Users and administrators¶
Šiame puslapyje aprašomi trys moduliai, naudojami paskyroms valdyti Bastion: vartotojai (portalo ir konsolės), administravimo grupės (suteikiančios grupei administravimo teises) ir deleguotieji administratoriai (vardiniai priskyrimai). Puslapis skirtas administratoriui, norinčiam kurti, redaguoti ar naikinti šias paskyras ir priskirti atitinkamas administravimo teises.
Visi trys moduliai pasiekiami iš modulio Authentication domains: pirmiausia pasirinkite domeną, tada spustelėkite vieną iš mygtukų Users, Administration groups arba Delegated administrators. Modulį Users taip pat galima pasiekti per tiesioginę nuorodą administravimo konsolėje.
Users¶
Modulis Users pateikia, kuria, redaguoja ir naikina domeno vartotojų paskyras. Jo veikimas priklauso nuo domeno tipo.
| Domeno tipas | Paskyrų valdymas |
|---|---|
| Vietinis katalogas | Kūrimas, redagavimas ir naikinimas rankiniu būdu. Galima nustatyti vaidmenį ir seanso parinktis. |
| SAML (federacija) | Kūrimas, redagavimas ir naikinimas rankiniu būdu, tačiau be slaptažodžio (autentifikavimą atlieka tapatybės teikėjas). Paskyros daugiausia naudojamos metaduomenims (el. pašto adresui, narystei grupėse) saugoti. |
| LDAP ir anoniminis katalogas | Nerodomi domeno parinkiklyje – paskyros valdomos katalogo pusėje arba netaikomos. |
Pasirinkimas ir filtravimas¶
| Elementas | Aprašas |
|---|---|
| Domain | Pasirenkamas domenas, kurio paskyros pateikiamos. Siūlomi tik vietiniai ir federaciniai domenai. |
| Group | Filtruoja sąrašą pagal grupę. Viršuje pridedamas sintetinis elementas All, kad būtų rodomos visos paskyros. |
| Ieškos laukas | Filtruoja pagal paskyros pavadinimo poeilutę. Ieška vykdoma praėjus 700 ms po paskutinio klavišo paspaudimo arba iš karto paspaudus klavišą Enter. |
| Lentelės stulpeliai | ID, Name (paslėptas SAML domenuose), Email, Groups. Kai nėra jokios paskyros, lentelėje rodoma No available users. |
Vartotojo pridėjimas – vietinis domenas¶
Įvesties apribojimai ir galimi laukai:
| Laukas | Aprašas |
|---|---|
| User name | Privalomas. Simboliai < ir > draudžiami. Turi būti unikalus domene. |
| Password / Confirm | Privalomi kuriant. Taikoma domene galiojanti slaptažodžių politika. |
| Full name | Rodomas pavadinimas, kai kuriuose rodiniuose pateikiamas vietoj techninio pavadinimo. |
| Tikrinama, ar tai tinkamas el. pašto adresas. | |
| Phone | Tikrinama, ar tai telefono numeris. |
| IP lock | IP adresų arba diapazonų sąrašas (su neprivaloma kauke, atskirti kableliais), iš kurių vartotojui leidžiama prisijungti. Tai adresas, kurį mato Mediation Controller: jei naudojamas tarpinis NAT, įveskite viešąjį adresą. |
| Role | Žr. toliau pateiktą vaidmenų lentelę. |
Vietiniame domene galimi vaidmenys:
| Vaidmuo | Poveikis |
|---|---|
| User (numatytasis) | Prieiga tik prie vartotojo portalo. |
| Administrator | Prieiga prie administravimo konsolės su visomis teisėmis. |
| Delegated administrator | Prieiga prie administravimo konsolės su ribotomis teisėmis. Faktinės teisės priklauso nuo deleguotojo administratoriaus profilio ir nuo administravimo grupių, kurioms priklauso paskyra. |
Dvi išskleidžiamos parinktys riboja paskyros gyvavimo trukmę:
| Parinktis | Aprašas |
|---|---|
| Limited sessions | Riboja prisijungimų skaičių. Pasiekus šį skaičių, taikomas pasirinktas veiksmas: paskyra užrakinama (numatytasis) arba panaikinama. Mažiausia reikšmė – 1. |
| Temporary account | Riboja paskyros galiojimą pradžios ir pabaigos data bei laiku. Pabaigos dieną taikomas pasirinktas veiksmas: paskyra užrakinama arba panaikinama. Pabaigos data turi būti griežtai vėlesnė nei pradžios data. |
Numatytojo vietinio domeno paskyra admin
Įtaisytoji numatytojo vietinio domeno paskyra admin yra ypatinga. Jos vaidmuo priverstinai nustatytas į Administrator, o parinktys Limited sessions ir Temporary account paslėptos – šių apribojimų jai taikyti negalima.
Skirtuke Groups paskyra priskiriama vienai ar kelioms grupėms, jas nuvelkant iš galimų sąrašo į pasirinktų sąrašą. Ieškos laukas filtruoja kairįjį sąrašą.
Vartotojo pridėjimas – SAML domenas¶
Federacijos domeno forma yra sutrumpinta: kadangi autentifikavimas deleguotas tapatybės teikėjui, Bastion pusėje slaptažodis nesaugomas.
| Laukas | Aprašas |
|---|---|
| User name | Privalomas. Simboliai < ir > draudžiami. Turi atitikti tapatybės teikėjo grąžinamą identifikatorių. |
| Description | Laisvas tekstas. |
| Tikrinama, ar tai tinkamas el. pašto adresas. |
Skirtuke Groups rodomas dviejų stulpelių sąrašas (galimi / pasirinkti) su ieška ir mygtuku „pasirinkti viską“.
Vartotojo redagavimas¶
Norėdami atidaryti redagavimo formą, sąraše pasirinkite paskyrą ir spustelėkite piktogramą Properties arba dukart spustelėkite eilutę. Taikomi tie patys apribojimai kaip ir kuriant, tačiau yra trys papildomi tik redagavimui skirti skirtukai:
Prie paskyros prideda laisvos formos raktų ir reikšmių poras. Įveskite etiketę ir reikšmę, tada spustelėkite Add. Jau naudojama etiketė atmetama. Kiekvieną elementą galima panaikinti atskirai jo eilutėje esančiu naikinimo mygtuku, patvirtinus.
Pateikiami ištekliai, kuriuos paskyra gali pasiekti, apskaičiuoti pagal prieigos sutartis.
Kiekvienam ištekliui rodoma ši informacija:
- pavadinimas ir paslaugos tipo piktograma (RDP, HTML5 RDP, SSH, VNC, SMB, VPN, ICA ir kt.),
- taikomi apribojimai, rodomi piktogramomis: vaizdo arba įvykių įrašymas, workflow užraktas, vienkartinė prieiga, likusi trukmė, datų intervalas, laiko langas,
- galima prieiga: žalia piktograma, jei bent viename sutarties site yra prisijungęs komponentas Edge Gateway, kitu atveju – raudona.
Ieškos laukas ir išskleidžiamas filtrų blokas susiaurina sąrašą pagal taikomosios programos tipą (standartinė / privilegijuotoji), paslaugos tipą arba apribojimų būseną.
Pateikiami FIDO / WebAuthn raktai, kuriuos paskyra užregistravo portale.
Stulpeliai: Display name, Creation date. Kiekvieną raktą galima panaikinti atskirai, patvirtinus. Naują raktą vartotojas prideda pats portale.
Vartotojo naikinimas¶
Sąraše pasirinkite vieną ar kelias paskyras ir spustelėkite mygtuką ×. Rodomas patvirtinimo raginimas.
Taikomos kelios apsaugos priemonės:
- Numatytojo vietinio domeno paskyros
adminniekada negalima panaikinti. - Deleguotasis administratorius negali panaikinti paskyros, kurios vaidmuo nėra User (taigi negali panaikinti kito administratoriaus ar deleguotojo administratoriaus).
Administration groups¶
Modulis Administration groups nustato, kad domene esanti grupė suteikia savo nariams administravimo teises. Jis atidaromas iš modulio Authentication domains mygtuku Administration groups.
| Domeno tipas | Prieinamumas |
|---|---|
| Numatytasis vietinis katalogas | Prieinama. Galima deklaruoti tik deleguotųjų administratorių grupes (žymės langelis priverstinai pažymėtas). |
| LDAP | Prieinama. Galima rinktis visateisių administratorių grupę arba deleguotųjų administratorių grupę. |
| SAML (federacija) | Prieinama. Galima rinktis visateisių administratorių grupę arba deleguotųjų administratorių grupę. |
| Kiti vietiniai katalogai, anoniminis katalogas | Neprieinama. |
Lentelės stulpeliai: Group name ir Type (administratorius arba deleguotasis administratorius).
Grupės pridėjimas¶
- Išplečiamajame sąraše pasirinkite domeną.
- Spustelėkite mygtuką +.
- Užpildykite laukus ir patvirtinkite.
| Laukas | Aprašas |
|---|---|
| Group | Pasirenkama grupė. Įvedus kelis simbolius, iš domeno gautų grupių sąrašas dinamiškai filtruojamas. Vietiniame domene reikšmė turi atitikti domene jau esančią grupę (laisvas tekstas atmetamas). LDAP arba federaciniuose domenuose laisvas tekstas priimamas. |
| Delegated administrators group | Žymės langelis, kuriuo deleguotųjų administratorių grupė (pažymėtas) atskiriama nuo visateisių administratorių grupės (nepažymėtas). Vietiniuose domenuose paslėptas ir priverstinai pažymėtas. |
Grupės naikinimas¶
Sąraše pasirinkite grupę ir spustelėkite mygtuką ×. Prieš naikinant prašoma patvirtinimo. Palaikomas kelių elementų pasirinkimas.
Delegated administrators¶
Modulyje Delegated administrators vardu išvardijamos paskyros, pripažintos deleguotaisiais administratoriais LDAP arba SAML domene. Jis atidaromas iš modulio Authentication domains mygtuku Delegated administrators.
| Domeno tipas | Prieinamumas |
|---|---|
| LDAP | Prieinama. |
| SAML (federacija) | Prieinama. |
| Kiti tipai | Neprieinama. |
Kodėl reikalinga vardinė registracija?
LDAP ir SAML domenuose narystės administravimo grupėje gali nepakakti: šis modulis leidžia aiškiai nurodyti paskyrą kaip deleguotąjį administratorių. Registracija įsigalioja tik tada, jei paskyra taip pat priklauso ankstesniame modulyje deklaruotai deleguotųjų administratorių grupei (skyrius Administration groups).
Deleguotojo administratoriaus pridėjimas¶
- Išplečiamajame sąraše pasirinkite domeną.
- Spustelėkite mygtuką +.
- Įveskite vartotojo vardą taip, kaip jis įrašytas kataloge (simboliai
<ir>draudžiami), tada patvirtinkite.
Deleguotojo administratoriaus naikinimas¶
Sąraše pasirinkite vieną ar kelias paskyras ir spustelėkite mygtuką ×. Prieš naikinant prašoma patvirtinimo. Taikomos tos pačios apsaugos priemonės kaip vartotojų sąraše (deleguotasis administratorius negali panaikinti kitos paskyros, kurios vaidmuo nėra User).