Access conditions¶
Модулът Access conditions дефинира правила, които — след като бъдат прикачени към access policy — разрешават или забраняват на потребителите да се свързват с потребителския портал въз основа на технически критерий (IP адрес, времеви прозорец, браузър, операционна система, сертификат, атрибут на потребителския профил и т.н.).
Условието се оценява в момента на свързване: ако е валидно, се прилага асоциираното действие (разрешаване или забраняване).
Списък с условия¶
Таблицата показва всички съществуващи условия, разделени на страници по 15, 25 или 50 записа.
| Колона | Описание |
|---|---|
| Name | Наименование на условието, предшествано от икона, която показва типа и решението (разрешаване или забраняване). |
| Type | Тип на условието (вижте таблицата по-долу). |
| Condition | Текстово обобщение на конфигурираните параметри (диапазони от IP адреси, дати, браузъри и т.н.). |
Полето за търсене горе вдясно филтрира списъка по име.
Добавяне на условие¶
Щракването върху бутона + отваря формуляра за създаване. Полета, общи за всички типове:
| Поле | Описание |
|---|---|
| Condition type | Задължително. Определя естеството на правилото (вижте таблицата по-долу). Не може да се променя след първото записване. |
| Name | Задължително. |
| Description | Свободен текст. |
| Access | Два варианта: Allow if valid (по подразбиране) или Deny if valid. |
| Notify the user if invalid | Ако опцията е отметната, потребителят вижда съобщение, когато условието забранява достъпа. |
| Log if invalid | Ако опцията е отметната, при забраняване на достъпа в дневника се добавя запис. |
Налични типове¶
| Тип | Извършвана проверка | Изисква се клиент |
|---|---|---|
| Connection address | URL адрес, използван от потребителя за достъп до тенанта на CyberElements. | Не |
| Antispyware | Наличие на активна защита от шпионски софтуер на работната станция. | Да |
| Antivirus | Наличие на активна антивирусна програма на работната станция. | Да |
| Windows Security Center | Състояние на настройките за защита на Windows (автоматично актуализиране, настройки на Internet Explorer, UAC). | Да |
| Certificate | Сертификат, представен от браузъра за удостоверяване в уеб интерфейса. | Не |
| Date | Диапазон от дати, времеви прозорец, списък с месеци, дни от седмицата. | Не |
| IP | IP адрес или адрес на домейн, диапазон от IP адреси или подмрежа. | Не |
| MD5 | Наличие на файл на даден път с очаквана контролна сума MD5. | Да |
| Meta-rule | Логическа комбинация (AND / OR) на поне две други съществуващи условия. | Зависи от комбинираните условия |
| Browser | Браузър, използван от клиента. | Не |
| Operating system | Операционна система, открита на работната станция. | Да, освен ако не е отметнато Use the User-Agent |
| Firewall | Наличие на активна защитна стена. | Да |
| System | Локална проверка (файл, номер на том, сериен номер на диска, работещ процес, ключ от системния регистър). | Да |
| User | Наличие или стойност на атрибут от потребителския профил. | Не |
| FIDO2 | Удостоверяване на потребителя чрез ключ FIDO2 / WebAuthn. | Не |
Колоната „Изисква се клиент“
Някои проверки се отнасят до състоянието на работната станция: те се извършват локално и затова изискват клиентът на CyberElements да е инсталиран на работната станция на потребителя. Когато клиентът липсва, условие, което се нуждае от него, не може да бъде оценено и се третира като невалидно — какъвто е по-специално случаят с връзките, осъществени от Cleanroom Desktop.
Параметри по тип¶
| Поле | Описание |
|---|---|
| Domain | Частта за хоста от URL адреса на тенанта (без https:// и без път). Приема букви, цифри, тирета, точка и символи на регулярни изрази. |
Предлагат се два режима:
| Режим | Описание |
|---|---|
| User authenticated using a certificate (по подразбиране) | Проверява дали потребителят се е удостоверил чрез сертификат. |
| Test certificate's contents | Допълнително сравнява поле от сертификата с поле от потребителския профил. |
Допълнителни полета за втория режим:
| Поле | Описание |
|---|---|
| Certificate field | Падащ списък: DN field of the user certificate, CN field of the user certificate (по подразбиране), Email field of the user certificate, O field of the user certificate, OR field of the user certificate или PEM-encoded certificate for client X509. |
| User profile field | Поле от потребителския профил, чиято стойност се сравнява. |
Трябва да бъде отметната поне една от четирите опции; активните опции се комбинират с логическо AND.
| Опция | Описание |
|---|---|
| Date | Диапазон от дати (начало, край). Крайната дата не може да бъде по-ранна от началната. |
| Hour | Времеви прозорец (HH:MM). Крайният час трябва да бъде след началния (освен ако условието не обхваща няколко дни). |
| Month | Дванадесет квадратчета за отметка, по подразбиране всички отметнати. |
| Day of the week | Седем квадратчета за отметка, по подразбиране всички отметнати. |
Три взаимно изключващи се режима:
| Режим | Полета |
|---|---|
| IP or domain list | Един или повече IPv4 адреса, разделени с ;. |
| IP range | Начален и краен IP адрес. |
| Subnetwork | IP адрес и маска (CIDR от 0 до 32). |
| Поле | Описание |
|---|---|
| File path | Пълен път (например C:\Test.ext). |
| MD5 checksum | Шестнадесетично число от 32 знака. |
Чрез връзка можете да изтеглите помощната програма за Windows за изчисляване на контролна сума MD5, предоставена от CyberElements.
| Поле | Описание |
|---|---|
| Logical operator | AND (по подразбиране) или OR. |
| Component rules | Плъзнете и пуснете поне две условия от лявата колона в дясната колона. Метаправилото не може да препраща към самото себе си, нито към метаправило, което вече се използва в собствената му йерархия. |
Квадратчета за отметка, съответстващи на браузърите за откриване: Internet Explorer от 7 до 11, Konqueror, Firefox, Safari, Chrome, Opera, Edge. Опцията Other активира поле за свободен текст за точното име на друг браузър. По подразбиране е отметнато Internet Explorer.
Отделяне на връзките, осъществени от Cleanroom Desktop
Платформата възприема Cleanroom Desktop като браузър: приложението се идентифицира с user-agent във вида Cleanroom Desktop 1.2.3.4. Затова отметването на Other и въвеждането на Cleanroom Desktop е насочено към достъпите, осъществени от този клиент. Прикачено към политика за достъп, условието ви позволява да запазите някои ресурси за клиента Desktop, а други — за потребителския портал.
| Опция | Описание |
|---|---|
| Use the User-Agent | Ако опцията е отметната, откриването се основава на заглавката User-Agent, а не на локалния агент. |
| Списък с операционни системи | Квадратчета за отметка (Windows от XP до 11, Windows Server от 2003 до 2022, Linux, MacOS X, Vista, 9x, NT, CE и т.н.). Опцията Other активира поле за свободен текст. Трябва да бъде отметнато поне едно квадратче. |
Локална проверка, в един от следните режими:
| Режим | Описание | Оценяване на списъка |
|---|---|---|
| File | Списък с пътища до файлове за проверка. | Всички трябва да са налични (AND). |
| C:\ volume number | Списък с номера на томове (помощна програма за изтегляне помага за получаването им). | Достатъчно е да съвпада един-единствен (OR). |
| Hard disk serial number | Списък със серийни номера. | Достатъчно е да съвпада един-единствен (OR). |
| Running process | Списък с имена на процеси. | Всички трябва да се изпълняват (AND). |
| Registry Key | Списък с ключове / стойности във вида HKEY_LOCAL_MACHINE\path\name=value. |
Всички трябва да съществуват, със зададената стойност, когато е приложимо (AND). |
За всеки режим въведете стойността и щракнете върху Add, за да я добавите в таблицата. Всеки ред може да бъде изтрит поотделно (с потвърждение).
Логиката се различава при отделните режими
Двата хардуерни режима — C:\ volume number и Hard disk serial number — са изпълнени веднага щом една-единствена стойност от списъка съвпадне: там списъкът изброява разрешените работни станции. Другите три режима изискват всяка стойност да бъде потвърдена.
| Поле | Описание |
|---|---|
| Attribute name | Атрибут от потребителския профил, който да се проверява (например mail, employeeID, mobile). |
| Attribute value | Незадължително. Израз, който се сравнява с върнатата стойност. Ако полето остане празно, условието проверява само дали атрибутът съдържа стойност. |
| Exclusive comparison | Ако опцията е отметната, изразът трябва да съвпада от началото на стойността; в противен случай може да съвпада на произволно място в стойността. |
Поддържани типове домейни
Това условие не е ограничено до директории: атрибутите се четат от директорията за домейн LDAP и от базата данни за локален домейн. За другите типове домейни — по-специално SAML — не се връща атрибут, така че там условието никога не е валидно, което има значение в зависимост от това дали е зададено на Allow или на Deny.
Редактиране на условие¶
Изберете условието в списъка и щракнете върху иконата Properties или щракнете двукратно върху реда. Показват се същите полета като при създаването, с изключение на Type, което става само за четене.
Изтриване на условие¶
Изберете едно или повече условия и щракнете върху бутона ×. Изтриването изисква потвърждение. Поддържа се множествен избор.