Authentication domain¶
Domena za provjeru autentičnosti definira gdje i kako se identiteti korisnika provjeravaju pri povezivanju. Svaki račun pripada grupi, a svaka grupa domeni: domena određuje odakle računi potječu — iz korporacijskog imenika, iz interne baze ili od vanjskog davatelja identiteta.
Ovaj modul navodi deklarirane domene. Kliknite + da biste dodali domenu ili dvaput kliknite naziv da biste je konfigurirali. Vrsta imenika odabire se pri stvaranju i poslije se ne može promijeniti.
Nude se četiri vrste:
| Vrsta imenika | Izvor računa | Upotreba |
|---|---|---|
| LDAP directory | Vanjski imenik (Active Directory, OpenLDAP…) | Uobičajeni slučaj: postojeći računi i grupe ponovno se upotrebljavaju takvi kakvi jesu, bez kopiranja. |
| Local directory | Interna baza platforme | Računi koji se stvaraju i kojima se upravlja izravno iz konzole, uz imenik ili za mali opseg. |
| SAML domain | Vanjski davatelj identiteta (IdP) | Provjera autentičnosti delegira se IdP-u; platforma djeluje kao davatelj usluga. |
| Anonymous directory | Nema | Rijetki slučajevi u kojima pristup aplikaciji ne zahtijeva nikakvu provjeru autentičnosti. |
Redoslijed stvaranja
Najprije stvorite domenu, zatim grupe, a zatim korisničke račune: prava pristupa aplikacijama dodjeljuju se zatim grupama, putem ugovora o pristupu.
Zajednički elementi konfiguracije¶
Te su postavke prisutne za svaku vrstu domene:
| Polje | Opis |
|---|---|
| Name | Odaberite smislen naziv domene. |
| Shortcut URL | Prikazuje se samo u načinu uređivanja. Izravni URL koji omogućuje pristup korisničkom portalu za ovu određenu domenu, bez prolaska kroz popis dostupnih domena. Oblik: https://{server}/cloud/?orgname={organisation}&domainid={id}. |
| Description | Neobavezno polje koje opisuje sadržaj domene. |
| Microsoft domain | Informacija koja prati identifikaciju korisnika kada je omogućena jedinstvena prijava (SSO). |
| Expiration | Najdulje vrijeme neaktivnosti prije isteka sesije. Zadana vrijednost: 60 minuta. |
| Number of attempts before lockout | Ograničava broj pokušaja prijave. Preporučena vrijednost: 3 pokušaja (zaštita od napada grubom silom). Ovo ograničenje mora biti ≤ od bilo kojeg ograničenja postavljenog u LDAP imeniku. |
| Time before unlock (minutes) | Vrijeme čekanja prije otključavanja zaključanih sesija. Postavite 0 da biste onemogućili. |
| The domain is part of cascading authentication | Pogledajte poglavlje Kaskadna provjera autentičnosti. |
| Delegate authentication to an external server | Mogućnosti: No, CAS, IdeoSSO. |
| Alternative username attribute | LDAP atribut koji se upotrebljava kao sekundarni identifikator kada primarni atribut ne pronađe korisnika (npr. mail, userPrincipalName). |
| Maximum number of simultaneous sessions per user | Preporučena vrijednost: 1 sesija. |
| Automatic deletion of the oldest session | Automatski zatvara aktivnu sesiju kada se zatraži nova. |
| Note displayed in the authentication form | Napomena namijenjena isključivo korisnicima domene. |
Način provjere autentičnosti¶
| Polje | Opis |
|---|---|
| Authentication method | Određuje kako se pri prijavi provjerava identitet korisnika: Form (korisničko ime i lozinka unose se ručno) / User certificate (korisničko ime izdvaja se iz polja CN certifikata) / User certificate and form (nakon provjere autentičnosti certifikatom i dalje je potrebna lozinka) / Apache authentication (provjera autentičnosti delegirana je web-poslužitelju Apache) / Pro Santé Connect (CIBA) (provjera autentičnosti putem francuskog nacionalnog davatelja identiteta u zdravstvu). |
| Force the use of the virtual keyboard | Na stranici za provjeru autentičnosti prikazuje zaslonsku tipkovnicu radi zaštite unosa lozinke od keyloggera. |
Pro Santé Connect (CIBA)¶
Ta se polja prikazuju samo kada je odabran način provjere autentičnosti Pro Santé Connect (CIBA). Pro Santé Connect francuski je nacionalni davatelj identiteta za zdravstvene djelatnike.
| Polje | Opis |
|---|---|
| Identifier (client id) | Identifikator klijenta koji Pro Santé Connect dodjeljuje pri registraciji aplikacije. |
| Secret (client secret) | Pridružena tajna klijenta koja se upotrebljava za provjeru valjanosti OIDC razmjena s uslugom Pro Santé Connect. |
| Sandbox | Kada je označeno, CyberElements se povezuje s testnim okruženjem PSC umjesto s produkcijskim okruženjem. Upotrebljavajte samo za integracijsko testiranje. |
| RPPS retrieval | Određuje odakle potječe korisnikov broj RPPS (francuski registar zdravstvenih djelatnika): Use the authentication attribute (RPPS se izdvaja iz primarnog atributa za provjeru autentičnosti) ili Use another user attribute (RPPS se izdvaja iz zasebnog atributa koji se navodi u sljedećem polju). |
| User attribute containing the RPPS | Naziv atributa koji sadrži broj RPPS (npr. rpps, healthcareProfessionalId). Vidljivo je i obavezno samo ako je prethodna mogućnost postavljena na „Use another user attribute“. |
OTP token za provjeru autentičnosti¶
| Polje | Opis |
|---|---|
| Authentication token | Odabir generatora OTP koji će se upotrebljavati (prethodno deklariranih putem izbornika generatora OTP tokena). Moguć je višestruki odabir. |
| User attribute used to send the OTP | Navodi atribut korisnika putem kojeg se OTP isporučuje za svaki odabrani token (npr. mobile za slanje SMS porukom, mail za slanje e-poštom). Za svaki odabrani token prikazuje se po jedno polje. |
| Token expiration duration | Trajanje nakon kojeg se poslani OTP više ne prihvaća. Postavite 0 da biste onemogućili istek. |
| Time unit | Jedinica trajanja isteka: Hours ili Days. Vrijednost unesena u prethodno polje množi se ovom jedinicom (1 za sate, 24 za dane). |
| Expiration starts | Početna točka odbrojavanja do isteka: From the last OTP validation (OTP istječe X sati nakon provjere valjanosti) ili From the last successful login (OTP istječe X sati nakon otvaranja sesije). |
| *Replace OTP characters with "" | Maskira znakove unesene u polje jednokratne lozinke tijekom prijave. |
Provjera autentičnosti neomia Pulse¶
neomia Pulse rješenje je za kontinuiranu provjeru autentičnosti koje se temelji na analizi ponašanja. Ta se polja prikazuju kada je označen potvrdni okvir Enable neomia Pulse authentication.
| Polje | Opis |
|---|---|
| Enable neomia Pulse authentication | Omogućuje integraciju s rješenjem neomia Pulse. Za domenu se stvara konfiguracija Pulse. |
| API URL | Osnovni URL sučelja API neomia Pulse za provjeru korisnika (npr. https://pulse.example.com/api). |
| Authentication API URL | URL krajnje točke za provjeru autentičnosti Pulse ako se razlikuje od glavne adrese URL. |
| API key | Tajni ključ koji rješenju CyberElements omogućuje provjeru autentičnosti prema sučelju API Pulse. |
| Number of neomia Pulse attempts | Najveći broj pokušaja provjere autentičnosti putem rješenja Pulse prije blokiranja zahtjeva. Zadana vrijednost: 3. |
| If Pulse authentication succeeds | Ponašanje kada Pulse uspješno potvrdi korisnika: Skip the OTP token (sve jednokratne lozinke (OTP) konfigurirane na domeni zaobilaze se) ili Reinforce authentication (jednokratne lozinke ostaju obavezne i nakon uspješne provjere putem rješenja Pulse). |
| If Pulse authentication fails | Rezervno ponašanje ako Pulse ne uspije ili nije dostupan: Block access (korisnik se ne može prijaviti, vraća se kôd pogreške PULSE_API_ERROR) ili Request an additional authentication factor (automatski povratak na standardnu provjeru autentičnosti OTP). |
| Display graphical components | Na stranici za provjeru autentičnosti prikazuje vizualne elemente uzorka tipkanja iz sučelja neomia Pulse. |
| Display authentication factors | Korisniku prikazuje popis čimbenika provjere autentičnosti koje je otkrio Pulse. |
Delegiranje provjere autentičnosti vanjskom poslužitelju¶
CAS poslužitelj¶
| Polje | Opis |
|---|---|
| CAS server URL | Puni URL CAS poslužitelja kojemu je delegirana provjera autentičnosti. |
IdeoSSO¶
| Polje | Opis |
|---|---|
| CAS server URL | Puni URL poslužitelja IdeoSSO. |
| IdeoSSO, user property matching the identifier | Naziv svojstva korisnika u sustavu IdeoSSO koje se u platformi CyberElements upotrebljava kao identifikator za prijavu. |
Konfiguriranje domene vrste „Local directory“¶
Kartica: General information¶
| Polje | Opis |
|---|---|
| Invisible shortcut | Ako postoji više domena, označite ovaj okvir kako se domena ne bi prikazivala na popisu koji se nudi korisniku. Domena je tada dostupna samo putem svojeg punog URL-a prečaca. |
| Display the access condition if it is invalid | Ako je označeno, kada nevaljan uvjet pristupa spriječi korisnika da se prijavi, prikazuje mu se odgovarajuća poruka o pogrešci. Ako nije označeno, korisnik ne dobiva nikakvo objašnjenje. Dostupno samo u načinu uređivanja. |
Kartica: Password¶
Ova se kartica upotrebljava za konfiguriranje upravljanja lozinkama korisnika lokalne domene.
| Polje | Opis |
|---|---|
| Change the user's password at first login | Ako je označeno, korisnik se pri prvoj prijavi automatski preusmjerava na zaslon za promjenu lozinke. Portalu ne može pristupiti dok ne promijeni lozinku. |
| Display the password change form | Ako je označeno, na zaslonu za prijavu prikazuje se poveznica koja korisniku omogućuje promjenu lozinke. |
| Define a custom password policy | Omogućuje definiranje pravilnika o složenosti i trajanju lozinki specifičnog za ovu domenu. |
Kada je označeno Define a custom password policy, dostupne su sljedeće postavke:
| Polje | Opis |
|---|---|
| Display the password policy to the user | Ako je označeno, pravila složenosti prikazuju se korisniku kada postavlja ili mijenja lozinku. |
| Minimum number of characters | Najmanja potrebna duljina lozinke. Zadana vrijednost: 10. Postavite 0 da biste onemogućili. |
| Minimum number of lowercase letters | Najmanji potreban broj malih slova. Postavite 0 da biste onemogućili. |
| Minimum number of uppercase letters | Najmanji potreban broj velikih slova. Postavite 0 da biste onemogućili. |
| Minimum number of digits | Najmanji potreban broj znamenki. Postavite 0 da biste onemogućili. |
| Minimum number of special characters | Najmanji potreban broj posebnih znakova. Postavite 0 da biste onemogućili. |
| Minimum password lifetime (days) | Najkraće vrijeme prije nego što korisnik smije promijeniti lozinku. Sprječava prečeste promjene. Postavite 0 da biste onemogućili. |
| Maximum password lifetime (days) | Vrijeme nakon kojeg lozinka istječe i mora se obnoviti. Zadana vrijednost: 60 dana. Postavite 0 da biste onemogućili. |
| Notify the user before expiration (days) | Šalje korisniku poruku e-pošte navedeni broj dana prije isteka lozinke. Zahtijeva konfigurirano najdulje trajanje, SMTP poslužitelj i izvornu adresu e-pošte. Postavite 0 da biste onemogućili. |
| SMTP server | Poslužitelj koji se upotrebljava za slanje obavijesti o isteku (među onima deklariranima u konfiguraciji SMTP). |
| Source e-mail | Adresa e-pošte koja se prikazuje kao pošiljatelj obavijesti. |
| Reject the new password if it contains the login | Ako je označeno, zabranjuje lozinke koje sadrže korisnikov identifikator za prijavu (zaštita od očitih lozinki). |
| Reject the new password if it matches one of the last X | Vodi povijest lozinki i zabranjuje ponovnu upotrebu navedenog broja prethodnih lozinki. Postavite 0 da biste onemogućili. |
Konfiguriranje domene vrste „LDAP directory“¶
Kartica: General information¶
| Polje | Opis |
|---|---|
| Invisible shortcut | Ako postoji više domena, označite ovaj okvir kako se domena ne bi prikazivala na popisu koji se nudi korisniku. |
Kartica: LDAP settings¶
Veza¶
| Polje | Opis |
|---|---|
| Authentication through a site | Ako je označeno, CyberElements koristi komponentu Edge Gateway jednog site za pristup imeniku, čime se izbjegava potreba za otvaranjem pravila vatrozida za ulazni promet iz zone DMZ. Drugo polje omogućuje odabir site koji će se koristiti. |
| Authentication type | Protokol povezivanja (bind) s LDAP poslužiteljem: SIMPLE (bind s DN-om i lozinkom u čistom tekstu putem TLS-a) / NTLM (provjera autentičnosti sustava Windows, zahtijeva sufiks domene Microsoft) / SASL/Digest-MD5 (provjera autentičnosti SASL s raspršivanjem MD5, ne prenosi lozinku u čistom tekstu). |
| Microsoft domain suffix | Sufiks domene sustava Windows koji se upotrebljava za izradu identifikatora NTLM (npr. CONTOSO). Vidljivo samo ako je vrsta provjere autentičnosti NTLM. |
Traženje korisnika i grupa¶
| Polje | Opis |
|---|---|
| Search mode | Definira strategiju dohvaćanja grupa iz imenika: Retrieve groups from a group attribute (prolazi kroz grupe i čita njihove članove — prikladno za standardne imenike) / Retrieve groups from a user attribute (čita atribut memberOf svakog korisnika — brže u servisu Active Directory) / Retrieve nested groups through the TokenGroups attribute (upotrebljava poseban AD atribut tokenGroups za rekurzivno razrješavanje ugniježđenih grupa — preporučeno u servisu Active Directory). |
| User attribute containing the groups | Naziv atributa korisničkog objekta koji navodi grupe kojima korisnik pripada. Vidljivo samo ako je odabran način „from a user attribute“. |
| Use the user's DN to log in | Ako je označeno, tijekom operacije LDAP bind (provjere autentičnosti) upotrebljava se puni DN korisnika. |
| User authentication attribute | LDAP atribut koji se pri prijavi upotrebljava kao jedinstveni identifikator korisnika. Predložene vrijednosti: sAMAccountName (Active Directory), cn, sn, uid, mailNickname, userPrincipalName, employeeID ili prilagođeni atribut. |
| User attribute customisation | Omogućuje ručni unos atributa kojeg nema na popisu. Vidljivo samo ako je odabrano „custom“. |
| Group authentication attribute | LDAP atribut koji se upotrebljava za jednoznačnu identifikaciju grupa (npr. cn, sAMAccountName). |
Stablo¶
| Polje | Opis |
|---|---|
| Users branch | Puni DN organizacijske jedinice koja sadrži korisnike (npr. ou=Users,dc=example,dc=com). |
| Groups branch | Puni DN organizacijske jedinice koja sadrži grupe (npr. ou=Groups,dc=example,dc=com). |
| Manual group management | Ako je označeno, grupe se ne sinkroniziraju automatski iz LDAP imenika. Administratori moraju ručno dodavati i uklanjati grupe u platformi CyberElements. |
Račun usluge¶
| Polje | Opis |
|---|---|
| Service account (must be able to reset passwords) | Identifikator računa usluge kojim se CyberElements koristi za postavljanje upita imeniku — na primjer njegov sAMAccountName (svc_cye). Taj račun mora moći ponovno postaviti lozinke korisnika domene, inače promjena lozinke s korisničkog portala ne uspijeva. Konzola ne preporučuje puni DN jer može uzrokovati probleme s upravljanjem RDS poslužiteljima. Izričito se preporučuje definirati namjenski račun i onemogućiti anonimno povezivanje s imenikom. |
| Password | Lozinka računa usluge. |
| User class | Klasa LDAP objekta korisnika koje treba tražiti u imeniku (npr. person, inetOrgPerson, user za Active Directory). |
| Group filter | Dodatni filtar atribut/vrijednost za prepoznavanje grupa u imeniku. Upotrebljava se samo s načinom pretraživanja „from a group attribute“. |
Lozinka korisnika¶
| Polje | Opis |
|---|---|
| Display the password change form | Ako je označeno, na zaslonu za prijavu prikazuje se poveznica za promjenu lozinke. Ta je mogućnost dostupna samo ako veza s imenikom upotrebljava SSL (LDAPS) ili prolazi kroz site. |
| Check whether the password must be changed | Ako je označeno, CyberElements postavlja upit LDAP imeniku kako bi utvrdio mora li korisnik promijeniti lozinku (atribut pwdLastSet u servisu Active Directory) te ga po potrebi na to prisiljava. |
| Check the password complexity when it is changed | Ako je označeno, CyberElements provjerava zadovoljava li nova lozinka pravilnik o složenosti definiran u imeniku kada se promjena pokrene s portala. |
Mogućnost Radius¶
| Polje | Opis |
|---|---|
| Enable the Radius option | Označite ovaj okvir samo ako je LDAP imenik povezan s provjerom autentičnosti Radius (dvofaktorskom). Ta se mogućnost može omogućiti samo pri stvaranju domene i poslije se ne može promijeniti. |
Kada je mogućnost Radius omogućena, prikazuju se sljedeće postavke:
| Polje | Opis |
|---|---|
| Mode | Način rada poslužitelja Radius: quicklog (izravna provjera autentičnosti: lozinka se prosljeđuje poslužitelju Radius nepromijenjena) ili challenge/response (poslužitelj Radius šalje izazov na koji korisnik mora odgovoriti). |
| Server | IP adresa ili DNS naziv poslužitelja Radius. |
| Port | Priključak na kojem poslužitelj Radius osluškuje. Zadana vrijednost: 1812. |
| Secret | Zajednička tajna između platforme CyberElements i poslužitelja Radius koja se upotrebljava za šifriranje razmjena. |
| Number of attempts | Najveći broj pokušaja nakon kojih CyberElements odustaje od zahtjeva prema poslužitelju Radius. Zadana vrijednost: 3. |
| Timeout (seconds) | Najdulje vrijeme čekanja odgovora poslužitelja Radius prije isteka vremenskog ograničenja. Zadana vrijednost: 10 sekundi. |
| Radius NAS IP address | Izvorna IP adresa koju CyberElements prijavljuje poslužitelju Radius (atribut NAS-IP-Address). Postavite je ako poslužitelj Radius filtrira zahtjeve prema izvornoj IP adresi. |
Ostale postavke¶
| Polje | Opis |
|---|---|
| Allow RDS server management | Ako je označeno, računi u ovoj domeni mogu se pridružiti RDS poslužiteljima u modulu za upravljanje RDS poslužiteljima. |
| Use specific certificate authorities to validate LDAPS certificates | Ako je označeno, CyberElements upotrebljava prilagođeni certifikat CA za provjeru valjanosti certifikata koji LDAP poslužitelj predočuje tijekom SSL veza. Ako nije označeno, upotrebljavaju se certifikacijska tijela (CA) sustava (/etc/ssl/certs/ca-certificates.crt). |
| Certificate authorities (base64 encoding) | Datoteka koja sadrži korijenska certifikacijska tijela (CA) u formatu PEM (tekst koji počinje s -----BEGIN CERTIFICATE-----). Vidljivo je i obavezno samo ako je prethodna mogućnost omogućena. |
LDAP poslužitelji¶
Tablica poslužitelja navodi poslužitelje pridružene domeni (stupci: Server, Port, Protocol). Definiranje više poslužitelja omogućuje visoku dostupnost: u slučaju kvara CyberElements se automatski prebacuje na dostupan poslužitelj.
Da biste dodali poslužitelj, kliknite +. Unesite:
| Polje | Opis |
|---|---|
| Server | IP adresa ili DNS naziv LDAP poslužitelja. |
| Port | Priključak za pristup. Zadana vrijednost: 389 (LDAP) ili 636 (LDAPS). |
| Protocol | LDAP ili LDAP preko SSL-a. Upotreba SSL-a izričito se preporučuje čak i u internoj mreži. |
Da biste uredili postojeći poslužitelj, odaberite ga i kliknite ikonu Properties.
Da biste izbrisali poslužitelj, odaberite ga i kliknite ×.
Konfiguriranje domene vrste „Anonymous directory“¶
Anonimna domena može se upotrijebiti u rijetkim slučajevima u kojima pristup aplikaciji ne zahtijeva provjeru autentičnosti jer je korisnikov identitet već provjeren na drugi, poseban način.
| Polje | Opis |
|---|---|
| Maximum number of connections | Ograničava broj istodobnih veza dopuštenih na ovoj domeni. |
| Use the certificate CN as the user identifier | Ako je označeno, identifikator korisnika automatski se izdvaja iz polja CN certifikata klijenta predočenog pri povezivanju. Taj se identifikator zatim upotrebljava za SSO. |
| Identifier format, from the DN | Izraz za izradu identifikatora od komponenti DN-a certifikata (npr. %CN%@%OU%). Vidljivo samo ako je prethodna mogućnost omogućena. |
Konfiguriranje domene vrste „SAML“¶
Kada se upotrebljava domena SAML, CyberElements djeluje kao davatelj usluga (SP) i delegira provjeru autentičnosti vanjskom davatelju identiteta (IdP).
Kartica: General information¶
| Polje | Opis |
|---|---|
| Identity provider | Vrsta davatelja identiteta: Other (bilo koji standardni SAML IdP) ili Azure (Microsoft Azure AD / Entra ID, što dodatno omogućuje asinkronu sinkronizaciju grupa). |
| Identity provider EntityId | Jedinstveni identifikator davatelja identiteta u federaciji SAML. Njegovu vrijednost daje davatelj identiteta (npr. https://sts.windows.net/{tenant-id}/ za Azure, https://[serverName]/idp/shibboleth za Shibboleth). |
| Group names variable | Naziv atributa SAML koji u izjavi prenosi korisnikova članstva u grupama (npr. http://schemas.microsoft.com/ws/2008/06/identity/claims/groups za Azure). |
| Email variable | Naziv atributa SAML iz kojeg platforma čita adresu e-pošte. Polje samo za čitanje: vrijednost je fiksno postavljena na saml-mail i ne može se konfigurirati. |
| Login variable | Naziv atributa SAML koji se u platformi CyberElements upotrebljava kao identifikator za prijavu (npr. http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name). |
| The domain is part of cascading authentication | Pogledajte poglavlje Kaskadna provjera autentičnosti. |
| Manual configuration | Ako je označeno, parametri davatelja identiteta moraju se unijeti ručno (EntityId krajnjih točaka SAML). Ako nije označeno, ti se parametri automatski izdvajaju iz datoteke metapodataka. Dostupno samo u načinu uređivanja. |
Metapodaci davatelja identiteta
Administrativna konzola ne nudi zaslon za razmjenu metapodataka SAML: ta kartica pripada ponudi SaaS. U arhitekturi client hosted metapodaci IdP i metapodaci davatelja usluga konfiguriraju se ručno, u konfiguracijskim datotekama Shibboleth na poslužitelju Mediation Controller.
Kaskadna provjera autentičnosti¶
Da biste omogućili kaskadnu provjeru autentičnosti, otvorite stranicu općih mogućnosti.
Kada korisnik pristupi portalu, sustav među kaskadnim domenama traži one za koje je provjera autentičnosti moguća bez korisničkog imena i lozinke (SAML, Apache, certifikat). Upotrebljava se prva domena koja prepozna korisnika. Ako nijedna domena ne može provjeriti autentičnost bez lozinke, prikazuju se polja za korisničko ime i lozinku.
Nakon omogućivanja na popisu domena prikazuju se dva gumba:
- Označite „The domain is part of cascading authentication“ za svaku željenu domenu.
- Redoslijed se može promijeniti strelicama gore/dolje. Redoslijed 0 obrađuje se prvi.
Napomena
Anonimne domene i domene Radius te one koje delegiraju provjeru autentičnosti vanjskom poslužitelju (CAS) ne mogu se upotrebljavati u kaskadnoj provjeri autentičnosti.