Users and administrators¶
Táto stránka sa zaoberá tromi modulmi, ktoré slúžia na správu účtov v CyberElements: používatelia (portálu a konzoly), skupiny správy (ktoré udeľujú skupine správcovské práva) a delegovaní správcovia (menovité priradenia). Je určená pre správcu, ktorý chce tieto účty vytvárať, upravovať alebo odstraňovať a priraďovať im príslušné práva na správu.
Tieto tri moduly sú dostupné z modulu Identity Providers tak, že najprv vyberiete doménu a potom kliknete na jedno z tlačidiel Users, Administration groups alebo Delegated administrators. Modul Users je dostupný aj prostredníctvom priamej skratky v konzole na správu.
Users¶
Modul Users zobrazuje zoznam používateľských účtov domény a umožňuje ich vytvárať, upravovať a odstraňovať. Jeho správanie závisí od typu domény.
| Typ domény | Správa účtov |
|---|---|
| Local directory | Manuálne vytváranie, úprava a odstraňovanie. Možno definovať rolu a možnosti relácie. |
| SAML (federácia) | Manuálne vytváranie, úprava a odstraňovanie, ale bez hesla (overovanie zabezpečuje poskytovateľ identity). Účty slúžia najmä na ukladanie metaúdajov (e-mail, členstvo v skupinách). |
| LDAP a Anonymous directory | Nie sú uvedené v selektore domén — účty sa spravujú na strane adresára alebo nie sú relevantné. |
Výber a filtrovanie¶
| Prvok | Popis |
|---|---|
| Domain | Vyberie doménu, ktorej účty sa zobrazia. Ponúkajú sa iba lokálne domény a domény federácie. |
| Group | Filtruje zoznam podľa skupiny. Na začiatok sa pridá syntetická položka All, ktorá zobrazí všetky účty. |
| Pole vyhľadávania | Filtruje podľa podreťazca názvu účtu. Vyhľadávanie sa spustí 700 ms po poslednom stlačení klávesu alebo okamžite klávesom Enter. |
| Stĺpce tabuľky | ID, Name (skrytý pre domény SAML), Email, Groups. Ak neexistuje žiadny účet, tabuľka zobrazuje No available users. |
Pridanie používateľa — lokálna doména¶
Obmedzenia zadávania a dostupné polia:
| Pole | Popis |
|---|---|
| User name | Povinné pole. Znaky < a > sú zakázané. Musí byť jedinečné v rámci domény. |
| Password / Confirm | Povinné pri vytváraní. Uplatňuje sa zásada hesiel platná v doméne. |
| Full name | Zobrazované označenie, ktoré sa v niektorých zobrazeniach zobrazí namiesto technického názvu. |
| Kontroluje sa, či ide o platnú e-mailovú adresu. | |
| Phone | Kontroluje sa, či ide o telefónne číslo. |
| IP lock | Zoznam IP adries alebo rozsahov (s voliteľnou maskou, oddelených čiarkami), z ktorých sa používateľ môže pripojiť. Ide o adresu, ktorú vidí služba Mediation Controller: v prípade medziľahlého NAT zadajte verejnú adresu. |
| Role | Pozrite tabuľku rolí nižšie. |
Roly dostupné v lokálnej doméne:
| Rola | Účinok |
|---|---|
| User (predvolená) | Prístup iba k používateľskému portálu. |
| Administrator | Prístup ku konzole na správu s úplnými právami. |
| Delegated administrator | Prístup ku konzole na správu s obmedzenými právami. Skutočné práva závisia od profilu delegovaného správcu a od skupín správy, do ktorých účet patrí. |
Predvolená lokálna doména
Ak konfigurácia platformy nepovoľuje správcov v predvolenej lokálnej doméne, pole Role je skryté a vynútene nastavené na User.
Dve rozbaliteľné možnosti obmedzujú životnosť účtu:
| Možnosť | Popis |
|---|---|
| Limited sessions | Obmedzuje počet prihlásení. Po dosiahnutí tohto počtu sa uplatní zvolená akcia: uzamknutie účtu (predvolené) alebo jeho odstránenie. Minimum je 1. |
| Temporary account | Obmedzuje platnosť účtu dátumom a časom začiatku a konca. V deň ukončenia sa uplatní zvolená akcia: uzamknutie alebo odstránenie. Dátum ukončenia musí byť striktne neskorší ako dátum začiatku. |
Účet admin predvolenej lokálnej domény
Vstavaný účet admin predvolenej lokálnej domény je špeciálny. Jeho rola je vynútene nastavená na Administrator a možnosti Limited sessions a Temporary account sú skryté — tieto obmedzenia naň nemožno uplatniť.
Karta Groups priraďuje účet do jednej alebo viacerých skupín presunutím myšou zo zoznamu dostupných do zoznamu vybraných. Pole vyhľadávania filtruje ľavý zoznam.
Pridanie používateľa — doména SAML¶
Pre doménu federácie je formulár zjednodušený: keďže overovanie je delegované na poskytovateľa identity, na strane CyberElements sa neukladá žiadne heslo.
| Pole | Popis |
|---|---|
| User name | Povinné pole. Znaky < a > sú zakázané. Musí zodpovedať identifikátoru, ktorý vracia poskytovateľ identity. |
| Description | Voľný text. |
| Kontroluje sa, či ide o platnú e-mailovú adresu. |
Karta Groups zobrazuje zoznam s dvoma stĺpcami (dostupné / vybrané) s vyhľadávaním a tlačidlom „vybrať všetko“.
Úprava používateľa¶
Ak chcete otvoriť formulár úprav, vyberte účet v zozname a kliknite na ikonu Properties alebo dvakrát kliknite na riadok. Platia rovnaké obmedzenia ako pri vytváraní, s tromi ďalšími kartami, ktoré sú špecifické pre úpravu:
Pripojí k účtu ľubovoľné páry kľúč/hodnota. Zadajte označenie a hodnotu a potom kliknite na Add. Už použité označenie sa odmietne. Každú položku možno odstrániť samostatne pomocou tlačidla odstránenia v jej riadku, s potvrdením.
Uvádza prostriedky, ku ktorým má účet prístup, vypočítané zo zmlúv o prístupe.
Pre každý prostriedok sa zobrazujú tieto informácie:
- názov a ikona typu služby (RDP, HTML5 RDP, SSH, VNC, SMB, VPN, ICA atď.),
- platné obmedzenia vo forme ikon: nahrávanie videa alebo udalostí, blokovanie workflow, jednorazový prístup, zostávajúci čas, rozsah dátumov, časové okno,
- dostupný prístup: zelená ikona, ak má aspoň jeden site zmluvy online komponent Edge Gateway, inak červená.
Pole vyhľadávania a rozbaliteľný blok filtrov zužujú zoznam podľa typu aplikácie (štandardná / privilegovaná), podľa typu služby alebo podľa stavu obmedzení.
Uvádza kľúče FIDO / WebAuthn, ktoré účet zaregistroval z portálu.
Stĺpce: Display name, Creation date. Každý kľúč možno odstrániť samostatne, s potvrdením. Nový kľúč pridáva používateľ z portálu.
Odstránenie používateľa¶
Vyberte jeden alebo viac účtov v zozname a kliknite na tlačidlo ×. Zobrazí sa výzva na potvrdenie.
Platí niekoľko ochranných opatrení:
- Účet
adminpredvolenej lokálnej domény nemožno nikdy odstrániť. - Delegovaný správca nemôže odstrániť účet, ktorého rola nie je User (nemôže teda odstrániť iného správcu ani delegovaného správcu).
Administration groups¶
Modul Administration groups určuje, že skupina existujúca v doméne udeľuje svojim členom práva na správu. Otvára sa z modulu Authentication domains tlačidlom Administration groups.
| Typ domény | Dostupnosť |
|---|---|
| Predvolený lokálny adresár | Dostupné. Deklarovať možno iba skupiny delegovaných správcov (začiarkavacie políčko je vynútené). |
| LDAP | Dostupné. Výber medzi skupinou správcov s úplnými právami a skupinou delegovaných správcov. |
| SAML (federácia) | Dostupné. Výber medzi skupinou správcov s úplnými právami a skupinou delegovaných správcov. |
| Iné lokálne adresáre, anonymný adresár | Nedostupné. |
Stĺpce tabuľky: Group name a Type (správca alebo delegovaný správca).
Pridanie skupiny¶
- Vyberte doménu v rozbaľovacom zozname.
- Kliknite na tlačidlo +.
- Vyplňte polia a potvrďte.
| Pole | Popis |
|---|---|
| Group | Vyberie skupinu. Zadaním niekoľkých znakov sa dynamicky filtruje zoznam skupín načítaných z domény. Pre lokálnu doménu musí hodnota zodpovedať skupine, ktorá už v doméne existuje (voľný text sa odmietne). Pre domény LDAP alebo domény federácie sa voľný text prijíma. |
| Delegated administrators group | Začiarkavacie políčko, ktoré odlišuje skupinu delegovaných správcov (začiarknuté) od skupiny správcov s úplnými právami (nezačiarknuté). V lokálnych doménach je skryté a vynútene začiarknuté. |
Odstránenie skupiny¶
Vyberte skupinu v zozname a kliknite na tlačidlo ×. Odstránenie vyžaduje potvrdenie. Viacnásobný výber je podporovaný.
Skupina tenanta
Skupinu, ktorá nesie názov tenanta, nemožno odstrániť z domény SAML. Toto ochranné opatrenie zabraňuje náhodnej strate správcovského prístupu k tenantu.
Delegated administrators¶
Modul Delegated administrators menovite uvádza účty uznané ako delegovaní správcovia v doméne LDAP alebo SAML. Otvára sa z modulu Authentication domains tlačidlom Delegated administrators.
| Typ domény | Dostupnosť |
|---|---|
| LDAP | Dostupné. |
| SAML (federácia) | Dostupné. |
| Iné typy | Nedostupné. |
Prečo menovitá registrácia?
Pre domény LDAP a SAML nemusí členstvo v skupine správy stačiť: tento modul umožňuje explicitne určiť účet ako delegovaného správcu. Registrácia nadobudne účinnosť, iba ak účet patrí aj do skupiny delegovaných správcov deklarovanej v predchádzajúcom module (kapitola Administration groups).
Pridanie delegovaného správcu¶
- Vyberte doménu v rozbaľovacom zozname.
- Kliknite na tlačidlo +.
- Zadajte meno používateľa tak, ako existuje v adresári (znaky
<a>sú zakázané), a potom potvrďte.
Odstránenie delegovaného správcu¶
Vyberte jeden alebo viac účtov v zozname a kliknite na tlačidlo ×. Odstránenie vyžaduje potvrdenie. Platia rovnaké ochranné opatrenia ako v zozname používateľov (delegovaný správca nemôže odstrániť iný účet, ktorého rola nie je User).