Users and administrators¶
See leht käsitleb kolme moodulit, mida kasutatakse Bastion platvormis kontode haldamiseks: kasutajad (portaali ja konsooli omad), administreerimisrühmad (mis annavad rühmale administraatoriõigused) ja delegeeritud administraatorid (nimelised määramised). See on mõeldud administraatorile, kes soovib neid kontosid luua, redigeerida või kustutada ja määrata vastavad administreerimisõigused.
Kolm moodulit on juurdepääsetavad moodulist Authentication domains: valige esmalt domeen ja klõpsake seejärel ühte nuppudest Users, Administration groups või Delegated administrators. Moodul Users on halduskonsoolis juurdepääsetav ka otsese otsetee kaudu.
Users¶
Moodul Users loetleb, loob, muudab ja kustutab domeeni kasutajakontosid. Selle käitumine oleneb domeeni tüübist.
| Domeeni tüüp | Kontode haldus |
|---|---|
| Local directory | Käsitsi loomine, muutmine ja kustutamine. Määrata saab rolli ja seansisuvandid. |
| SAML (föderatsioon) | Käsitsi loomine, muutmine ja kustutamine, kuid ilma paroolita (autentimise eest vastutab identiteedipakkuja). Kontosid kasutatakse peamiselt metaandmete (meiliaadress, rühmakuuluvused) talletamiseks. |
| LDAP ja Anonymous directory | Domeenivalijas ei kuvata — kontosid hallatakse kataloogi poolel või need ei kohaldu. |
Valimine ja filtreerimine¶
| Element | Kirjeldus |
|---|---|
| Domain | Valib domeeni, mille kontod loetletakse. Pakutakse ainult kohalikke ja föderatsioonidomeene. |
| Group | Filtreerib loendit rühma järgi. Ülaossa lisatakse sünteetiline kirje All, et kuvada kõik kontod. |
| Otsinguväli | Filtreerib konto nime alamstringi järgi. Otsing käivitub 700 ms pärast viimast klahvivajutust või kohe klahviga Enter. |
| Tabeli veerud | ID, Name (SAML-domeenide puhul peidetud), Email, Groups. Kui kontosid pole, kuvatakse tabelis No available users. |
Kasutaja lisamine — kohalik domeen¶
Sisestuspiirangud ja saadaolevad väljad:
| Väli | Kirjeldus |
|---|---|
| User name | Kohustuslik. Märgid < ja > on keelatud. Peab olema domeeni piires kordumatu. |
| Password / Confirm | Loomisel kohustuslikud. Rakendatakse domeenis kehtivat paroolipoliitikat. |
| Full name | Kuvanimi, mida mõnes vaates kuvatakse tehnilise nime asemel. |
| Valideeritakse kui korrektne meiliaadress. | |
| Phone | Valideeritakse kui telefoninumber. |
| IP lock | IP-aadresside või -vahemike loend (valikulise maskiga, komadega eraldatud), millest kasutajal on lubatud ühenduda. See on aadress, mida näeb Mediation Controller server: vahepealse NAT-i korral sisestage avalik aadress. |
| Role | Vt allpool olevat rollide tabelit. |
Kohalikus domeenis saadaolevad rollid:
| Roll | Toime |
|---|---|
| User (vaikimisi) | Juurdepääs ainult kasutajaportaalile. |
| Administrator | Juurdepääs halduskonsoolile täielike õigustega. |
| Delegated administrator | Juurdepääs halduskonsoolile piiratud õigustega. Tegelikud õigused olenevad delegeeritud administraatori profiilist ja haldusrühmadest, kuhu konto kuulub. |
Kaks laiendatavat suvandit piiravad konto eluiga:
| Suvand | Kirjeldus |
|---|---|
| Limited sessions | Piirab sisselogimiste arvu. Kui see arv on saavutatud, rakendub valitud toiming: konto lukustamine (vaikimisi) või kustutamine. Miinimum on 1. |
| Temporary account | Piirab konto kehtivust algus- ja lõppkuupäeva ning -kellaajaga. Lõppkuupäeval rakendub valitud toiming: lukustamine või kustutamine. Lõppkuupäev peab olema rangelt hilisem kui alguskuupäev. |
Vaikimisi kohaliku domeeni konto admin
Vaikimisi kohaliku domeeni sisseehitatud konto admin on eriline. Selle roll on sunnitult Administrator ning suvandid Limited sessions ja Temporary account on peidetud — neid piiranguid ei saa sellele rakendada.
Vahekaart Groups määrab konto ühte või mitmesse rühma, kui lohistate rühmad saadaolevate loendist valitute loendisse. Otsinguväli filtreerib vasakpoolset loendit.
Kasutaja lisamine — SAML-domeen¶
Föderatsioonidomeeni korral on vorm lühendatud: kuna autentimine on delegeeritud identiteedipakkujale, ei talletata Bastion platvormis parooli.
| Väli | Kirjeldus |
|---|---|
| User name | Kohustuslik. Märgid < ja > on keelatud. Peab vastama identiteedipakkuja tagastatud identifikaatorile. |
| Description | Vaba tekst. |
| Valideeritakse kui korrektne meiliaadress. |
Vahekaardil Groups kuvatakse kaheveeruline loend (saadaolevad / valitud) koos otsingu ja nupuga „vali kõik“.
Kasutaja muutmine¶
Muutmisvormi avamiseks valige loendis konto ja klõpsake ikooni Properties või topeltklõpsake rida. Kehtivad samad piirangud mis loomisel, lisaks on kolm ainult muutmisel saadaolevat vahekaarti:
Seob kontoga vabas vormis võtme-väärtuse paarid. Sisestage nimetus ja väärtus ning klõpsake seejärel nuppu Add. Juba kasutatud nimetus lükatakse tagasi. Iga kirje saab eraldi kustutada selle real oleva kustutamisnupuga, kinnitamisega.
Loetleb ressursid, millele kontol on juurdepääs, arvutatuna juurdepääsulepingute põhjal.
Iga ressursi kohta kuvatakse järgmine teave:
- nimi ja teenusetüübi ikoon (RDP, HTML5 RDP, SSH, VNC, SMB, VPN, ICA jne),
- kohaldatavad piirangud ikoonidena: video- või sündmuste salvestamine, workflow'ga lukustamine, ühekordne juurdepääs, järelejäänud kestus, kuupäevavahemik, ajaaken,
- saadaolev juurdepääs: roheline ikoon, kui vähemalt ühel lepingu site'il on võrgus olev Edge Gateway komponent, muul juhul punane.
Otsinguväli ja laiendatav filtriplokk kitsendavad loendit rakenduse tüübi (standardne / privilegeeritud), teenusetüübi või piirangu oleku järgi.
Loetleb FIDO- / WebAuthn-võtmed, mille konto on portaalist registreerinud.
Veerud: Display name, Creation date. Iga võtme saab eraldi kustutada, kinnitamisega. Uue võtme lisab kasutaja ise portaalist.
Kasutaja kustutamine¶
Valige loendis üks või mitu kontot ja klõpsake nuppu ×. Kuvatakse kinnitusviip.
Kehtivad mitu kaitsemeedet:
- Vaikimisi kohaliku domeeni kontot
adminei saa kunagi kustutada. - Delegeeritud administraator ei saa kustutada kontot, mille roll ei ole User (seega ei saa ta kustutada teist administraatorit ega delegeeritud administraatorit).
Administration groups¶
Moodul Administration groups deklareerib, et domeenis olemasolev rühm annab oma liikmetele haldusõigused. See avatakse moodulist Authentication domains nupuga Administration groups.
| Domeeni tüüp | Saadavus |
|---|---|
| Default local directory | Saadaval. Deklareerida saab ainult delegeeritud administraatorite rühmi (märkeruut on sunnitult märgitud). |
| LDAP | Saadaval. Valik täieõiguslike administraatorite rühma ja delegeeritud administraatorite rühma vahel. |
| SAML (föderatsioon) | Saadaval. Valik täieõiguslike administraatorite rühma ja delegeeritud administraatorite rühma vahel. |
| Muud kohalikud kataloogid, anonüümne kataloog | Pole saadaval. |
Tabeli veerud: Group name ja Type (administraator või delegeeritud administraator).
Rühma lisamine¶
- Valige ripploendist domeen.
- Klõpsake nuppu +.
- Täitke väljad ja kinnitage.
| Väli | Kirjeldus |
|---|---|
| Group | Valib rühma. Mõne märgi tippimine filtreerib dünaamiliselt domeenist toodud rühmade loendit. Kohaliku domeeni puhul peab väärtus vastama domeenis juba olemasolevale rühmale (vabatekst lükatakse tagasi). LDAP- või föderatsioonidomeenide puhul aktsepteeritakse vabateksti. |
| Delegated administrators group | Märkeruut, mis eristab delegeeritud administraatorite rühma (märgitud) täieõiguslike administraatorite rühmast (märkimata). Kohalikes domeenides peidetud ja sunnitult märgitud. |
Rühma kustutamine¶
Valige loendis rühm ja klõpsake nuppu ×. Kustutamiseks küsitakse kinnitust. Mitmikvalik on toetatud.
Delegated administrators¶
Moodul Delegated administrators loetleb nimeliselt kontod, mis on LDAP- või SAML-domeenis tunnustatud delegeeritud administraatoritena. See avatakse moodulist Authentication domains nupuga Delegated administrators.
| Domeeni tüüp | Saadavus |
|---|---|
| LDAP | Saadaval. |
| SAML (föderatsioon) | Saadaval. |
| Muud tüübid | Pole saadaval. |
Miks nimeline registreerimine?
LDAP- ja SAML-domeenide puhul ei pruugi haldusrühma kuulumisest piisata: see moodul võimaldab konto selgesõnaliselt delegeeritud administraatoriks nimetada. Registreerimine jõustub ainult siis, kui konto kuulub ka eelmises moodulis deklareeritud delegeeritud administraatorite rühma (peatükk Administration groups).
Delegeeritud administraatori lisamine¶
- Valige ripploendist domeen.
- Klõpsake nuppu +.
- Sisestage kasutajanimi sellisena, nagu see kataloogis on (märgid
<ja>on keelatud), ja kinnitage.
Delegeeritud administraatori kustutamine¶
Valige loendis üks või mitu kontot ja klõpsake nuppu ×. Kustutamiseks küsitakse kinnitust. Kehtivad samad kaitsemeetmed nagu kasutajate loendis (delegeeritud administraator ei saa kustutada teist kontot, mille roll ei ole User).