Access contracts¶

Az Access contracts modul azokat a szabályokat fogja össze, amelyek jogot adnak a felhasználói csoportoknak a közzétett alkalmazások elérésére. Egy szerződés négy üzemeltetési kérdésre ad választ: ki (mely csoportok), mit (mely alkalmazásokat, milyen korlátozásokkal), hol (melyik site-on) és milyen feltételekkel (hozzáférési feltételek, riasztások, hálózati szűrés).

A felhasználói csoportoknak, az alkalmazásoknak és a hozzáférési feltételeknek már létezniük kell, mielőtt egy szerződés hivatkozna rájuk.

Halmozódó jogok

Egy csoport több szerződésben is szerepelhet, és egy felhasználó több csoporthoz is tartozhat. Mindkét esetben a jogok összeadódnak. Fordítva: ha egy szerződés több csoportot céloz meg, elég ezek bármelyikéhez tartozni ahhoz, hogy a felhasználó élvezze a szerződés által biztosított jogokat.

A szerződések listája¶

A fő táblázat a meglévő szerződéseket listázza. Minden sor kibontható vagy összecsukható a részletek megjelenítéséhez (tartományok/csoportok, feltételek, site-ok, kategóriák és alkalmazások, korlátozott alkalmazások, riasztások, hálózati szűrés, felfedhető aliasok).

Oszlop	Leírás
Name	A szerződés neve, előtte egy lakat ikonnal.
Groups	A társított felhasználói csoportok száma.
Access conditions	A társított hozzáférési feltételek száma.
Sites	A hivatkozott site-ok száma.
Applications	Az engedélyezett alkalmazások száma.
Restricted applications	A workflow mögé helyezett alkalmazások száma.
Alerts	A szerződéshez csatolt hozzáférési riasztások száma.
Network connections	A hálózati szűrési szabályok száma (az oszlop alapértelmezés szerint rejtett).
Revealable aliases	A társított felfedhető aliasok száma (csak akkor jelenik meg, ha a funkció be van kapcsolva).

A jobb felső sarokban lévő keresőmező név szerint szűri a listát.

Szerződés hozzáadása¶

Kattintson a + gombra a létrehozási varázsló megnyitásához. A fejléc mezői minden lapon közösek:

Mező	Leírás
Name	Kötelező. A szerződést azonosítja.
Description	Szabad szöveges megnevezés.

Az űrlap több lapra van osztva, amelyeket a logikai sorrendben kell kitölteni.

GroupsAccess conditionsSitesApplicationsApplications to restrictPersonal aliasesRevealable aliasesAlertsNetwork connections

Válassza ki a hitelesítési tartományt a legördülő listából, majd húzza át a kívánt felhasználói csoportokat a jobb oldali oszlopba. Egyetlen szerződés több tartomány csoportjait is kombinálhatja. A szerződés érvényességéhez legalább egy csoportot ki kell választani.

Húzza át az alkalmazandó hozzáférési feltételeket. Egy feltétel egy kritérium alapján engedi meg vagy tagadja meg a hozzáférést (IP-cím, dátum, tanúsítvány stb. – lásd: Access conditions).

Több feltétel AND kapcsolattal kombinálódik

Ha több hozzáférési feltétel van csatolva ugyanahhoz a szerződéshez, mindegyiknek érvényesnek kell lennie ahhoz, hogy a szerződés érvényesüljön: egyetlen érvénytelen feltétel is elég az elvetéséhez, és a felhasználó nem kapja meg a szerződés által biztosított jogokat. OR kapcsolathoz használjon metaszabályt az Access conditions modulban.

A lap láthatósága

A lap csak akkor jelenik meg, ha a dedikált modulban legalább egy hozzáférési feltétel létezik.

Húzza át az alkalmazásokat futtató site-ot vagy site-okat. A site Edge Gateway komponensek olyan csoportja, amely biztonságos belépési pontot határoz meg egy helyi hálózatba.

Több site: a felhasználó választ

Ha a szerződés több site-ra hivatkozik, a felhasználó az alkalmazás indításakor a Select a site képernyőt látja, ahol kiválaszthatja, melyiken keresztül csatlakozik.

A fa kategóriák szerint csoportosítva listázza az alkalmazásokat. Egy kategória bejelölése kijelöli annak összes alkalmazását, és automatikusan magában foglal minden olyan alkalmazást is, amelyet később adnak hozzá az adott kategóriához. Az egyes négyzetek bejelölésével egy részhalmaz választható ki. Legalább egy alkalmazást be kell jelölni.

Workplace-alkalmazások – kizárólagosság

Ha a Workplace-társítás be van kapcsolva, két virtuális alkalmazás jelenik meg: Access to Workplace applications by merged cloud és Access to Workplace applications by redirection. Ugyanazon a szerződésen belül ezek kizárják egymást.

A korábban kiválasztott alkalmazások némelyikét jóváhagyási workflow mögé helyezi. A felhasználóknak hozzáférést kell kérniük, a kérések elfogadásáról vagy elutasításáról pedig egy rendszergazda dönt a Workflow modulban.

Beállítás	Leírás
Ask the user to complete a form when requesting access	Ha be van jelölve, a felhasználónak minden alkalommal ki kell töltenie egy űrlapot, amikor hozzáférést kér egy korlátozott alkalmazáshoz.
Applications to restrict	Kétoszlopos lista (elérhető / korlátozott), kereséssel.

Alapértelmezés szerint összecsukva. Ha az Allow personal aliases be van jelölve, a kiválasztott alkalmazások közül kijelölheti azokat, amelyekhez a felhasználó saját aliasokat menthet (a portálon tárolt hitelesítő adatokat).

Csak akkor látható, ha az Allow password display in alias beállítás be van jelölve a general options beállításai között. Kétoszlopos lista azon (felhasználókhoz kötött) aliasok kiválasztásához, amelyek ezen a szerződésen keresztül felfedhetők.

Metaaliasok

Ha a kijelölés legalább egy metaaliast tartalmaz, mentés előtt egy megerősítő párbeszédpanel jelenik meg.

Húzza át azokat a riasztási profilokat, amelyeknek akkor kell aktiválódniuk, amikor a szerződés által lefedett hozzáféréseket használják.

A lap csak akkor aktív, ha az Applications lapon legalább egy RDS, HTML5 RDS, SSH vagy HTML5 SSH típusú alkalmazás ki van választva.

A célkiszolgálón ügynökre van szükség, protokolltól függetlenül

A szűrés csak akkor lép életbe, ha a célkiszolgálón fut a megfelelő ügynök: az RDS- és HTML5 RDS-kiszolgálókon a Bastion ügynök, az SSH- és HTML5 SSH-kiszolgálókon pedig a hálózati szűrési ügynök. Enélkül az itt megadott szabályoknak nincs hatása.

A szűrés bekapcsolásához jelölje be a Filter network connections beállítást, majd adja meg minden szabályhoz:

Mező	Leírás
Target IP	Engedélyezett IP-cím vagy gazdagép. IPv4-formátum ellenőrzése.
Network mask	Nem kötelező. Ha üres, a szabály csak a cél IP-címre vonatkozik.
Port	Alapértelmezés szerint 0: a szabály minden portra vonatkozik.
Protocol	TCP, UDP vagy TCP and UDP.

Kattintson az Add gombra a szabálynak az engedélyezett hálózatok listájába való felvételéhez. Minden szabály egyenként eltávolítható.

A szűrés működése

Ha a Filter network connections be van jelölve, de egyetlen hálózat sincs engedélyezve, a felhasználó semmilyen hálózathoz nem tud csatlakozni. Ellenkező esetben csak a listában szereplő hálózatok érhetők el.

A szerződés mentéséhez kattintson a Validate gombra. A Groups, a Sites és az Applications lap kitöltése egyaránt kötelező, ellenkező esetben a rendszer elutasítja a szerződést.

Szerződés módosítása¶

Jelölje ki a szerződést a listában, majd kattintson a Properties ikonra, vagy kattintson duplán a sorra. Az ablak megegyezik a létrehozási ablakkal, az aktuális értékekkel előre kitöltve.

Szerződés törlése¶

Jelöljön ki egy vagy több szerződést, majd kattintson a × gombra. A törléshez megerősítés szükséges.

Szerződések exportálása¶

Az Export gomb CSV-fájlba tölti le az összes megjelenített szerződést. Az exportált adatok az aktuális szűrőket (keresés stb.) tükrözik.

A fájl szerkezete¶

A fájl egy fejlécsort tartalmaz, majd szerződésenként egy sort. Az oszlopok a következő sorrendben jelennek meg:

#	Oszlop	Tartalom	Importáláskor kötelező
1	Alerts	A riasztási profilok megnevezései.
2	Categories	Az alkalmazáskategóriák nevei.
3	Description	Szabad szöveg.
4	Groups	Felhasználói csoportok `group@domain` formában.	Igen
5	Name	A szerződés neve.	Igen
6	Applications	A megengedett alkalmazások nevei.
7	Restricted applications	A workflow mögé helyezett alkalmazások nevei.
8	Access conditions	A hozzáférési feltételek nevei.
9	Sites	A site-ok nevei.	Igen
10	Request a form	`True` vagy `False`.
11	Filter network connections	`True` vagy `False`.
12	Network connections	Szűrési szabályok `ip/mask:port:protocol` formában.
13	Revealable aliases	Aliasnevek.
14	Revealable password rotation aliases	Aliasnevek.
15	Revealable dynamic aliases	Aliasnevek.
16	Personal aliases	Azon alkalmazások nevei, amelyekhez személyes aliasok használata megengedett.

Szintaxis¶

Elem	Elválasztó	Példa
Oszlopok	`;`	`Name;Description;…`
Több érték egy cellán belül	`+`	`Accounting+Management+Support`
Felhasználói csoport	`@` a csoport és a tartománya között	`Accounting@AD-Internal`
Egy tartomány összes csoportja	`all` kulcsszó	`all@AD-Internal`
Hálózati szűrési szabály	`/`, majd `:`	`10.0.0.5/255.255.255.0:3389:TCP` – a `0` értékre állított port jelentése „minden port”
Logikai értékek	—	`True` vagy `False`; az üres cella `False` értéknek számít

Mennyiség

Az exportálás korlátozott: a platformon beállított maximális sorszámon túl csak az első szerződések kerülnek a fájlba.

Szerződések importálása¶

Az Import gomb egy ablakot nyit meg, amelyben CSV-fájl tölthető fel. Szerkezetének meg kell egyeznie a Szerződések exportálása fejezetben leírttal: a legbiztosabb, ha egy exportált fájlból indul ki, és azt szerkeszti.

Mező	Leírás
File	Az importálandó CSV-fájl.
Record delimiter	Az oszlopelválasztó; az exportálással előállított fájl esetén `;`.
Value delimiter inside a field	A több értéket elválasztó karakter; az exportálással előállított fájl esetén `+`.

A Name, a Groups és a Sites oszlop kötelező: azt a sort, amelyből ezek bármelyike hiányzik, a rendszer elutasítja. A hivatkozott értékeknek (alkalmazások, kategóriák, hozzáférési feltételek, riasztások, aliasok, site-ok) már létezniük kell, és a rendszer név alapján párosítja őket.

Az érvényesítés után egy ablak összefoglalja az importálás eredményét a fájl minden egyes szerződésére vonatkozóan.