např. https://pulse.example.com/api). |
| Authentication API URL | Adresa URL koncového bodu ověřování Pulse, pokud se liší od hlavní adresy URL. |
| API key | Tajný klíč, který umožňuje CyberElements ověřit se vůči rozhraní API Pulse. |
| Number of neomia Pulse attempts | Maximální počet pokusů o ověření pomocí Pulse, po jehož dosažení se požadavek zablokuje. Výchozí hodnota: 3. |
| If Pulse authentication succeeds | Chování, když Pulse úspěšně ověří uživatele: Skip the OTP token (všechny OTP nakonfigurované v doméně se přeskočí) nebo Reinforce authentication (OTP zůstávají povinné i po úspěšném ověření pomocí Pulse). |
| If Pulse authentication fails | Záložní chování, pokud Pulse selže nebo je nedostupný: Block access (uživatel se nemůže přihlásit, vrátí se kód chyby PULSE_API_ERROR) nebo Request an additional authentication factor (automatický návrat ke standardnímu ověřování OTP). |
| Display graphical components | Zobrazí na stránce ověřování vizuální prvky vzoru psaní z rozhraní neomia Pulse. |
| Display authentication factors | Zobrazí uživateli seznam faktorů ověřování, které Pulse zjistil. |
Delegování ověřování na externí server¶
Server CAS¶
| Pole | Popis |
|---|---|
| CAS server URL | Úplná adresa URL serveru CAS, na který se ověřování deleguje. |
IdeoSSO¶
| Pole | Popis |
|---|---|
| CAS server URL | Úplná adresa URL serveru IdeoSSO. |
| IdeoSSO, user property matching the identifier | Název vlastnosti uživatele IdeoSSO, která se v CyberElements používá jako přihlašovací identifikátor. |
Konfigurace domény typu „Local directory“¶
Karta: General information¶
| Pole | Popis |
|---|---|
| Invisible shortcut | Pokud existuje více domén, zaškrtněte toto políčko, aby se doména nezobrazovala v seznamu nabízeném uživateli. Doména je pak dostupná pouze prostřednictvím své úplné adresy URL zástupce. |
| Display the access condition if it is invalid | Pokud je zaškrtnuto a neplatná podmínka přístupu brání uživateli v přihlášení, zobrazí se mu odpovídající chybová zpráva. Pokud zaškrtnuto není, uživatel nedostane žádné vysvětlení. K dispozici pouze v režimu úprav. |
Karta: Password¶
Tato karta slouží ke konfiguraci správy hesel uživatelů místní domény.
| Pole | Popis |
|---|---|
| Change the user's password at first login | Pokud je zaškrtnuto, je uživatel při úplně prvním přihlášení automaticky přesměrován na obrazovku pro změnu hesla. Dokud změnu neprovede, nemá přístup k portálu. |
| Display the password change form | Pokud je zaškrtnuto, zobrazí se na přihlašovací obrazovce odkaz, který uživateli umožňuje změnit heslo. |
| Define a custom password policy | Umožňuje definovat zásadu složitosti a doby platnosti hesel specifickou pro tuto doménu. |
Když je zaškrtnuta možnost Define a custom password policy, zpřístupní se následující nastavení:
| Pole | Popis |
|---|---|
| Display the password policy to the user | Pokud je zaškrtnuto, pravidla složitosti se uživateli zobrazí, když nastavuje nebo mění heslo. |
| Minimum number of characters | Minimální požadovaná délka hesla. Výchozí hodnota: 10. Nastavením hodnoty 0 funkci zakážete. |
| Minimum number of lowercase letters | Minimální požadovaný počet malých písmen. Nastavením hodnoty 0 funkci zakážete. |
| Minimum number of uppercase letters | Minimální požadovaný počet velkých písmen. Nastavením hodnoty 0 funkci zakážete. |
| Minimum number of digits | Minimální požadovaný počet číslic. Nastavením hodnoty 0 funkci zakážete. |
| Minimum number of special characters | Minimální požadovaný počet speciálních znaků. Nastavením hodnoty 0 funkci zakážete. |
| Minimum password lifetime (days) | Minimální doba, po jejímž uplynutí smí uživatel změnit heslo. Zabraňuje příliš častým změnám. Nastavením hodnoty 0 funkci zakážete. |
| Maximum password lifetime (days) | Doba, po jejímž uplynutí platnost hesla vyprší a heslo je nutné obnovit. Výchozí hodnota: 60 dní. Nastavením hodnoty 0 funkci zakážete. |
| Notify the user before expiration (days) | Odešle uživateli e-mail zadaný počet dní před vypršením platnosti jeho hesla. Vyžaduje nakonfigurovanou maximální dobu platnosti, server SMTP a zdrojovou e-mailovou adresu. Nastavením hodnoty 0 funkci zakážete. |
| SMTP server | Server používaný k odesílání oznámení o vypršení platnosti (z těch, které jsou deklarovány v konfiguraci SMTP). |
| Source e-mail | E-mailová adresa zobrazená jako odesílatel oznámení. |
| Reject the new password if it contains the login | Pokud je zaškrtnuto, odmítá hesla obsahující přihlašovací identifikátor uživatele (ochrana proti zjevným heslům). |
| Reject the new password if it matches one of the last X | Uchovává historii hesel a neumožňuje znovu použít zadaný počet předchozích hesel. Nastavením hodnoty 0 funkci zakážete. |
Konfigurace domény typu „LDAP directory“¶
Karta: General information¶
| Pole | Popis |
|---|---|
| Invisible shortcut | Pokud existuje více domén, zaškrtněte toto políčko, aby se doména nezobrazovala v seznamu nabízeném uživateli. |
Karta: LDAP settings¶
Připojení¶
| Pole | Popis |
|---|---|
| Authentication through a site | Pokud je zaškrtnuto, CyberElements použije k dosažení adresáře server Edge Gateway některého site, takže není nutné otevírat příchozí pravidla brány firewall z DMZ. Druhé pole umožňuje vybrat site, který se má použít. |
| Authentication type | Protokol vazby (bind) k serveru LDAP: SIMPLE (bind s DN a heslem v prostém textu přes TLS) / NTLM (ověřování Windows, vyžaduje příponu domény Microsoft) / SASL/Digest-MD5 (ověřování SASL s hašováním MD5, nepřenáší heslo v prostém textu). |
| Microsoft domain suffix | Přípona domény Windows použitá k sestavení identifikátoru NTLM (např. CONTOSO). Viditelné pouze tehdy, když je typ ověřování NTLM. |
Vyhledávání uživatelů a skupin¶
| Pole | Popis |
|---|---|
| Search mode | Určuje strategii načítání skupin z adresáře: Retrieve groups from a group attribute (prochází skupiny a čte jejich členy — vhodné pro standardní adresáře) / Retrieve groups from a user attribute (čte atribut memberOf každého uživatele — rychlejší ve službě Active Directory) / Retrieve nested groups through the TokenGroups attribute (používá speciální atribut AD tokenGroups k rekurzivnímu rozpoznání vnořených skupin — doporučeno ve službě Active Directory). |
| User attribute containing the groups | Název atributu objektu uživatele, který uvádí skupiny, do nichž uživatel patří. Viditelné pouze tehdy, když je vybrán režim „from a user attribute“. |
| Use the user's DN to log in | Pokud je zaškrtnuto, použije se při operaci bind LDAP (ověřování) úplný DN uživatele. |
| User authentication attribute | Atribut LDAP používaný při přihlášení jako jedinečný identifikátor uživatele. Navrhované hodnoty: sAMAccountName (Active Directory), cn, sn, uid, mailNickname, userPrincipalName, employeeID nebo vlastní (custom). |
| User attribute customisation | Umožňuje ručně zadat atribut, který v seznamu není. Viditelné pouze tehdy, když je vybráno „custom“. |
| Group authentication attribute | Atribut LDAP sloužící k jednoznačné identifikaci skupin (např. cn, sAMAccountName). |
Strom¶
| Pole | Popis |
|---|---|
| Users branch | Úplný DN organizační jednotky, která obsahuje uživatele (např. ou=Users,dc=example,dc=com). |
| Groups branch | Úplný DN organizační jednotky, která obsahuje skupiny (např. ou=Groups,dc=example,dc=com). |
| Manual group management | Pokud je zaškrtnuto, skupiny se z adresáře LDAP nesynchronizují automaticky. Správci musí skupiny v CyberElements přidávat a odebírat ručně. |
Účet služby¶
| Pole | Popis |
|---|---|
| Service account (must be able to reset passwords) | Identifikátor účtu služby, který CyberElements používá k dotazování adresáře — například jeho sAMAccountName (svc_cye). Tento účet musí mít možnost resetovat hesla uživatelů domény, jinak změna hesla z uživatelského portálu selže. Konzola nedoporučuje úplný DN, který může způsobit potíže se správou serverů RDS. Důrazně se doporučuje definovat vyhrazený účet a zakázat anonymní vazbu (bind) k adresáři. |
| Password | Heslo účtu služby. |
| User class | Třída objektu LDAP uživatelů, kteří se mají v adresáři vyhledávat (např. person, inetOrgPerson, user pro Active Directory). |
| Group filter | Doplňkový filtr atribut/hodnota k identifikaci skupin v adresáři. Používá se pouze s režimem vyhledávání „from a group attribute“. |
Heslo uživatele¶
| Pole | Popis |
|---|---|
| Display the password change form | Pokud je zaškrtnuto, zobrazí se na přihlašovací obrazovce odkaz na změnu hesla. Tato možnost je k dispozici pouze tehdy, když připojení k adresáři používá SSL (LDAPS) nebo vede přes site. |
| Check whether the password must be changed | Pokud je zaškrtnuto, CyberElements se dotazuje adresáře LDAP, zda musí uživatel změnit heslo (atribut pwdLastSet ve službě Active Directory), a v případě potřeby ho ke změně přinutí. |
| Check the password complexity when it is changed | Pokud je zaškrtnuto, CyberElements při změně zahájené z portálu ověří, zda nové heslo splňuje zásadu složitosti definovanou v adresáři. |
Možnost Radius¶
| Pole | Popis |
|---|---|
| Enable the Radius option | Toto políčko zaškrtněte pouze tehdy, když je adresář LDAP propojen s ověřováním Radius (dvoufaktorovým). Tuto možnost lze povolit pouze při vytváření domény a později ji nelze změnit. |
Když je možnost Radius povolena, zobrazí se následující nastavení:
| Pole | Popis |
|---|---|
| Mode | Provozní režim serveru Radius: quicklog (přímé ověřování: heslo se serveru Radius předává beze změny) nebo challenge/response (server Radius odešle výzvu, na kterou musí uživatel odpovědět). |
| Server | IP adresa nebo název DNS serveru Radius. |
| Port | Port, na kterém server Radius naslouchá. Výchozí hodnota: 1812. |
| Secret | Sdílený tajný klíč mezi CyberElements a serverem Radius, který slouží k šifrování komunikace. |
| Number of attempts | Maximální počet pokusů, po jehož dosažení CyberElements požadavek na server Radius vzdá. Výchozí hodnota: 3. |
| Timeout (seconds) | Maximální doba čekání na odpověď serveru Radius před vypršením časového limitu. Výchozí hodnota: 10 sekund. |
| Radius NAS IP address | Zdrojová IP adresa, kterou CyberElements deklaruje serveru Radius (atribut NAS-IP-Address). Nastavte ji, pokud server Radius filtruje požadavky podle zdrojové IP adresy. |
Další nastavení¶
| Pole | Popis |
|---|---|
| Allow RDS server management | Pokud je zaškrtnuto, lze účty v této doméně přidružit k serverům RDS v modulu správy serverů RDS. |
| Use specific certificate authorities to validate LDAPS certificates | Pokud je zaškrtnuto, CyberElements k ověření certifikátu, který předkládá server LDAP při připojeních SSL, používá vlastní certifikát CA. Pokud zaškrtnuto není, použijí se systémové CA (/etc/ssl/certs/ca-certificates.crt). |
| Certificate authorities (base64 encoding) | Soubor obsahující kořenovou CA nebo kořenové CA ve formátu PEM (text začínající -----BEGIN CERTIFICATE-----). Viditelné a povinné pouze tehdy, když je předchozí možnost povolena. |
Servery LDAP¶
Tabulka serverů uvádí servery přidružené k doméně (sloupce: Server, Port, Protocol). Definování více serverů zajišťuje vysokou dostupnost: v případě selhání CyberElements automaticky přepne na dostupný server.
Chcete-li přidat server, klikněte na +. Zadejte:
| Pole | Popis |
|---|---|
| Server | IP adresa nebo název DNS serveru LDAP. |
| Port | Port pro přístup. Výchozí hodnota: 389 (LDAP) nebo 636 (LDAPS). |
| Protocol | LDAP nebo LDAP přes SSL. Použití SSL se důrazně doporučuje i ve vnitřní síti. |
Chcete-li upravit existující server, vyberte ho a klikněte na ikonu Properties.
Chcete-li server odstranit, vyberte ho a klikněte na ×.
Konfigurace domény typu „Anonymous directory“¶
Anonymní doménu lze použít ve vzácných případech, kdy přístup k aplikaci nevyžaduje ověření, protože uživatel již byl ověřen specifickým způsobem.
| Pole | Popis |
|---|---|
| Maximum number of connections | Omezuje počet současných připojení povolených v této doméně. |
| Use the certificate CN as the user identifier | Pokud je zaškrtnuto, identifikátor uživatele se automaticky získá z pole CN klientského certifikátu předloženého při připojení. Tento identifikátor se pak použije pro SSO. |
| Identifier format, from the DN | Výraz pro sestavení identifikátoru ze složek DN certifikátu (např. %CN%@%OU%). Viditelné pouze tehdy, když je předchozí možnost povolena. |
Konfigurace domény typu „SAML“¶
Když se používá doména SAML, CyberElements funguje jako poskytovatel služeb (SP) a deleguje ověřování na externího zprostředkovatele identity (IdP).
Karta: General information¶
| Pole | Popis |
|---|---|
| Identity provider | Typ zprostředkovatele identity: Other (libovolný standardní IdP SAML) nebo Azure (Microsoft Azure AD / Entra ID, který navíc umožňuje asynchronní synchronizaci skupin). |
| Identity provider EntityId | Jedinečný identifikátor IdP ve federaci SAML. Jeho hodnotu poskytuje IdP (např. https://sts.windows.net/{tenant-id}/ pro Azure, https://[serverName]/idp/shibboleth pro Shibboleth). |
| Group names variable | Název atributu SAML, který v kontrolním výrazu nese členství uživatele ve skupinách (např. http://schemas.microsoft.com/ws/2008/06/identity/claims/groups pro Azure). |
| Email variable | Název atributu SAML, ze kterého platforma čte e-mailovou adresu. Pole jen pro čtení: hodnota je pevně nastavena na saml-mail a nelze ji konfigurovat. |
| Login variable | Název atributu SAML používaného v CyberElements jako přihlašovací identifikátor (např. http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name). |
| The domain is part of cascading authentication | Viz část Kaskádové ověřování. |
| Manual configuration | Pokud je zaškrtnuto, je nutné parametry zprostředkovatele identity zadat ručně (EntityId koncových bodů SAML). Pokud zaškrtnuto není, tyto parametry se automaticky získají ze souboru metadat. K dispozici pouze v režimu úprav. |
Metadata zprostředkovatele identity
Konzola pro správu nezpřístupňuje žádnou obrazovku pro výměnu metadat SAML: tato karta patří k nabídce SaaS. V nasazení client hosted se metadata IdP a metadata poskytovatele služeb konfigurují ručně, v konfiguračních souborech Shibboleth na serveru Mediation Controller.
Kaskádové ověřování¶
Chcete-li povolit kaskádové ověřování, přejděte na stránku obecných možností.
Když uživatel přistoupí k portálu, systém mezi kaskádovými doménami vyhledá ty, u kterých je možné ověření bez přihlašovacího jména a hesla (SAML, Apache, certifikát). Použije se první doména, která uživatele rozpozná. Pokud žádná doména nedokáže uživatele ověřit bez hesla, zobrazí se pole pro přihlašovací jméno a heslo.
Po povolení se v seznamu domén zobrazí dvě tlačítka:
- Zaškrtněte „The domain is part of cascading authentication“ u každé požadované domény.
- Pořadí lze měnit pomocí šipek nahoru/dolů. Pořadí 0 se zpracuje jako první.
Poznámka
Anonymní domény, domény Radius a domény, které delegují ověřování na externí server (CAS), nelze v kaskádovém ověřování použít.