Access Policies¶

Η λειτουργική μονάδα Access Policies ομαδοποιεί τους κανόνες που παραχωρούν σε ομάδες χρηστών το δικαίωμα πρόσβασης σε δημοσιευμένες εφαρμογές. Μια σύμβαση απαντά σε τέσσερα λειτουργικά ερωτήματα: ποιος (ποιες ομάδες), τι (ποιες εφαρμογές και με ποιους περιορισμούς), πού (σε ποια τοποθεσία) και υπό ποιες συνθήκες (συνθήκες πρόσβασης, ειδοποιήσεις, φιλτράρισμα δικτύου).

Οι ομάδες χρηστών, οι εφαρμογές και οι συνθήκες πρόσβασης πρέπει να υπάρχουν πριν αναφερθούν σε μια σύμβαση.

Σωρευτικά δικαιώματα

Μια ομάδα μπορεί να εμφανίζεται σε πολλές συμβάσεις και ένας χρήστης μπορεί να ανήκει σε πολλές ομάδες. Και στις δύο περιπτώσεις, τα δικαιώματα σωρεύονται. Αντίστροφα, όταν μια σύμβαση στοχεύει πολλές ομάδες, αρκεί να ανήκει κανείς σε οποιαδήποτε από αυτές για να επωφεληθεί από τα δικαιώματά της.

Λίστα συμβάσεων¶

Το κύριο πλέγμα παραθέτει τις υπάρχουσες συμβάσεις. Κάθε γραμμή μπορεί να αναπτυχθεί ή να συμπτυχθεί για να εμφανιστούν οι λεπτομέρειες (τομείς/ομάδες, συνθήκες, τοποθεσίες, κατηγορίες και εφαρμογές, εφαρμογές με περιορισμούς, ειδοποιήσεις, φιλτράρισμα δικτύου, αποκαλύψιμα ψευδώνυμα).

Στήλη	Περιγραφή
Name	Όνομα της σύμβασης, μπροστά από το οποίο εμφανίζεται ένα εικονίδιο λουκέτου.
Groups	Αριθμός συσχετισμένων ομάδων χρηστών.
Access conditions	Αριθμός συσχετισμένων συνθηκών πρόσβασης.
Sites	Αριθμός τοποθεσιών που αναφέρονται.
Applications	Αριθμός εξουσιοδοτημένων εφαρμογών.
Restricted applications	Αριθμός εφαρμογών που έχουν τοποθετηθεί πίσω από μια ροή εργασιών.
Alerts	Αριθμός ειδοποιήσεων πρόσβασης που είναι συνδεδεμένες με τη σύμβαση.
Network connections	Αριθμός κανόνων φιλτραρίσματος δικτύου (η στήλη είναι κρυφή από προεπιλογή).
Revealable aliases	Αριθμός συσχετισμένων αποκαλύψιμων ψευδωνύμων (εμφανίζεται μόνο όταν η δυνατότητα είναι ενεργοποιημένη).

Το πεδίο αναζήτησης στην επάνω δεξιά γωνία φιλτράρει τη λίστα κατά όνομα.

Προσθήκη σύμβασης¶

Κάντε κλικ στο κουμπί + για να ανοίξετε τον οδηγό δημιουργίας. Τα πεδία της κεφαλίδας είναι κοινά σε όλες τις καρτέλες:

Πεδίο	Περιγραφή
Name	Υποχρεωτικό. Προσδιορίζει τη σύμβαση.
Description	Ελεύθερη ονομασία.

Η φόρμα χωρίζεται σε πολλές καρτέλες, οι οποίες συμπληρώνονται με τη λογική σειρά.

GroupsAccess conditionsSitesApplicationsApplications to restrictPersonal aliasesRevealable aliasesAlertsNetwork connections

Επιλέξτε τον τομέα ελέγχου ταυτότητας από την αναπτυσσόμενη λίστα και, στη συνέχεια, σύρετε και αποθέστε τις επιθυμητές ομάδες χρηστών στη δεξιά στήλη. Μία μόνο σύμβαση μπορεί να συνδυάζει ομάδες από πολλούς τομείς. Για να είναι έγκυρη η σύμβαση, πρέπει να επιλεγεί τουλάχιστον μία ομάδα.

Σύρετε και αποθέστε τις συνθήκες πρόσβασης που θα εφαρμοστούν. Μια συνθήκη επιτρέπει ή απαγορεύει την πρόσβαση βάσει ενός κριτηρίου (IP, ημερομηνία, πιστοποιητικό κ.λπ. — βλ. Access conditions).

Πολλές συνθήκες συνδυάζονται με AND

Όταν πολλές συνθήκες πρόσβασης είναι συνδεδεμένες με την ίδια σύμβαση, όλες πρέπει να είναι έγκυρες για να εφαρμοστεί η σύμβαση: μία μόνο μη έγκυρη συνθήκη αρκεί για να την απορρίψει και ο χρήστης δεν λαμβάνει τα δικαιώματα που αυτή παρέχει. Για να επιτύχετε ένα OR, χρησιμοποιήστε έναν μετα-κανόνα στη λειτουργική μονάδα Access conditions.

Ορατότητα της καρτέλας

Η καρτέλα εμφανίζεται μόνο όταν υπάρχει τουλάχιστον μία συνθήκη πρόσβασης στην αντίστοιχη λειτουργική μονάδα.

Σύρετε και αποθέστε την ή τις τοποθεσίες που φιλοξενούν τις εφαρμογές. Μια τοποθεσία είναι ένα σύνολο στοιχείων Edge Gateway που ορίζει ένα ασφαλές σημείο εισόδου σε ένα τοπικό δίκτυο.

Πολλές τοποθεσίες: επιλέγει ο χρήστης

Όταν η σύμβαση αναφέρει πολλές τοποθεσίες, κατά την εκκίνηση της εφαρμογής εμφανίζεται στον χρήστη η οθόνη Select a site, για να επιλέξει εκείνη μέσω της οποίας θα περάσει.

Το δέντρο παραθέτει τις εφαρμογές ομαδοποιημένες κατά κατηγορία. Η επιλογή μιας κατηγορίας επιλέγει όλες τις εφαρμογές της και περιλαμβάνει αυτόματα κάθε εφαρμογή που προστίθεται αργότερα σε αυτήν την κατηγορία. Επιλέγοντας μεμονωμένα πλαίσια, μπορείτε να διαλέξετε ένα υποσύνολο. Πρέπει να είναι επιλεγμένη τουλάχιστον μία εφαρμογή.

Εφαρμογές Workplace — αποκλειστικότητα

Όταν είναι ενεργοποιημένη η συσχέτιση Workplace, εμφανίζονται δύο εικονικές εφαρμογές: Access to Workplace applications by merged cloud και Access to Workplace applications by redirection. Αλληλοαποκλείονται μέσα στην ίδια σύμβαση.

Τοποθετεί ορισμένες από τις εφαρμογές που επιλέχθηκαν προηγουμένως πίσω από μια ροή εργασιών έγκρισης. Οι χρήστες θα πρέπει να ζητούν πρόσβαση και ένας διαχειριστής θα αποδέχεται ή θα απορρίπτει τα αιτήματα από τη λειτουργική μονάδα Workflow.

Επιλογή	Περιγραφή
Ask the user to complete a form when requesting access	Εάν είναι επιλεγμένο, ο χρήστης πρέπει να συμπληρώνει μια φόρμα κάθε φορά που ζητά πρόσβαση σε μια εφαρμογή με περιορισμούς.
Applications to restrict	Λίστα δύο στηλών (διαθέσιμες / με περιορισμούς) με αναζήτηση.

Η ενότητα είναι συμπτυγμένη από προεπιλογή. Όταν είναι επιλεγμένο το Allow personal aliases, μπορείτε να ορίσετε, μεταξύ των επιλεγμένων εφαρμογών, εκείνες για τις οποίες ο χρήστης μπορεί να αποθηκεύει τα δικά του ψευδώνυμα (διαπιστευτήρια αποθηκευμένα στην πύλη).

Ορατή μόνο όταν η επιλογή Allow password display in alias είναι ενεργοποιημένη στις ρυθμίσεις general options. Λίστα δύο στηλών για την επιλογή των ψευδωνύμων (συνδεδεμένων με χρήστες) που μπορούν να αποκαλυφθούν μέσω αυτής της σύμβασης.

Μετα-ψευδώνυμα

Όταν η επιλογή περιέχει τουλάχιστον ένα μετα-ψευδώνυμο, εμφανίζεται ένα παράθυρο διαλόγου επιβεβαίωσης πριν από την αποθήκευση.

Σύρετε και αποθέστε τα προφίλ ειδοποιήσεων που θα πυροδοτούνται όταν χρησιμοποιούνται οι προσβάσεις που καλύπτει αυτή η σύμβαση.

Καρτέλα ενεργή μόνο όταν είναι επιλεγμένη τουλάχιστον μία εφαρμογή RDS, HTML5 RDS, SSH ή HTML5 SSH στην καρτέλα Applications.

Απαιτείται παράγοντας στον διακομιστή προορισμού, ανεξάρτητα από το πρωτόκολλο

Το φιλτράρισμα τίθεται σε ισχύ μόνο εάν ο διακομιστής προορισμού διαθέτει τον αντίστοιχο παράγοντα: τον παράγοντα CyberElements στους διακομιστές RDS και HTML5 RDS, και τον παράγοντα φιλτραρίσματος δικτύου στους διακομιστές SSH και HTML5 SSH. Χωρίς αυτόν, οι κανόνες που εισάγονται εδώ δεν έχουν καμία επίδραση.

Επιλέξτε το Filter network connections για να ενεργοποιήσετε το φιλτράρισμα και, στη συνέχεια, καθορίστε για κάθε κανόνα:

Πεδίο	Περιγραφή
Target IP	Εξουσιοδοτημένη διεύθυνση IP ή κεντρικός υπολογιστής. Επικύρωση μορφής IPv4.
Network mask	Προαιρετικό. Όταν είναι κενό, ο κανόνας ισχύει μόνο για τη διεύθυνση IP προορισμού.
Port	0 από προεπιλογή: ο κανόνας ισχύει για όλες τις θύρες.
Protocol	TCP, UDP ή TCP and UDP.

Κάντε κλικ στο Add για να εισαγάγετε τον κανόνα στη λίστα των εξουσιοδοτημένων δικτύων. Κάθε κανόνας μπορεί να καταργηθεί μεμονωμένα.

Σημασία του φιλτραρίσματος

Εάν το Filter network connections είναι επιλεγμένο αλλά δεν είναι εξουσιοδοτημένο κανένα δίκτυο, ο χρήστης δεν μπορεί να συνδεθεί σε κανένα δίκτυο. Διαφορετικά, είναι προσβάσιμα μόνο τα δίκτυα της λίστας.

Κάντε κλικ στο Validate για να αποθηκεύσετε τη σύμβαση. Οι καρτέλες Groups, Sites και Applications είναι όλες υποχρεωτικές, διαφορετικά η σύμβαση απορρίπτεται.

Επεξεργασία σύμβασης¶

Επιλέξτε τη σύμβαση στη λίστα και, στη συνέχεια, κάντε κλικ στο εικονίδιο Properties ή κάντε διπλό κλικ στη γραμμή. Το παράθυρο είναι ίδιο με εκείνο της δημιουργίας, προσυμπληρωμένο με τις τρέχουσες τιμές.

Διαγραφή σύμβασης¶

Επιλέξτε μία ή περισσότερες συμβάσεις και, στη συνέχεια, κάντε κλικ στο κουμπί ×. Η διαγραφή απαιτεί επιβεβαίωση.

Εξαγωγή συμβάσεων¶

Το κουμπί Export κάνει λήψη όλων των εμφανιζόμενων συμβάσεων σε αρχείο CSV. Τα δεδομένα που εξάγονται αντικατοπτρίζουν τα τρέχοντα φίλτρα (αναζήτηση κ.λπ.).

Δομή του αρχείου¶

Το αρχείο περιέχει μία γραμμή κεφαλίδας και, στη συνέχεια, μία γραμμή ανά σύμβαση. Οι στήλες εμφανίζονται με την εξής σειρά:

#	Στήλη	Περιεχόμενο	Υποχρεωτικό κατά την εισαγωγή
1	Alerts	Ονομασίες των προφίλ ειδοποιήσεων.
2	Categories	Ονόματα των κατηγοριών εφαρμογών.
3	Description	Ελεύθερο κείμενο.
4	Groups	Ομάδες χρηστών, με τη μορφή `group@domain`.	Ναι
5	Name	Όνομα της σύμβασης.	Ναι
6	Applications	Ονόματα των επιτρεπόμενων εφαρμογών.
7	Restricted applications	Ονόματα των εφαρμογών που έχουν τοποθετηθεί πίσω από μια ροή εργασιών.
8	Access conditions	Ονόματα των συνθηκών πρόσβασης.
9	Sites	Ονόματα των τοποθεσιών.	Ναι
10	Request a form	`True` ή `False`.
11	Filter network connections	`True` ή `False`.
12	Network connections	Κανόνες φιλτραρίσματος, με τη μορφή `ip/mask:port:protocol`.
13	Revealable aliases	Ονόματα ψευδωνύμων.
14	Revealable password rotation aliases	Ονόματα ψευδωνύμων.
15	Revealable dynamic aliases	Ονόματα ψευδωνύμων.
16	Personal aliases	Ονόματα των εφαρμογών για τις οποίες επιτρέπονται προσωπικά ψευδώνυμα.

Σύνταξη¶

Στοιχείο	Διαχωριστικό	Παράδειγμα
Στήλες	`;`	`Name;Description;…`
Πολλαπλές τιμές μέσα σε ένα κελί	`+`	`Accounting+Management+Support`
Ομάδα χρηστών	`@` μεταξύ της ομάδας και του τομέα της	`Accounting@AD-Internal`
Όλες οι ομάδες ενός τομέα	λέξη-κλειδί `all`	`all@AD-Internal`
Κανόνας φιλτραρίσματος δικτύου	`/` και, στη συνέχεια, `:`	`10.0.0.5/255.255.255.0:3389:TCP` — μια θύρα με τιμή `0` σημαίνει «κάθε θύρα»
Δυαδικές τιμές	—	`True` ή `False`· ένα κενό κελί θεωρείται `False`

Όγκος

Η εξαγωγή έχει ανώτατο όριο: πέρα από έναν μέγιστο αριθμό γραμμών που ορίζεται στην πλατφόρμα, μόνο οι πρώτες συμβάσεις γράφονται στο αρχείο.

Εισαγωγή συμβάσεων¶

Το κουμπί Import ανοίγει ένα παράθυρο όπου μπορείτε να αποστείλετε ένα αρχείο CSV. Η δομή του πρέπει να είναι αυτή που περιγράφεται στο κεφάλαιο Εξαγωγή συμβάσεων: ο ασφαλέστερος τρόπος είναι να ξεκινήσετε από μια εξαγωγή και να την επεξεργαστείτε.

Πεδίο	Περιγραφή
File	Αρχείο CSV προς εισαγωγή.
Record delimiter	Το διαχωριστικό στηλών, `;` για ένα αρχείο που παράγεται από την εξαγωγή.
Value delimiter inside a field	Το διαχωριστικό πολλαπλών τιμών, `+` για ένα αρχείο που παράγεται από την εξαγωγή.

Οι στήλες Name, Groups και Sites είναι υποχρεωτικές: μια γραμμή από την οποία λείπει μία από αυτές απορρίπτεται. Οι τιμές που αναφέρονται (εφαρμογές, κατηγορίες, συνθήκες πρόσβασης, ειδοποιήσεις, ψευδώνυμα, τοποθεσίες) πρέπει να υπάρχουν ήδη και αντιστοιχίζονται βάσει ονόματος.

Μετά την επικύρωση, ένα παράθυρο συνοψίζει το αποτέλεσμα της εισαγωγής για κάθε σύμβαση του αρχείου.