Users and administrators¶
Šajā lapā ir aprakstīti trīs moduļi, ko izmanto kontu pārvaldībai Bastion: lietotāji (portāla un konsoles), administrēšanas grupas (kas piešķir grupai administratīvās tiesības) un deleģētie administratori (piešķiršana konkrētām personām). Tā ir paredzēta administratoram, kurš vēlas izveidot, rediģēt vai dzēst šos kontus un piešķirt atbilstošās administrēšanas tiesības.
Šie trīs moduļi ir pieejami no moduļa Authentication domains, vispirms atlasot domēnu un pēc tam noklikšķinot uz kādas no pogām Users, Administration groups vai Delegated administrators. Modulis Users ir pieejams arī, izmantojot tiešu saīsni administrēšanas konsolē.
Users¶
Modulis Users uzskaita, izveido, rediģē un dzēš domēna lietotāju kontus. Tā darbība ir atkarīga no domēna tipa.
| Domēna tips | Kontu pārvaldība |
|---|---|
| Local directory | Manuāla izveide, rediģēšana un dzēšana. Var definēt lomu un sesijas opcijas. |
| SAML (federācija) | Manuāla izveide, rediģēšana un dzēšana, taču bez paroles (autentifikāciju veic identitātes sniedzējs). Konti galvenokārt tiek izmantoti metadatu glabāšanai (e-pasts, dalība grupās). |
| LDAP un Anonymous directory | Netiek uzskaitīti domēnu atlasītājā — konti tiek pārvaldīti direktorija pusē vai nav piemērojami. |
Atlase un filtrēšana¶
| Elements | Apraksts |
|---|---|
| Domain | Izvēlas domēnu, kura konti tiek uzskaitīti. Tiek piedāvāti tikai lokālie un federācijas domēni. |
| Group | Filtrē sarakstu pēc grupas. Augšdaļā tiek pievienots sintētisks ieraksts All, lai parādītu visus kontus. |
| Meklēšanas lauks | Filtrē pēc konta nosaukuma apakšvirknes. Meklēšana notiek 700 ms pēc pēdējā taustiņsitiena vai uzreiz, nospiežot taustiņu Enter. |
| Tabulas kolonnas | ID, Name (paslēpta SAML domēniem), Email, Groups. Ja nav neviena konta, tabulā tiek rādīts No available users. |
Lietotāja pievienošana — lokālais domēns¶
Ievades ierobežojumi un pieejamie lauki:
| Lauks | Apraksts |
|---|---|
| User name | Obligāts. Rakstzīmes < un > ir aizliegtas. Jābūt unikālam domēna ietvaros. |
| Password / Confirm | Obligāti izveides laikā. Tiek piemērota domēnā spēkā esošā paroļu politika. |
| Full name | Parādāmā etiķete, kas dažos skatos tiek rādīta tehniskā nosaukuma vietā. |
| Tiek pārbaudīts, vai tā ir pareiza e-pasta adrese. | |
| Phone | Tiek pārbaudīts, vai tas ir tālruņa numurs. |
| IP lock | IP adrešu vai diapazonu saraksts (ar neobligātu masku, atdalīti ar komatiem), no kuriem lietotājam ir atļauts izveidot savienojumu. Tā ir adrese, ko redz komponents Mediation Controller: ja starpā ir NAT, ievadiet publisko adresi. |
| Role | Skatiet tālāk sniegto lomu tabulu. |
Lokālajā domēnā pieejamās lomas:
| Loma | Efekts |
|---|---|
| User (noklusējums) | Piekļuve tikai lietotāju portālam. |
| Administrator | Piekļuve administrēšanas konsolei ar pilnām tiesībām. |
| Delegated administrator | Piekļuve administrēšanas konsolei ar ierobežotām tiesībām. Faktiskās tiesības ir atkarīgas no deleģētā administratora profila un no administrēšanas grupām, kurām pieder konts. |
Divas izvēršamas opcijas ierobežo konta darbības laiku:
| Opcija | Apraksts |
|---|---|
| Limited sessions | Ierobežo pieteikšanās reižu skaitu. Kad šis skaits ir sasniegts, tiek piemērota izvēlētā darbība: konta bloķēšana (noklusējums) vai dzēšana. Minimālā vērtība ir 1. |
| Temporary account | Ierobežo konta derīgumu ar sākuma un beigu datumu un laiku. Beigu datumā tiek piemērota izvēlētā darbība: bloķēšana vai dzēšana. Beigu datumam jābūt stingri vēlākam par sākuma datumu. |
Noklusējuma lokālā domēna konts admin
Noklusējuma lokālā domēna iebūvētais konts admin ir īpašs. Tā lomai piespiedu kārtā ir iestatīta vērtība Administrator, un opcijas Limited sessions un Temporary account ir paslēptas — šos ierobežojumus tam nevar piemērot.
Cilnē Groups kontu var piešķirt vienai vai vairākām grupām, velkot un nometot no pieejamo grupu saraksta uz atlasīto grupu sarakstu. Meklēšanas lauks filtrē kreiso sarakstu.
Lietotāja pievienošana — SAML domēns¶
Federācijas domēnam veidlapa ir saīsināta: tā kā autentifikācija ir deleģēta identitātes sniedzējam, Bastion pusē netiek glabāta neviena parole.
| Lauks | Apraksts |
|---|---|
| User name | Obligāts. Rakstzīmes < un > ir aizliegtas. Jāatbilst identifikatoram, ko atgriež identitātes sniedzējs. |
| Description | Brīvs teksts. |
| Tiek pārbaudīts, vai tā ir pareiza e-pasta adrese. |
Cilnē Groups tiek rādīts divu kolonnu saraksts (pieejamās / atlasītās) ar meklēšanu un pogu visu vienumu atlasīšanai.
Lietotāja rediģēšana¶
Lai atvērtu rediģēšanas veidlapu, sarakstā atlasiet kontu un noklikšķiniet uz ikonas Properties vai veiciet dubultklikšķi uz rindas. Ir spēkā tie paši ierobežojumi kā izveides laikā, un ir pieejamas trīs papildu cilnes, kas raksturīgas tikai rediģēšanai:
Pievieno kontam brīvas formas atslēgu un vērtību pārus. Ievadiet etiķeti un vērtību, pēc tam noklikšķiniet uz Add. Jau izmantota etiķete tiek noraidīta. Katru ierakstu var dzēst atsevišķi ar dzēšanas pogu tā rindā, pēc apstiprinājuma.
Uzskaita resursus, kuriem konts var piekļūt; tie tiek aprēķināti, pamatojoties uz piekļuves līgumiem.
Par katru resursu tiek rādīta šāda informācija:
- nosaukums un pakalpojuma tipa ikona (RDP, HTML5 RDP, SSH, VNC, SMB, VPN, ICA utt.),
- piemērojamie ierobežojumi ikonu veidā: video vai notikumu ierakstīšana, workflow bloķēšana, vienreizēja piekļuve, atlikušais ilgums, datumu diapazons, laika logs,
- pieejamā piekļuve: zaļa ikona, ja vismaz vienā līguma site ir tiešsaistē esošs komponents Edge Gateway, pretējā gadījumā sarkana.
Meklēšanas lauks un izvēršams filtru bloks sašaurina sarakstu pēc lietojumprogrammas tipa (standarta / priviliģēta), pēc pakalpojuma tipa vai pēc ierobežojumu stāvokļa.
Uzskaita FIDO / WebAuthn atslēgas, ko konts ir reģistrējis portālā.
Kolonnas: Display name, Creation date. Katru atslēgu var dzēst atsevišķi pēc apstiprinājuma. Jaunu atslēgu lietotājs pievieno portālā.
Lietotāja dzēšana¶
Sarakstā atlasiet vienu vai vairākus kontus un noklikšķiniet uz pogas ×. Tiek parādīts apstiprinājuma pieprasījums.
Ir spēkā vairāki drošības pasākumi:
- Noklusējuma lokālā domēna kontu
adminnekad nevar dzēst. - Deleģētais administrators nevar dzēst kontu, kura loma nav User (tādējādi deleģētais administrators nevar dzēst citu administratoru vai deleģēto administratoru).
Administration groups¶
Modulis Administration groups nosaka, ka domēnā esoša grupa piešķir saviem dalībniekiem administrēšanas tiesības. To atver no moduļa Authentication domains, izmantojot pogu Administration groups.
| Domēna tips | Pieejamība |
|---|---|
| Noklusējuma lokālais direktorijs | Pieejams. Var deklarēt tikai deleģēto administratoru grupas (izvēles rūtiņa ir atzīmēta piespiedu kārtā). |
| LDAP | Pieejams. Var izvēlēties pilntiesīgu administratoru grupu vai deleģēto administratoru grupu. |
| SAML (federācija) | Pieejams. Var izvēlēties pilntiesīgu administratoru grupu vai deleģēto administratoru grupu. |
| Citi lokālie direktoriji, anonīmais direktorijs | Nav pieejams. |
Tabulas kolonnas: Group name un Type (administrators vai deleģētais administrators).
Grupas pievienošana¶
- Nolaižamajā sarakstā atlasiet domēnu.
- Noklikšķiniet uz pogas +.
- Aizpildiet laukus un apstipriniet.
| Lauks | Apraksts |
|---|---|
| Group | Izvēlas grupu. Ierakstot dažas rakstzīmes, no domēna izgūto grupu saraksts tiek dinamiski filtrēts. Lokālajam domēnam vērtībai jāatbilst grupai, kas domēnā jau pastāv (brīvs teksts tiek noraidīts). LDAP vai federācijas domēniem brīvs teksts tiek pieņemts. |
| Delegated administrators group | Izvēles rūtiņa, kas atšķir deleģēto administratoru grupu (atzīmēta) no pilntiesīgu administratoru grupas (nav atzīmēta). Lokālajos domēnos paslēpta un piespiedu kārtā atzīmēta. |
Grupas dzēšana¶
Sarakstā atlasiet grupu un noklikšķiniet uz pogas ×. Dzēšanai ir nepieciešams apstiprinājums. Tiek atbalstīta vairāku vienumu atlase.
Delegated administrators¶
Modulis Delegated administrators pēc vārda uzskaita kontus, kas LDAP vai SAML domēnā ir atzīti par deleģētajiem administratoriem. To atver no moduļa Authentication domains, izmantojot pogu Delegated administrators.
| Domēna tips | Pieejamība |
|---|---|
| LDAP | Pieejams. |
| SAML (federācija) | Pieejams. |
| Citi tipi | Nav pieejams. |
Kāpēc nepieciešama reģistrācija pēc vārda?
LDAP un SAML domēniem ar piederību administrēšanas grupai var nepietikt: šis modulis ļauj skaidri nosaukt kontu par deleģēto administratoru. Reģistrācija stājas spēkā tikai tad, ja konts pieder arī deleģēto administratoru grupai, kas deklarēta iepriekšējā modulī (nodaļa Administration groups).
Deleģētā administratora pievienošana¶
- Nolaižamajā sarakstā atlasiet domēnu.
- Noklikšķiniet uz pogas +.
- Ievadiet lietotājvārdu tā, kā tas ir direktorijā (rakstzīmes
<un>ir aizliegtas), un pēc tam apstipriniet.
Deleģētā administratora dzēšana¶
Sarakstā atlasiet vienu vai vairākus kontus un noklikšķiniet uz pogas ×. Dzēšanai ir nepieciešams apstiprinājums. Ir spēkā tie paši drošības pasākumi kā lietotāju sarakstā (deleģētais administrators nevar dzēst citu kontu, kura loma nav User).