Access conditions¶
Modul Access conditions določa pravila, ki – ko so pripeta na access contract – uporabnikom dovolijo ali zavrnejo povezavo z uporabniškim portalom na podlagi tehničnega merila (naslov IP, časovno okno, brskalnik, operacijski sistem, potrdilo, atribut uporabniškega profila itd.).
Pogoj se ovrednoti ob povezavi: če je veljaven, se uporabi povezano dejanje (dovoli ali zavrni).
Seznam pogojev¶
Tabela prikazuje vse obstoječe pogoje, razdeljene na strani po 15, 25 ali 50 vnosov.
| Stolpec | Opis |
|---|---|
| Name | Oznaka pogoja, pred katero je ikona, ki prikazuje vrsto in odločitev (dovoli ali zavrni). |
| Type | Vrsta pogoja (glejte spodnjo tabelo). |
| Condition | Besedilni povzetek konfiguriranih parametrov (obsegi IP, datumi, brskalniki itd.). |
Iskalno polje zgoraj desno filtrira seznam po imenu.
Dodajanje pogoja¶
S klikom gumba + odprete obrazec za ustvarjanje. Polja, skupna vsem vrstam:
| Polje | Opis |
|---|---|
| Condition type | Obvezno. Določa naravo pravila (glejte spodnjo tabelo). Po prvem shranjevanju ga ni mogoče spremeniti. |
| Name | Obvezno. |
| Description | Prosto besedilo. |
| Access | Dve možnosti: Allow if valid (privzeto) ali Deny if valid. |
| Notify the user if invalid | Če je možnost označena, uporabnik vidi sporočilo, ko pogoj zavrne dostop. |
| Log if invalid | Če je možnost označena, se ob zavrnitvi v dnevnik zapiše vnos. |
Razpoložljive vrste¶
| Vrsta | Izvedeno preverjanje | Potreben odjemalec |
|---|---|---|
| Connection address | URL storitve Mediation Controller, ki ga uporablja odjemalec. | Ne |
| Antispyware | Prisotnost aktivnega programa za zaščito pred vohunsko programsko opremo na delovni postaji. | Da |
| Antivirus | Prisotnost aktivnega protivirusnega programa na delovni postaji. | Da |
| Windows Security Center | Stanje varnostnih nastavitev sistema Windows (samodejna posodobitev, nastavitve brskalnika Internet Explorer, UAC). | Da |
| Certificate | Potrdilo, ki ga brskalnik predloži za preverjanje pristnosti v spletnem vmesniku. | Ne |
| Date | Datumski obseg, časovno okno, seznam mesecev, dnevi v tednu. | Ne |
| IP | Naslov IP / domene, obseg naslovov IP ali podomrežje. | Ne |
| MD5 | Prisotnost datoteke na dani poti s pričakovano kontrolno vsoto MD5. | Da |
| Meta-rule | Logična kombinacija (AND / OR) vsaj dveh drugih obstoječih pogojev. | Odvisno od združenih pogojev |
| Browser | Brskalnik, ki ga uporablja odjemalec. | Ne |
| Operating system | Operacijski sistem, zaznan na delovni postaji. | Da, razen če je označena možnost Use the User-Agent |
| Firewall | Prisotnost aktivnega požarnega zidu. | Da |
| System | Lokalno preverjanje (datoteka, številka nosilca, serijska številka diska, zagnan proces, registrski ključ). | Da |
| User | Prisotnost / vrednost atributa uporabniškega profila. | Ne |
| FIDO2 | Preverjanje pristnosti uporabnika s ključem FIDO2 / WebAuthn. | Ne |
Stolpec „Potreben odjemalec“
Nekatera preverjanja se nanašajo na stanje delovne postaje: izvedejo se lokalno, zato zahtevajo, da je na delovni postaji uporabnika nameščen odjemalec Bastion. Če odjemalca ni, pogoja, ki ga potrebuje, ni mogoče ovrednotiti in se obravnava kot neveljaven – kar velja zlasti za povezave iz Cleanroom Desktop.
Parametri po vrstah¶
| Polje | Opis |
|---|---|
| Domain | Del URL-ja storitve Mediation Controller z gostiteljem (brez https:// ali poti). Sprejema črke, števke, vezaje, piko in znake regularnih izrazov. |
Na voljo sta dva načina:
| Način | Opis |
|---|---|
| User authenticated using a certificate (privzeto) | Preveri, ali je uporabnik preveril pristnost s potrdilom. |
| Test certificate's contents | Dodatno primerja polje potrdila s poljem uporabniškega profila. |
Dodatna polja za drugi način:
| Polje | Opis |
|---|---|
| Certificate field | Spustni seznam: DN field of the user certificate, CN field of the user certificate (privzeto), Email field of the user certificate, O field of the user certificate, OR field of the user certificate ali PEM-encoded certificate for client X509. |
| User profile field | Polje uporabniškega profila, katerega vrednost se primerja. |
Označena mora biti vsaj ena od štirih možnosti; aktivne možnosti se združijo z logičnim AND.
| Možnost | Opis |
|---|---|
| Date | Datumski obseg (začetek, konec). Končni datum ne sme biti zgodnejši od začetnega. |
| Hour | Časovno okno (HH:MM). Končni čas mora biti poznejši od začetnega (razen če pogoj obsega več dni). |
| Month | Dvanajst potrditvenih polj, privzeto so vsa označena. |
| Day of the week | Sedem potrditvenih polj, privzeto so vsa označena. |
Trije načini, ki se med seboj izključujejo:
| Način | Polja |
|---|---|
| IP or domain list | En ali več naslovov IPv4, ločenih z ;. |
| IP range | Začetni in končni naslov IP. |
| Subnetwork | Naslov IP in maska (CIDR od 0 do 32). |
| Polje | Opis |
|---|---|
| File path | Celotna pot (npr. C:\Test.ext). |
| MD5 checksum | Šestnajstiško število z 32 znaki. |
Povezava omogoča prenos pripomočka Windows za kontrolne vsote MD5, ki ga zagotavlja Bastion.
| Polje | Opis |
|---|---|
| Logical operator | AND (privzeto) ali OR. |
| Component rules | Povlecite in spustite vsaj dva pogoja iz levega stolpca v desni stolpec. Metapravilo se ne more sklicevati samo nase niti na metapravilo, ki je že uporabljeno v njegovi lastni hierarhiji. |
Potrditvena polja za brskalnike, ki jih je treba zaznati: Internet Explorer 7 do 11, Konqueror, Firefox, Safari, Chrome, Opera, Edge. Možnost Other omogoči prosto besedilno polje za natančno ime drugega brskalnika. Privzeto je označen Internet Explorer.
Ločeno obravnavanje povezav iz Cleanroom Desktop
Platforma vidi Cleanroom Desktop kot brskalnik: identificira se z nizom user-agent v obliki Cleanroom Desktop 1.2.3.4. Če označite Other in vnesete Cleanroom Desktop, torej ciljate na dostope iz tega odjemalca. Pogoj, pripet na pogodbo o dostopu, vam omogoča, da nekatere vire pridržite za odjemalca Desktop, druge pa za uporabniški portal.
| Možnost | Opis |
|---|---|
| Use the User-Agent | Če je možnost označena, zaznavanje temelji na glavi User-Agent in ne na lokalnem agentu. |
| Seznam operacijskih sistemov | Potrditvena polja (Windows XP do 11, Windows Server 2003 do 2022, Linux, MacOS X, Vista, 9x, NT, CE itd.). Možnost Other omogoči prosto besedilno polje. Označeno mora biti vsaj eno polje. |
Lokalno preverjanje v enem od načinov:
| Način | Opis | Vrednotenje seznama |
|---|---|---|
| File | Seznam poti do datotek, ki jih je treba preveriti. | Vse morajo biti prisotne (AND). |
| C:\ volume number | Seznam številk nosilcev (pri njihovem pridobivanju pomaga pripomoček, ki ga lahko prenesete). | Ujemati se mora ena sama (OR). |
| Hard disk serial number | Seznam serijskih številk. | Ujemati se mora ena sama (OR). |
| Running process | Seznam imen procesov. | Vsi morajo biti zagnani (AND). |
| Registry Key | Seznam ključev / vrednosti v obliki HKEY_LOCAL_MACHINE\path\name=value. |
Vsi morajo obstajati, po potrebi z dano vrednostjo (AND). |
Za vsak način vnesite vrednost in kliknite Add, da jo dodate v tabelo. Vsako vrstico lahko izbrišete posamično (s potrditvijo).
Logika se razlikuje od načina do načina
Oba strojna načina – C:\ volume number in Hard disk serial number – sta izpolnjena, takoj ko se ujema ena sama vrednost s seznama: tam seznam navaja odobrene delovne postaje. Preostali trije načini zahtevajo, da so preverjene vse vrednosti.
| Polje | Opis |
|---|---|
| Attribute name | Atribut uporabniškega profila, ki ga želite preveriti (npr. mail, employeeID, mobile). |
| Attribute value | Izbirno. Izraz, ki se primerja z vrnjeno vrednostjo. Če ostane prazno, pogoj preveri le, ali atribut vsebuje vrednost. |
| Exclusive comparison | Če je možnost označena, se mora izraz ujemati od začetka vrednosti; sicer se lahko ujema kjer koli v vrednosti. |
Podprte vrste domen
Ta pogoj ni omejen na imenike: pri domeni LDAP se atributi berejo iz imenika, pri lokalni domeni pa iz zbirke podatkov. Pri drugih vrstah domen – zlasti SAML – se ne vrne noben atribut, zato pogoj tam nikoli ni veljaven, kar je pomembno glede na to, ali je nastavljen na Allow ali na Deny.
Urejanje pogoja¶
Izberite pogoj na seznamu in kliknite ikono Properties ali dvokliknite vrstico. Prikažejo se ista polja kot pri ustvarjanju, razen polja Type, ki postane samo za branje.
Brisanje pogoja¶
Izberite enega ali več pogojev in kliknite gumb ×. Brisanje zahteva potrditev. Podprta je izbira več elementov.