Authentication domain¶

Domena za preverjanje pristnosti določa, kje in kako se ob povezavi preverjajo identitete uporabnikov. Vsak račun pripada skupini, vsaka skupina pa domeni: domena določa, od kod prihajajo računi — iz imenika podjetja, iz notranje zbirke ali od zunanjega ponudnika identitete.

Ta modul navaja deklarirane domene. Kliknite +, da dodate domeno, ali dvokliknite ime, da jo konfigurirate. Vrsto imenika izberete ob ustvarjanju in je pozneje ni mogoče spremeniti.

Na voljo so štiri vrste:

Vrsta imenika	Izvor računov	Uporaba
LDAP directory	Zunanji imenik (Active Directory, OpenLDAP…)	Običajni primer: obstoječi računi in skupine se uporabijo takšni, kot so, brez kopiranja.
Local directory	Notranja zbirka platforme	Računi, ustvarjeni in upravljani neposredno iz konzole, poleg imenika ali za majhen obseg.
SAML domain	Zunanji ponudnik identitete (IdP)	Preverjanje pristnosti je preneseno na IdP; platforma deluje kot ponudnik storitev.
Anonymous directory	Brez	Redki primeri, ko dostop do aplikacije ne zahteva nikakršnega preverjanja pristnosti.

Vrstni red ustvarjanja

Najprej ustvarite domeno, nato skupine in na koncu uporabniške račune: pravice dostopa do aplikacij se nato dodelijo skupinam prek pogodbe o dostopu.

Skupni elementi konfiguracije¶

Te nastavitve so na voljo pri vseh vrstah domen:

Polje	Opis
Name	Izberite smiselno ime domene.
Shortcut URL	Prikazan samo v načinu urejanja. Neposredni URL, ki omogoča dostop do uporabniškega portala za to določeno domeno, ne da bi bilo treba iti skozi seznam razpoložljivih domen. Oblika: `https://{server}/cloud/?orgname={organisation}&domainid={id}`.
Description	Izbirno polje, ki opisuje vsebino domene.
Microsoft domain	Podatek, ki spremlja identifikacijo uporabnika, ko je omogočena enotna prijava (SSO).
Expiration	Najdaljši čas nedejavnosti, preden seja poteče. Privzeta vrednost: 60 minut.
Number of attempts before lockout	Omeji število poskusov prijave. Priporočena vrednost: 3 poskusi (zaščita pred napadi s surovo silo). Ta omejitev mora biti ≤ vsaki omejitvi, nastavljeni v imeniku LDAP.
Time before unlock (minutes)	Čas, preden se zaklenjene seje odklenejo. Za onemogočenje nastavite 0.
The domain is part of cascading authentication	Glejte poglavje Kaskadno preverjanje pristnosti.
Delegate authentication to an external server	Možnosti: No, CAS, IdeoSSO.
Alternative username attribute	Atribut LDAP, ki se uporabi kot sekundarni identifikator, ko s primarnim atributom uporabnika ni mogoče najti (npr. `mail`, `userPrincipalName`).
Maximum number of simultaneous sessions per user	Priporočena vrednost: 1 seja.
Automatic deletion of the oldest session	Samodejno zapre aktivno sejo, ko je zahtevana nova.
Note displayed in the authentication form	Opomba, namenjena samo uporabnikom domene.

Način preverjanja pristnosti¶

Polje

Opis

Authentication method

Določa, kako se ob prijavi preveri identiteta uporabnika: Form (uporabniško ime in geslo se vneseta ročno) / User certificate (uporabniško ime se pridobi iz polja CN potrdila) / User certificate and form (po preverjanju pristnosti s potrdilom je še vedno zahtevano geslo) / Apache authentication (preverjanje pristnosti je preneseno na spletni strežnik Apache) / Pro Santé Connect (CIBA) (preverjanje pristnosti prek francoskega nacionalnega ponudnika identitete v zdravstvu).

Force the use of the virtual keyboard

Na strani za preverjanje pristnosti prikaže zaslonsko tipkovnico, ki ščiti vnos gesla pred zapisovalniki pritiskov tipk.

Pro Santé Connect (CIBA)¶

Ta polja so prikazana samo, ko je izbran način preverjanja pristnosti Pro Santé Connect (CIBA). Pro Santé Connect je francoski nacionalni ponudnik identitete za zdravstvene delavce.

Polje	Opis
Identifier (client id)	Identifikator odjemalca, ki ga storitev Pro Santé Connect dodeli ob registraciji aplikacije.
Secret (client secret)	Pripadajoča skrivnost odjemalca, ki se uporablja za preverjanje izmenjav OIDC s storitvijo Pro Santé Connect.
Sandbox	Če je označeno, se CyberElements namesto s produkcijskim okoljem poveže s testnim okoljem PSC. Uporabljajte samo za integracijsko testiranje.
RPPS retrieval	Določa, od kod izvira uporabnikova številka RPPS (francoski register zdravstvenih delavcev): Use the authentication attribute (RPPS se pridobi iz primarnega atributa za preverjanje pristnosti) ali Use another user attribute (RPPS se pridobi iz ločenega atributa, ki ga navedete v naslednjem polju).
User attribute containing the RPPS	Ime atributa, ki vsebuje številko RPPS (npr. `rpps`, `healthcareProfessionalId`). Vidno in zahtevano samo, če je prejšnja možnost nastavljena na „Use another user attribute“.

Token OTP za preverjanje pristnosti¶

Polje	Opis
Authentication token	Izbira generatorja ali generatorjev OTP, ki naj se uporabijo (predhodno deklariranih v meniju generatorjev tokenov OTP). Izberete lahko več generatorjev.
User attribute used to send the OTP	Določa atribut uporabnika, prek katerega se za vsak izbrani token dostavi OTP (npr. `mobile` za pošiljanje po SMS-u, `mail` za pošiljanje po e-pošti). Za vsak izbrani token je prikazano eno polje.
Token expiration duration	Čas, po katerem poslani OTP ni več sprejet. Za onemogočenje poteka nastavite 0.
Time unit	Enota trajanja veljavnosti: Hours ali Days. Vrednost, vnesena v prejšnje polje, se pomnoži s to enoto (1 za ure, 24 za dneve).
Expiration starts	Začetna točka odštevanja do poteka: From the last OTP validation (OTP poteče X ur po tem, ko je bil potrjen) ali From the last successful login (OTP poteče X ur po odprtju seje).
*Replace OTP characters with ""	Med prijavo zakrije znake, vnesene v polje za enkratno geslo.

Preverjanje pristnosti neomia Pulse¶

neomia Pulse je rešitev za neprekinjeno preverjanje pristnosti, ki temelji na vedenjski analizi. Ta polja so prikazana, ko je izbrano potrditveno polje Enable neomia Pulse authentication.

Polje	Opis
Enable neomia Pulse authentication	Omogoči integracijo z neomia Pulse. Za domeno se ustvari konfiguracija Pulse.
API URL	Osnovni URL API-ja neomia Pulse za preverjanje uporabnikov (npr. `https://pulse.example.com/api`).
Authentication API URL	URL končne točke za preverjanje pristnosti Pulse, če se razlikuje od glavnega URL-ja.
API key	Skrivni ključ, ki CyberElements omogoča preverjanje pristnosti v API-ju Pulse.
Number of neomia Pulse attempts	Največje število poskusov preverjanja pristnosti Pulse, preden je zahteva blokirana. Privzeta vrednost: 3.
If Pulse authentication succeeds	Vedenje, ko Pulse uspešno potrdi uporabnika: Skip the OTP token (vsi OTP-ji, konfigurirani v domeni, so preskočeni) ali Reinforce authentication (OTP-ji ostanejo obvezni tudi po uspešni potrditvi Pulse).
If Pulse authentication fails	Nadomestno vedenje, če Pulse ne uspe ali ni na voljo: Block access (uporabnik se ne more prijaviti, vrne se koda napake `PULSE_API_ERROR`) ali Request an additional authentication factor (samodejni preklop na standardno preverjanje pristnosti OTP).
Display graphical components	Na strani za preverjanje pristnosti prikaže vizualne elemente vzorca tipkanja iz vmesnika neomia Pulse.
Display authentication factors	Uporabniku prikaže seznam dejavnikov preverjanja pristnosti, ki jih je zaznal Pulse.

Prenos preverjanja pristnosti na zunanji strežnik¶

Strežnik CAS¶

Polje	Opis
CAS server URL	Celotni URL strežnika CAS, na katerega je preneseno preverjanje pristnosti.

IdeoSSO¶

Polje	Opis
CAS server URL	Celotni URL strežnika IdeoSSO.
IdeoSSO, user property matching the identifier	Ime lastnosti uporabnika IdeoSSO, ki se v CyberElements uporablja kot identifikator za prijavo.

Konfiguracija domene vrste „Local directory“¶

Zavihek: General information¶

Polje	Opis
Invisible shortcut	Če obstaja več domen, označite to polje, da se domena ne prikaže na seznamu, ki je ponujen uporabniku. Domena je nato dosegljiva samo prek svojega celotnega URL-ja bližnjice.
Display the access condition if it is invalid	Če je označeno in neveljaven pogoj za dostop uporabniku prepreči prijavo, se mu prikaže ustrezno sporočilo o napaki. Če ni označeno, uporabnik ne prejme nobene razlage. Na voljo samo v načinu urejanja.

Zavihek: Password¶

Ta zavihek se uporablja za konfiguracijo upravljanja gesel uporabnikov lokalne domene.

Polje	Opis
Change the user's password at first login	Če je označeno, je uporabnik ob prvi prijavi samodejno preusmerjen na zaslon za spremembo gesla. Do portala ne more dostopati, dokler gesla ne spremeni.
Display the password change form	Če je označeno, je na zaslonu za prijavo prikazana povezava, ki uporabniku omogoča spremembo gesla.
Define a custom password policy	Omogoča določitev pravilnika o zapletenosti in življenjski dobi gesel, ki velja posebej za to domeno.

Ko je Define a custom password policy označeno, postanejo na voljo naslednje nastavitve:

Polje	Opis
Display the password policy to the user	Če je označeno, so pravila zapletenosti prikazana uporabniku, ko nastavi ali spremeni geslo.
Minimum number of characters	Najmanjša zahtevana dolžina gesla. Privzeta vrednost: 10. Za onemogočenje nastavite 0.
Minimum number of lowercase letters	Najmanjše zahtevano število malih črk. Za onemogočenje nastavite 0.
Minimum number of uppercase letters	Najmanjše zahtevano število velikih črk. Za onemogočenje nastavite 0.
Minimum number of digits	Najmanjše zahtevano število števk. Za onemogočenje nastavite 0.
Minimum number of special characters	Najmanjše zahtevano število posebnih znakov. Za onemogočenje nastavite 0.
Minimum password lifetime (days)	Najkrajši čas, preden lahko uporabnik spremeni geslo. Preprečuje prepogoste spremembe. Za onemogočenje nastavite 0.
Maximum password lifetime (days)	Čas, po katerem geslo poteče in ga je treba obnoviti. Privzeta vrednost: 60 dni. Za onemogočenje nastavite 0.
Notify the user before expiration (days)	Uporabniku pošlje e-poštno sporočilo navedeno število dni pred potekom gesla. Zahteva konfigurirano najdaljšo življenjsko dobo, strežnik SMTP in izvorni e-poštni naslov. Za onemogočenje nastavite 0.
SMTP server	Strežnik, ki se uporablja za pošiljanje obvestil o poteku (med strežniki, deklariranimi v konfiguraciji SMTP).
Source e-mail	E-poštni naslov, prikazan kot pošiljatelj obvestil.
Reject the new password if it contains the login	Če je označeno, prepove gesla, ki vsebujejo uporabnikov identifikator za prijavo (zaščita pred očitnimi gesli).
Reject the new password if it matches one of the last X	Vodi zgodovino gesel in prepove ponovno uporabo navedenega števila prejšnjih gesel. Za onemogočenje nastavite 0.

Konfiguracija domene vrste „LDAP directory“¶

Zavihek: General information¶

Polje	Opis
Invisible shortcut	Če obstaja več domen, označite to polje, da se domena ne prikaže na seznamu, ki je ponujen uporabniku.

Zavihek: LDAP settings¶

Povezava¶

Polje	Opis
Authentication through a site	Če je označeno, CyberElements za dostop do imenika uporablja Edge Gateway nekega site, s čimer se izognete odpiranju pravil požarnega zidu za dohodni promet iz DMZ. Drugo polje vam omogoča izbiro site, ki ga želite uporabiti.
Authentication type	Protokol za povezovanje (bind) s strežnikom LDAP: SIMPLE (bind z DN in geslom v čistem besedilu prek TLS) / NTLM (preverjanje pristnosti Windows, zahteva pripono domene Microsoft) / SASL/Digest-MD5 (preverjanje pristnosti SASL z zgoščevanjem MD5, gesla ne prenaša v čistem besedilu).
Microsoft domain suffix	Pripona domene Windows, ki se uporabi za sestavo identifikatorja NTLM (npr. `CONTOSO`). Vidno samo, če je vrsta preverjanja pristnosti NTLM.

Iskanje uporabnikov in skupin¶

Polje	Opis
Search mode	Določa strategijo pridobivanja skupin iz imenika: Retrieve groups from a group attribute (gre skozi skupine in prebere njihove člane — primerno za standardne imenike) / Retrieve groups from a user attribute (prebere atribut `memberOf` vsakega uporabnika — hitreje v Active Directory) / Retrieve nested groups through the TokenGroups attribute (uporabi posebni atribut AD `tokenGroups` za rekurzivno razreševanje gnezdenih skupin — priporočeno v Active Directory).
User attribute containing the groups	Ime atributa uporabniškega predmeta, ki navaja skupine, katerih član je uporabnik. Vidno samo, če je izbran način „from a user attribute“.
Use the user's DN to log in	Če je označeno, se med operacijo bind LDAP (preverjanje pristnosti) uporabi celotni DN uporabnika.
User authentication attribute	Atribut LDAP, ki se ob prijavi uporabi kot enolični identifikator uporabnika. Predlagane vrednosti: `sAMAccountName` (Active Directory), `cn`, `sn`, `uid`, `mailNickname`, `userPrincipalName`, `employeeID` ali vrednost po meri.
User attribute customisation	Omogoča ročni vnos atributa, ki ga ni na seznamu. Vidno samo, če je izbrano „custom“.
Group authentication attribute	Atribut LDAP, ki se uporablja za enolično identifikacijo skupin (npr. `cn`, `sAMAccountName`).

Drevo¶

Polje	Opis
Users branch	Celotni DN organizacijske enote, ki vsebuje uporabnike (npr. `ou=Users,dc=example,dc=com`).
Groups branch	Celotni DN organizacijske enote, ki vsebuje skupine (npr. `ou=Groups,dc=example,dc=com`).
Manual group management	Če je označeno, se skupine ne sinhronizirajo samodejno iz imenika LDAP. Skrbniki morajo skupine v CyberElements dodajati in odstranjevati ročno.

Račun storitve¶

Polje	Opis
Service account (must be able to reset passwords)	Identifikator računa storitve, ki ga CyberElements uporablja za poizvedovanje po imeniku — na primer njegov `sAMAccountName` (`svc_cye`). Ta račun mora imeti možnost ponastavljanja gesel uporabnikov domene, sicer sprememba gesla iz uporabniškega portala ne uspe. Konzola odsvetuje uporabo celotnega DN, ki lahko povzroči težave pri upravljanju strežnikov RDS. Močno priporočamo, da določite namenski račun in onemogočite anonimno povezovanje (bind) z imenikom.
Password	Geslo računa storitve.
User class	Razred predmetov LDAP za uporabnike, ki jih je treba iskati v imeniku (npr. `person`, `inetOrgPerson`, `user` za Active Directory).
Group filter	Dodatni filter atribut/vrednost za prepoznavanje skupin v imeniku. Uporablja se samo z načinom iskanja „from a group attribute“.

Geslo uporabnika¶

Polje	Opis
Display the password change form	Če je označeno, je na zaslonu za prijavo prikazana povezava za spremembo gesla. Ta možnost je na voljo samo, če povezava z imenikom uporablja SSL (LDAPS) ali poteka prek site.
Check whether the password must be changed	Če je označeno, CyberElements v imeniku LDAP preveri, ali mora uporabnik spremeniti geslo (atribut `pwdLastSet` v Active Directory), in ga po potrebi k temu prisili.
Check the password complexity when it is changed	Če je označeno, CyberElements ob spremembi, sproženi iz portala, preveri, ali novo geslo ustreza pravilniku o zapletenosti, določenemu v imeniku.

Možnost Radius¶

Polje	Opis
Enable the Radius option	To polje označite samo, če je imenik LDAP povezan s preverjanjem pristnosti Radius (dvofaktorsko). To možnost je mogoče omogočiti samo ob ustvarjanju domene in je pozneje ni mogoče spremeniti.

Ko je možnost Radius omogočena, se prikažejo naslednje nastavitve:

Polje	Opis
Mode	Način delovanja strežnika Radius: quicklog (neposredno preverjanje pristnosti: geslo se strežniku Radius posreduje nespremenjeno) ali challenge/response (strežnik Radius pošlje izziv, na katerega mora uporabnik odgovoriti).
Server	Naslov IP ali ime DNS strežnika Radius.
Port	Vrata, na katerih posluša strežnik Radius. Privzeta vrednost: 1812.
Secret	Skupna skrivnost med CyberElements in strežnikom Radius, ki se uporablja za šifriranje izmenjav.
Number of attempts	Največje število poskusov, preden CyberElements opusti zahtevo do strežnika Radius. Privzeta vrednost: 3.
Timeout (seconds)	Najdaljši čas čakanja na odgovor strežnika Radius, preden poteče časovna omejitev. Privzeta vrednost: 10 sekund.
Radius NAS IP address	Izvorni naslov IP, ki ga CyberElements sporoči strežniku Radius (atribut NAS-IP-Address). Nastavite ga, če strežnik Radius filtrira zahteve po izvornem naslovu IP.

Druge nastavitve¶

Polje	Opis
Allow RDS server management	Če je označeno, je mogoče račune v tej domeni povezati s strežniki RDS v modulu za upravljanje strežnikov RDS.
Use specific certificate authorities to validate LDAPS certificates	Če je označeno, CyberElements za preverjanje potrdila, ki ga strežnik LDAP predloži pri povezavah SSL, uporabi potrdilo CA po meri. Če ni označeno, se uporabijo sistemski overitelji potrdil (`/etc/ssl/certs/ca-certificates.crt`).
Certificate authorities (base64 encoding)	Datoteka s korenskimi overitelji potrdil (CA) v obliki PEM (besedilo, ki se začne z `-----BEGIN CERTIFICATE-----`). Vidno in zahtevano samo, če je prejšnja možnost omogočena.

Strežniki LDAP¶

Tabela strežnikov navaja strežnike, povezane z domeno (stolpci: Server, Port, Protocol). Določitev več strežnikov omogoča visoko razpoložljivost: CyberElements v primeru okvare samodejno preklopi na razpoložljiv strežnik.

Če želite dodati strežnik, kliknite +. Vnesite:

Polje	Opis
Server	Naslov IP ali ime DNS strežnika LDAP.
Port	Vrata za dostop. Privzeta vrednost: 389 (LDAP) ali 636 (LDAPS).
Protocol	LDAP ali LDAP prek SSL. Uporabo SSL močno priporočamo tudi v notranjem omrežju.

Če želite urediti obstoječi strežnik, ga izberite in kliknite ikono Properties.
Če želite izbrisati strežnik, ga izberite in kliknite ×.

Konfiguracija domene vrste „Anonymous directory“¶

Anonimno domeno lahko uporabite v redkih primerih, ko dostop do aplikacije ne zahteva preverjanja pristnosti, ker je bila pristnost uporabnika že preverjena na poseben način.

Polje	Opis
Maximum number of connections	Omeji število hkratnih povezav, dovoljenih v tej domeni.
Use the certificate CN as the user identifier	Če je označeno, se identifikator uporabnika samodejno pridobi iz polja CN potrdila odjemalca, predloženega ob povezavi. Ta identifikator se nato uporabi za SSO.
Identifier format, from the DN	Izraz za sestavo identifikatorja iz komponent DN potrdila (npr. `%CN%@%OU%`). Vidno samo, če je prejšnja možnost omogočena.

Konfiguracija domene vrste „SAML“¶

Ko se uporablja domena SAML, CyberElements deluje kot ponudnik storitev (SP) in preverjanje pristnosti prenese na zunanjega ponudnika identitete (IdP).

Zavihek: General information¶

Polje	Opis
Identity provider	Vrsta ponudnika identitete: Other (kateri koli standardni IdP SAML) ali Azure (Microsoft Azure AD / Entra ID, kar dodatno omogoči asinhrono sinhronizacijo skupin).
Identity provider EntityId	Enolični identifikator IdP v federaciji SAML. Njegovo vrednost zagotovi IdP (npr. `https://sts.windows.net/{tenant-id}/` za Azure, `https://[serverName]/idp/shibboleth` za Shibboleth).
Group names variable	Ime atributa SAML, ki v trditvi prenaša članstva uporabnika v skupinah (npr. `http://schemas.microsoft.com/ws/2008/06/identity/claims/groups` za Azure).
Email variable	Ime atributa SAML, iz katerega platforma prebere e-poštni naslov. Polje samo za branje: vrednost je nastavljena na `saml-mail` in je ni mogoče konfigurirati.
Login variable	Ime atributa SAML, ki se v CyberElements uporablja kot identifikator za prijavo (npr. `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name`).
The domain is part of cascading authentication	Glejte poglavje Kaskadno preverjanje pristnosti.
Manual configuration	Če je označeno, je treba parametre ponudnika identitete vnesti ročno (EntityId končnih točk SAML). Če ni označeno, se ti parametri samodejno pridobijo iz datoteke z metapodatki. Na voljo samo v načinu urejanja.

Metapodatki ponudnika identitete

Skrbniška konzola ne ponuja zaslona za izmenjavo metapodatkov SAML: ta zavihek pripada ponudbi SaaS. Pri client hosted se metapodatki IdP in metapodatki ponudnika storitev konfigurirajo ročno, v konfiguracijskih datotekah Shibboleth storitve Mediation Controller.

Kaskadno preverjanje pristnosti¶

Če želite omogočiti kaskadno preverjanje pristnosti, obiščite stran splošnih možnosti.

Ko uporabnik dostopi do portala, sistem med kaskadnimi domenami poišče tiste, v katerih je preverjanje pristnosti mogoče brez prijavnega imena in gesla (SAML, Apache, potrdilo). Uporabi se prva domena, ki prepozna uporabnika. Če nobena domena ne more preveriti pristnosti brez gesla, se prikažeta polji za prijavno ime in geslo.

Ko je možnost omogočena, se na seznamu domen prikažeta dva gumba:

Označite „The domain is part of cascading authentication“ za vsako želeno domeno.
Vrstni red lahko spremenite s puščicama gor/dol. Vrstni red 0 se obdela prvi.

Opomba

Anonimnih domen in domen Radius ter domen, ki preverjanje pristnosti prenesejo na zunanji strežnik (CAS), ni mogoče uporabiti v kaskadnem preverjanju pristnosti.