Access Policies¶

Moodul Access Policies koondab reeglid, mis annavad kasutajarühmadele õiguse pääseda avaldatud rakendustele. Leping vastab neljale praktilisele küsimusele: kes (millised rühmad), mida (millised rakendused ja milliste piirangutega), kus (millisel site'il) ja millistel tingimustel (juurdepääsutingimused, märguanded, võrgufiltreerimine).

Kasutajarühmad, rakendused ja juurdepääsutingimused peavad olemas olema, enne kui neile saab lepingus viidata.

Kumulatiivsed õigused

Rühm võib esineda mitmes lepingus ja kasutaja võib kuuluda mitmesse rühma. Mõlemal juhul õigused summeeruvad. Seevastu kui leping on suunatud mitmele rühmale, piisab selle õigustest kasu saamiseks kuulumisest ükskõik millisesse neist.

Lepingute loend¶

Põhitabelis on loetletud olemasolevad lepingud. Iga rida saab laiendada või ahendada, et kuvada üksikasjad (domeenid/rühmad, tingimused, site'id, kategooriad ja rakendused, piiratud rakendused, märguanded, võrgufiltreerimine, paljastatavad aliased).

Veerg	Kirjeldus
Name	Lepingu nimi, mille ees on tabaluku ikoon.
Groups	Seotud kasutajarühmade arv.
Access conditions	Seotud juurdepääsutingimuste arv.
Sites	Viidatud site'ide arv.
Applications	Lubatud rakenduste arv.
Restricted applications	Workflow'le allutatud rakenduste arv.
Alerts	Lepinguga seotud juurdepääsumärguannete arv.
Network connections	Võrgufiltri reeglite arv (veerg on vaikimisi peidetud).
Revealable aliases	Seotud paljastatavate aliaste arv (kuvatakse ainult siis, kui funktsioon on sisse lülitatud).

Paremas ülanurgas olev otsinguväli filtreerib loendit nime järgi.

Lepingu lisamine¶

Loomisviisardi avamiseks klõpsake nuppu +. Päise väljad on kõigil vahekaartidel ühised:

Väli	Kirjeldus
Name	Kohustuslik. Identifitseerib lepingu.
Description	Vabas vormis nimetus.

Vorm on jagatud mitmeks vahekaardiks, mis täidetakse loogilises järjekorras.

GroupsAccess conditionsSitesApplicationsApplications to restrictPersonal aliasesRevealable aliasesAlertsNetwork connections

Valige ripploendist autentimisdomeen ja lohistage seejärel soovitud kasutajarühmad parempoolsesse veergu. Üks leping võib ühendada mitme domeeni rühmi. Lepingu kehtivuseks peab olema valitud vähemalt üks rühm.

Lohistage rakendatavad juurdepääsutingimused. Tingimus lubab või keelab juurdepääsu kriteeriumi alusel (IP, kuupäev, sertifikaat jne — vt Access conditions).

Mitu tingimust ühendatakse tehtega AND

Kui samale lepingule on lisatud mitu juurdepääsutingimust, peavad lepingu rakendumiseks kõik need olema kehtivad: lepingu kõrvalejätmiseks piisab ühestainsast kehtetust tingimusest ja kasutaja ei saa sellega antavaid õigusi. OR-tehte saamiseks kasutage moodulis Access conditions metareeglit.

Vahekaardi nähtavus

Vahekaart kuvatakse ainult siis, kui vastavas moodulis on olemas vähemalt üks juurdepääsutingimus.

Lohistage rakendusi majutav site või site'id. Site on Edge Gateway komponentide kogum, mis määratleb turvalise sisenemispunkti kohtvõrku.

Mitu site'i: kasutaja valib

Kui leping viitab mitmele site'ile, kuvatakse kasutajale rakenduse käivitamisel kuva Select a site, kus ta valib, millise site'i kaudu minna.

Puus on rakendused rühmitatud kategooriate kaupa. Kategooria märkimine valib kõik selle rakendused ja hõlmab automaatselt ka kõik sellesse kategooriasse hiljem lisatavad rakendused. Üksikute ruutude märkimine võimaldab valida alamhulga. Märgitud peab olema vähemalt üks rakendus.

Workplace'i rakendused — välistavus

Kui Workplace'i seostamine on sisse lülitatud, kuvatakse kaks virtuaalset rakendust: Access to Workplace applications by merged cloud ja Access to Workplace applications by redirection. Need välistavad samas lepingus teineteist.

Allutab osa eelnevalt valitud rakendustest kinnitamise workflow'le. Kasutajad peavad juurdepääsu taotlema ja administraator kiidab taotlused heaks või lükkab tagasi moodulis Workflow.

Suvand	Kirjeldus
Ask the user to complete a form when requesting access	Kui see on märgitud, peab kasutaja täitma vormi iga kord, kui ta taotleb juurdepääsu piiratud rakendusele.
Applications to restrict	Kaheveeruline loend (saadaval / piiratud) koos otsinguga.

Vaikimisi ahendatud. Kui Allow personal aliases on märgitud, saate valitud rakenduste hulgast määrata need, mille jaoks kasutaja saab salvestada oma aliased (portaalis talletatud mandaadid).

Nähtav ainult siis, kui üldsuvandites on märgitud suvand Allow password display in alias. Kaheveeruline loend nende aliaste (kasutajatega seotud) valimiseks, mida saab selle lepingu kaudu paljastada.

Meta-aliased

Kui valik sisaldab vähemalt üht meta-aliast, kuvatakse enne salvestamist kinnitusdialoog.

Lohistage märguandeprofiilid, mis käivitatakse, kui kasutatakse selle lepinguga hõlmatud juurdepääse.

Vahekaart on aktiivne ainult siis, kui vahekaardil Applications on valitud vähemalt üks RDS-, HTML5 RDS-, SSH- või HTML5 SSH-rakendus.

Sihtserveris on vaja agenti, olenemata protokollist

Filtreerimine rakendub ainult siis, kui sihtserveris on vastav agent: RDS- ja HTML5 RDS-serverites CyberElements agent ning SSH- ja HTML5 SSH-serverites võrgufiltreerimise agent. Ilma selleta pole siin sisestatud reeglitel mingit mõju.

Filtreerimise sisselülitamiseks märkige Filter network connections ja määrake seejärel iga reegli jaoks:

Väli	Kirjeldus
Target IP	Lubatud IP-aadress või host. IPv4-vormingu valideerimine.
Network mask	Valikuline. Kui see on tühi, kehtib reegel ainult siht-IP-le.
Port	Vaikimisi 0: reegel kehtib kõigile portidele.
Protocol	TCP, UDP või TCP and UDP.

Reegli lisamiseks lubatud võrkude loendisse klõpsake Add. Iga reegli saab eraldi eemaldada.

Filtreerimise tähendus

Kui Filter network connections on märgitud, kuid ühtegi võrku pole lubatud, ei saa kasutaja ühegi võrguga ühendust luua. Muul juhul on juurdepääsetavad ainult loetletud võrgud.

Lepingu salvestamiseks klõpsake Validate. Vahekaardid Groups, Sites ja Applications on kõik kohustuslikud, vastasel juhul lükatakse leping tagasi.

Lepingu redigeerimine¶

Valige loendis leping ja klõpsake seejärel ikooni Properties või topeltklõpsake rida. Aken on identne loomisaknaga ja eeltäidetud praeguste väärtustega.

Lepingu kustutamine¶

Valige üks või mitu lepingut ja klõpsake seejärel nuppu ×. Kustutamine nõuab kinnitust.

Lepingute eksportimine¶

Nupp Export laadib kõik kuvatud lepingud alla CSV-failina. Eksporditud andmed arvestavad praeguseid filtreid (otsing jne).

Faili struktuur¶

Failis on üks päiserida ja seejärel üks rida lepingu kohta. Veerud on järgmises järjekorras:

#	Veerg	Sisu	Kohustuslik importimisel
1	Alerts	Märguandeprofiilide nimed.
2	Categories	Rakenduste kategooriate nimed.
3	Description	Vaba tekst.
4	Groups	Kasutajarühmad kujul `group@domain`.	Jah
5	Name	Lepingu nimi.	Jah
6	Applications	Lubatud rakenduste nimed.
7	Restricted applications	Workflow'le allutatud rakenduste nimed.
8	Access conditions	Juurdepääsutingimuste nimed.
9	Sites	Site'ide nimed.	Jah
10	Request a form	`True` või `False`.
11	Filter network connections	`True` või `False`.
12	Network connections	Filtreerimisreeglid kujul `ip/mask:port:protocol`.
13	Revealable aliases	Aliaste nimed.
14	Revealable password rotation aliases	Aliaste nimed.
15	Revealable dynamic aliases	Aliaste nimed.
16	Personal aliases	Nende rakenduste nimed, mille jaoks on isiklikud aliased lubatud.

Süntaks¶

Element	Eraldaja	Näide
Veerud	`;`	`Name;Description;…`
Mitu väärtust ühes lahtris	`+`	`Accounting+Management+Support`
Kasutajarühm	`@` rühma ja selle domeeni vahel	`Accounting@AD-Internal`
Domeeni kõik rühmad	võtmesõna `all`	`all@AD-Internal`
Võrgufiltreerimise reegel	`/`, seejärel `:`	`10.0.0.5/255.255.255.0:3389:TCP` — väärtusele `0` seatud port tähendab „kõik pordid“
Tõeväärtused	—	`True` või `False`; tühi lahter loetakse väärtuseks `False`

Maht

Eksport on piiratud: kui platvormil määratud ridade maksimumarv ületatakse, kirjutatakse faili ainult esimesed lepingud.

Lepingute importimine¶

Nupp Import avab akna, kus saab CSV-faili üles laadida. Selle struktuur peab vastama peatükis Lepingute eksportimine kirjeldatule: kõige kindlam on alustada ekspordist ja seda redigeerida.

Väli	Kirjeldus
File	Imporditav CSV-fail.
Record delimiter	Veergude eraldaja, ekspordi loodud failis `;`.
Value delimiter inside a field	Mitme väärtuse eraldaja, ekspordi loodud failis `+`.

Veerud Name, Groups ja Sites on kohustuslikud: rida, millel mõni neist puudub, lükatakse tagasi. Viidatud väärtused (rakendused, kategooriad, juurdepääsutingimused, märguanded, aliased, site'id) peavad juba olemas olema ja need seostatakse nime järgi.

Pärast kinnitamist kuvatakse aknas iga failis oleva lepingu importimise tulemuse kokkuvõte.