Access conditions¶
Modul Access conditions definira pravila koja, kada se pridruže stavci access contract, korisnicima dopuštaju ili odbijaju povezivanje s korisničkim portalom na temelju tehničkog kriterija (IP adresa, vremenski okvir, preglednik, operacijski sustav, certifikat, atribut korisničkog profila itd.).
Uvjet se procjenjuje u trenutku povezivanja: ako je valjan, primjenjuje se pridružena radnja (dopuštanje ili odbijanje).
Popis uvjeta¶
Tablica prikazuje sve postojeće uvjete, podijeljene na stranice po 15, 25 ili 50 unosa.
| Stupac | Opis |
|---|---|
| Name | Naziv uvjeta, ispred kojeg je ikona koja prikazuje vrstu i odluku (dopuštanje ili odbijanje). |
| Type | Vrsta uvjeta (pogledajte tablicu u nastavku). |
| Condition | Tekstni sažetak konfiguriranih parametara (IP rasponi, datumi, preglednici itd.). |
Polje za pretraživanje u gornjem desnom kutu filtrira popis po nazivu.
Dodavanje uvjeta¶
Klikom na gumb + otvara se obrazac za stvaranje. Polja zajednička svim vrstama:
| Polje | Opis |
|---|---|
| Condition type | Obavezno. Definira prirodu pravila (pogledajte tablicu u nastavku). Ne može se mijenjati nakon prvog spremanja. |
| Name | Obavezno. |
| Description | Slobodan tekst. |
| Access | Dva izbora: Allow if valid (zadano) ili Deny if valid. |
| Notify the user if invalid | Ako je označeno, korisnik vidi poruku kada uvjet odbije pristup. |
| Log if invalid | Ako je označeno, pri odbijanju se u zapisnik upisuje unos. |
Dostupne vrste¶
| Vrsta | Provjera koja se izvodi | Potreban klijent |
|---|---|---|
| Connection address | URL poslužitelja Mediation Controller koji koristi klijent. | Ne |
| Antispyware | Prisutnost aktivne zaštite od špijunskog softvera na radnoj stanici. | Da |
| Antivirus | Prisutnost aktivnog antivirusnog programa na radnoj stanici. | Da |
| Windows Security Center | Stanje sigurnosnih postavki sustava Windows (automatsko ažuriranje, postavke programa Internet Explorer, UAC). | Da |
| Certificate | Certifikat koji preglednik predočuje radi provjere autentičnosti na web-sučelju. | Ne |
| Date | Raspon datuma, vremenski okvir, popis mjeseci, dani u tjednu. | Ne |
| IP | IP adresa / adresa domene, IP raspon ili podmreža. | Ne |
| MD5 | Prisutnost datoteke na navedenoj putanji s očekivanim kontrolnim zbrojem MD5. | Da |
| Meta-rule | Logička kombinacija (AND / OR) najmanje dvaju drugih postojećih uvjeta. | Ovisi o kombiniranim uvjetima |
| Browser | Preglednik koji klijent upotrebljava. | Ne |
| Operating system | Operacijski sustav otkriven na radnoj stanici. | Da, osim ako je označeno Use the User-Agent |
| Firewall | Prisutnost aktivnog vatrozida. | Da |
| System | Lokalna provjera (datoteka, broj volumena, serijski broj diska, pokrenuti proces, ključ registra). | Da |
| User | Prisutnost / vrijednost atributa korisničkog profila. | Ne |
| FIDO2 | Provjera autentičnosti korisnika putem ključa FIDO2 / WebAuthn. | Ne |
Stupac „Potreban klijent“
Neke se provjere odnose na stanje radne stanice: izvode se lokalno i stoga zahtijevaju da na radnoj stanici korisnika bude instaliran klijent Bastion. Kada klijent nije prisutan, uvjet kojemu je on potreban ne može se procijeniti i smatra se nevažećim — što je osobito slučaj kod povezivanja iz klijenta Cleanroom Desktop.
Parametri po vrsti¶
| Polje | Opis |
|---|---|
| Domain | Dio s nazivom hosta u adresi URL poslužitelja Mediation Controller (bez https:// ili putanje). Prihvaća slova, znamenke, spojnice, točku i znakove regularnih izraza. |
Ponuđena su dva načina:
| Način | Opis |
|---|---|
| User authenticated using a certificate (zadano) | Provjerava je li korisnik prošao provjeru autentičnosti pomoću certifikata. |
| Test certificate's contents | Dodatno uspoređuje polje certifikata s poljem korisničkog profila. |
Dodatna polja za drugi način:
| Polje | Opis |
|---|---|
| Certificate field | Padajući popis: DN field of the user certificate, CN field of the user certificate (zadano), Email field of the user certificate, O field of the user certificate, OR field of the user certificate ili PEM-encoded certificate for client X509. |
| User profile field | Polje korisničkog profila čija se vrijednost uspoređuje. |
Mora biti označena najmanje jedna od četiri mogućnosti; aktivne se mogućnosti kombiniraju logičkim operatorom AND.
| Mogućnost | Opis |
|---|---|
| Date | Raspon datuma (početak, kraj). Završni datum ne može biti raniji od početnog datuma. |
| Hour | Vremenski okvir (HH:MM). Završno vrijeme mora biti nakon početnog vremena (osim ako uvjet obuhvaća nekoliko dana). |
| Month | Dvanaest potvrdnih okvira, prema zadanim postavkama svi su označeni. |
| Day of the week | Sedam potvrdnih okvira, prema zadanim postavkama svi su označeni. |
Tri međusobno isključiva načina:
| Način | Polja |
|---|---|
| IP or domain list | Jedna ili više adresa IPv4 odvojenih znakom ;. |
| IP range | Početna i završna IP adresa. |
| Subnetwork | IP adresa i maska (CIDR od 0 do 32). |
| Polje | Opis |
|---|---|
| File path | Puna putanja (npr. C:\Test.ext). |
| MD5 checksum | Heksadecimalni broj od 32 znaka. |
Poveznica omogućuje preuzimanje uslužnog programa za kontrolne zbrojeve MD5 za Windows koji isporučuje Bastion.
| Polje | Opis |
|---|---|
| Logical operator | AND (zadano) ili OR. |
| Component rules | Povucite i ispustite najmanje dva uvjeta iz lijevog stupca u desni stupac. Metapravilo ne može upućivati na samo sebe ni na metapravilo koje se već upotrebljava u njegovoj vlastitoj hijerarhiji. |
Potvrdni okviri koji odgovaraju preglednicima koje treba otkriti: Internet Explorer 7 do 11, Konqueror, Firefox, Safari, Chrome, Opera, Edge. Mogućnost Other aktivira polje za slobodan tekst za točan naziv drugog preglednika. Prema zadanim postavkama označen je Internet Explorer.
Izdvajanje veza uspostavljenih iz aplikacije Cleanroom Desktop
Platforma vidi Cleanroom Desktop kao preglednik: on se identificira nizom user-agent oblika Cleanroom Desktop 1.2.3.4. Označavanje opcije Other i unos vrijednosti Cleanroom Desktop stoga ciljaju pristupe ostvarene iz tog klijenta. Kada je pridružen ugovoru o pristupu, uvjet vam omogućuje da neke resurse rezervirate za klijent Desktop, a druge za korisnički portal.
| Mogućnost | Opis |
|---|---|
| Use the User-Agent | Ako je označeno, otkrivanje se temelji na zaglavlju User-Agent, a ne na lokalnom agentu. |
| Popis operacijskih sustava | Potvrdni okviri (Windows XP do 11, Windows Server 2003 do 2022, Linux, MacOS X, Vista, 9x, NT, CE itd.). Mogućnost Other aktivira polje za slobodan tekst. Mora biti označen najmanje jedan okvir. |
Lokalna provjera, u jednom od načina:
| Način | Opis | Vrednovanje popisa |
|---|---|---|
| File | Popis putanja datoteka za provjeru. | Sve moraju biti prisutne (AND). |
| C:\ volume number | Popis brojeva volumena (uslužni program koji se može preuzeti pomaže u njihovu dohvaćanju). | Mora se podudarati samo jedan (OR). |
| Hard disk serial number | Popis serijskih brojeva. | Mora se podudarati samo jedan (OR). |
| Running process | Popis naziva procesa. | Svi moraju biti pokrenuti (AND). |
| Registry Key | Popis ključeva / vrijednosti u obliku HKEY_LOCAL_MACHINE\path\name=value. |
Svi moraju postojati, prema potrebi s navedenom vrijednošću (AND). |
Za svaki način unesite vrijednost i kliknite Add da biste je dodali u tablicu. Svaki se redak može izbrisati pojedinačno (uz potvrdu).
Logika se razlikuje od načina do načina
Dva hardverska načina — C:\ volume number i Hard disk serial number — zadovoljena su čim se podudara samo jedna vrijednost s popisa: ondje popis navodi dopuštene radne stanice. Ostala tri načina zahtijevaju provjeru svake vrijednosti.
| Polje | Opis |
|---|---|
| Attribute name | Atribut korisničkog profila koji treba provjeriti (npr. mail, employeeID, mobile). |
| Attribute value | Neobavezno. Izraz koji se uspoređuje s vraćenom vrijednošću. Ako ostane prazno, uvjet samo provjerava sadrži li atribut vrijednost. |
| Exclusive comparison | Ako je označeno, izraz se mora podudarati od početka vrijednosti; u suprotnom se može podudarati bilo gdje unutar vrijednosti. |
Podržane vrste domena
Ovaj uvjet nije ograničen na imenike: atributi se čitaju iz imenika za domenu LDAP i iz baze podataka za lokalnu domenu. Za ostale vrste domena — osobito SAML — ne vraća se nijedan atribut, pa ondje uvjet nikada nije valjan, što je važno ovisno o tome je li postavljen na Allow ili na Deny.
Uređivanje uvjeta¶
Odaberite uvjet na popisu i kliknite ikonu Properties ili dvaput kliknite redak. Prikazuju se ista polja kao pri stvaranju, osim polja Type, koje postaje samo za čitanje.
Brisanje uvjeta¶
Odaberite jedan ili više uvjeta i kliknite gumb ×. Brisanje traži potvrdu. Podržan je višestruki odabir.