Access contracts¶

Modul Access contracts združuje pravila, ki skupinam uporabnikov podelijo pravico do dostopa do objavljenih aplikacij. Pogodba odgovarja na štiri operativna vprašanja: kdo (katere skupine), kaj (katere aplikacije in s katerimi omejitvami), kje (na katerem site) in pod katerimi pogoji (pogoji dostopa, alarmi, omrežno filtriranje).

Skupine uporabnikov, aplikacije in pogoji dostopa morajo obstajati, preden se nanje sklicujete v pogodbi.

Pravice se seštevajo

Skupina se lahko pojavi v več pogodbah, uporabnik pa lahko pripada več skupinam. V obeh primerih se pravice seštevajo. Nasprotno pa, kadar pogodba cilja več skupin, je za uživanje njenih pravic dovolj pripadati kateri koli od njih.

Seznam pogodb¶

Glavna tabela navaja obstoječe pogodbe. Vsako vrstico lahko razširite ali strnete, da prikažete podrobnosti (domene/skupine, pogoji, site, kategorije in aplikacije, omejene aplikacije, alarmi, filtriranje omrežja, vzdevki, ki jih je mogoče razkriti).

Stolpec	Opis
Name	Ime pogodbe, pred katerim je ikona ključavnice.
Groups	Število povezanih skupin uporabnikov.
Access conditions	Število povezanih pogojev dostopa.
Sites	Število navedenih site.
Applications	Število dovoljenih aplikacij.
Restricted applications	Število aplikacij, postavljenih za workflow.
Alerts	Število alarmov dostopa, pripetih na pogodbo.
Network connections	Število pravil za filtriranje omrežja (stolpec je privzeto skrit).
Revealable aliases	Število povezanih vzdevkov, ki jih je mogoče razkriti (prikazano le, če je funkcija omogočena).

Iskalno polje v zgornjem desnem kotu filtrira seznam po imenu.

Dodajanje pogodbe¶

Kliknite gumb +, da odprete čarovnika za ustvarjanje. Polja v glavi so skupna vsem zavihkom:

Polje	Opis
Name	Obvezno. Identificira pogodbo.
Description	Prosta oznaka.

Obrazec je razdeljen na več zavihkov, ki jih izpolnite v logičnem vrstnem redu.

GroupsAccess conditionsSitesApplicationsApplications to restrictPersonal aliasesRevealable aliasesAlertsNetwork connections

Na spustnem seznamu izberite domeno za preverjanje pristnosti, nato pa želene skupine uporabnikov povlecite in spustite v desni stolpec. Ena pogodba lahko združuje skupine iz več domen. Da je pogodba veljavna, mora biti izbrana vsaj ena skupina.

Povlecite in spustite pogoje dostopa, ki jih želite uporabiti. Pogoj dovoli ali zavrne dostop na podlagi merila (IP, datum, potrdilo itd. – glejte Access conditions).

Več pogojev se združi z AND

Kadar je na isto pogodbo pripetih več pogojev dostopa, morajo biti vsi veljavni, da se pogodba uporabi: en sam neveljaven pogoj zadostuje, da se pogodba zavrže, uporabnik pa ne dobi pravic, ki jih ta prinaša. Če želite dobiti OR, uporabite metapravilo v modulu Access conditions.

Vidnost zavihka

Zavihek se prikaže le, če v namenskem modulu obstaja vsaj en pogoj dostopa.

Povlecite in spustite enega ali več site, ki gostijo aplikacije. Site je nabor strežnikov Edge Gateway, ki določa zavarovano vstopno točko v lokalno omrežje.

Več site: izbere uporabnik

Kadar se pogodba sklicuje na več site, se uporabniku ob zagonu aplikacije prikaže zaslon Select a site, na katerem izbere tistega, prek katerega bo šel.

Drevo prikazuje aplikacije, razvrščene po kategorijah. Če označite kategorijo, izberete vse njene aplikacije in samodejno vključite vsako aplikacijo, ki bo pozneje dodana v to kategorijo. Z označevanjem posameznih polj lahko izberete podmnožico. Označena mora biti vsaj ena aplikacija.

Aplikacije Workplace – medsebojna izključljivost

Ko je povezava Workplace omogočena, se prikažeta dve navidezni aplikaciji: Access to Workplace applications by merged cloud in Access to Workplace applications by redirection. V isti pogodbi se medsebojno izključujeta.

Nekatere od prej izbranih aplikacij postavi za workflow za odobritev. Uporabniki bodo morali zahtevati dostop, skrbnik pa bo zahteve sprejel ali zavrnil v modulu Workflow.

Možnost	Opis
Ask the user to complete a form when requesting access	Če je možnost označena, mora uporabnik izpolniti obrazec vsakič, ko zahteva dostop do omejene aplikacije.
Applications to restrict	Seznam z dvema stolpcema (na voljo / omejeno) z iskanjem.

Privzeto strnjen. Ko je označena možnost Allow personal aliases, lahko med izbranimi aplikacijami določite tiste, za katere lahko uporabnik shrani svoje vzdevke (poverilnice, shranjene na portalu).

Viden le, če je možnost Allow password display in alias označena v general options. Seznam z dvema stolpcema za izbiro vzdevkov (povezanih z uporabniki), ki jih je mogoče razkriti prek te pogodbe.

Metavzdevki

Če izbor vsebuje vsaj en metavzdevek, se pred shranjevanjem prikaže potrditveno pogovorno okno.

Povlecite in spustite profile alarmov, ki naj se sprožijo, ko se uporabljajo dostopi, ki jih zajema ta pogodba.

Zavihek je aktiven le, če je na zavihku Applications izbrana vsaj ena aplikacija RDS, HTML5 RDS, SSH ali HTML5 SSH.

Na ciljnem strežniku je potreben agent, ne glede na protokol

Filtriranje začne veljati le, če ima ciljni strežnik ustreznega agenta: agenta Bastion na strežnikih RDS in HTML5 RDS ter agenta za omrežno filtriranje na strežnikih SSH in HTML5 SSH. Brez njega pravila, vnesena tukaj, nimajo učinka.

Označite Filter network connections, da omogočite filtriranje, nato pa za vsako pravilo navedite:

Polje	Opis
Target IP	Dovoljen naslov IP ali gostitelj. Preverjanje oblike IPv4.
Network mask	Izbirno. Če je prazno, pravilo velja le za ciljni naslov IP.
Port	Privzeto 0: pravilo velja za vsa vrata.
Protocol	TCP, UDP ali TCP and UDP.

Kliknite Add, da pravilo vstavite na seznam dovoljenih omrežij. Vsako pravilo lahko odstranite posamično.

Pomen filtriranja

Če je možnost Filter network connections označena, vendar ni dovoljeno nobeno omrežje, se uporabnik ne more povezati z nobenim omrežjem. V nasprotnem primeru so dosegljiva le navedena omrežja.

Kliknite Validate, da shranite pogodbo. Zavihki Groups, Sites in Applications so obvezni, sicer je pogodba zavrnjena.

Urejanje pogodbe¶

Izberite pogodbo na seznamu in nato kliknite ikono Properties ali dvokliknite vrstico. Okno je enako oknu za ustvarjanje in je vnaprej izpolnjeno s trenutnimi vrednostmi.

Brisanje pogodbe¶

Izberite eno ali več pogodb in nato kliknite gumb ×. Brisanje zahteva potrditev.

Izvoz pogodb¶

Gumb Export prenese vse prikazane pogodbe v datoteko CSV. Izvoženi podatki upoštevajo trenutne filtre (iskanje itd.).

Zgradba datoteke¶

Datoteka vsebuje eno vrstico glave in nato po eno vrstico za vsako pogodbo. Stolpci si sledijo v tem vrstnem redu:

#	Stolpec	Vsebina	Obvezno pri uvozu
1	Alerts	Oznake profilov alarmov.
2	Categories	Imena kategorij aplikacij.
3	Description	Prosto besedilo.
4	Groups	Skupine uporabnikov v obliki `group@domain`.	Da
5	Name	Ime pogodbe.	Da
6	Applications	Imena dovoljenih aplikacij.
7	Restricted applications	Imena aplikacij, postavljenih za workflow.
8	Access conditions	Imena pogojev dostopa.
9	Sites	Imena site.	Da
10	Request a form	`True` ali `False`.
11	Filter network connections	`True` ali `False`.
12	Network connections	Pravila filtriranja v obliki `ip/mask:port:protocol`.
13	Revealable aliases	Imena vzdevkov.
14	Revealable password rotation aliases	Imena vzdevkov.
15	Revealable dynamic aliases	Imena vzdevkov.
16	Personal aliases	Imena aplikacij, za katere so dovoljeni osebni vzdevki.

Sintaksa¶

Element	Ločilo	Primer
Stolpci	`;`	`Name;Description;…`
Več vrednosti v eni celici	`+`	`Accounting+Management+Support`
Skupina uporabnikov	`@` med skupino in njeno domeno	`Accounting@AD-Internal`
Vse skupine domene	ključna beseda `all`	`all@AD-Internal`
Pravilo za filtriranje omrežja	`/` in nato `:`	`10.0.0.5/255.255.255.0:3389:TCP` – vrata, nastavljena na `0`, pomenijo „vsa vrata“
Logične vrednosti	—	`True` ali `False`; prazna celica šteje kot `False`

Količina

Izvoz je omejen: nad največjim številom vrstic, nastavljenim na platformi, se v datoteko zapišejo le prve pogodbe.

Uvoz pogodb¶

Gumb Import odpre okno, v katerega lahko naložite datoteko CSV. Njena zgradba mora biti takšna, kot je opisana v poglavju Izvoz pogodb: najvarneje je začeti z izvozom in ga urediti.

Polje	Opis
File	Datoteka CSV za uvoz.
Record delimiter	Ločilo stolpcev, `;` za datoteko, ustvarjeno z izvozom.
Value delimiter inside a field	Ločilo za več vrednosti, `+` za datoteko, ustvarjeno z izvozom.

Stolpci Name, Groups in Sites so obvezni: vrstica, v kateri manjka kateri od njih, je zavrnjena. Navedene vrednosti (aplikacije, kategorije, pogoji dostopa, alarmi, vzdevki, site) morajo že obstajati in se ujemajo po imenu.

Po potrditvi okno povzame rezultat uvoza za vsako pogodbo v datoteki.