Users and administrators¶
Ova stranica obuhvaća tri modula za upravljanje računima u proizvodu Bastion: korisnike (portala i konzole), administrativne grupe (koje grupi daju administrativna prava) i delegirane administratore (imenične dodjele). Namijenjena je administratoru koji želi stvarati, uređivati ili brisati te račune i dodjeljivati odgovarajuća administrativna prava.
Ta su tri modula dostupna iz modula Authentication domains: najprije odaberite domenu, a zatim kliknite jedan od gumba Users, Administration groups ili Delegated administrators. Modul Users dostupan je i putem izravnog prečaca u administrativnoj konzoli.
Users¶
Modul Users navodi, stvara, uređuje i briše korisničke račune domene. Njegovo ponašanje ovisi o vrsti domene.
| Vrsta domene | Upravljanje računima |
|---|---|
| Local directory | Ručno stvaranje, uređivanje i brisanje. Mogu se definirati uloga i mogućnosti sesije. |
| SAML (federacija) | Ručno stvaranje, uređivanje i brisanje, ali bez lozinke (provjeru autentičnosti obavlja davatelj identiteta). Računi se uglavnom koriste za pohranu metapodataka (adresa e-pošte, članstva u grupama). |
| LDAP i Anonymous directory | Ne navode se u biraču domena — računima se upravlja na strani imenika ili nisu primjenjivi. |
Odabir i filtriranje¶
| Element | Opis |
|---|---|
| Domain | Odabire domenu čiji se računi navode. Nude se samo lokalne domene i domene federacije. |
| Group | Filtrira popis prema grupi. Na vrh se dodaje sintetički unos All za prikaz svih računa. |
| Polje za pretraživanje | Filtrira prema podnizu naziva računa. Pretraživanje se pokreće 700 ms nakon posljednjeg pritiska tipke ili odmah tipkom Enter. |
| Stupci tablice | ID, Name (skriven za domene SAML), Email, Groups. Kada nema nijednog računa, tablica prikazuje No available users. |
Dodavanje korisnika — lokalna domena¶
Ograničenja unosa i dostupna polja:
| Polje | Opis |
|---|---|
| User name | Obavezno. Znakovi < i > su zabranjeni. Mora biti jedinstveno unutar domene. |
| Password / Confirm | Obavezno pri stvaranju. Primjenjuje se pravilnik o lozinkama koji vrijedi u domeni. |
| Full name | Oznaka za prikaz koja se u nekim prikazima prikazuje umjesto tehničkog naziva. |
| Provjerava se kao valjana adresa e-pošte. | |
| Phone | Provjerava se kao telefonski broj. |
| IP lock | Popis IP adresa ili raspona (s neobaveznom maskom, odvojenih zarezima) s kojih se korisnik smije povezati. Riječ je o adresi koju vidi Mediation Controller: ako postoji posrednički NAT, unesite javnu adresu. |
| Role | Pogledajte tablicu uloga u nastavku. |
Uloge dostupne u lokalnoj domeni:
| Uloga | Učinak |
|---|---|
| User (zadano) | Pristup samo korisničkom portalu. |
| Administrator | Pristup administracijskoj konzoli s punim pravima. |
| Delegated administrator | Pristup administracijskoj konzoli s ograničenim pravima. Stvarna prava ovise o profilu delegiranog administratora i o administracijskim grupama kojima račun pripada. |
Dvije mogućnosti koje se mogu proširiti ograničavaju vijek trajanja računa:
| Mogućnost | Opis |
|---|---|
| Limited sessions | Ograničava broj prijava. Kada se taj broj dosegne, primjenjuje se odabrana akcija: zaključavanje (zadano) ili brisanje računa. Najmanja vrijednost je 1. |
| Temporary account | Ograničava valjanost računa datumom i vremenom početka i završetka. Na datum završetka primjenjuje se odabrana akcija: zaključavanje ili brisanje. Datum završetka mora biti strogo nakon datuma početka. |
Račun admin zadane lokalne domene
Ugrađeni račun admin zadane lokalne domene je poseban. Njegova je uloga prisilno postavljena na Administrator, a mogućnosti Limited sessions i Temporary account su skrivene — ta se ograničenja na njega ne mogu primijeniti.
Kartica Groups dodjeljuje račun jednoj ili više grupa povlačenjem i ispuštanjem s popisa dostupnih na popis odabranih. Polje za pretraživanje filtrira lijevi popis.
Dodavanje korisnika — domena SAML¶
Za domenu federacije obrazac je skraćen: budući da je provjera autentičnosti delegirana davatelju identiteta, na strani proizvoda Bastion ne pohranjuje se nikakva lozinka.
| Polje | Opis |
|---|---|
| User name | Obavezno. Znakovi < i > su zabranjeni. Mora odgovarati identifikatoru koji vraća davatelj identiteta. |
| Description | Slobodan tekst. |
| Provjerava se kao valjana adresa e-pošte. |
Kartica Groups prikazuje popis u dva stupca (dostupno / odabrano) s pretraživanjem i gumbom „odaberi sve“.
Uređivanje korisnika¶
Da biste otvorili obrazac za uređivanje, odaberite račun na popisu i kliknite ikonu Properties ili dvaput kliknite redak. Vrijede ista ograničenja kao pri stvaranju, uz tri dodatne kartice specifične za uređivanje:
Pridružuje računu proizvoljne parove ključ/vrijednost. Unesite oznaku i vrijednost, a zatim kliknite Add. Oznaka koja je već upotrijebljena odbija se. Svaki se unos može pojedinačno izbrisati pomoću gumba za brisanje u njegovu retku, uz potvrdu.
Navodi resurse kojima račun može pristupiti, izračunane na temelju ugovora o pristupu.
Za svaki resurs prikazuju se sljedeće informacije:
- naziv i ikona vrste usluge (RDP, HTML5 RDP, SSH, VNC, SMB, VPN, ICA itd.),
- primjenjiva ograničenja u obliku ikona: videosnimanje ili snimanje događaja, zaključavanje putem workflowa, jednokratni pristup, preostalo trajanje, raspon datuma, vremenski prozor,
- dostupan pristup: zelena ikona ako barem jedan site ugovora ima komponentu Edge Gateway na mreži, inače crvena.
Polje za pretraživanje i proširivi blok filtara sužavaju popis prema vrsti aplikacije (standardna / privilegirana), prema vrsti usluge ili prema stanju ograničenja.
Navodi ključeve FIDO / WebAuthn koje je račun registrirao s portala.
Stupci: Display name, Creation date. Svaki se ključ može pojedinačno izbrisati, uz potvrdu. Novi ključ dodaje korisnik s portala.
Brisanje korisnika¶
Odaberite jedan ili više računa na popisu i kliknite gumb ×. Prikazuje se upit za potvrdu.
Primjenjuje se nekoliko zaštitnih mjera:
- Račun
adminzadane lokalne domene nikada se ne može izbrisati. - Delegirani administrator ne može izbrisati račun čija uloga nije User (stoga ne može izbrisati drugog administratora ni delegiranog administratora).
Administration groups¶
Modul Administration groups deklarira da grupa koja postoji u domeni dodjeljuje administratorska prava svojim članovima. Otvara se iz modula Authentication domains pomoću gumba Administration groups.
| Vrsta domene | Dostupnost |
|---|---|
| Zadani lokalni imenik | Dostupno. Mogu se deklarirati samo grupe delegiranih administratora (potvrdni okvir je prisilno označen). |
| LDAP | Dostupno. Izbor između grupe administratora s punim pravima i grupe delegiranih administratora. |
| SAML (federacija) | Dostupno. Izbor između grupe administratora s punim pravima i grupe delegiranih administratora. |
| Ostali lokalni imenici, anonimni imenik | Nije dostupno. |
Stupci tablice: Group name i Type (administrator ili delegirani administrator).
Dodavanje grupe¶
- Odaberite domenu s padajućeg popisa.
- Kliknite gumb +.
- Ispunite polja i potvrdite.
| Polje | Opis |
|---|---|
| Group | Odabire grupu. Upisivanjem nekoliko znakova dinamički se filtrira popis grupa dohvaćenih iz domene. Za lokalnu domenu vrijednost mora odgovarati grupi koja već postoji u domeni (slobodan tekst odbija se). Za domene LDAP ili domene federacije slobodan tekst je prihvaćen. |
| Delegated administrators group | Potvrdni okvir koji razlikuje grupu delegiranih administratora (označeno) od grupe administratora s punim pravima (neoznačeno). Skriven je i prisilno označen u lokalnim domenama. |
Brisanje grupe¶
Odaberite grupu na popisu i kliknite gumb ×. Brisanje traži potvrdu. Podržan je višestruki odabir.
Delegated administrators¶
Modul Delegated administrators poimenično navodi račune koji se u domeni LDAP ili SAML prepoznaju kao delegirani administratori. Otvara se iz modula Authentication domains pomoću gumba Delegated administrators.
| Vrsta domene | Dostupnost |
|---|---|
| LDAP | Dostupno. |
| SAML (federacija) | Dostupno. |
| Ostale vrste | Nije dostupno. |
Zašto poimenična registracija?
Za domene LDAP i SAML članstvo u administracijskoj grupi možda neće biti dovoljno: ovaj modul omogućuje da se račun izričito imenuje delegiranim administratorom. Registracija stupa na snagu samo ako račun pripada i grupi delegiranih administratora deklariranoj u prethodnom modulu (poglavlje Administration groups).
Dodavanje delegiranog administratora¶
- Odaberite domenu s padajućeg popisa.
- Kliknite gumb +.
- Unesite korisničko ime onako kako postoji u imeniku (znakovi
<i>su zabranjeni), a zatim potvrdite.
Brisanje delegiranog administratora¶
Odaberite jedan ili više računa na popisu i kliknite gumb ×. Brisanje traži potvrdu. Primjenjuju se iste zaštitne mjere kao na popisu korisnika (delegirani administrator ne može izbrisati drugi račun čija uloga nije User).