Access conditions¶
Az Access conditions modul olyan szabályokat határoz meg, amelyek egy hozzáférési szerződéshez csatolva egy technikai feltétel (IP-cím, időablak, böngésző, operációs rendszer, tanúsítvány, felhasználói profil attribútuma stb.) alapján megengedik vagy megtagadják a felhasználók csatlakozását a felhasználói portálhoz.
A feltétel kiértékelése a csatlakozáskor történik: ha érvényes, a rendszer alkalmazza a hozzá tartozó műveletet (megengedés vagy megtagadás).
A feltételek listája¶
A táblázat az összes meglévő feltételt megjeleníti, 15, 25 vagy 50 bejegyzéses oldalakra tördelve.
| Oszlop | Leírás |
|---|---|
| Name | A feltétel megnevezése, előtte egy ikonnal, amely a típust és a döntést (megengedés vagy megtagadás) jelzi. |
| Type | A feltétel típusa (lásd az alábbi táblázatot). |
| Condition | A beállított paraméterek szöveges összefoglalása (IP-címtartományok, dátumok, böngészők stb.). |
A jobb felső sarokban lévő keresőmező név szerint szűri a listát.
Feltétel hozzáadása¶
A + gombra kattintva megnyílik a létrehozási űrlap. Az összes típusnál közös mezők:
| Mező | Leírás |
|---|---|
| Condition type | Kötelező. Meghatározza a szabály jellegét (lásd az alábbi táblázatot). Az első mentés után nem módosítható. |
| Name | Kötelező. |
| Description | Szabad szöveg. |
| Access | Két lehetőség: Allow if valid (alapértelmezett) vagy Deny if valid. |
| Notify the user if invalid | Ha be van jelölve, a felhasználó üzenetet lát, amikor a feltétel megtagadja a hozzáférést. |
| Log if invalid | Ha be van jelölve, megtagadáskor egy bejegyzés kerül a naplóba. |
Elérhető típusok¶
| Típus | Elvégzett ellenőrzés | Kliens szükséges |
|---|---|---|
| Connection address | A kliens által használt Mediation Controller URL-címe. | Nem |
| Antispyware | Aktív kémprogram-elhárító jelenléte a munkaállomáson. | Igen |
| Antivirus | Aktív víruskereső jelenléte a munkaállomáson. | Igen |
| Windows Security Center | A Windows biztonsági beállításainak állapota (automatikus frissítés, Internet Explorer-beállítások, UAC). | Igen |
| Certificate | A böngésző által a webes felületen való hitelesítéshez bemutatott tanúsítvány. | Nem |
| Date | Dátumtartomány, időablak, hónapok listája, a hét napjai. | Nem |
| IP | IP-cím / tartománynév, IP-címtartomány vagy alhálózat. | Nem |
| MD5 | Egy adott elérési úton lévő, a várt MD5-ellenőrzőösszeggel rendelkező fájl jelenléte. | Igen |
| Meta-rule | Legalább két másik meglévő feltétel logikai kombinációja (AND / OR). | A kombinált feltételektől függ |
| Browser | A kliens által használt böngésző. | Nem |
| Operating system | A munkaállomáson észlelt operációs rendszer. | Igen, kivéve, ha a Use the User-Agent be van jelölve |
| Firewall | Aktív tűzfal jelenléte. | Igen |
| System | Helyi ellenőrzés (fájl, kötetszám, a lemez sorozatszáma, futó folyamat, beállításkulcs). | Igen |
| User | Egy felhasználói profilattribútum jelenléte / értéke. | Nem |
| FIDO2 | A felhasználó hitelesítése FIDO2 / WebAuthn-kulccsal. | Nem |
A „Kliens szükséges” oszlop
Egyes ellenőrzések a munkaállomás állapotára vonatkoznak: helyben futnak, ezért a Bastion kliens telepítését igénylik a felhasználó munkaállomásán. Ha a kliens hiányzik, az azt igénylő feltétel nem értékelhető ki, és érvénytelennek minősül – ez a helyzet többek között a Cleanroom Desktop alkalmazásból kezdeményezett kapcsolatoknál.
Paraméterek típusonként¶
| Mező | Leírás |
|---|---|
| Domain | A Mediation Controller URL-címének gazdagéprésze (https:// és elérési út nélkül). Betűket, számjegyeket, kötőjelet, pontot és reguláris kifejezésekben használt karaktereket fogad el. |
Két mód közül lehet választani:
| Mód | Leírás |
|---|---|
| User authenticated using a certificate (alapértelmezett) | Ellenőrzi, hogy a felhasználó tanúsítvánnyal hitelesítette-e magát. |
| Test certificate's contents | Ezenfelül összehasonlítja a tanúsítvány egy mezőjét a felhasználói profil egy mezőjével. |
További mezők a második módhoz:
| Mező | Leírás |
|---|---|
| Certificate field | Legördülő lista: DN field of the user certificate, CN field of the user certificate (alapértelmezett), Email field of the user certificate, O field of the user certificate, OR field of the user certificate vagy PEM-encoded certificate for client X509. |
| User profile field | A felhasználói profil azon mezője, amelynek értékét a rendszer összehasonlítja. |
A négy beállítás közül legalább egyet be kell jelölni; a bekapcsolt beállításokat logikai AND kapcsolja össze.
| Beállítás | Leírás |
|---|---|
| Date | Dátumtartomány (kezdet, vég). A záró dátum nem lehet korábbi a kezdő dátumnál. |
| Hour | Időablak (HH:MM). A záró időpontnak a kezdő időpont után kell lennie (kivéve, ha a feltétel több napra terjed ki). |
| Month | Tizenkét jelölőnégyzet, alapértelmezés szerint mind bejelölve. |
| Day of the week | Hét jelölőnégyzet, alapértelmezés szerint mind bejelölve. |
Három, egymást kizáró mód:
| Mód | Mezők |
|---|---|
| IP or domain list | Egy vagy több IPv4-cím, ; karakterrel elválasztva. |
| IP range | Kezdő és záró IP-cím. |
| Subnetwork | IP-cím és maszk (CIDR 0-tól 32-ig). |
| Mező | Leírás |
|---|---|
| File path | Teljes elérési út (pl. C:\Test.ext). |
| MD5 checksum | 32 karakteres hexadecimális szám. |
Egy hivatkozással letölthető a Bastion által biztosított Windows MD5-ellenőrzőösszeg-segédprogram.
| Mező | Leírás |
|---|---|
| Logical operator | AND (alapértelmezett) vagy OR. |
| Component rules | Húzzon át legalább két feltételt a bal oldali oszlopból a jobb oldaliba. Egy metaszabály nem hivatkozhat önmagára, sem olyan metaszabályra, amely már szerepel a saját hierarchiájában. |
A felismerendő böngészőknek megfelelő jelölőnégyzetek: Internet Explorer 7–11, Konqueror, Firefox, Safari, Chrome, Opera, Edge. Az Other beállítás egy szabad szöveges mezőt tesz elérhetővé egy másik böngésző pontos nevének megadásához. Alapértelmezés szerint az Internet Explorer van bejelölve.
A Cleanroom Desktop alkalmazásból indított kapcsolatok elkülönítése
A platform böngészőként látja a Cleanroom Desktop alkalmazást: az Cleanroom Desktop 1.2.3.4 formájú felhasználói ügynökkel (user-agent) azonosítja magát. Az Other bejelölése és a Cleanroom Desktop megadása ezért az ebből a kliensből érkező hozzáféréseket célozza. Hozzáférési szerződéshez csatolva a feltétel lehetővé teszi, hogy bizonyos erőforrásokat a Desktop kliens, másokat a felhasználói portál számára tartson fenn.
| Beállítás | Leírás |
|---|---|
| Use the User-Agent | Ha be van jelölve, az észlelés a User-Agent fejlécen alapul a helyi ügynök helyett. |
| OS list | Jelölőnégyzetek (Windows XP–11, Windows Server 2003–2022, Linux, MacOS X, Vista, 9x, NT, CE stb.). Az Other beállítás egy szabad szöveges mezőt tesz elérhetővé. Legalább egy négyzetet be kell jelölni. |
Helyi ellenőrzés, az alábbi módok egyikében:
| Mód | Leírás | Lista kiértékelése |
|---|---|---|
| File | Az ellenőrizendő fájlelérési utak listája. | Mindegyiknek jelen kell lennie (AND). |
| C:\ volume number | Kötetszámok listája (egy letölthető segédprogram segít a lekérésükben). | Elég egynek egyeznie (OR). |
| Hard disk serial number | Sorozatszámok listája. | Elég egynek egyeznie (OR). |
| Running process | Folyamatnevek listája. | Mindegyiknek futnia kell (AND). |
| Registry Key | Kulcsok / értékek listája HKEY_LOCAL_MACHINE\path\name=value formában. |
Mindegyiknek léteznie kell, adott esetben a megadott értékkel (AND). |
Minden módnál adja meg az értéket, majd kattintson az Add gombra a táblázatba való felvételhez. Minden sor egyenként törölhető (megerősítéssel).
A logika módonként eltér
A két hardveres mód – C:\ volume number és Hard disk serial number – már akkor teljesül, ha a lista egyetlen értéke egyezik: itt a lista az engedélyezett munkaállomásokat sorolja fel. A másik három mód megköveteli, hogy minden érték teljesüljön.
| Mező | Leírás |
|---|---|
| Attribute name | A vizsgálandó felhasználói profilattribútum (pl. mail, employeeID, mobile). |
| Attribute value | Nem kötelező. A visszaadott értékkel összehasonlított kifejezés. Ha üresen marad, a feltétel csak azt ellenőrzi, hogy az attribútumnak van-e értéke. |
| Exclusive comparison | Ha be van jelölve, a kifejezésnek az érték elejétől kell egyeznie; ellenkező esetben az értéken belül bárhol egyezhet. |
Támogatott tartománytípusok
Ez a feltétel nem korlátozódik a címtárakra: az attribútumokat a rendszer LDAP-tartomány esetén a címtárból, helyi tartomány esetén az adatbázisból olvassa be. Más tartománytípusoknál – különösen SAML esetén – a rendszer nem ad vissza attribútumot, így ott a feltétel soha nem érvényes, ami attól függően számít, hogy Allow vagy Deny értékre van-e állítva.
Feltétel módosítása¶
Jelölje ki a feltételt a listában, és kattintson a Properties ikonra, vagy kattintson duplán a sorra. A létrehozáskor látható mezők jelennek meg, kivéve a Type mezőt, amely csak olvashatóvá válik.
Feltétel törlése¶
Jelöljön ki egy vagy több feltételt, és kattintson a × gombra. A törléshez megerősítés szükséges. A többszörös kijelölés támogatott.