Access conditions¶
Access conditions moodul määratleb reeglid, mis access contract lepinguga seotuna lubavad või keelavad kasutajatel kasutajaportaaliga ühenduse luua tehnilise kriteeriumi alusel (IP-aadress, ajavahemik, brauser, operatsioonisüsteem, sertifikaat, kasutajaprofiili atribuut jne).
Tingimust hinnatakse ühenduse loomise ajal: kui see on kehtiv, rakendatakse seotud toiming (lubamine või keelamine).
Tingimuste loend¶
Tabelis kuvatakse kõik olemasolevad tingimused, lehekülgedel 15, 25 või 50 kirje kaupa.
| Veerg | Kirjeldus |
|---|---|
| Name | Tingimuse nimi, mille ees on ikoon, mis näitab tüüpi ja otsust (lubamine või keelamine). |
| Type | Tingimuse tüüp (vt allolevat tabelit). |
| Condition | Konfigureeritud parameetrite tekstiline kokkuvõte (IP-vahemikud, kuupäevad, brauserid jne). |
Paremas ülanurgas olev otsinguväli filtreerib loendit nime järgi.
Tingimuse lisamine¶
Nupu + klõpsamine avab loomisvormi. Kõigile tüüpidele ühised väljad:
| Väli | Kirjeldus |
|---|---|
| Condition type | Kohustuslik. Määratleb reegli olemuse (vt allolevat tabelit). Pärast esimest salvestamist ei saa muuta. |
| Name | Kohustuslik. |
| Description | Vaba tekst. |
| Access | Kaks valikut: Allow if valid (vaikimisi) või Deny if valid. |
| Notify the user if invalid | Kui see on märgitud, kuvatakse kasutajale teade, kui tingimus keelab juurdepääsu. |
| Log if invalid | Kui see on märgitud, kirjutatakse keelamise korral logisse kirje. |
Saadaolevad tüübid¶
| Tüüp | Tehtav kontroll | Nõutav klient |
|---|---|---|
| Connection address | Kliendi kasutatava Mediation Controller serveri URL. | Ei |
| Antispyware | Aktiivse nuhkvaratõrje olemasolu tööjaamas. | Jah |
| Antivirus | Aktiivse viirusetõrje olemasolu tööjaamas. | Jah |
| Windows Security Center | Windowsi turbesätete olek (automaatvärskendus, Internet Exploreri sätted, UAC). | Jah |
| Certificate | Sertifikaat, mille brauser esitab veebiliidesesse autentimiseks. | Ei |
| Date | Kuupäevavahemik, ajavahemik, kuude loend, nädalapäevad. | Ei |
| IP | IP-/domeeniaadress, IP-vahemik või alamvõrk. | Ei |
| MD5 | Faili olemasolu antud asukohas eeldatava MD5-kontrollsummaga. | Jah |
| Meta-rule | Vähemalt kahe muu olemasoleva tingimuse loogiline kombinatsioon (AND / OR). | Sõltub kombineeritud tingimustest |
| Browser | Kliendi kasutatav brauser. | Ei |
| Operating system | Tööjaamas tuvastatud operatsioonisüsteem. | Jah, välja arvatud juhul, kui Use the User-Agent on märgitud |
| Firewall | Aktiivse tulemüüri olemasolu. | Jah |
| System | Kohalik kontroll (fail, köite number, ketta seerianumber, töötav protsess, registrivõti). | Jah |
| User | Kasutajaprofiili atribuudi olemasolu / väärtus. | Ei |
| FIDO2 | Kasutaja autentimine FIDO2-/WebAuthn-võtmega. | Ei |
Veerg „Client required“
Mõned kontrollid puudutavad tööjaama olekut: need tehakse lokaalselt ja seetõttu peab kasutaja tööjaama olema installitud Bastion klient. Kui klient puudub, ei saa seda vajavat tingimust hinnata ja seda käsitletakse kehtetuna — nii on see eelkõige Cleanroom Desktop rakendusest loodud ühenduste puhul.
Parameetrid tüübi kaupa¶
| Väli | Kirjeldus |
|---|---|
| Domain | Mediation Controller serveri URL-i hostiosa (ilma https:// ja teeta). Aktsepteerib tähti, numbreid, sidekriipse, punkti ja regulaaravaldiste märke. |
Pakutakse kahte režiimi:
| Režiim | Kirjeldus |
|---|---|
| User authenticated using a certificate (vaikimisi) | Kontrollib, et kasutaja autenditi sertifikaadiga. |
| Test certificate's contents | Võrdleb lisaks sertifikaadi välja kasutajaprofiili väljaga. |
Teise režiimi lisaväljad:
| Väli | Kirjeldus |
|---|---|
| Certificate field | Ripploend: DN field of the user certificate, CN field of the user certificate (vaikimisi), Email field of the user certificate, O field of the user certificate, OR field of the user certificate või PEM-encoded certificate for client X509. |
| User profile field | Kasutajaprofiili väli, mille väärtust võrreldakse. |
Märgitud peab olema vähemalt üks neljast suvandist; aktiivsed suvandid ühendatakse loogilise tehtega AND.
| Suvand | Kirjeldus |
|---|---|
| Date | Kuupäevavahemik (algus, lõpp). Lõppkuupäev ei saa olla alguskuupäevast varasem. |
| Hour | Ajavahemik (HH:MM). Lõppaeg peab olema pärast algusaega (kui tingimus ei hõlma mitut päeva). |
| Month | Kaksteist märkeruutu, vaikimisi kõik märgitud. |
| Day of the week | Seitse märkeruutu, vaikimisi kõik märgitud. |
Kolm teineteist välistavat režiimi:
| Režiim | Väljad |
|---|---|
| IP or domain list | Üks või mitu IPv4-aadressi, eraldatud märgiga ;. |
| IP range | Alg- ja lõpp-IP. |
| Subnetwork | IP ja mask (CIDR 0 kuni 32). |
| Väli | Kirjeldus |
|---|---|
| File path | Täielik tee (nt C:\Test.ext). |
| MD5 checksum | 32-märgiline kuueteistkümnendarv. |
Link võimaldab alla laadida Windowsi MD5-kontrollsumma utiliidi, mille pakub Bastion.
| Väli | Kirjeldus |
|---|---|
| Logical operator | AND (vaikimisi) või OR. |
| Component rules | Lohistage vähemalt kaks tingimust vasakpoolsest veerust parempoolsesse veergu. Metareegel ei saa viidata iseendale ega metareeglile, mida juba kasutatakse selle enda hierarhias. |
Märkeruudud tuvastatavate brauserite jaoks: Internet Explorer 7 kuni 11, Konqueror, Firefox, Safari, Chrome, Opera, Edge. Suvand Other aktiveerib vaba tekstivälja teise brauseri täpse nime jaoks. Vaikimisi on märgitud Internet Explorer.
Cleanroom Desktop rakendusest loodud ühenduste eristamine
Platvorm näeb Cleanroom Desktop rakendust brauserina: see tuvastab end user-agentiga kujul Cleanroom Desktop 1.2.3.4. Seega, kui märgite Other ja sisestate Cleanroom Desktop, sihite sellest kliendist tehtud juurdepääse. Kui tingimus on seotud access contract lepinguga, võimaldab see reserveerida mõned ressursid Desktop kliendile ja teised kasutajaportaalile.
| Suvand | Kirjeldus |
|---|---|
| Use the User-Agent | Kui see on märgitud, põhineb tuvastamine päisel User-Agent, mitte kohalikul agendil. |
| OS list | Märkeruudud (Windows XP kuni 11, Windows Server 2003 kuni 2022, Linux, MacOS X, Vista, 9x, NT, CE jne). Suvand Other aktiveerib vaba tekstivälja. Märgitud peab olema vähemalt üks ruut. |
Kohalik kontroll, üks järgmistest:
| Režiim | Kirjeldus | Loendi valideerimine |
|---|---|---|
| File | Kontrollitavate failiteede loend. | Kõik peavad olemas olema (AND). |
| C:\ volume number | Köitenumbrite loend (nende hankimisel aitab allalaaditav utiliit). | Ühtima peab vaid üks (OR). |
| Hard disk serial number | Seerianumbrite loend. | Ühtima peab vaid üks (OR). |
| Running process | Protsessinimede loend. | Kõik peavad töötama (AND). |
| Registry Key | Võtmete / väärtuste loend kujul HKEY_LOCAL_MACHINE\path\name=value. |
Kõik peavad olemas olema, vajaduse korral antud väärtusega (AND). |
Iga režiimi puhul sisestage väärtus ja klõpsake Add, et lisada see tabelisse. Iga rea saab eraldi kustutada (kinnitusega).
Loogika erineb režiimiti
Kaks riistvararežiimi — C:\ volume number ja Hard disk serial number — on täidetud niipea, kui üks loendi väärtus ühtib: seal loetleb loend lubatud tööjaamad. Ülejäänud kolm režiimi nõuavad, et iga väärtus oleks kinnitatud.
| Väli | Kirjeldus |
|---|---|
| Attribute name | Testitav kasutajaprofiili atribuut (nt mail, employeeID, mobile). |
| Attribute value | Valikuline. Avaldis, mida võrreldakse tagastatud väärtusega. Kui see jäetakse tühjaks, kontrollib tingimus ainult seda, et atribuudil on väärtus. |
| Exclusive comparison | Kui see on märgitud, peab avaldis ühtima väärtuse algusest; muul juhul võib see ühtida väärtuse mis tahes kohas. |
Toetatud domeenitüübid
See tingimus ei piirdu kataloogidega: LDAP-domeeni puhul loetakse atribuudid kataloogist ja kohaliku domeeni puhul andmebaasist. Muude domeenitüüpide puhul — eriti SAML — atribuute ei tagastata, seega pole tingimus seal kunagi kehtiv, mis on oluline sõltuvalt sellest, kas see on seatud väärtusele Allow või Deny.
Tingimuse redigeerimine¶
Valige loendis tingimus ja klõpsake ikooni Properties või topeltklõpsake rida. Kuvatakse samad väljad kui loomisel, välja arvatud Type, mis muutub kirjutuskaitstuks.
Tingimuse kustutamine¶
Valige üks või mitu tingimust ja klõpsake nuppu ×. Kustutamiseks küsitakse kinnitust. Mitmikvalik on toetatud.