Access conditions¶
Modulis Access conditions apibrėžia taisykles, kurios, susietos su sutartimi access contract, leidžia arba draudžia vartotojams prisijungti prie vartotojo portalo pagal techninį kriterijų (IP adresą, laiko langą, naršyklę, operacinę sistemą, sertifikatą, vartotojo profilio atributą ir kt.).
Sąlyga įvertinama prisijungimo metu: jei ji galioja, taikomas susietas veiksmas (leisti arba drausti).
Sąlygų sąrašas¶
Lentelėje rodomos visos esamos sąlygos, puslapiuose po 15, 25 arba 50 įrašų.
| Stulpelis | Aprašas |
|---|---|
| Name | Sąlygos pavadinimas su priešais esančia piktograma, rodančia tipą ir sprendimą (leisti arba drausti). |
| Type | Sąlygos tipas (žr. toliau pateiktą lentelę). |
| Condition | Sukonfigūruotų parametrų tekstinė suvestinė (IP diapazonai, datos, naršyklės ir t. t.). |
Paieškos laukas viršuje dešinėje filtruoja sąrašą pagal pavadinimą.
Sąlygos pridėjimas¶
Spustelėjus mygtuką +, atidaroma kūrimo forma. Visiems tipams bendri laukai:
| Laukas | Aprašas |
|---|---|
| Condition type | Privaloma. Apibrėžia taisyklės pobūdį (žr. toliau pateiktą lentelę). Po pirmojo įrašymo keisti negalima. |
| Name | Privaloma. |
| Description | Laisvas tekstas. |
| Access | Du pasirinkimai: Allow if valid (numatytasis) arba Deny if valid. |
| Notify the user if invalid | Pažymėjus, vartotojas mato pranešimą, kai sąlyga draudžia prieigą. |
| Log if invalid | Pažymėjus, draudimo atveju į žurnalą įrašomas įrašas. |
Galimi tipai¶
| Tipas | Atliekama patikra | Reikalingas klientas |
|---|---|---|
| Connection address | Kliento naudojamas Mediation Controller URL adresas. | Ne |
| Antispyware | Aktyvios antišnipinėjimo programos buvimas darbo stotyje. | Taip |
| Antivirus | Aktyvios antivirusinės programos buvimas darbo stotyje. | Taip |
| Windows Security Center | Windows saugos parametrų būsena (automatinis naujinimas, Internet Explorer parametrai, UAC). | Taip |
| Certificate | Sertifikatas, kurį naršyklė pateikia autentifikuodamasi žiniatinklio sąsajoje. | Ne |
| Date | Datų intervalas, laiko langas, mėnesių sąrašas, savaitės dienos. | Ne |
| IP | IP / domeno adresas, IP diapazonas arba potinklis. | Ne |
| MD5 | Failo buvimas nurodytu keliu su laukiama MD5 kontroline suma. | Taip |
| Meta-rule | Bent dviejų kitų esamų sąlygų loginis derinys (AND / OR). | Priklauso nuo sujungtų sąlygų |
| Browser | Kliento naudojama naršyklė. | Ne |
| Operating system | Darbo stotyje aptikta OS. | Taip, nebent pažymėta Use the User-Agent |
| Firewall | Aktyvios ugniasienės buvimas. | Taip |
| System | Vietinė patikra (failas, tomo numeris, disko serijos numeris, vykdomas procesas, registro raktas). | Taip |
| User | Vartotojo profilio atributo buvimas / reikšmė. | Ne |
| FIDO2 | Vartotojo autentifikavimas naudojant FIDO2 / WebAuthn raktą. | Ne |
Stulpelis „Reikalingas klientas“
Kai kurie patikrinimai susiję su darbo stoties būsena: jie atliekami vietoje, todėl vartotojo darbo stotyje turi būti įdiegtas Bastion klientas. Kai kliento nėra, jo reikalaujančios sąlygos įvertinti neįmanoma ir ji laikoma negaliojančia – taip, be kita ko, nutinka jungiantis iš Cleanroom Desktop.
Parametrai pagal tipą¶
| Laukas | Aprašas |
|---|---|
| Domain | Mediation Controller URL adreso pagrindinio kompiuterio dalis (be https:// ir kelio). Leidžiamos raidės, skaitmenys, brūkšneliai, taškas ir reguliariųjų reiškinių simboliai. |
Siūlomi du režimai:
| Režimas | Aprašas |
|---|---|
| User authenticated using a certificate (numatytasis) | Patikrinama, ar vartotojas autentifikavosi naudodamas sertifikatą. |
| Test certificate's contents | Papildomai palyginamas sertifikato laukas su vartotojo profilio lauku. |
Papildomi antrojo režimo laukai:
| Laukas | Aprašas |
|---|---|
| Certificate field | Išplečiamasis sąrašas: DN field of the user certificate, CN field of the user certificate (numatytasis), Email field of the user certificate, O field of the user certificate, OR field of the user certificate arba PEM-encoded certificate for client X509. |
| User profile field | Vartotojo profilio laukas, kurio reikšmė lyginama. |
Turi būti pažymėta bent viena iš keturių parinkčių; aktyvios parinktys sujungiamos loginiu AND.
| Parinktis | Aprašas |
|---|---|
| Date | Datų intervalas (pradžia, pabaiga). Pabaigos data negali būti ankstesnė už pradžios datą. |
| Hour | Laiko langas (HH:MM). Pabaigos laikas turi būti vėlesnis už pradžios laiką (nebent sąlyga apima kelias dienas). |
| Month | Dvylika žymės langelių, pagal numatytuosius parametrus visi pažymėti. |
| Day of the week | Septyni žymės langeliai, pagal numatytuosius parametrus visi pažymėti. |
Trys vienas kitą išskiriantys režimai:
| Režimas | Laukai |
|---|---|
| IP or domain list | Vienas ar keli IPv4 adresai, atskirti ;. |
| IP range | Pradžios ir pabaigos IP. |
| Subnetwork | IP ir kaukė (CIDR nuo 0 iki 32). |
| Laukas | Aprašas |
|---|---|
| File path | Visas kelias (pvz., C:\Test.ext). |
| MD5 checksum | Šešioliktainis skaičius iš 32 simbolių. |
Saitas leidžia atsisiųsti Bastion teikiamą Windows MD5 kontrolinės sumos priemonę.
| Laukas | Aprašas |
|---|---|
| Logical operator | AND (numatytasis) arba OR. |
| Component rules | Nuvilkite bent dvi sąlygas iš kairiojo stulpelio į dešinįjį. Metataisyklė negali nurodyti nei savęs, nei metataisyklės, jau naudojamos jos pačios hierarchijoje. |
Žymės langeliai, atitinkantys aptiktinas naršykles: Internet Explorer nuo 7 iki 11, Konqueror, Firefox, Safari, Chrome, Opera, Edge. Parinktis Other suaktyvina laisvo teksto lauką, skirtą tiksliam kitos naršyklės pavadinimui. Pagal numatytuosius parametrus pažymėta Internet Explorer.
Iš Cleanroom Desktop užmezgamų ryšių išskyrimas
Platforma Cleanroom Desktop traktuoja kaip naršyklę: klientas identifikuojasi Cleanroom Desktop 1.2.3.4 formos user-agent eilute. Todėl pažymėjus Other ir įvedus Cleanroom Desktop, nurodoma prieiga iš šio kliento. Susieta su sutartimi access contract, sąlyga leidžia vienus išteklius rezervuoti Desktop klientui, o kitus – vartotojo portalui.
| Parinktis | Aprašas |
|---|---|
| Use the User-Agent | Pažymėjus, aptikimas grindžiamas antrašte User-Agent, o ne vietiniu agentu. |
| OS list | Žymės langeliai (Windows nuo XP iki 11, Windows Server nuo 2003 iki 2022, Linux, MacOS X, Vista, 9x, NT, CE ir t. t.). Parinktis Other suaktyvina laisvo teksto lauką. Turi būti pažymėtas bent vienas langelis. |
Vietinė patikra, vienu iš šių režimų:
| Režimas | Aprašas | Sąrašo tikrinimas |
|---|---|---|
| File | Tikrintinų failų kelių sąrašas. | Visi turi egzistuoti (AND). |
| C:\ volume number | Tomų numerių sąrašas (juos gauti padeda atsisiunčiama priemonė). | Turi sutapti bent vienas (OR). |
| Hard disk serial number | Serijos numerių sąrašas. | Turi sutapti bent vienas (OR). |
| Running process | Procesų pavadinimų sąrašas. | Visi turi būti vykdomi (AND). |
| Registry Key | Raktų / reikšmių sąrašas formatu HKEY_LOCAL_MACHINE\path\name=value. |
Visi turi egzistuoti, jei taikoma – su nurodyta reikšme (AND). |
Kiekvienu režimu įveskite reikšmę ir spustelėkite Add, kad ją įtrauktumėte į lentelę. Kiekvieną eilutę galima panaikinti atskirai (patvirtinus).
Logika skiriasi priklausomai nuo režimo
Du aparatinės įrangos režimai — C:\ volume number ir Hard disk serial number — tenkinami, kai tik sutampa viena sąrašo reikšmė: šiuo atveju sąraše išvardijamos leidžiamos darbo stotys. Kiti trys režimai reikalauja, kad būtų patikrinta kiekviena reikšmė.
| Laukas | Aprašas |
|---|---|
| Attribute name | Tikrintinas vartotojo profilio atributas (pvz., mail, employeeID, mobile). |
| Attribute value | Pasirinktinai. Išraiška, lyginama su grąžinta reikšme. Palikus tuščią, sąlyga tik patikrina, ar atributas turi reikšmę. |
| Exclusive comparison | Pažymėjus, išraiška turi atitikti nuo reikšmės pradžios; kitu atveju ji gali atitikti bet kurioje reikšmės vietoje. |
Palaikomi domenų tipai
Ši sąlyga neapsiriboja katalogais: LDAP domeno atributai skaitomi iš katalogo, o vietinio domeno – iš duomenų bazės. Kitų tipų domenams — ypač SAML — joks atributas negrąžinamas, todėl ten sąlyga niekada negalioja; tai svarbu priklausomai nuo to, ar ji nustatyta į Allow, ar į Deny.
Sąlygos redagavimas¶
Pasirinkite sąlygą sąraše ir spustelėkite piktogramą Properties arba dukart spustelėkite eilutę. Rodomi tie patys laukai kaip kuriant, išskyrus Type, kuris tampa tik skaitomas.
Sąlygos naikinimas¶
Pasirinkite vieną ar kelias sąlygas ir spustelėkite mygtuką ×. Naikinant prašoma patvirtinimo. Galima pasirinkti kelis elementus.