Access conditions¶
Modulis Access conditions definē kārtulas, kas pēc pievienošanas kādam access contract atļauj vai liedz lietotājiem izveidot savienojumu ar lietotāja portālu, pamatojoties uz tehnisku kritēriju (IP adrese, laika logs, pārlūkprogramma, operētājsistēma, sertifikāts, lietotāja profila atribūts u. c.).
Nosacījums tiek novērtēts savienojuma izveides brīdī: ja tas ir derīgs, tiek lietota saistītā darbība (atļaut vai liegt).
Nosacījumu saraksts¶
Tabulā ir parādīti visi esošie nosacījumi, sadalīti lapās pa 15, 25 vai 50 ierakstiem.
| Kolonna | Apraksts |
|---|---|
| Name | Nosacījuma nosaukums, pirms kura ir ikona, kas norāda tipu un lēmumu (atļaut vai liegt). |
| Type | Nosacījuma tips (skatiet tālāk esošo tabulu). |
| Condition | Konfigurēto parametru teksta kopsavilkums (IP diapazoni, datumi, pārlūkprogrammas u. c.). |
Meklēšanas lauks augšējā labajā stūrī filtrē sarakstu pēc nosaukuma.
Nosacījuma pievienošana¶
Noklikšķinot uz pogas +, tiek atvērta izveides veidlapa. Visiem tipiem kopīgie lauki:
| Lauks | Apraksts |
|---|---|
| Condition type | Obligāts. Definē kārtulas būtību (skatiet tālāk esošo tabulu). Pēc pirmās saglabāšanas to vairs nevar mainīt. |
| Name | Obligāts. |
| Description | Brīvs teksts. |
| Access | Divas izvēles: Allow if valid (noklusējums) vai Deny if valid. |
| Notify the user if invalid | Ja atzīmēts, lietotājs redz ziņojumu, kad nosacījums liedz piekļuvi. |
| Log if invalid | Ja atzīmēts, liegšanas gadījumā žurnālā tiek pievienots ieraksts. |
Pieejamie tipi¶
| Tips | Veiktā pārbaude | Nepieciešams klients |
|---|---|---|
| Connection address | Klienta izmantotais Mediation Controller servera URL. | Nē |
| Antispyware | Aktīvas pretspiegprogrammatūras esamība darbstacijā. | Jā |
| Antivirus | Aktīvas pretvīrusu programmas esamība darbstacijā. | Jā |
| Windows Security Center | Windows drošības iestatījumu stāvoklis (automātiskā atjaunināšana, Internet Explorer iestatījumi, UAC). | Jā |
| Certificate | Sertifikāts, ko pārlūkprogramma uzrāda, lai autentificētos tīmekļa saskarnē. | Nē |
| Date | Datumu diapazons, laika logs, mēnešu saraksts, nedēļas dienas. | Nē |
| IP | IP / domēna adrese, IP diapazons vai apakštīkls. | Nē |
| MD5 | Faila esamība norādītajā ceļā ar paredzēto MD5 kontrolsummu. | Jā |
| Meta-rule | Vismaz divu citu esošu nosacījumu loģiska kombinācija (AND / OR). | Atkarīgs no apvienotajiem nosacījumiem |
| Browser | Klienta izmantotā pārlūkprogramma. | Nē |
| Operating system | Darbstacijā noteiktā operētājsistēma. | Jā, ja vien nav atzīmēts Use the User-Agent |
| Firewall | Aktīva ugunsmūra esamība. | Jā |
| System | Lokāla pārbaude (fails, sējuma numurs, diska sērijas numurs, palaists process, reģistra atslēga). | Jā |
| User | Lietotāja profila atribūta esamība / vērtība. | Nē |
| FIDO2 | Lietotāja autentifikācija, izmantojot FIDO2 / WebAuthn atslēgu. | Nē |
Kolonna „Nepieciešams klients“
Dažas pārbaudes attiecas uz darbstacijas stāvokli: tās tiek veiktas lokāli, tāpēc lietotāja darbstacijā ir jābūt instalētam Bastion klientam. Ja klienta nav, nosacījumu, kuram tas ir nepieciešams, nevar novērtēt, un tas tiek uzskatīts par nederīgu — tas jo īpaši attiecas uz savienojumiem no Cleanroom Desktop.
Parametri pēc tipa¶
| Lauks | Apraksts |
|---|---|
| Domain | Mediation Controller servera URL resursdatora daļa (bez https:// vai ceļa). Pieļauj burtus, ciparus, defises, punktu un regulāro izteiksmju rakstzīmes. |
Tiek piedāvāti divi režīmi:
| Režīms | Apraksts |
|---|---|
| User authenticated using a certificate (noklusējums) | Pārbauda, vai lietotājs ir autentificējies, izmantojot sertifikātu. |
| Test certificate's contents | Papildus salīdzina sertifikāta lauku ar lietotāja profila lauku. |
Papildu lauki otrajam režīmam:
| Lauks | Apraksts |
|---|---|
| Certificate field | Nolaižamais saraksts: DN field of the user certificate, CN field of the user certificate (noklusējums), Email field of the user certificate, O field of the user certificate, OR field of the user certificate vai PEM-encoded certificate for client X509. |
| User profile field | Lietotāja profila lauks, kura vērtība tiek salīdzināta. |
Jāatzīmē vismaz viena no četrām opcijām; aktīvās opcijas tiek apvienotas ar loģisko AND.
| Opcija | Apraksts |
|---|---|
| Date | Datumu diapazons (sākums, beigas). Beigu datums nevar būt agrāks par sākuma datumu. |
| Hour | Laika logs (HH:MM). Beigu laikam jābūt vēlākam par sākuma laiku (ja vien nosacījums neaptver vairākas dienas). |
| Month | Divpadsmit izvēles rūtiņas, pēc noklusējuma visas atzīmētas. |
| Day of the week | Septiņas izvēles rūtiņas, pēc noklusējuma visas atzīmētas. |
Trīs savstarpēji izslēdzoši režīmi:
| Režīms | Lauki |
|---|---|
| IP or domain list | Viena vai vairākas IPv4 adreses, atdalītas ar ;. |
| IP range | Sākuma un beigu IP. |
| Subnetwork | IP un maska (CIDR no 0 līdz 32). |
| Lauks | Apraksts |
|---|---|
| File path | Pilns ceļš (piem., C:\Test.ext). |
| MD5 checksum | 32 rakstzīmju heksadecimāls skaitlis. |
Saite ļauj lejupielādēt Bastion nodrošināto Windows MD5 kontrolsummas utilītu.
| Lauks | Apraksts |
|---|---|
| Logical operator | AND (noklusējums) vai OR. |
| Component rules | Velciet un nometiet vismaz divus nosacījumus no kreisās kolonnas uz labo kolonnu. Metakārtula nevar atsaukties ne uz sevi, ne uz metakārtulu, kas jau tiek izmantota tās hierarhijā. |
Izvēles rūtiņas, kas atbilst nosakāmajām pārlūkprogrammām: Internet Explorer no 7 līdz 11, Konqueror, Firefox, Safari, Chrome, Opera, Edge. Opcija Other aktivizē brīva teksta lauku citas pārlūkprogrammas precīzajam nosaukumam. Pēc noklusējuma ir atzīmēta opcija Internet Explorer.
No Cleanroom Desktop veikto savienojumu izdalīšana
Platforma uztver Cleanroom Desktop kā pārlūkprogrammu: tas identificējas ar lietotāja aģentu formā Cleanroom Desktop 1.2.3.4. Tāpēc, atzīmējot Other un ievadot Cleanroom Desktop, tiek atlasītas piekļuves, kas veiktas no šī klienta. Kad nosacījums ir pievienots kādam access contract, tas ļauj dažus resursus rezervēt Desktop klientam, bet citus — lietotāja portālam.
| Opcija | Apraksts |
|---|---|
| Use the User-Agent | Ja atzīmēts, noteikšana balstās uz galveni User-Agent, nevis uz lokālo aģentu. |
| Operētājsistēmu saraksts | Izvēles rūtiņas (no Windows XP līdz 11, no Windows Server 2003 līdz 2022, Linux, MacOS X, Vista, 9x, NT, CE u. c.). Opcija Other aktivizē brīva teksta lauku. Jāatzīmē vismaz viena rūtiņa. |
Lokāla pārbaude vienā no šiem režīmiem:
| Režīms | Apraksts | Saraksta validācija |
|---|---|---|
| File | Pārbaudāmo failu ceļu saraksts. | Visiem ir jāeksistē (AND). |
| C:\ volume number | Sējumu numuru saraksts (to izgūšanai palīdz lejupielādējama utilīta). | Vienam ir jāsakrīt (OR). |
| Hard disk serial number | Sērijas numuru saraksts. | Vienam ir jāsakrīt (OR). |
| Running process | Procesu nosaukumu saraksts. | Visiem ir jābūt palaistiem (AND). |
| Registry Key | Atslēgu / vērtību saraksts formā HKEY_LOCAL_MACHINE\path\name=value. |
Visām ir jāeksistē, attiecīgā gadījumā ar norādīto vērtību (AND). |
Katrā režīmā ievadiet vērtību un noklikšķiniet uz Add, lai to pievienotu tabulai. Katru rindu var dzēst atsevišķi (ar apstiprinājumu).
Loģika katrā režīmā atšķiras
Abi aparatūras režīmi — C:\ volume number un Hard disk serial number — ir izpildīti, tiklīdz sakrīt viena saraksta vērtība: tur saraksts uzskaita atļautās darbstacijas. Pārējos trijos režīmos ir jāpārbauda katra vērtība.
| Lauks | Apraksts |
|---|---|
| Attribute name | Pārbaudāmais lietotāja profila atribūts (piem., mail, employeeID, mobile). |
| Attribute value | Neobligāts. Izteiksme, ko salīdzina ar atgriezto vērtību. Ja lauks ir tukšs, nosacījums pārbauda tikai to, vai atribūtam ir vērtība. |
| Exclusive comparison | Ja atzīmēts, izteiksmei ir jāsakrīt no vērtības sākuma; pretējā gadījumā tā var sakrist jebkurā vērtības vietā. |
Atbalstītie domēnu tipi
Šis nosacījums neattiecas tikai uz direktorijiem: LDAP domēnam atribūti tiek nolasīti no direktorija, bet lokālam domēnam — no datu bāzes. Citiem domēnu tipiem — jo īpaši SAML — atribūts netiek atgriezts, tāpēc tur nosacījums nekad nav derīgs, un tas ir svarīgi atkarībā no tā, vai tas ir iestatīts uz Allow vai uz Deny.
Nosacījuma rediģēšana¶
Atlasiet nosacījumu sarakstā un noklikšķiniet uz ikonas Properties vai veiciet dubultklikšķi uz rindas. Tiek parādīti tie paši lauki kā izveides laikā, izņemot Type, kas kļūst tikai lasāms.
Nosacījuma dzēšana¶
Atlasiet vienu vai vairākus nosacījumus un noklikšķiniet uz pogas ×. Dzēšanai ir nepieciešams apstiprinājums. Tiek atbalstīta vairāku vienumu atlase.