Authentication domain¶
Doména overovania definuje, kde a ako sa pri pripojení overujú identity používateľov. Každý účet patrí do skupiny a každá skupina do domény: doména určuje, odkiaľ účty pochádzajú — z firemného adresára, z internej databázy alebo od externého poskytovateľa identity.
Tento modul zobrazuje zoznam deklarovaných domén. Kliknite na +, ak chcete doménu pridať, alebo dvakrát kliknite na názov, ak ju chcete nakonfigurovať. Typ adresára sa vyberá pri vytváraní a neskôr ho nemožno zmeniť.
Ponúkajú sa štyri typy:
| Typ adresára | Zdroj účtov | Použitie |
|---|---|---|
| LDAP directory | Externý adresár (Active Directory, OpenLDAP…) | Bežný prípad: existujúce účty a skupiny sa použijú tak, ako sú, bez kopírovania. |
| Local directory | Interná databáza platformy | Účty vytvorené a spravované priamo z konzoly, popri adresári alebo pre malý rozsah. |
| SAML domain | Externý poskytovateľ identity (IdP) | Overovanie je delegované na IdP; platforma vystupuje ako poskytovateľ služieb. |
| Anonymous directory | Žiadny | Zriedkavé prípady, keď prístup k aplikácii nevyžaduje vôbec žiadne overovanie. |
Poradie vytvárania
Najprv vytvorte doménu, potom skupiny a nakoniec používateľské účty: prístupové práva k aplikáciám sa potom udeľujú skupinám prostredníctvom zmluvy o prístupe.
Spoločné prvky konfigurácie¶
Tieto nastavenia sú k dispozícii pri každom type domény:
| Pole | Popis |
|---|---|
| Name | Zvoľte zmysluplný názov domény. |
| Shortcut URL | Zobrazuje sa iba v režime úprav. Priama URL adresa, ktorá poskytuje prístup k používateľskému portálu pre túto konkrétnu doménu bez prechádzania zoznamom dostupných domén. Formát: https://{server}/cloud/?orgname={organisation}&domainid={id}. |
| Description | Voliteľné pole, ktoré opisuje obsah domény. |
| Microsoft domain | Informácia, ktorá sprevádza identifikáciu používateľa, keď je povolené jednotné prihlásenie (SSO). |
| Expiration | Maximálna doba nečinnosti, po ktorej platnosť relácie vyprší. Predvolená hodnota: 60 minút. |
| Number of attempts before lockout | Obmedzuje počet pokusov o prihlásenie. Odporúčaná hodnota: 3 pokusy (ochrana pred útokmi hrubou silou). Tento limit musí byť ≤ akémukoľvek limitu nastavenému v adresári LDAP. |
| Time before unlock (minutes) | Doba, po ktorej sa uzamknuté relácie odomknú. Ak chcete funkciu zakázať, nastavte hodnotu 0. |
| The domain is part of cascading authentication | Pozrite časť Kaskádové overovanie. |
| Delegate authentication to an external server | Možnosti: No, CAS, IdeoSSO. |
| Alternative username attribute | Atribút LDAP, ktorý sa používa ako sekundárny identifikátor, keď primárny atribút používateľa nenájde (napr. mail, userPrincipalName). |
| Maximum number of simultaneous sessions per user | Odporúčaná hodnota: 1 relácia. |
| Automatic deletion of the oldest session | Automaticky zatvorí aktívnu reláciu, keď sa požiada o novú. |
| Note displayed in the authentication form | Poznámka určená len pre používateľov domény. |
Metóda overovania¶
| Pole | Popis |
|---|---|
| Authentication method | Určuje, ako sa pri prihlásení overuje identita používateľa: Form (meno používateľa a heslo sa zadávajú ručne) / User certificate (meno používateľa sa extrahuje z poľa CN certifikátu) / User certificate and form (po overení certifikátom sa stále vyžaduje heslo) / Apache authentication (overovanie je delegované na webový server Apache) / Pro Santé Connect (CIBA) (overovanie prostredníctvom francúzskeho národného poskytovateľa identity v zdravotníctve). |
| Force the use of the virtual keyboard | Zobrazí na stránke overovania klávesnicu na obrazovke, ktorá chráni zadávanie hesla pred keyloggermi. |
Pro Santé Connect (CIBA)¶
Tieto polia sa zobrazujú len vtedy, keď je vybratá metóda overovania Pro Santé Connect (CIBA). Pro Santé Connect je francúzsky národný poskytovateľ identity pre zdravotníckych pracovníkov.
| Pole | Popis |
|---|---|
| Identifier (client id) | Identifikátor klienta, ktorý poskytne služba Pro Santé Connect pri registrácii aplikácie. |
| Secret (client secret) | Príslušný tajný kľúč klienta, ktorý sa používa na overenie výmen OIDC so službou Pro Santé Connect. |
| Sandbox | Ak je políčko začiarknuté, CyberElements sa pripája k testovaciemu prostrediu PSC namiesto produkčného prostredia. Používajte len na integračné testy. |
| RPPS retrieval | Určuje, odkiaľ pochádza číslo RPPS používateľa (francúzsky register zdravotníckych pracovníkov): Use the authentication attribute (RPPS sa extrahuje z primárneho atribútu overovania) alebo Use another user attribute (RPPS sa extrahuje zo samostatného atribútu, ktorý sa zadá v nasledujúcom poli). |
| User attribute containing the RPPS | Názov atribútu, ktorý obsahuje číslo RPPS (napr. rpps, healthcareProfessionalId). Zobrazuje sa a vyžaduje sa len vtedy, ak je predchádzajúca možnosť nastavená na „Use another user attribute“. |
Overovací token OTP¶
| Pole | Popis |
|---|---|
| Authentication token | Výber generátora alebo generátorov OTP, ktoré sa majú použiť (predtým deklarovaných v ponuke generátorov tokenov OTP). Je možný viacnásobný výber. |
| User attribute used to send the OTP | Určuje atribút používateľa, prostredníctvom ktorého sa OTP doručí pre každý vybratý token (napr. mobile na odoslanie cez SMS, mail na odoslanie e-mailom). Pre každý vybratý token sa zobrazí jedno pole. |
| Token expiration duration | Doba, po ktorej sa odoslané OTP už neprijme. Ak chcete vypršanie platnosti zakázať, nastavte hodnotu 0. |
| Time unit | Jednotka doby platnosti: Hours alebo Days. Hodnota zadaná v predchádzajúcom poli sa vynásobí touto jednotkou (1 pre hodiny, 24 pre dni). |
| Expiration starts | Začiatok odpočítavania platnosti: From the last OTP validation (platnosť OTP vyprší X hodín po jeho overení) alebo From the last successful login (platnosť OTP vyprší X hodín po otvorení relácie). |
| *Replace OTP characters with "" | Maskuje znaky, ktoré sa pri prihlásení zadávajú do poľa jednorazového hesla. |
Overovanie neomia Pulse¶
neomia Pulse je riešenie nepretržitého overovania založené na analýze správania. Tieto polia sa zobrazia, keď je začiarknuté políčko Enable neomia Pulse authentication.
| Pole | Popis |
|---|---|
| Enable neomia Pulse authentication | Povolí integráciu s neomia Pulse. Pre doménu sa vytvorí konfigurácia Pulse. |
| API URL | Základná URL adresa rozhrania API neomia Pulse na overenie používateľov (napr. https://pulse.example.com/api). |
| Authentication API URL | URL adresa koncového bodu overovania Pulse, ak sa líši od hlavnej URL adresy. |
| API key | Tajný kľúč, ktorý umožňuje CyberElements overiť sa voči rozhraniu API Pulse. |
| Number of neomia Pulse attempts | Maximálny počet pokusov o overenie cez Pulse, po ktorom sa požiadavka zablokuje. Predvolená hodnota: 3. |
| If Pulse authentication succeeds | Správanie, keď Pulse úspešne overí používateľa: Skip the OTP token (všetky OTP nakonfigurované v doméne sa obídu) alebo Reinforce authentication (OTP zostávajú povinné aj po úspešnom overení cez Pulse). |
| If Pulse authentication fails | Záložné správanie, ak Pulse zlyhá alebo je nedostupný: Block access (používateľ sa nemôže prihlásiť, vráti sa kód chyby PULSE_API_ERROR) alebo Request an additional authentication factor (automatický návrat k štandardnému overovaniu OTP). |
| Display graphical components | Zobrazí na stránke overovania vizuálne prvky vzoru písania z rozhrania neomia Pulse. |
| Display authentication factors | Zobrazí používateľovi zoznam faktorov overovania, ktoré zistil Pulse. |
Delegovanie overovania na externý server¶
Server CAS¶
| Pole | Popis |
|---|---|
| CAS server URL | Úplná URL adresa servera CAS, na ktorý sa deleguje overovanie. |
IdeoSSO¶
| Pole | Popis |
|---|---|
| CAS server URL | Úplná URL adresa servera IdeoSSO. |
| IdeoSSO, user property matching the identifier | Názov vlastnosti používateľa IdeoSSO, ktorá sa v CyberElements používa ako prihlasovací identifikátor. |
Konfigurácia domény typu „Local directory“¶
Karta: General information¶
| Pole | Popis |
|---|---|
| Invisible shortcut | Ak existuje viacero domén, začiarknite toto políčko, aby sa doména nezobrazovala v zozname ponúkanom používateľovi. Doména je potom dostupná len cez svoju úplnú URL adresu skratky. |
| Display the access condition if it is invalid | Ak je políčko začiarknuté a neplatná podmienka prístupu bráni používateľovi v prihlásení, zobrazí sa mu príslušné chybové hlásenie. Ak nie je začiarknuté, používateľ nedostane žiadne vysvetlenie. K dispozícii len v režime úprav. |
Karta: Password¶
Táto karta slúži na konfiguráciu správy hesiel pre používateľov lokálnej domény.
| Pole | Popis |
|---|---|
| Change the user's password at first login | Ak je políčko začiarknuté, používateľ je pri úplne prvom prihlásení automaticky presmerovaný na obrazovku zmeny hesla. Kým zmenu nevykoná, nemá prístup na portál. |
| Display the password change form | Ak je políčko začiarknuté, na prihlasovacej obrazovke sa zobrazí prepojenie, ktoré používateľovi umožní zmeniť heslo. |
| Define a custom password policy | Umožňuje definovať zásadu zložitosti a platnosti hesiel špecifickú pre túto doménu. |
Keď je začiarknuté políčko Define a custom password policy, sprístupnia sa tieto nastavenia:
| Pole | Popis |
|---|---|
| Display the password policy to the user | Ak je políčko začiarknuté, pravidlá zložitosti sa používateľovi zobrazia, keď nastavuje alebo mení heslo. |
| Minimum number of characters | Minimálna požadovaná dĺžka hesla. Predvolená hodnota: 10. Ak chcete funkciu zakázať, nastavte hodnotu 0. |
| Minimum number of lowercase letters | Minimálny požadovaný počet malých písmen. Ak chcete funkciu zakázať, nastavte hodnotu 0. |
| Minimum number of uppercase letters | Minimálny požadovaný počet veľkých písmen. Ak chcete funkciu zakázať, nastavte hodnotu 0. |
| Minimum number of digits | Minimálny požadovaný počet číslic. Ak chcete funkciu zakázať, nastavte hodnotu 0. |
| Minimum number of special characters | Minimálny požadovaný počet špeciálnych znakov. Ak chcete funkciu zakázať, nastavte hodnotu 0. |
| Minimum password lifetime (days) | Minimálna doba, po ktorej môže používateľ zmeniť heslo. Zabraňuje príliš častým zmenám. Ak chcete funkciu zakázať, nastavte hodnotu 0. |
| Maximum password lifetime (days) | Doba, po ktorej platnosť hesla vyprší a heslo sa musí obnoviť. Predvolená hodnota: 60 dní. Ak chcete funkciu zakázať, nastavte hodnotu 0. |
| Notify the user before expiration (days) | Odošle používateľovi e-mail zadaný počet dní pred vypršaním platnosti jeho hesla. Vyžaduje nakonfigurovanú maximálnu dobu platnosti, server SMTP a zdrojovú e-mailovú adresu. Ak chcete funkciu zakázať, nastavte hodnotu 0. |
| SMTP server | Server, ktorý sa používa na odosielanie oznámení o vypršaní platnosti (spomedzi serverov deklarovaných v konfigurácii SMTP). |
| Source e-mail | E-mailová adresa zobrazená ako odosielateľ oznámení. |
| Reject the new password if it contains the login | Ak je políčko začiarknuté, zakazuje heslá, ktoré obsahujú prihlasovací identifikátor používateľa (ochrana pred zjavnými heslami). |
| Reject the new password if it matches one of the last X | Uchováva históriu hesiel a zakazuje opätovné použitie zadaného počtu predchádzajúcich hesiel. Ak chcete funkciu zakázať, nastavte hodnotu 0. |
Konfigurácia domény typu „LDAP directory“¶
Karta: General information¶
| Pole | Popis |
|---|---|
| Invisible shortcut | Ak existuje viacero domén, začiarknite toto políčko, aby sa doména nezobrazovala v zozname ponúkanom používateľovi. |
Karta: LDAP settings¶
Pripojenie¶
| Pole | Popis |
|---|---|
| Authentication through a site | Ak je začiarknuté, CyberElements použije na prístup k adresáru server Edge Gateway niektorého site, čím sa vyhne potrebe otvárať pravidlá brány firewall pre prichádzajúce spojenia z DMZ. Druhé pole umožňuje vybrať site, ktorý sa má použiť. |
| Authentication type | Protokol väzby (bind) na server LDAP: SIMPLE (bind s DN a heslom v čistom texte cez TLS) / NTLM (overovanie Windows, vyžaduje príponu domény Microsoft) / SASL/Digest-MD5 (overovanie SASL s hašovaním MD5, neprenáša heslo v čistom texte). |
| Microsoft domain suffix | Prípona domény Windows, ktorá sa používa na zostavenie identifikátora NTLM (napr. CONTOSO). Zobrazuje sa len vtedy, ak je typ overovania NTLM. |
Vyhľadávanie používateľov a skupín¶
| Pole | Popis |
|---|---|
| Search mode | Určuje stratégiu získavania skupín z adresára: Retrieve groups from a group attribute (prechádza skupiny a číta ich členov — vhodné pre štandardné adresáre) / Retrieve groups from a user attribute (číta atribút memberOf každého používateľa — rýchlejšie v Active Directory) / Retrieve nested groups through the TokenGroups attribute (používa špeciálny atribút AD tokenGroups na rekurzívne rozlíšenie vnorených skupín — odporúča sa v Active Directory). |
| User attribute containing the groups | Názov atribútu objektu používateľa, ktorý uvádza skupiny, do ktorých používateľ patrí. Zobrazuje sa len vtedy, ak je vybratý režim „from a user attribute“. |
| Use the user's DN to log in | Ak je políčko začiarknuté, pri operácii bind LDAP (overovanie) sa použije úplný DN používateľa. |
| User authentication attribute | Atribút LDAP, ktorý sa pri prihlásení používa ako jedinečný identifikátor používateľa. Navrhované hodnoty: sAMAccountName (Active Directory), cn, sn, uid, mailNickname, userPrincipalName, employeeID alebo vlastný. |
| User attribute customisation | Umožňuje ručne zadať atribút, ktorý nie je v zozname. Zobrazuje sa len vtedy, ak je vybratá možnosť „custom“. |
| Group authentication attribute | Atribút LDAP, ktorý slúži na jednoznačnú identifikáciu skupín (napr. cn, sAMAccountName). |
Strom¶
| Pole | Popis |
|---|---|
| Users branch | Úplný DN organizačnej jednotky, ktorá obsahuje používateľov (napr. ou=Users,dc=example,dc=com). |
| Groups branch | Úplný DN organizačnej jednotky, ktorá obsahuje skupiny (napr. ou=Groups,dc=example,dc=com). |
| Manual group management | Ak je políčko začiarknuté, skupiny sa nesynchronizujú automaticky z adresára LDAP. Správcovia musia skupiny pridávať a odoberať v CyberElements ručne. |
Účet služby¶
| Pole | Popis |
|---|---|
| Service account (must be able to reset passwords) | Identifikátor účtu služby, ktorý CyberElements používa na dotazovanie adresára — napríklad jeho sAMAccountName (svc_cye). Tento účet musí mať možnosť resetovať heslá používateľov domény, inak zmena hesla z používateľského portálu zlyhá. Konzola neodporúča úplný DN, ktorý môže spôsobiť problémy so správou serverov RDS. Dôrazne sa odporúča definovať vyhradený účet a zakázať anonymnú väzbu na adresár. |
| Password | Heslo účtu služby. |
| User class | Trieda objektov LDAP používateľov, ktorých treba v adresári vyhľadať (napr. person, inetOrgPerson, user pre Active Directory). |
| Group filter | Dodatočný filter atribút/hodnota na identifikáciu skupín v adresári. Používa sa len s režimom vyhľadávania „from a group attribute“. |
Heslo používateľa¶
| Pole | Popis |
|---|---|
| Display the password change form | Ak je políčko začiarknuté, na prihlasovacej obrazovke sa zobrazí prepojenie na zmenu hesla. Táto možnosť je k dispozícii len vtedy, ak pripojenie k adresáru používa SSL (LDAPS) alebo vedie cez site. |
| Check whether the password must be changed | Ak je políčko začiarknuté, CyberElements sa dotáže adresára LDAP, či používateľ musí zmeniť heslo (atribút pwdLastSet v Active Directory), a v prípade potreby ho k tomu prinúti. |
| Check the password complexity when it is changed | Ak je políčko začiarknuté, CyberElements pri zmene iniciovanej z portálu overí, či nové heslo spĺňa zásadu zložitosti definovanú v adresári. |
Možnosť Radius¶
| Pole | Popis |
|---|---|
| Enable the Radius option | Toto políčko začiarknite len vtedy, ak je adresár LDAP prepojený s overovaním Radius (dvojfaktorovým). Túto možnosť možno povoliť len pri vytváraní domény a neskôr ju nemožno zmeniť. |
Keď je možnosť Radius povolená, zobrazia sa tieto nastavenia:
| Pole | Popis |
|---|---|
| Mode | Režim činnosti servera Radius: quicklog (priame overovanie: heslo sa odovzdá serveru Radius bez zmeny) alebo challenge/response (server Radius pošle výzvu, na ktorú musí používateľ odpovedať). |
| Server | IP adresa alebo názov DNS servera Radius. |
| Port | Port, na ktorom server Radius načúva. Predvolená hodnota: 1812. |
| Secret | Zdieľaný tajný kľúč medzi CyberElements a serverom Radius, ktorý sa používa na šifrovanie komunikácie. |
| Number of attempts | Maximálny počet pokusov, po ktorých CyberElements upustí od požiadavky na server Radius. Predvolená hodnota: 3. |
| Timeout (seconds) | Maximálna doba čakania na odpoveď servera Radius, po ktorej uplynie časový limit. Predvolená hodnota: 10 sekúnd. |
| Radius NAS IP address | Zdrojová IP adresa, ktorú CyberElements deklaruje serveru Radius (atribút NAS-IP-Address). Nastavte ju, ak server Radius filtruje požiadavky podľa zdrojovej IP adresy. |
Ďalšie nastavenia¶
| Pole | Popis |
|---|---|
| Allow RDS server management | Ak je políčko začiarknuté, účty v tejto doméne možno priradiť k serverom RDS v module správy serverov RDS. |
| Use specific certificate authorities to validate LDAPS certificates | Ak je políčko začiarknuté, CyberElements na overenie certifikátu, ktorý predkladá server LDAP pri pripojeniach SSL, použije vlastný certifikát CA. Ak nie je začiarknuté, použijú sa systémové CA (/etc/ssl/certs/ca-certificates.crt). |
| Certificate authorities (base64 encoding) | Súbor, ktorý obsahuje koreňové CA vo formáte PEM (text začínajúci reťazcom -----BEGIN CERTIFICATE-----). Zobrazuje sa a vyžaduje sa len vtedy, ak je predchádzajúca možnosť povolená. |
Servery LDAP¶
Tabuľka serverov uvádza servery priradené k doméne (stĺpce: Server, Port, Protocol). Definovanie viacerých serverov zabezpečí vysokú dostupnosť: CyberElements sa v prípade zlyhania automaticky prepne na dostupný server.
Ak chcete pridať server, kliknite na +. Zadajte:
| Pole | Popis |
|---|---|
| Server | IP adresa alebo názov DNS servera LDAP. |
| Port | Prístupový port. Predvolená hodnota: 389 (LDAP) alebo 636 (LDAPS). |
| Protocol | LDAP alebo LDAP cez SSL. Používanie SSL sa dôrazne odporúča aj vo vnútornej sieti. |
Ak chcete upraviť existujúci server, vyberte ho a kliknite na ikonu Properties.
Ak chcete server odstrániť, vyberte ho a kliknite na ×.
Konfigurácia domény typu „Anonymous directory“¶
Anonymnú doménu možno použiť v zriedkavých prípadoch, keď prístup k aplikácii nevyžaduje overenie, pretože používateľ už bol overený osobitným spôsobom.
| Pole | Popis |
|---|---|
| Maximum number of connections | Obmedzuje počet súčasných pripojení povolených v tejto doméne. |
| Use the certificate CN as the user identifier | Ak je políčko začiarknuté, identifikátor používateľa sa automaticky extrahuje z poľa CN klientskeho certifikátu predloženého pri pripojení. Tento identifikátor sa potom používa na SSO. |
| Identifier format, from the DN | Výraz na zostavenie identifikátora zo súčastí DN certifikátu (napr. %CN%@%OU%). Zobrazuje sa len vtedy, ak je predchádzajúca možnosť povolená. |
Konfigurácia domény typu „SAML“¶
Pri použití domény SAML vystupuje CyberElements ako poskytovateľ služieb (SP) a deleguje overovanie na externého poskytovateľa identity (IdP).
Karta: General information¶
| Pole | Popis |
|---|---|
| Identity provider | Typ poskytovateľa identity: Other (akýkoľvek štandardný IdP SAML) alebo Azure (Microsoft Azure AD / Entra ID, čo navyše umožňuje asynchrónnu synchronizáciu skupín). |
| Identity provider EntityId | Jedinečný identifikátor IdP vo federácii SAML. Jeho hodnotu poskytuje IdP (napr. https://sts.windows.net/{tenant-id}/ pre Azure, https://[serverName]/idp/shibboleth pre Shibboleth). |
| Group names variable | Názov atribútu SAML, ktorý v tvrdení prenáša členstvo používateľa v skupinách (napr. http://schemas.microsoft.com/ws/2008/06/identity/claims/groups pre Azure). |
| Email variable | Názov atribútu SAML, z ktorého platforma číta e-mailovú adresu. Pole iba na čítanie: hodnota je pevne nastavená na saml-mail a nemožno ju konfigurovať. |
| Login variable | Názov atribútu SAML, ktorý sa v CyberElements používa ako prihlasovací identifikátor (napr. http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name). |
| The domain is part of cascading authentication | Pozrite časť Kaskádové overovanie. |
| Manual configuration | Ak je políčko začiarknuté, parametre poskytovateľa identity treba zadať ručne (EntityId koncových bodov SAML). Ak nie je začiarknuté, tieto parametre sa extrahujú automaticky zo súboru metadát. K dispozícii len v režime úprav. |
Metadáta poskytovateľa identity
Konzola na správu neposkytuje žiadnu obrazovku výmeny metadát SAML: táto karta patrí k obchodnej ponuke SaaS. V architektúre client hosted sa metadáta IdP a metadáta poskytovateľa služieb konfigurujú manuálne, v konfiguračných súboroch Shibboleth servera Mediation Controller.
Kaskádové overovanie¶
Ak chcete povoliť kaskádové overovanie, prejdite na stránku všeobecných možností.
Keď používateľ vstúpi na portál, systém vyhľadá spomedzi kaskádových domén tie, v ktorých je overenie možné bez prihlasovacieho mena a hesla (SAML, Apache, certifikát). Použije sa prvá doména, ktorá používateľa rozpozná. Ak žiadna doména nedokáže používateľa overiť bez hesla, zobrazia sa polia na zadanie prihlasovacieho mena a hesla.
Po povolení sa v zozname domén zobrazia dve tlačidlá:
- Začiarknite „The domain is part of cascading authentication“ pre každú požadovanú doménu.
- Poradie možno zmeniť pomocou šípok nahor/nadol. Poradie 0 sa spracuje ako prvé.
Poznámka
Anonymné domény a domény Radius, ako aj domény, ktoré delegujú overovanie na externý server (CAS), nemožno použiť v kaskádovom overovaní.