Access contracts¶

Modul Access contracts zoskupuje pravidlá, ktoré skupinám používateľov udeľujú právo pristupovať k publikovaným aplikáciám. Zmluva odpovedá na štyri prevádzkové otázky: kto (ktoré skupiny), čo (ktoré aplikácie a s akými obmedzeniami), kde (v ktorom site) a za akých podmienok (podmienky prístupu, výstrahy, filtrovanie siete).

Skupiny používateľov, aplikácie a podmienky prístupu musia existovať skôr, ako sa na ne odkáže v zmluve.

Kumulatívne práva

Skupina sa môže nachádzať vo viacerých zmluvách a používateľ môže patriť do viacerých skupín. V oboch prípadoch sa práva sčítavajú. Naopak, keď sa zmluva vzťahuje na viacero skupín, na využívanie jej práv stačí patriť do ktorejkoľvek z nich.

Zoznam zmlúv¶

Hlavná tabuľka uvádza existujúce zmluvy. Každý riadok možno rozbaliť alebo zbaliť a zobraziť podrobnosti (domény/skupiny, podmienky, site, kategórie a aplikácie, obmedzené aplikácie, výstrahy, filtrovanie siete, aliasy, ktoré možno odhaliť).

Stĺpec	Popis
Name	Názov zmluvy, pred ktorým je ikona visiaceho zámku.
Groups	Počet priradených skupín používateľov.
Access conditions	Počet priradených podmienok prístupu.
Sites	Počet odkazovaných site.
Applications	Počet povolených aplikácií.
Restricted applications	Počet aplikácií umiestnených za workflow.
Alerts	Počet výstrah prístupu pripojených k zmluve.
Network connections	Počet pravidiel filtrovania siete (stĺpec je predvolene skrytý).
Revealable aliases	Počet priradených aliasov, ktoré možno odhaliť (zobrazuje sa iba vtedy, keď je funkcia povolená).

Pole vyhľadávania v pravom hornom rohu filtruje zoznam podľa názvu.

Pridanie zmluvy¶

Kliknutím na tlačidlo + otvorte sprievodcu vytvorením. Polia hlavičky sú spoločné pre všetky karty:

Pole	Popis
Name	Povinné. Identifikuje zmluvu.
Description	Voľný popis.

Formulár je rozdelený na niekoľko kariet, ktoré treba vyplniť v logickom poradí.

GroupsAccess conditionsSitesApplicationsApplications to restrictPersonal aliasesRevealable aliasesAlertsNetwork connections

Vyberte z rozbaľovacieho zoznamu doménu overovania a potom presuňte myšou požadované skupiny používateľov do pravého stĺpca. Jedna zmluva môže kombinovať skupiny z viacerých domén. Aby bola zmluva platná, musí byť vybraná aspoň jedna skupina.

Presuňte myšou podmienky prístupu, ktoré sa majú použiť. Podmienka povoľuje alebo zamieta prístup na základe kritéria (IP, dátum, certifikát atď. — pozrite Access conditions).

Viacero podmienok sa kombinuje operátorom AND

Keď je k tej istej zmluve pripojených viacero podmienok prístupu, musia byť platné všetky, aby sa zmluva uplatnila: stačí jedna neplatná podmienka a zmluva sa vyradí, takže používateľ nezíska práva, ktoré zmluva poskytuje. Ak chcete dosiahnuť OR, použite metapravidlo v module Access conditions.

Viditeľnosť karty

Karta sa zobrazí iba vtedy, keď v príslušnom module existuje aspoň jedna podmienka prístupu.

Presuňte myšou site, ktoré hostujú aplikácie. Site je množina serverov Edge Gateway, ktorá definuje zabezpečený vstupný bod do lokálnej siete.

Viacero site: vyberá používateľ

Keď zmluva odkazuje na viacero site, používateľovi sa pri spustení aplikácie zobrazí obrazovka Select a site, na ktorej vyberie ten, cez ktorý chce prejsť.

Strom uvádza aplikácie zoskupené podľa kategórií. Začiarknutím kategórie sa vyberú všetky jej aplikácie a automaticky sa zahrnie aj každá aplikácia, ktorá sa do tejto kategórie pridá neskôr. Začiarknutím jednotlivých políčok môžete vybrať podmnožinu. Musí byť začiarknutá aspoň jedna aplikácia.

Aplikácie Workplace — vzájomné vylúčenie

Keď je povolené priradenie Workplace, zobrazia sa dve virtuálne aplikácie: Access to Workplace applications by merged cloud a Access to Workplace applications by redirection. V rámci tej istej zmluvy sa navzájom vylučujú.

Umiestni niektoré z predtým vybraných aplikácií za workflow schvaľovania. Používatelia budú musieť požiadať o prístup a správca bude požiadavky prijímať alebo zamietať v module Workflow.

Možnosť	Popis
Ask the user to complete a form when requesting access	Ak je táto možnosť začiarknutá, používateľ musí vyplniť formulár zakaždým, keď požiada o prístup k obmedzenej aplikácii.
Applications to restrict	Dvojstĺpcový zoznam (dostupné / obmedzené) s vyhľadávaním.

Predvolene zbalená. Keď je začiarknutá možnosť Allow personal aliases, môžete spomedzi vybraných aplikácií určiť tie, pre ktoré si používateľ môže ukladať vlastné aliasy (poverenia uložené na portáli).

Zobrazuje sa iba vtedy, keď je v general options začiarknutá možnosť Allow password display in alias. Dvojstĺpcový zoznam na výber aliasov (prepojených s používateľmi), ktoré možno odhaliť prostredníctvom tejto zmluvy.

Metaaliasy

Keď výber obsahuje aspoň jeden metaalias, pred uložením sa zobrazí dialógové okno s potvrdením.

Presuňte myšou profily výstrah, ktoré sa majú spustiť pri použití prístupov, na ktoré sa vzťahuje táto zmluva.

Karta je aktívna iba vtedy, keď je na karte Applications vybraná aspoň jedna aplikácia typu RDS, HTML5 RDS, SSH alebo HTML5 SSH.

Na cieľovom serveri sa vyžaduje agent bez ohľadu na protokol

Filtrovanie sa uplatní, len ak je na cieľovom serveri príslušný agent: agent Bastion na serveroch RDS a HTML5 RDS a agent filtrovania siete na serveroch SSH a HTML5 SSH. Bez neho nemajú tu zadané pravidlá žiadny účinok.

Začiarknutím možnosti Filter network connections povoľte filtrovanie a potom pre každé pravidlo zadajte:

Pole	Popis
Target IP	Povolená IP adresa alebo povolený hostiteľ. Overenie formátu IPv4.
Network mask	Voliteľné. Ak je prázdne, pravidlo sa vzťahuje iba na cieľovú IP adresu.
Port	Predvolene 0: pravidlo sa vzťahuje na všetky porty.
Protocol	TCP, UDP alebo TCP and UDP.

Kliknutím na Add vložte pravidlo do zoznamu povolených sietí. Každé pravidlo možno odobrať samostatne.

Význam filtrovania

Ak je začiarknutá možnosť Filter network connections, ale nie je povolená žiadna sieť, používateľ sa nemôže pripojiť k žiadnej sieti. V opačnom prípade sú dostupné iba uvedené siete.

Kliknutím na Validate uložte zmluvu. Karty Groups, Sites a Applications sú povinné, inak sa zmluva zamietne.

Úprava zmluvy¶

Vyberte zmluvu v zozname a potom kliknite na ikonu Properties alebo dvakrát kliknite na riadok. Okno je rovnaké ako okno na vytvorenie a je vopred vyplnené aktuálnymi hodnotami.

Odstránenie zmluvy¶

Vyberte jednu alebo viac zmlúv a potom kliknite na tlačidlo ×. Odstránenie si vyžaduje potvrdenie.

Export zmlúv¶

Tlačidlo Export stiahne všetky zobrazené zmluvy do súboru CSV. Exportované údaje zohľadňujú aktuálne filtre (vyhľadávanie atď.).

Štruktúra súboru¶

Súbor obsahuje jeden riadok hlavičky a potom jeden riadok na každú zmluvu. Stĺpce sú v tomto poradí:

#	Stĺpec	Obsah	Povinné pri importe
1	Alerts	Označenia profilov výstrah.
2	Categories	Názvy kategórií aplikácií.
3	Description	Voľný text.
4	Groups	Skupiny používateľov v tvare `group@domain`.	Áno
5	Name	Názov zmluvy.	Áno
6	Applications	Názvy povolených aplikácií.
7	Restricted applications	Názvy aplikácií umiestnených za workflow.
8	Access conditions	Názvy podmienok prístupu.
9	Sites	Názvy site.	Áno
10	Request a form	`True` alebo `False`.
11	Filter network connections	`True` alebo `False`.
12	Network connections	Pravidlá filtrovania v tvare `ip/mask:port:protocol`.
13	Revealable aliases	Názvy aliasov.
14	Revealable password rotation aliases	Názvy aliasov.
15	Revealable dynamic aliases	Názvy aliasov.
16	Personal aliases	Názvy aplikácií, pre ktoré sú povolené osobné aliasy.

Syntax¶

Prvok	Oddeľovač	Príklad
Stĺpce	`;`	`Name;Description;…`
Viacero hodnôt v jednej bunke	`+`	`Accounting+Management+Support`
Skupina používateľov	`@` medzi skupinou a jej doménou	`Accounting@AD-Internal`
Všetky skupiny domény	kľúčové slovo `all`	`all@AD-Internal`
Pravidlo filtrovania siete	`/` a potom `:`	`10.0.0.5/255.255.255.0:3389:TCP` — port nastavený na `0` znamená „všetky porty“
Booleovské hodnoty	—	`True` alebo `False`; prázdna bunka sa považuje za `False`

Objem

Export je obmedzený: po prekročení maximálneho počtu riadkov nastaveného na platforme sa do súboru zapíšu iba prvé zmluvy.

Import zmlúv¶

Tlačidlo Import otvorí okno, v ktorom možno nahrať súbor CSV. Jeho štruktúra musí zodpovedať štruktúre opísanej v časti Export zmlúv: najbezpečnejšie je vychádzať z exportu a upraviť ho.

Pole	Popis
File	Súbor CSV na import.
Record delimiter	Oddeľovač stĺpcov, `;` pre súbor vytvorený exportom.
Value delimiter inside a field	Oddeľovač viacerých hodnôt, `+` pre súbor vytvorený exportom.

Stĺpce Name, Groups a Sites sú povinné: riadok, v ktorom niektorý z nich chýba, sa zamietne. Odkazované hodnoty (aplikácie, kategórie, podmienky prístupu, výstrahy, aliasy, site) musia už existovať a priraďujú sa podľa názvu.

Po potvrdení okno zhrnie výsledok importu pre každú zmluvu zo súboru.