Identity Providers¶
Ένας τομέας ελέγχου ταυτότητας ορίζει πού και πώς επαληθεύονται οι ταυτότητες των χρηστών κατά τη σύνδεση. Κάθε λογαριασμός ανήκει σε μια ομάδα και κάθε ομάδα σε έναν τομέα: ο τομέας είναι αυτός που καθορίζει από πού προέρχονται οι λογαριασμοί — από έναν εταιρικό κατάλογο, από μια εσωτερική βάση ή από έναν εξωτερικό πάροχο ταυτότητας.
Αυτή η λειτουργική μονάδα παραθέτει τους δηλωμένους τομείς. Κάντε κλικ στο + για να προσθέσετε έναν ή κάντε διπλό κλικ σε ένα όνομα για να τον διαμορφώσετε. Ο τύπος καταλόγου επιλέγεται κατά τη δημιουργία και δεν μπορεί να αλλάξει στη συνέχεια.
Προσφέρονται τέσσερις τύποι:
| Τύπος καταλόγου | Πηγή λογαριασμών | Χρήση |
|---|---|---|
| LDAP directory | Εξωτερικός κατάλογος (Active Directory, OpenLDAP…) | Η συνήθης περίπτωση: οι υπάρχοντες λογαριασμοί και ομάδες επαναχρησιμοποιούνται ως έχουν, χωρίς αντιγραφή. |
| Local directory | Βάση εσωτερική στην πλατφόρμα | Λογαριασμοί που δημιουργούνται και διαχειρίζονται απευθείας από την κονσόλα, παράλληλα με έναν κατάλογο ή για μικρό εύρος. |
| SAML domain | Εξωτερικός πάροχος ταυτότητας (IdP) | Ο έλεγχος ταυτότητας ανατίθεται στον πάροχο IdP· η πλατφόρμα λειτουργεί ως πάροχος υπηρεσιών. |
| Anonymous directory | Καμία | Σπάνιες περιπτώσεις όπου η πρόσβαση σε μια εφαρμογή δεν απαιτεί κανέναν έλεγχο ταυτότητας. |
Σειρά δημιουργίας
Δημιουργήστε πρώτα τον τομέα, στη συνέχεια τις ομάδες και, τέλος, τους λογαριασμούς χρηστών: τα δικαιώματα πρόσβασης στις εφαρμογές παραχωρούνται στη συνέχεια στις ομάδες, μέσω μιας σύμβασης πρόσβασης.
Κοινά στοιχεία διαμόρφωσης¶
Αυτές οι ρυθμίσεις υπάρχουν σε κάθε τύπο τομέα:
| Πεδίο | Περιγραφή |
|---|---|
| Name | Επιλέξτε ένα περιγραφικό όνομα τομέα. |
| Shortcut URL | Εμφανίζεται μόνο σε λειτουργία επεξεργασίας. Άμεση διεύθυνση URL που παρέχει πρόσβαση στην πύλη χρηστών για τον συγκεκριμένο τομέα, χωρίς να περάσετε από τη λίστα των διαθέσιμων τομέων. Μορφή: https://{server}/cloud/?orgname={tenant}&domainid={id}. |
| Description | Προαιρετικό πεδίο που περιγράφει το περιεχόμενο του τομέα. |
| Microsoft domain | Πληροφορία που συνοδεύει την αναγνώριση του χρήστη όταν είναι ενεργοποιημένη η καθολική είσοδος (SSO). |
| Expiration | Μέγιστος χρόνος αδράνειας πριν από τη λήξη μιας περιόδου λειτουργίας. Προεπιλεγμένη τιμή: 60 λεπτά. |
| Number of attempts before lockout | Περιορίζει τον αριθμό των προσπαθειών σύνδεσης. Συνιστώμενη τιμή: 3 προσπάθειες (προστασία από επιθέσεις brute-force). Αυτό το όριο πρέπει να είναι ≤ από κάθε όριο που έχει οριστεί στον κατάλογο LDAP. |
| Time before unlock (minutes) | Χρόνος αναμονής πριν από το ξεκλείδωμα των κλειδωμένων περιόδων λειτουργίας. Ορίστε την τιμή 0 για απενεργοποίηση. |
| The domain is part of cascading authentication | Ανατρέξτε στο κεφάλαιο Διαδοχικός έλεγχος ταυτότητας. |
| Delegate authentication to an external server | Επιλογές: No, CAS, IdeoSSO. |
| Alternative username attribute | Χαρακτηριστικό LDAP που χρησιμοποιείται ως δευτερεύον αναγνωριστικό όταν ο χρήστης δεν βρίσκεται μέσω του κύριου χαρακτηριστικού (π.χ. mail, userPrincipalName). |
| Maximum number of simultaneous sessions per user | Συνιστώμενη τιμή: 1 περίοδος λειτουργίας. |
| Automatic deletion of the oldest session | Κλείνει αυτόματα μια ενεργή περίοδο λειτουργίας όταν ζητείται μια νέα. |
| Note displayed in the authentication form | Σημείωση που προορίζεται αποκλειστικά για τους χρήστες του τομέα. |
Μέθοδος ελέγχου ταυτότητας¶
| Πεδίο | Περιγραφή |
|---|---|
| Authentication method | Ορίζει τον τρόπο με τον οποίο επαληθεύεται η ταυτότητα του χρήστη κατά τη σύνδεση: Form (το όνομα χρήστη και ο κωδικός πρόσβασης πληκτρολογούνται χειροκίνητα) / User certificate (το όνομα χρήστη εξάγεται από το πεδίο CN του πιστοποιητικού) / User certificate and form (απαιτείται επιπλέον κωδικός πρόσβασης μετά τον έλεγχο ταυτότητας μέσω πιστοποιητικού) / Apache authentication (ο έλεγχος ταυτότητας ανατίθεται στον διακομιστή web Apache) / Pro Santé Connect (CIBA) (έλεγχος ταυτότητας μέσω του γαλλικού εθνικού παρόχου ταυτότητας για την υγεία). |
| Force the use of the virtual keyboard | Εμφανίζει ένα πληκτρολόγιο οθόνης στη σελίδα ελέγχου ταυτότητας για να προστατεύσει την πληκτρολόγηση του κωδικού πρόσβασης από προγράμματα καταγραφής πληκτρολογήσεων (keyloggers). |
Pro Santé Connect (CIBA)¶
Αυτά τα πεδία εμφανίζονται μόνο όταν είναι επιλεγμένη η μέθοδος ελέγχου ταυτότητας Pro Santé Connect (CIBA). Το Pro Santé Connect είναι ο γαλλικός εθνικός πάροχος ταυτότητας για τους επαγγελματίες υγείας.
| Πεδίο | Περιγραφή |
|---|---|
| Identifier (client id) | Αναγνωριστικό προγράμματος-πελάτη που παρέχει το Pro Santé Connect κατά την καταχώρηση της εφαρμογής. |
| Secret (client secret) | Το σχετικό μυστικό προγράμματος-πελάτη, που χρησιμοποιείται για την επικύρωση των ανταλλαγών OIDC με το Pro Santé Connect. |
| Sandbox | Όταν είναι επιλεγμένο, το CyberElements συνδέεται στο περιβάλλον δοκιμών του PSC αντί για το περιβάλλον παραγωγής. Χρησιμοποιήστε το μόνο για δοκιμές ενοποίησης. |
| RPPS retrieval | Καθορίζει από πού προέρχεται ο αριθμός RPPS του χρήστη (γαλλικό μητρώο επαγγελματιών υγείας): Use the authentication attribute (ο αριθμός RPPS εξάγεται από το κύριο χαρακτηριστικό ελέγχου ταυτότητας) ή Use another user attribute (ο αριθμός RPPS εξάγεται από ένα ξεχωριστό χαρακτηριστικό, το οποίο καθορίζεται στο επόμενο πεδίο). |
| User attribute containing the RPPS | Όνομα του χαρακτηριστικού που περιέχει τον αριθμό RPPS (π.χ. rpps, healthcareProfessionalId). Ορατό και υποχρεωτικό μόνο αν η προηγούμενη επιλογή έχει οριστεί σε «Use another user attribute». |
Διακριτικό ελέγχου ταυτότητας OTP¶
| Πεδίο | Περιγραφή |
|---|---|
| Authentication token | Επιλογή της γεννήτριας ή των γεννητριών OTP που θα χρησιμοποιηθούν (έχουν δηλωθεί προηγουμένως μέσω του μενού των γεννητριών διακριτικών OTP). Είναι δυνατή η πολλαπλή επιλογή. |
| User attribute used to send the OTP | Καθορίζει το χαρακτηριστικό χρήστη μέσω του οποίου παραδίδεται ο κωδικός OTP για κάθε επιλεγμένο διακριτικό (π.χ. mobile για αποστολή μέσω SMS, mail για αποστολή μέσω email). Εμφανίζεται ένα πεδίο για κάθε επιλεγμένο διακριτικό. |
| Token expiration duration | Διάρκεια μετά την οποία ένας κωδικός OTP που έχει σταλεί δεν γίνεται πλέον αποδεκτός. Ορίστε την τιμή 0 για να απενεργοποιήσετε τη λήξη. |
| Time unit | Μονάδα της διάρκειας λήξης: Hours ή Days. Η τιμή που καταχωρήθηκε στο προηγούμενο πεδίο πολλαπλασιάζεται με αυτήν τη μονάδα (1 για ώρες, 24 για ημέρες). |
| Expiration starts | Σημείο έναρξης της αντίστροφης μέτρησης για τη λήξη: From the last OTP validation (ο κωδικός OTP λήγει X ώρες μετά την επικύρωσή του) ή From the last successful login (ο κωδικός OTP λήγει X ώρες μετά το άνοιγμα της περιόδου λειτουργίας). |
| *Replace OTP characters with "" | Αποκρύπτει τους χαρακτήρες που πληκτρολογούνται στο πεδίο του κωδικού πρόσβασης μίας χρήσης κατά τη σύνδεση. |
Έλεγχος ταυτότητας neomia Pulse¶
Το neomia Pulse είναι μια λύση συνεχούς ελέγχου ταυτότητας που βασίζεται στην ανάλυση συμπεριφοράς. Αυτά τα πεδία εμφανίζονται όταν είναι επιλεγμένο το πλαίσιο ελέγχου Enable neomia Pulse authentication.
| Πεδίο | Περιγραφή |
|---|---|
| Enable neomia Pulse authentication | Ενεργοποιεί την ενοποίηση με το neomia Pulse. Δημιουργείται μια διαμόρφωση Pulse για τον τομέα. Υπόκειται σε συνδρομή — δείτε το πλαίσιο παρακάτω. |
| Number of neomia Pulse attempts | Μέγιστος αριθμός προσπαθειών ελέγχου ταυτότητας Pulse πριν από τον αποκλεισμό του αιτήματος. Προεπιλεγμένη τιμή: 3. |
| If Pulse authentication succeeds | Συμπεριφορά όταν το Pulse επικυρώνει επιτυχώς τον χρήστη: Skip the OTP token (παρακάμπτονται όλοι οι κωδικοί OTP που έχουν διαμορφωθεί στον τομέα) ή Reinforce authentication (οι κωδικοί OTP παραμένουν υποχρεωτικοί ακόμη και μετά από επιτυχή επικύρωση από το Pulse). |
| If Pulse authentication fails | Εναλλακτική συμπεριφορά αν το Pulse αποτύχει ή δεν είναι διαθέσιμο: Block access (ο χρήστης δεν μπορεί να συνδεθεί, επιστρέφεται ο κωδικός σφάλματος PULSE_API_ERROR) ή Request an additional authentication factor (αυτόματη επιστροφή στον τυπικό έλεγχο ταυτότητας OTP). |
| Display graphical components | Εμφανίζει στη σελίδα ελέγχου ταυτότητας τα οπτικά στοιχεία του μοτίβου πληκτρολόγησης της διασύνδεσης του neomia Pulse. |
| Display authentication factors | Εμφανίζει στον χρήστη τη λίστα των παραγόντων ελέγχου ταυτότητας που εντόπισε το Pulse. |
Μια επιλογή συνδρομής, που διαμορφώνεται από το CyberElements
Ο έλεγχος ταυτότητας neomia Pulse είναι επιλογή της συνδρομής CyberElements. Όταν δεν έχει γίνει συνδρομή σε αυτήν για τον μισθωτή, το πλαίσιο ελέγχου δεν έχει κανένα αποτέλεσμα: η κονσόλα το επαναφέρει αυτόματα σε μη επιλεγμένη κατάσταση και προτείνει την αποστολή αιτήματος ενεργοποίησης στο CyberElements. ⓘ Οι παράμετροι σύνδεσης του neomia Pulse δεν μπορούν να καταχωρηθούν: η διεύθυνση URL του API, η διεύθυνση URL του API ελέγχου ταυτότητας και το κλειδί API είναι εκείνα της επιλογής της συνδρομής και τα συμπληρώνει το CyberElements. Ο διαχειριστής του μισθωτή ορίζει μόνο τη συμπεριφορά ελέγχου ταυτότητας που περιγράφεται παραπάνω.
Ανάθεση του ελέγχου ταυτότητας σε εξωτερικό διακομιστή¶
Διακομιστής CAS¶
| Πεδίο | Περιγραφή |
|---|---|
| CAS server URL | Πλήρης διεύθυνση URL του διακομιστή CAS στον οποίο ανατίθεται ο έλεγχος ταυτότητας. |
IdeoSSO¶
| Πεδίο | Περιγραφή |
|---|---|
| CAS server URL | Πλήρης διεύθυνση URL του διακομιστή IdeoSSO. |
| IdeoSSO, user property matching the identifier | Όνομα της ιδιότητας χρήστη του IdeoSSO που χρησιμοποιείται ως αναγνωριστικό σύνδεσης στο CyberElements. |
Διαμόρφωση τομέα τύπου «Local directory»¶
Καρτέλα: General information¶
| Πεδίο | Περιγραφή |
|---|---|
| Invisible shortcut | Αν υπάρχουν πολλοί τομείς, επιλέξτε αυτό το πλαίσιο ελέγχου ώστε ο τομέας να μην εμφανίζεται στη λίστα που προσφέρεται στον χρήστη. Ο τομέας είναι τότε προσβάσιμος μόνο μέσω της πλήρους διεύθυνσης URL συντόμευσης. |
| Display the access condition if it is invalid | Αν είναι επιλεγμένο, όταν μια μη έγκυρη συνθήκη πρόσβασης εμποδίζει έναν χρήστη να συνδεθεί, του εμφανίζεται το αντίστοιχο μήνυμα σφάλματος. Αν δεν είναι επιλεγμένο, ο χρήστης δεν λαμβάνει καμία εξήγηση. Διαθέσιμο μόνο σε λειτουργία επεξεργασίας. |
Καρτέλα: Password¶
Αυτή η καρτέλα χρησιμοποιείται για τη διαμόρφωση της διαχείρισης των κωδικών πρόσβασης των χρηστών του τοπικού τομέα.
| Πεδίο | Περιγραφή |
|---|---|
| Change the user's password at first login | Αν είναι επιλεγμένο, κατά την πρώτη του σύνδεση ο χρήστης ανακατευθύνεται αυτόματα σε μια οθόνη αλλαγής κωδικού πρόσβασης. Δεν μπορεί να αποκτήσει πρόσβαση στην πύλη μέχρι να ολοκληρωθεί η αλλαγή. |
| Display the password change form | Αν είναι επιλεγμένο, εμφανίζεται στην οθόνη σύνδεσης ένας σύνδεσμος με τον οποίο ο χρήστης μπορεί να αλλάξει τον κωδικό πρόσβασής του. |
| Define a custom password policy | Δίνει τη δυνατότητα ορισμού μιας πολιτικής πολυπλοκότητας και διάρκειας ισχύος των κωδικών πρόσβασης ειδικά για αυτόν τον τομέα. |
Όταν είναι επιλεγμένο το Define a custom password policy, γίνονται διαθέσιμες οι ακόλουθες ρυθμίσεις:
| Πεδίο | Περιγραφή |
|---|---|
| Display the password policy to the user | Αν είναι επιλεγμένο, οι κανόνες πολυπλοκότητας παρουσιάζονται στον χρήστη όταν ορίζει ή αλλάζει τον κωδικό πρόσβασής του. |
| Minimum number of characters | Ελάχιστο απαιτούμενο μήκος του κωδικού πρόσβασης. Προεπιλεγμένη τιμή: 10. Ορίστε την τιμή 0 για απενεργοποίηση. |
| Minimum number of lowercase letters | Ελάχιστος απαιτούμενος αριθμός πεζών γραμμάτων. Ορίστε την τιμή 0 για απενεργοποίηση. |
| Minimum number of uppercase letters | Ελάχιστος απαιτούμενος αριθμός κεφαλαίων γραμμάτων. Ορίστε την τιμή 0 για απενεργοποίηση. |
| Minimum number of digits | Ελάχιστος απαιτούμενος αριθμός ψηφίων. Ορίστε την τιμή 0 για απενεργοποίηση. |
| Minimum number of special characters | Ελάχιστος απαιτούμενος αριθμός ειδικών χαρακτήρων. Ορίστε την τιμή 0 για απενεργοποίηση. |
| Minimum password lifetime (days) | Ελάχιστος χρόνος πριν επιτραπεί στον χρήστη να αλλάξει τον κωδικό πρόσβασής του. Αποτρέπει τις υπερβολικά συχνές αλλαγές. Ορίστε την τιμή 0 για απενεργοποίηση. |
| Maximum password lifetime (days) | Χρονικό διάστημα μετά το οποίο ο κωδικός πρόσβασης λήγει και πρέπει να ανανεωθεί. Προεπιλεγμένη τιμή: 60 ημέρες. Ορίστε την τιμή 0 για απενεργοποίηση. |
| Notify the user before expiration (days) | Στέλνει ένα email στον χρήστη τον καθορισμένο αριθμό ημερών πριν από τη λήξη του κωδικού πρόσβασής του. Απαιτεί διαμορφωμένη μέγιστη διάρκεια ισχύος, διακομιστή SMTP και διεύθυνση email αποστολέα. Ορίστε την τιμή 0 για απενεργοποίηση. |
| SMTP server | Διακομιστής που χρησιμοποιείται για την αποστολή των γνωστοποιήσεων λήξης (μεταξύ εκείνων που έχουν δηλωθεί στη διαμόρφωση SMTP). |
| Source e-mail | Διεύθυνση email που εμφανίζεται ως αποστολέας των γνωστοποιήσεων. |
| Reject the new password if it contains the login | Αν είναι επιλεγμένο, αποκλείει τους κωδικούς πρόσβασης που περιέχουν το αναγνωριστικό σύνδεσης του χρήστη (προστασία από προφανείς κωδικούς πρόσβασης). |
| Reject the new password if it matches one of the last X | Διατηρεί ιστορικό των κωδικών πρόσβασης και αποκλείει την επαναχρησιμοποίηση του καθορισμένου αριθμού προηγούμενων κωδικών πρόσβασης. Ορίστε την τιμή 0 για απενεργοποίηση. |
Διαμόρφωση τομέα τύπου «LDAP directory»¶
Καρτέλα: General information¶
| Πεδίο | Περιγραφή |
|---|---|
| Invisible shortcut | Αν υπάρχουν πολλοί τομείς, επιλέξτε αυτό το πλαίσιο ελέγχου ώστε ο τομέας να μην εμφανίζεται στη λίστα που προσφέρεται στον χρήστη. |
Καρτέλα: LDAP settings¶
Σύνδεση¶
| Πεδίο | Περιγραφή |
|---|---|
| Authentication through a site | Αν είναι επιλεγμένο, το CyberElements χρησιμοποιεί το στοιχείο Edge Gateway μιας τοποθεσίας για να φτάσει στον κατάλογο, ώστε να μην χρειάζεται να ανοιχτούν εισερχόμενοι κανόνες τείχους προστασίας από την υπηρεσία Mediation Controller που φιλοξενείται από το CyberElements. Ένα δεύτερο πεδίο σάς δίνει τη δυνατότητα να επιλέξετε την τοποθεσία που θα χρησιμοποιηθεί. |
| Authentication type | Πρωτόκολλο σύνδεσης (bind) στον διακομιστή LDAP: SIMPLE (bind με DN + κωδικό πρόσβασης σε απλό κείμενο μέσω TLS) / NTLM (έλεγχος ταυτότητας των Windows, απαιτεί το επίθημα τομέα Microsoft) / SASL/Digest-MD5 (έλεγχος ταυτότητας SASL με κατακερματισμό MD5, δεν μεταδίδει τον κωδικό πρόσβασης σε απλό κείμενο). |
| Microsoft domain suffix | Επίθημα του τομέα Windows που χρησιμοποιείται για τη δημιουργία του αναγνωριστικού NTLM (π.χ. CONTOSO). Ορατό μόνο αν ο τύπος ελέγχου ταυτότητας είναι NTLM. |
Αναζήτηση χρηστών και ομάδων¶
| Πεδίο | Περιγραφή |
|---|---|
| Search mode | Ορίζει τη στρατηγική ανάκτησης των ομάδων από τον κατάλογο: Retrieve groups from a group attribute (διατρέχει τις ομάδες και διαβάζει τα μέλη τους — κατάλληλο για τυπικούς καταλόγους) / Retrieve groups from a user attribute (διαβάζει το χαρακτηριστικό memberOf κάθε χρήστη — ταχύτερο σε Active Directory) / Retrieve nested groups through the TokenGroups attribute (χρησιμοποιεί το ειδικό χαρακτηριστικό AD tokenGroups για την αναδρομική επίλυση των ένθετων ομάδων — συνιστάται σε Active Directory). |
| User attribute containing the groups | Όνομα του χαρακτηριστικού του αντικειμένου χρήστη που απαριθμεί τις ομάδες στις οποίες ανήκει. Ορατό μόνο αν είναι επιλεγμένη η λειτουργία «from a user attribute». |
| Use the user's DN to log in | Αν είναι επιλεγμένο, το πλήρες DN του χρήστη χρησιμοποιείται κατά τη λειτουργία LDAP bind (έλεγχος ταυτότητας). |
| User authentication attribute | Χαρακτηριστικό LDAP που χρησιμοποιείται ως μοναδικό αναγνωριστικό του χρήστη κατά τη σύνδεση. Προτεινόμενες τιμές: sAMAccountName (Active Directory), cn, sn, uid, mailNickname, userPrincipalName, employeeID ή προσαρμοσμένη τιμή. |
| User attribute customisation | Σας δίνει τη δυνατότητα να πληκτρολογήσετε χειροκίνητα ένα χαρακτηριστικό που δεν υπάρχει στη λίστα. Ορατό μόνο αν είναι επιλεγμένο το «custom». |
| Group authentication attribute | Χαρακτηριστικό LDAP που χρησιμοποιείται για τη μοναδική αναγνώριση των ομάδων (π.χ. cn, sAMAccountName). |
Δέντρο¶
| Πεδίο | Περιγραφή |
|---|---|
| Users branch | Πλήρες DN της οργανωτικής μονάδας που περιέχει τους χρήστες (π.χ. ou=Users,dc=example,dc=com). |
| Groups branch | Πλήρες DN της οργανωτικής μονάδας που περιέχει τις ομάδες (π.χ. ou=Groups,dc=example,dc=com). |
| Manual group management | Αν είναι επιλεγμένο, οι ομάδες δεν συγχρονίζονται αυτόματα από τον κατάλογο LDAP. Οι διαχειριστές πρέπει να προσθέτουν και να καταργούν τις ομάδες χειροκίνητα στο CyberElements. |
Λογαριασμός υπηρεσίας¶
| Πεδίο | Περιγραφή |
|---|---|
| Service account (must be able to reset passwords) | Αναγνωριστικό του λογαριασμού υπηρεσίας που χρησιμοποιεί το CyberElements για την υποβολή ερωτημάτων στον κατάλογο — για παράδειγμα το sAMAccountName του (svc_cye). Αυτός ο λογαριασμός πρέπει να μπορεί να επαναφέρει τους κωδικούς πρόσβασης των χρηστών του τομέα, διαφορετικά η αλλαγή κωδικού πρόσβασης από την πύλη χρηστών αποτυγχάνει. Η κονσόλα δεν συνιστά τη χρήση πλήρους DN, το οποίο μπορεί να προκαλέσει προβλήματα στη διαχείριση των διακομιστών RDS. Συνιστάται ιδιαίτερα να οριστεί ένας αποκλειστικός λογαριασμός και να απενεργοποιηθεί η ανώνυμη σύνδεση (bind) στον κατάλογο. |
| Password | Κωδικός πρόσβασης του λογαριασμού υπηρεσίας. |
| User class | Κλάση αντικειμένων LDAP των χρηστών που αναζητούνται στον κατάλογο (π.χ. person, inetOrgPerson, user για Active Directory). |
| Group filter | Πρόσθετο φίλτρο χαρακτηριστικού/τιμής για τον προσδιορισμό των ομάδων στον κατάλογο. Χρησιμοποιείται μόνο με τη λειτουργία αναζήτησης «from a group attribute». |
Κωδικός πρόσβασης των χρηστών¶
| Πεδίο | Περιγραφή |
|---|---|
| Display the password change form | Αν είναι επιλεγμένο, εμφανίζεται στην οθόνη σύνδεσης ένας σύνδεσμος αλλαγής κωδικού πρόσβασης. Αυτή η επιλογή είναι διαθέσιμη μόνο αν η σύνδεση με τον κατάλογο χρησιμοποιεί SSL (LDAPS) ή περνά μέσω τοποθεσίας. |
| Check whether the password must be changed | Αν είναι επιλεγμένο, το CyberElements υποβάλλει ερώτημα στον κατάλογο LDAP για να διαπιστώσει αν ο χρήστης πρέπει να αλλάξει τον κωδικό πρόσβασής του (χαρακτηριστικό pwdLastSet σε Active Directory) και, αν χρειάζεται, τον υποχρεώνει να το κάνει. |
| Check the password complexity when it is changed | Αν είναι επιλεγμένο, το CyberElements επαληθεύει ότι ο νέος κωδικός πρόσβασης πληροί την πολιτική πολυπλοκότητας που έχει οριστεί στον κατάλογο, όταν η αλλαγή ξεκινά από την πύλη. |
Επιλογή Radius¶
| Πεδίο | Περιγραφή |
|---|---|
| Enable the Radius option | Επιλέξτε αυτό το πλαίσιο ελέγχου μόνο αν ο κατάλογος LDAP συνδυάζεται με έλεγχο ταυτότητας Radius (δύο παραγόντων). Αυτή η επιλογή μπορεί να ενεργοποιηθεί μόνο κατά τη δημιουργία του τομέα και δεν μπορεί να αλλάξει στη συνέχεια. |
Όταν η επιλογή Radius είναι ενεργοποιημένη, εμφανίζονται οι ακόλουθες ρυθμίσεις:
| Πεδίο | Περιγραφή |
|---|---|
| Mode | Τρόπος λειτουργίας του διακομιστή Radius: quicklog (άμεσος έλεγχος ταυτότητας: ο κωδικός πρόσβασης διαβιβάζεται ως έχει στον διακομιστή Radius) ή challenge/response (ο διακομιστής Radius στέλνει μια πρόκληση στην οποία ο χρήστης πρέπει να απαντήσει). |
| Server | Διεύθυνση IP ή όνομα DNS του διακομιστή Radius. |
| Port | Θύρα ακρόασης του διακομιστή Radius. Προεπιλεγμένη τιμή: 1812. |
| Secret | Κοινόχρηστο μυστικό μεταξύ του CyberElements και του διακομιστή Radius, που χρησιμοποιείται για την κρυπτογράφηση των ανταλλαγών. |
| Number of attempts | Μέγιστος αριθμός προσπαθειών πριν το CyberElements εγκαταλείψει το αίτημα προς τον διακομιστή Radius. Προεπιλεγμένη τιμή: 3. |
| Timeout (seconds) | Μέγιστος χρόνος αναμονής για την απόκριση του διακομιστή Radius πριν από τη λήξη του χρονικού ορίου. Προεπιλεγμένη τιμή: 10 δευτερόλεπτα. |
| Radius NAS IP address | Διεύθυνση IP προέλευσης που δηλώνει το CyberElements στον διακομιστή Radius (χαρακτηριστικό NAS-IP-Address). Πρέπει να οριστεί αν ο διακομιστής Radius φιλτράρει τα αιτήματα με βάση τη διεύθυνση IP προέλευσης. |
Άλλες ρυθμίσεις¶
| Πεδίο | Περιγραφή |
|---|---|
| Allow RDS server management | Αν είναι επιλεγμένο, οι λογαριασμοί αυτού του τομέα μπορούν να συσχετιστούν με διακομιστές RDS στη λειτουργική μονάδα διαχείρισης διακομιστών RDS. |
| Use specific certificate authorities to validate LDAPS certificates | Αν είναι επιλεγμένο, το CyberElements χρησιμοποιεί ένα προσαρμοσμένο πιστοποιητικό CA για να επικυρώσει το πιστοποιητικό που παρουσιάζει ο διακομιστής LDAP κατά τις συνδέσεις SSL. Αν δεν είναι επιλεγμένο, χρησιμοποιούνται οι αρχές έκδοσης πιστοποιητικών (CA) του συστήματος (/etc/ssl/certs/ca-certificates.crt). |
| Certificate authorities (base64 encoding) | Αρχείο που περιέχει τη ριζική ή τις ριζικές CA σε μορφή PEM (κείμενο που αρχίζει με -----BEGIN CERTIFICATE-----). Ορατό και υποχρεωτικό μόνο αν είναι ενεργοποιημένη η προηγούμενη επιλογή. |
Διακομιστές LDAP¶
Το πλέγμα διακομιστών παραθέτει τους διακομιστές που είναι συσχετισμένοι με τον τομέα (στήλες: Server, Port, Protocol). Ο ορισμός πολλών διακομιστών παρέχει υψηλή διαθεσιμότητα: σε περίπτωση βλάβης, το CyberElements μεταβαίνει αυτόματα σε έναν διαθέσιμο διακομιστή.
Για να προσθέσετε έναν διακομιστή, κάντε κλικ στο +. Συμπληρώστε:
| Πεδίο | Περιγραφή |
|---|---|
| Server | Διεύθυνση IP ή όνομα DNS του διακομιστή LDAP. |
| Port | Θύρα πρόσβασης. Προεπιλεγμένη τιμή: 389 (LDAP) ή 636 (LDAPS). |
| Protocol | LDAP ή LDAP μέσω SSL. Η χρήση SSL συνιστάται ιδιαίτερα ακόμη και σε εσωτερικό δίκτυο. |
Για να επεξεργαστείτε έναν υπάρχοντα διακομιστή, επιλέξτε τον και κάντε κλικ στο εικονίδιο Properties.
Για να διαγράψετε έναν διακομιστή, επιλέξτε τον και κάντε κλικ στο ×.
Διαμόρφωση τομέα τύπου «Anonymous directory»¶
Ένας ανώνυμος τομέας μπορεί να χρησιμοποιηθεί στις σπάνιες περιπτώσεις όπου η πρόσβαση σε μια εφαρμογή δεν απαιτεί έλεγχο ταυτότητας, επειδή η ταυτότητα του χρήστη έχει ήδη ελεγχθεί με ειδικά μέσα.
| Πεδίο | Περιγραφή |
|---|---|
| Maximum number of connections | Περιορίζει τον αριθμό των ταυτόχρονων συνδέσεων που επιτρέπονται σε αυτόν τον τομέα. |
| Use the certificate CN as the user identifier | Αν είναι επιλεγμένο, το αναγνωριστικό του χρήστη εξάγεται αυτόματα από το πεδίο CN του πιστοποιητικού προγράμματος-πελάτη που παρουσιάζεται κατά τη σύνδεση. Αυτό το αναγνωριστικό χρησιμοποιείται στη συνέχεια για το SSO. |
| Identifier format, from the DN | Έκφραση για τη δημιουργία του αναγνωριστικού από τα στοιχεία του DN του πιστοποιητικού (π.χ. %CN%@%OU%). Ορατό μόνο αν είναι ενεργοποιημένη η προηγούμενη επιλογή. |
Διαμόρφωση τομέα τύπου «SAML»¶
Όταν χρησιμοποιείται τομέας SAML, το CyberElements λειτουργεί ως πάροχος υπηρεσιών (SP) και αναθέτει τον έλεγχο ταυτότητας σε έναν εξωτερικό πάροχο ταυτότητας (IdP).
Καρτέλα: General information¶
| Πεδίο | Περιγραφή |
|---|---|
| Identity provider | Τύπος παρόχου ταυτότητας: Other (οποιοσδήποτε τυπικός πάροχος ταυτότητας SAML) ή Azure (Microsoft Azure AD / Entra ID, που ενεργοποιεί επιπλέον τον ασύγχρονο συγχρονισμό των ομάδων). |
| Identity provider EntityId | Μοναδικό αναγνωριστικό του παρόχου ταυτότητας (IdP) στην ομοσπονδία SAML. Η τιμή του παρέχεται από τον IdP (π.χ. https://sts.windows.net/{tenant-id}/ για Azure, https://[serverName]/idp/shibboleth για Shibboleth). |
| Group names variable | Όνομα του χαρακτηριστικού SAML που μεταφέρει τις συμμετοχές του χρήστη σε ομάδες μέσα στη βεβαίωση (π.χ. http://schemas.microsoft.com/ws/2008/06/identity/claims/groups για Azure). |
| Login variable | Όνομα του χαρακτηριστικού SAML που χρησιμοποιείται ως αναγνωριστικό σύνδεσης στο CyberElements (π.χ. http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name). |
| The domain is part of cascading authentication | Ανατρέξτε στο κεφάλαιο Διαδοχικός έλεγχος ταυτότητας. |
| Manual configuration | Αν είναι επιλεγμένο, οι παράμετροι του παρόχου ταυτότητας πρέπει να καταχωρηθούν χειροκίνητα (EntityId των τελικών σημείων SAML). Αν δεν είναι επιλεγμένο, αυτές οι παράμετροι εξάγονται αυτόματα από το αρχείο μεταδεδομένων. Διαθέσιμο μόνο σε λειτουργία επεξεργασίας. |
Καρτέλα: Access service¶
Αυτή η καρτέλα χρησιμοποιείται για τη διαμόρφωση των μεταδεδομένων που ανταλλάσσονται με τον πάροχο ταυτότητας και για την πρόσβαση στα μεταδεδομένα του παρόχου υπηρεσιών (SP) που δημιουργεί το CyberElements.
| Πεδίο | Περιγραφή |
|---|---|
| IDP metadata URL | Δημόσια διεύθυνση URL από την οποία το CyberElements κατεβάζει αυτόματα το αρχείο μεταδεδομένων XML του παρόχου ταυτότητας. Αν έχει οριστεί, τα τελικά σημεία SAML εξάγονται αυτόματα και ενημερώνονται σε κάθε ανανέωση πιστοποιητικού. |
| IDP metadata file | Υποδεικνύει την κατάσταση του αρχείου μεταδεδομένων XML που είναι φορτωμένο αυτήν τη στιγμή (ημερομηνία, εγκυρότητα). |
| Set a new metadata file | Αν είναι επιλεγμένο, εμφανίζεται ένα πεδίο αποστολής αρχείου για τη χειροκίνητη φόρτωση ενός αρχείου μεταδεδομένων XML που παρέχεται από τον IdP. |
| Metadata file (xml) | Αρχείο μεταδεδομένων XML του παρόχου ταυτότητας προς φόρτωση. Χρησιμοποιήστε το κουμπί Check file για να επικυρώσετε το περιεχόμενο πριν από την αποθήκευση. Ορατό μόνο αν είναι επιλεγμένο το προηγούμενο πλαίσιο ελέγχου. |
| Service provider | Σύνδεσμος προς το αρχείο μεταδεδομένων XML του SP που δημιουργεί το CyberElements για αυτόν τον τομέα. Αυτό το αρχείο πρέπει να παρασχεθεί στον πάροχο ταυτότητας για να ολοκληρωθεί η διαμόρφωση στην πλευρά του IdP. |
Διαδοχικός έλεγχος ταυτότητας¶
Μεταβείτε στη σελίδα Γενικές επιλογές για να ενεργοποιήσετε τον διαδοχικό έλεγχο ταυτότητας.
Όταν ένας χρήστης αποκτά πρόσβαση στην πύλη, το σύστημα αναζητά, μεταξύ των τομέων του διαδοχικού ελέγχου ταυτότητας, εκείνους για τους οποίους είναι δυνατός ο έλεγχος ταυτότητας χωρίς όνομα σύνδεσης/κωδικό πρόσβασης (SAML, Apache, πιστοποιητικό). Χρησιμοποιείται ο πρώτος τομέας που αναγνωρίζει τον χρήστη. Αν κανένας τομέας δεν μπορεί να ελέγξει την ταυτότητα χωρίς κωδικό πρόσβασης, εμφανίζονται τα πεδία ονόματος σύνδεσης/κωδικού πρόσβασης.
Μόλις ενεργοποιηθεί, εμφανίζονται δύο κουμπιά στη λίστα τομέων:
- Επιλέξτε το «The domain is part of cascading authentication» για κάθε επιθυμητό τομέα.
- Η σειρά μπορεί να αλλάξει με τα βέλη πάνω/κάτω. Η σειρά 0 υποβάλλεται πρώτη σε επεξεργασία.
Σημείωση
Οι ανώνυμοι τομείς και οι τομείς Radius, καθώς και εκείνοι που αναθέτουν τον έλεγχο ταυτότητας σε εξωτερικό διακομιστή (CAS), δεν μπορούν να χρησιμοποιηθούν στον διαδοχικό έλεγχο ταυτότητας.