Access contracts¶

Modulis Access contracts sugrupuoja taisykles, kurios suteikia vartotojų grupėms teisę pasiekti publikuotas taikomąsias programas. Sutartis atsako į keturis veiklos klausimus: kas (kurios grupės), ką (kurias taikomąsias programas ir kokiais apribojimais), kur (kuriame site) ir kokiomis sąlygomis (prieigos sąlygos, įspėjimai, tinklo filtravimas).

Vartotojų grupės, taikomosios programos ir prieigos sąlygos turi egzistuoti prieš jas nurodant sutartyje.

Kaupiamosios teisės

Grupė gali būti keliose sutartyse, o vartotojas gali priklausyti kelioms grupėms. Abiem atvejais teisės sumuojamos. Ir atvirkščiai: kai sutartis taikoma kelioms grupėms, norint gauti jos teises pakanka priklausyti bet kuriai iš jų.

Sutarčių sąrašas¶

Pagrindinėje lentelėje išvardijamos esamos sutartys. Kiekvieną eilutę galima išskleisti arba sutraukti, kad būtų rodoma išsami informacija (domenai/grupės, sąlygos, site, kategorijos ir taikomosios programos, ribojamos taikomosios programos, įspėjimai, tinklo filtravimas, atskleidžiami pseudonimai).

Stulpelis	Aprašas
Name	Sutarties pavadinimas su priešais esančia spynos piktograma.
Groups	Susietų vartotojų grupių skaičius.
Access conditions	Susietų prieigos sąlygų skaičius.
Sites	Nurodytų site skaičius.
Applications	Leidžiamų taikomųjų programų skaičius.
Restricted applications	Taikomųjų programų, kurių prieiga priklauso nuo workflow, skaičius.
Alerts	Su sutartimi susietų prieigos įspėjimų skaičius.
Network connections	Tinklo filtravimo taisyklių skaičius (stulpelis pagal numatytuosius parametrus paslėptas).
Revealable aliases	Susietų atskleidžiamų pseudonimų skaičius (rodoma tik įjungus šią funkciją).

Paieškos laukas viršutiniame dešiniajame kampe filtruoja sąrašą pagal pavadinimą.

Sutarties pridėjimas¶

Spustelėkite mygtuką +, kad atidarytumėte kūrimo vediklį. Antraštės laukai bendri visiems skirtukams:

Laukas	Aprašas
Name	Privaloma. Identifikuoja sutartį.
Description	Laisvos formos aprašas.

Forma suskirstyta į kelis skirtukus, kuriuos reikia pildyti logine tvarka.

GroupsAccess conditionsSitesApplicationsApplications to restrictPersonal aliasesRevealable aliasesAlertsNetwork connections

Išplečiamajame sąraše pasirinkite autentifikavimo domeną, tada nuvilkite norimas vartotojų grupes į dešinįjį stulpelį. Vienoje sutartyje galima derinti kelių domenų grupes. Kad sutartis galiotų, turi būti pasirinkta bent viena grupė.

Nuvilkite taikytinas prieigos sąlygas. Sąlyga leidžia arba draudžia prieigą pagal kriterijų (IP, datą, sertifikatą ir t. t. — žr. Access conditions).

Kelios sąlygos sujungiamos AND

Kai su ta pačia sutartimi susietos kelios prieigos sąlygos, kad sutartis būtų taikoma, visos jos turi galioti: pakanka vienos negaliojančios sąlygos, kad sutartis būtų atmesta, ir vartotojas negauna jos suteikiamų teisių. Norėdami gauti OR, naudokite metataisyklę modulyje Access conditions.

Skirtuko matomumas

Skirtukas rodomas tik tada, kai specialiame modulyje yra bent viena prieigos sąlyga.

Nuvilkite vieną ar kelis site, kuriuose talpinamos taikomosios programos. Site – tai Edge Gateway komponentų rinkinys, apibrėžiantis saugų įėjimo į vietinį tinklą tašką.

Keli site: pasirenka vartotojas

Kai sutartyje nurodyti keli site, paleidžiant taikomąją programą vartotojui pateikiamas ekranas Select a site, kuriame jis pasirenka, per kurį site jungtis.

Medyje išvardijamos taikomosios programos, sugrupuotos pagal kategorijas. Pažymėjus kategoriją, pasirenkamos visos jos taikomosios programos ir automatiškai įtraukiama bet kuri vėliau į tą kategoriją pridėta taikomoji programa. Žymint atskirus langelius galima pasirinkti poaibį. Turi būti pažymėta bent viena taikomoji programa.

Workplace taikomosios programos — išskirtinumas

Kai įjungtas Workplace susiejimas, rodomos dvi virtualiosios taikomosios programos: Access to Workplace applications by merged cloud ir Access to Workplace applications by redirection. Toje pačioje sutartyje jos viena kitą išskiria.

Kai kurioms anksčiau pasirinktoms taikomosioms programoms taikomas patvirtinimo workflow. Vartotojai turės prašyti prieigos, o administratorius priims arba atmes užklausas modulyje Workflow.

Parinktis	Aprašas
Ask the user to complete a form when requesting access	Pažymėjus, vartotojas turi užpildyti formą kiekvieną kartą, kai prašo prieigos prie ribojamos taikomosios programos.
Applications to restrict	Dviejų stulpelių sąrašas (galimos / ribojamos) su paieška.

Pagal numatytuosius parametrus sutrauktas. Pažymėjus Allow personal aliases, tarp pasirinktų taikomųjų programų galima nurodyti tas, kurioms vartotojas gali įrašyti savo pseudonimus (portale saugomus kredencialus).

Matomas tik tada, kai srityje general options pažymėta parinktis Allow password display in alias. Dviejų stulpelių sąrašas, skirtas pasirinkti pseudonimus (susietus su vartotojais), kuriuos galima atskleisti per šią sutartį.

Metapseudonimai

Kai pasirinkime yra bent vienas metapseudonimas, prieš įrašant rodomas patvirtinimo dialogo langas.

Nuvilkite įspėjimų profilius, kurie turi būti suaktyvinti naudojant šios sutarties apimamas prieigas.

Skirtukas aktyvus tik tada, kai skirtuke Applications pasirinkta bent viena RDS, HTML5 RDS, SSH arba HTML5 SSH taikomoji programa.

Tiksliniame serveryje reikalingas agentas, nepriklausomai nuo protokolo

Filtravimas veikia tik tada, kai tiksliniame serveryje yra atitinkamas agentas: Bastion agentas RDS ir HTML5 RDS serveriuose bei tinklo filtravimo agentas SSH ir HTML5 SSH serveriuose. Be jo čia įvestos taisyklės neturi jokio poveikio.

Pažymėkite Filter network connections, kad įjungtumėte filtravimą, tada kiekvienai taisyklei nurodykite:

Laukas	Aprašas
Target IP	Leidžiamas IP adresas arba pagrindinis kompiuteris. Tikrinamas IPv4 formatas.
Network mask	Pasirinktinai. Jei laukas tuščias, taisyklė taikoma tik tiksliniam IP.
Port	Pagal numatytuosius parametrus 0: taisyklė taikoma visiems prievadams.
Protocol	TCP, UDP arba TCP and UDP.

Spustelėkite Add, kad įtrauktumėte taisyklę į leidžiamų tinklų sąrašą. Kiekvieną taisyklę galima pašalinti atskirai.

Filtravimo semantika

Jei pažymėta Filter network connections, bet nėra leidžiamo tinklo, vartotojas negali prisijungti prie jokio tinklo. Kitu atveju pasiekiami tik išvardyti tinklai.

Spustelėkite Validate, kad įrašytumėte sutartį. Visi skirtukai Groups, Sites ir Applications yra privalomi, kitaip sutartis atmetama.

Sutarties redagavimas¶

Pasirinkite sutartį sąraše, tada spustelėkite piktogramą Properties arba dukart spustelėkite eilutę. Langas toks pat kaip kūrimo, užpildytas esamomis reikšmėmis.

Sutarties naikinimas¶

Pasirinkite vieną ar kelias sutartis, tada spustelėkite mygtuką ×. Naikinimą reikia patvirtinti.

Sutarčių eksportavimas¶

Mygtukas Export atsisiunčia visas rodomas sutartis CSV faile. Eksportuoti duomenys atspindi esamus filtrus (paiešką ir t. t.).

Failo struktūra¶

Faile yra viena antraštės eilutė, o po jos – po vieną eilutę kiekvienai sutarčiai. Stulpeliai pateikiami tokia tvarka:

#	Stulpelis	Turinys	Privaloma importuojant
1	Alerts	Įspėjimų profilių pavadinimai.
2	Categories	Taikomųjų programų kategorijų pavadinimai.
3	Description	Laisvas tekstas.
4	Groups	Vartotojų grupės, formatu `group@domain`.	Taip
5	Name	Sutarties pavadinimas.	Taip
6	Applications	Leidžiamų taikomųjų programų pavadinimai.
7	Restricted applications	Taikomųjų programų, kurių prieiga priklauso nuo workflow, pavadinimai.
8	Access conditions	Prieigos sąlygų pavadinimai.
9	Sites	Site pavadinimai.	Taip
10	Request a form	`True` arba `False`.
11	Filter network connections	`True` arba `False`.
12	Network connections	Filtravimo taisyklės, formatu `ip/mask:port:protocol`.
13	Revealable aliases	Pseudonimų pavadinimai.
14	Revealable password rotation aliases	Pseudonimų pavadinimai.
15	Revealable dynamic aliases	Pseudonimų pavadinimai.
16	Personal aliases	Taikomųjų programų, kurioms leidžiami asmeniniai pseudonimai, pavadinimai.

Sintaksė¶

Elementas	Skyriklis	Pavyzdys
Stulpeliai	`;`	`Name;Description;…`
Kelios reikšmės viename langelyje	`+`	`Accounting+Management+Support`
Vartotojų grupė	`@` tarp grupės ir jos domeno	`Accounting@AD-Internal`
Visos domeno grupės	raktinis žodis `all`	`all@AD-Internal`
Tinklo filtravimo taisyklė	`/`, tada `:`	`10.0.0.5/255.255.255.0:3389:TCP` — prievadas, nustatytas į `0`, reiškia „visi prievadai“
Loginės reikšmės	—	`True` arba `False`; tuščias langelis laikomas `False`

Apimtis

Eksportas ribojamas: viršijus platformoje nustatytą didžiausią eilučių skaičių, į failą įrašomos tik pirmosios sutartys.

Sutarčių importavimas¶

Mygtukas Import atidaro langą, kuriame galima įkelti CSV failą. Jo struktūra turi atitikti aprašytąją skyriuje Sutarčių eksportavimas: saugiausia pradėti nuo eksporto ir jį redaguoti.

Laukas	Aprašas
File	Importuotinas CSV failas.
Record delimiter	Stulpelių skyriklis; eksportuojant sukurtame faile – `;`.
Value delimiter inside a field	Kelių reikšmių skyriklis; eksportuojant sukurtame faile – `+`.

Stulpeliai Name, Groups ir Sites yra privalomi: eilutė, kurioje trūksta bent vieno iš jų, atmetama. Nurodytos reikšmės (taikomosios programos, kategorijos, prieigos sąlygos, įspėjimai, pseudonimai, site) turi jau egzistuoti ir susiejamos pagal pavadinimą.

Patvirtinus, lange pateikiama kiekvienos faile esančios sutarties importavimo rezultatų suvestinė.