Users and administrators¶

Tato stránka popisuje tři moduly používané ke správě účtů v Bastion: uživatelé (portálu a konzoly), skupiny správy (které skupině udělují práva správy) a delegovaní správci (jmenovitá přiřazení). Je určena správci, který chce tyto účty vytvářet, upravovat nebo odstraňovat a přiřazovat odpovídající práva správy.

Tyto tři moduly jsou přístupné z modulu Authentication domains: nejprve vyberte doménu a poté klikněte na jedno z tlačítek Users, Administration groups nebo Delegated administrators. Modul Users je dostupný také přes přímou zkratku v konzole pro správu.

Users¶

Modul Users vypisuje, vytváří, upravuje a odstraňuje uživatelské účty domény. Jeho chování závisí na typu domény.

Typ domény	Správa účtů
Local directory	Ruční vytvoření, úprava a odstranění. Lze definovat roli a možnosti relací.
SAML (federace)	Ruční vytvoření, úprava a odstranění, ale bez hesla (ověřování zajišťuje zprostředkovatel identity). Účty slouží hlavně k ukládání metadat (e-mail, členství ve skupinách).
LDAP a Anonymous directory	Ve voliči domén nejsou uvedeny — účty se spravují na straně adresáře, případně se nepoužívají.

Výběr a filtrování¶

Prvek	Popis
Domain	Vybere doménu, jejíž účty se vypisují. Nabízejí se pouze místní a federační domény.
Group	Filtruje seznam podle skupiny. Na začátek se přidá souhrnná položka All, která zobrazí všechny účty.
Vyhledávací pole	Filtruje podle části názvu účtu. Vyhledávání se spustí 700 ms po posledním stisku klávesy nebo okamžitě klávesou `Enter`.
Sloupce tabulky	ID, Name (skrytý u domén SAML), Email, Groups. Pokud neexistuje žádný účet, tabulka zobrazuje No available users.

Přidání uživatele — místní doména¶

Omezení zadávání a dostupná pole:

Pole	Popis
User name	Povinné. Znaky `<` a `>` jsou zakázány. Musí být jedinečné v rámci domény.
Password / Confirm	Povinné při vytváření. Uplatní se zásada hesel platná v doméně.
Full name	Zobrazovaný popisek, který se v některých zobrazeních ukazuje místo technického názvu.
E-mail	Ověřuje se jako platná e-mailová adresa.
Phone	Ověřuje se jako telefonní číslo.
IP lock	Seznam IP adres nebo rozsahů (s volitelnou maskou, oddělených čárkami), ze kterých se uživatel smí připojit. Jde o adresu, kterou vidí služba Mediation Controller: v případě zprostředkujícího NAT zadejte veřejnou adresu.
Role	Viz tabulka rolí níže.

Role dostupné v místní doméně:

Role	Účinek
User (výchozí)	Přístup pouze k uživatelskému portálu.
Administrator	Přístup ke konzole pro správu s úplnými právy.
Delegated administrator	Přístup ke konzole pro správu s omezenými právy. Skutečná práva závisí na profilu delegovaného správce a na skupinách pro správu, do kterých účet patří.

Dvě rozbalitelné možnosti omezují dobu platnosti účtu:

Možnost	Popis
Limited sessions	Omezuje počet přihlášení. Po dosažení tohoto počtu se uplatní zvolená akce: uzamčení (výchozí) nebo odstranění účtu. Minimum je 1.
Temporary account	Omezuje platnost účtu počátečním a koncovým datem a časem. V koncový den se uplatní zvolená akce: uzamčení nebo odstranění. Koncové datum musí být striktně pozdější než počáteční datum.

Účet admin výchozí místní domény

Vestavěný účet admin výchozí místní domény je zvláštní. Jeho role je vynuceně nastavena na Administrator a možnosti Limited sessions a Temporary account jsou skryté — tato omezení na něj nelze uplatnit.

Karta Groups přiřazuje účet do jedné nebo více skupin přetažením ze seznamu dostupných do seznamu vybraných. Vyhledávací pole filtruje levý seznam.

Přidání uživatele — doména SAML¶

U federační domény je formulář zúžený: protože je ověřování delegováno na zprostředkovatele identity, na straně Bastion se neukládá žádné heslo.

Pole	Popis
User name	Povinné. Znaky `<` a `>` jsou zakázány. Musí odpovídat identifikátoru, který vrací zprostředkovatel identity.
Description	Volný text.
E-mail	Ověřuje se jako platná e-mailová adresa.

Karta Groups zobrazuje dvousloupcový seznam (dostupné / vybrané) s vyhledáváním a tlačítkem „vybrat vše“.

Úprava uživatele¶

Chcete-li otevřít formulář pro úpravu, vyberte účet v seznamu a klikněte na ikonu Properties nebo na řádek dvakrát klikněte. Platí stejná omezení jako při vytváření, navíc jsou k dispozici tři další karty určené pro úpravy:

PropertiesApplicationsSecurity keys

Připojí k účtu volné dvojice klíč/hodnota. Zadejte popisek a hodnotu a klikněte na Add. Popisek, který se již používá, je odmítnut. Každou položku lze jednotlivě odstranit tlačítkem odstranění na jejím řádku, s potvrzením.

Obsahuje prostředky, ke kterým má účet přístup, vypočítané ze smluv o přístupu.

U každého prostředku se zobrazují tyto informace:

název a ikona typu služby (RDP, HTML5 RDP, SSH, VNC, SMB, VPN, ICA atd.),
platná omezení ve formě ikon: nahrávání videa nebo událostí, uzamčení workflow, jednorázový přístup, zbývající doba, rozsah dat, časové okno,
dostupný přístup: zelená ikona, pokud alespoň jeden site smlouvy má server Edge Gateway online, jinak červená.

Vyhledávací pole a rozbalitelný blok filtrů zužují seznam podle typu aplikace (standardní / privilegovaná), podle typu služby nebo podle stavu omezení.

Obsahuje klíče FIDO / WebAuthn, které účet zaregistroval z portálu.

Sloupce: Display name, Creation date. Každý klíč lze jednotlivě odstranit, s potvrzením. Nový klíč přidává uživatel z portálu.

Odstranění uživatele¶

Vyberte v seznamu jeden nebo více účtů a klikněte na tlačítko ×. Zobrazí se výzva k potvrzení.

Platí několik pojistek:

Účet admin výchozí místní domény nelze nikdy odstranit.
Delegovaný správce nemůže odstranit účet, jehož role není User (nemůže tedy odstranit jiného správce ani delegovaného správce).

Administration groups¶

Modul Administration groups určuje, že skupina existující v doméně uděluje svým členům práva ke správě. Otevírá se z modulu Authentication domains tlačítkem Administration groups.

Typ domény	Dostupnost
Výchozí místní adresář	K dispozici. Lze deklarovat pouze skupiny delegovaných správců (zaškrtávací políčko je vynucené).
LDAP	K dispozici. Volba mezi skupinou správců s úplnými právy a skupinou delegovaných správců.
SAML (federace)	K dispozici. Volba mezi skupinou správců s úplnými právy a skupinou delegovaných správců.
Ostatní místní adresáře, anonymní adresář	Není k dispozici.

Sloupce tabulky: Group name a Type (správce nebo delegovaný správce).

Přidání skupiny¶

Vyberte doménu z rozevíracího seznamu.
Klikněte na tlačítko +.
Vyplňte pole a potvrďte.

Pole	Popis
Group	Vybere skupinu. Zadáním několika znaků se dynamicky filtruje seznam skupin načtených z domény. U místní domény musí hodnota odpovídat skupině, která v doméně již existuje (volný text je odmítnut). U domén LDAP nebo federačních domén je volný text přijat.
Delegated administrators group	Zaškrtávací políčko, které odlišuje skupinu delegovaných správců (zaškrtnuto) od skupiny správců s úplnými právy (nezaškrtnuto). U místních domén je skryté a vynuceně zaškrtnuté.

Odstranění skupiny¶

Vyberte skupinu v seznamu a klikněte na tlačítko ×. Odstranění vyžaduje potvrzení. Je podporován vícenásobný výběr.

Delegated administrators¶

Modul Delegated administrators jmenovitě vypisuje účty uznané jako delegovaní správci v doméně LDAP nebo SAML. Otevírá se z modulu Authentication domains tlačítkem Delegated administrators.

Typ domény	Dostupnost
LDAP	K dispozici.
SAML (federace)	K dispozici.
Ostatní typy	Není k dispozici.

Proč jmenovitá registrace?

U domén LDAP a SAML nemusí členství ve skupině pro správu stačit: tento modul umožňuje účet výslovně jmenovat delegovaným správcem. Registrace nabude účinnosti, pouze pokud účet zároveň patří do skupiny delegovaných správců deklarované v předchozím modulu (kapitola Administration groups).

Přidání delegovaného správce¶

Vyberte doménu z rozevíracího seznamu.
Klikněte na tlačítko +.
Zadejte uživatelské jméno tak, jak existuje v adresáři (znaky < a > jsou zakázány), a potvrďte.

Odstranění delegovaného správce¶

Vyberte v seznamu jeden nebo více účtů a klikněte na tlačítko ×. Odstranění vyžaduje potvrzení. Platí stejné pojistky jako v seznamu uživatelů (delegovaný správce nemůže odstranit jiný účet, jehož role není User).