Users and administrators

Sellel lehel käsitletakse kolme moodulit, millega CyberElementsis kontosid hallatakse: kasutajad (portaali ja konsooli omad), haldusrühmad (mis annavad rühmale haldusõigused) ja delegeeritud administraatorid (nimelised määramised). See on mõeldud administraatorile, kes soovib neid kontosid luua, muuta või kustutada ja määrata vastavaid haldusõigusi.

Kolmele moodulile pääseb juurde moodulist Identity Providers, valides esmalt domeeni ja klõpsates seejärel ühte nuppudest Users, Administration groups või Delegated administrators. Moodulile Users pääseb juurde ka halduskonsooli otseotsetee kaudu.

---

Users

Moodul Users loetleb, loob, muudab ja kustutab domeeni kasutajakontosid. Selle käitumine oleneb domeeni tüübist.

Domeeni tüüp	Kontode haldus
Local directory	Käsitsi loomine, muutmine ja kustutamine. Määrata saab rolli ja seansisuvandid.
SAML (föderatsioon)	Käsitsi loomine, muutmine ja kustutamine, kuid ilma paroolita (autentimise eest vastutab identiteedipakkuja). Kontosid kasutatakse peamiselt metaandmete (meiliaadress, rühmakuuluvused) talletamiseks.
LDAP ja Anonymous directory	Domeenivalijas ei kuvata — kontosid hallatakse kataloogi poolel või need ei kohaldu.

Valimine ja filtreerimine

Element	Kirjeldus
Domain	Valib domeeni, mille kontod loetletakse. Pakutakse ainult kohalikke ja föderatsioonidomeene.
Group	Filtreerib loendit rühma järgi. Ülaossa lisatakse sünteetiline kirje All, et kuvada kõik kontod.
Otsinguväli	Filtreerib konto nime alamstringi järgi. Otsing käivitub 700 ms pärast viimast klahvivajutust või kohe klahviga Enter.
Tabeli veerud	ID, Name (SAML-domeenide puhul peidetud), Email, Groups. Kui kontosid pole, kuvatakse tabelis No available users.

Kasutaja lisamine — kohalik domeen

Sisestuspiirangud ja saadaolevad väljad:

Väli	Kirjeldus
User name	Kohustuslik. Märgid < ja > on keelatud. Peab olema domeeni piires kordumatu.
Password / Confirm	Loomisel kohustuslikud. Rakendatakse domeenis kehtivat paroolipoliitikat.
Full name	Kuvanimi, mida mõnes vaates kuvatakse tehnilise nime asemel.
E-mail	Valideeritakse kui korrektne meiliaadress.
Phone	Valideeritakse kui telefoninumber.
IP lock	IP-aadresside või -vahemike loend (valikulise maskiga, komadega eraldatud), millest kasutajal on lubatud ühenduda. See on aadress, mida näeb Mediation Controller server: vahepealse NAT-i korral sisestage avalik aadress.
Role	Vt allpool olevat rollide tabelit.

Kohalikus domeenis saadaolevad rollid:

Roll	Toime
User (vaikimisi)	Juurdepääs ainult kasutajaportaalile.
Administrator	Juurdepääs halduskonsoolile täielike õigustega.
Delegated administrator	Juurdepääs halduskonsoolile piiratud õigustega. Tegelikud õigused olenevad delegeeritud administraatori profiilist ja haldusrühmadest, kuhu konto kuulub.

Vaikimisi kohalik domeen

Kui platvormi konfiguratsioon keelab vaikimisi kohalikus domeenis administraatorid, on väli Role peidetud ja sunnitult seatud väärtusele User.

Kaks laiendatavat suvandit piiravad konto eluiga:

Suvand	Kirjeldus
Limited sessions	Piirab sisselogimiste arvu. Kui see arv on saavutatud, rakendub valitud toiming: konto lukustamine (vaikimisi) või kustutamine. Miinimum on 1.
Temporary account	Piirab konto kehtivust algus- ja lõppkuupäeva ning -kellaajaga. Lõppkuupäeval rakendub valitud toiming: lukustamine või kustutamine. Lõppkuupäev peab olema rangelt hilisem kui alguskuupäev.

Vaikimisi kohaliku domeeni konto admin

Vaikimisi kohaliku domeeni sisseehitatud konto admin on eriline. Selle roll on sunnitult Administrator ning suvandid Limited sessions ja Temporary account on peidetud — neid piiranguid ei saa sellele rakendada.

Vahekaart Groups määrab konto ühte või mitmesse rühma, kui lohistate rühmad saadaolevate loendist valitute loendisse. Otsinguväli filtreerib vasakpoolset loendit.

Kasutaja lisamine — SAML-domeen

Föderatsioonidomeeni puhul on vorm lühendatud: kuna autentimine on delegeeritud identiteedipakkujale, ei talletata CyberElementsi poolel ühtegi parooli.

Väli	Kirjeldus
User name	Kohustuslik. Märgid < ja > on keelatud. Peab vastama identiteedipakkuja tagastatud identifikaatorile.
Description	Vaba tekst.
E-mail	Valideeritakse kui korrektne meiliaadress.

Vahekaardil Groups kuvatakse kaheveeruline loend (saadaolevad / valitud) koos otsingu ja nupuga „vali kõik“.

Kasutaja muutmine

Muutmisvormi avamiseks valige loendis konto ja klõpsake ikooni Properties või topeltklõpsake rida. Kehtivad samad piirangud mis loomisel, lisaks on kolm ainult muutmisel saadaolevat vahekaarti:

PropertiesApplicationsSecurity keys

Seob kontoga vabas vormis võtme-väärtuse paarid. Sisestage nimetus ja väärtus ning klõpsake seejärel nuppu Add. Juba kasutatud nimetus lükatakse tagasi. Iga kirje saab eraldi kustutada selle real oleva kustutamisnupuga, kinnitamisega.

Loetleb ressursid, millele kontol on juurdepääs, arvutatuna juurdepääsulepingute põhjal.

Iga ressursi kohta kuvatakse järgmine teave:

• nimi ja teenusetüübi ikoon (RDP, HTML5 RDP, SSH, VNC, SMB, VPN, ICA jne),
• kohaldatavad piirangud ikoonidena: video- või sündmuste salvestamine, workflow'ga lukustamine, ühekordne juurdepääs, järelejäänud kestus, kuupäevavahemik, ajaaken,
• saadaolev juurdepääs: roheline ikoon, kui vähemalt ühel lepingu site'il on võrgus olev Edge Gateway komponent, muul juhul punane.

Otsinguväli ja laiendatav filtriplokk kitsendavad loendit rakenduse tüübi (standardne / privilegeeritud), teenusetüübi või piirangu oleku järgi.

Loetleb FIDO- / WebAuthn-võtmed, mille konto on portaalist registreerinud.

Veerud: Display name, Creation date. Iga võtme saab eraldi kustutada, kinnitamisega. Uue võtme lisab kasutaja ise portaalist.

Kasutaja kustutamine

Valige loendis üks või mitu kontot ja klõpsake nuppu ×. Kuvatakse kinnitusviip.

Kehtivad mitu kaitsemeedet:

• Vaikimisi kohaliku domeeni kontot admin ei saa kunagi kustutada.
• Delegeeritud administraator ei saa kustutada kontot, mille roll ei ole User (seega ei saa ta kustutada teist administraatorit ega delegeeritud administraatorit).

---

Administration groups

Moodul Administration groups deklareerib, et domeenis olemasolev rühm annab oma liikmetele haldusõigused. See avatakse moodulist Authentication domains nupuga Administration groups.

Domeeni tüüp	Saadavus
Default local directory	Saadaval. Deklareerida saab ainult delegeeritud administraatorite rühmi (märkeruut on sunnitult märgitud).
LDAP	Saadaval. Valik täieõiguslike administraatorite rühma ja delegeeritud administraatorite rühma vahel.
SAML (föderatsioon)	Saadaval. Valik täieõiguslike administraatorite rühma ja delegeeritud administraatorite rühma vahel.
Muud kohalikud kataloogid, anonüümne kataloog	Pole saadaval.

Tabeli veerud: Group name ja Type (administraator või delegeeritud administraator).

Rühma lisamine

1. Valige ripploendist domeen.
2. Klõpsake nuppu +.
3. Täitke väljad ja kinnitage.

Väli	Kirjeldus
Group	Valib rühma. Mõne märgi tippimine filtreerib dünaamiliselt domeenist toodud rühmade loendit. Kohaliku domeeni puhul peab väärtus vastama domeenis juba olemasolevale rühmale (vabatekst lükatakse tagasi). LDAP- või föderatsioonidomeenide puhul aktsepteeritakse vabateksti.
Delegated administrators group	Märkeruut, mis eristab delegeeritud administraatorite rühma (märgitud) täieõiguslike administraatorite rühmast (märkimata). Kohalikes domeenides peidetud ja sunnitult märgitud.

Rühma kustutamine

Valige loendis rühm ja klõpsake nuppu ×. Kustutamiseks küsitakse kinnitust. Mitmikvalik on toetatud.

Tenanti rühm

Rühma, mis kannab tenanti nime, ei saa SAML-domeenist kustutada. See kaitsemeede hoiab ära tenanti haldusjuurdepääsu juhusliku kaotamise.

---

Delegated administrators

Moodul Delegated administrators loetleb nimeliselt kontod, mis on LDAP- või SAML-domeenis tunnustatud delegeeritud administraatoritena. See avatakse moodulist Authentication domains nupuga Delegated administrators.

Domeeni tüüp	Saadavus
LDAP	Saadaval.
SAML (föderatsioon)	Saadaval.
Muud tüübid	Pole saadaval.

Miks nimeline registreerimine?

LDAP- ja SAML-domeenide puhul ei pruugi haldusrühma kuulumisest piisata: see moodul võimaldab konto selgesõnaliselt delegeeritud administraatoriks nimetada. Registreerimine jõustub ainult siis, kui konto kuulub ka eelmises moodulis deklareeritud delegeeritud administraatorite rühma (peatükk Administration groups).

Delegeeritud administraatori lisamine

1. Valige ripploendist domeen.
2. Klõpsake nuppu +.
3. Sisestage kasutajanimi sellisena, nagu see kataloogis on (märgid < ja > on keelatud), ja kinnitage.

Delegeeritud administraatori kustutamine

Valige loendis üks või mitu kontot ja klõpsake nuppu ×. Kustutamiseks küsitakse kinnitust. Kehtivad samad kaitsemeetmed nagu kasutajate loendis (delegeeritud administraator ei saa kustutada teist kontot, mille roll ei ole User).