Users and administrators¶

Ta stran obravnava tri module za upravljanje računov v CyberElements: uporabniki (portala in konzole), skrbniške skupine (ki skupini dodelijo skrbniške pravice) in delegirani skrbniki (dodeljeni poimensko). Namenjena je skrbniku, ki želi ustvariti, urediti ali izbrisati te račune in dodeliti ustrezne skrbniške pravice.

Ti trije moduli so dostopni iz modula Identity Providers, tako da najprej izberete domeno in nato kliknete enega od gumbov Users, Administration groups ali Delegated administrators. Modul Users je dostopen tudi prek neposredne bližnjice v skrbniški konzoli.

Users¶

Modul Users navaja, ustvarja, ureja in briše uporabniške račune domene. Njegovo delovanje je odvisno od vrste domene.

Vrsta domene	Upravljanje računov
Local directory	Ročno ustvarjanje, urejanje in brisanje. Določiti je mogoče vlogo in možnosti seje.
SAML (federacija)	Ročno ustvarjanje, urejanje in brisanje, vendar brez gesla (preverjanje pristnosti izvaja ponudnik identitete). Računi se uporabljajo predvsem za shranjevanje metapodatkov (e-pošta, članstvo v skupinah).
LDAP in Anonymous directory	Nista navedena v izbirniku domen — računi se upravljajo na strani imenika ali niso uporabni.

Izbira in filtriranje¶

Element	Opis
Domain	Izbere domeno, katere računi so navedeni. Na voljo so samo lokalne domene in domene federacije.
Group	Filtrira seznam po skupini. Na vrh je dodan sintetični vnos All, ki prikaže vse račune.
Iskalno polje	Filtrira po delu imena računa. Iskanje se sproži 700 ms po zadnjem pritisku tipke ali takoj s tipko `Enter`.
Stolpci tabele	ID, Name (skrit za domene SAML), Email, Groups. Kadar ni nobenega računa, tabela prikazuje No available users.

Dodajanje uporabnika — lokalna domena¶

Omejitve vnosa in razpoložljiva polja:

Polje	Opis
User name	Obvezno. Znaka `<` in `>` sta prepovedana. Mora biti edinstveno znotraj domene.
Password / Confirm	Obvezno pri ustvarjanju. Uporabi se pravilnik za gesla, ki velja v domeni.
Full name	Prikazno ime, ki se v nekaterih pogledih prikaže namesto tehničnega imena.
E-mail	Preveri se, ali gre za veljaven e-poštni naslov.
Phone	Preveri se, ali gre za telefonsko številko.
IP lock	Seznam naslovov ali obsegov IP (z izbirno masko, ločenih z vejicami), s katerih se uporabnik sme povezati. Gre za naslov, ki ga vidi storitev Mediation Controller: v primeru vmesnega NAT vnesite javni naslov.
Role	Glejte spodnjo tabelo vlog.

Vloge, ki so na voljo v lokalni domeni:

Vloga	Učinek
User (privzeto)	Dostop samo do uporabniškega portala.
Administrator	Dostop do skrbniške konzole s polnimi pravicami.
Delegated administrator	Dostop do skrbniške konzole z omejenimi pravicami. Dejanske pravice so odvisne od profila delegiranega skrbnika in od skrbniških skupin, katerih član je račun.

Privzeta lokalna domena

Če konfiguracija platforme v privzeti lokalni domeni ne dovoljuje skrbnikov, je polje Role skrito in prisilno nastavljeno na User.

Dve razširljivi možnosti omejita življenjsko dobo računa:

Možnost	Opis
Limited sessions	Omeji število prijav. Ko je to število doseženo, se izvede izbrano dejanje: zaklenitev (privzeto) ali izbris računa. Najmanjša vrednost je 1.
Temporary account	Omeji veljavnost računa z začetnim in končnim datumom ter časom. Na končni datum se izvede izbrano dejanje: zaklenitev ali izbris. Končni datum mora biti strogo poznejši od začetnega datuma.

Račun admin privzete lokalne domene

Vgrajeni račun admin privzete lokalne domene je poseben. Njegova vloga je prisilno nastavljena na Administrator, možnosti Limited sessions in Temporary account pa sta skriti — teh omejitev zanj ni mogoče uporabiti.

Zavihek Groups z vlečenjem in spuščanjem s seznama razpoložljivih na seznam izbranih dodeli račun eni ali več skupinam. Iskalno polje filtrira levi seznam.

Dodajanje uporabnika — domena SAML¶

Za domeno federacije je obrazec skrajšan: ker je preverjanje pristnosti preneseno na ponudnika identitete, se na strani CyberElements ne shrani nobeno geslo.

Polje	Opis
User name	Obvezno. Znaka `<` in `>` sta prepovedana. Ujemati se mora z identifikatorjem, ki ga vrne ponudnik identitete.
Description	Prosto besedilo.
E-mail	Preveri se, ali gre za veljaven e-poštni naslov.

Zavihek Groups prikazuje seznam z dvema stolpcema (razpoložljivo / izbrano) z iskanjem in gumbom „izberi vse“.

Urejanje uporabnika¶

Če želite odpreti obrazec za urejanje, na seznamu izberite račun in kliknite ikono Properties ali dvokliknite vrstico. Veljajo enake omejitve kot pri ustvarjanju, s tremi dodatnimi zavihki, ki so značilni za urejanje:

PropertiesApplicationsSecurity keys

Računu pripne poljubne pare ključ/vrednost. Vnesite naziv in vrednost ter kliknite Add. Že uporabljen naziv je zavrnjen. Vsak vnos je mogoče posamično izbrisati z gumbom za brisanje v njegovi vrstici, s potrditvijo.

Navaja vire, do katerih ima račun dostop, izračunane iz pogodb o dostopu.

Za vsak vir so prikazane naslednje informacije:

ime in ikona vrste storitve (RDP, HTML5 RDP, SSH, VNC, SMB, VPN, ICA itd.),
veljavne omejitve v obliki ikon: snemanje videa ali dogodkov, zaklep prek workflow, enkratni dostop, preostali čas, obseg datumov, časovno okno,
razpoložljiv dostop: zelena ikona, če ima vsaj en site pogodbe dosegljivo komponento Edge Gateway, sicer rdeča.

Iskalno polje in razširljiv blok filtrov zožita seznam po vrsti aplikacije (standardna / privilegirana), po vrsti storitve ali po stanju omejitev.

Navaja ključe FIDO / WebAuthn, ki jih je račun registriral prek portala.

Stolpca: Display name, Creation date. Vsak ključ je mogoče posamično izbrisati, s potrditvijo. Nov ključ doda uporabnik prek portala.

Brisanje uporabnika¶

Na seznamu izberite enega ali več računov in kliknite gumb ×. Prikaže se poziv za potrditev.

Velja več zaščitnih ukrepov:

Računa admin privzete lokalne domene ni nikoli mogoče izbrisati.
Delegirani skrbnik ne more izbrisati računa, katerega vloga ni User (zato ne more izbrisati drugega skrbnika ali delegiranega skrbnika).

Administration groups¶

Modul Administration groups določa, da skupina, ki obstaja v domeni, svojim članom dodeli skrbniške pravice. Odpre se iz modula Authentication domains z gumbom Administration groups.

Vrsta domene	Razpoložljivost
Privzeti lokalni imenik	Na voljo. Določiti je mogoče le skupine delegiranih skrbnikov (potrditveno polje je vsiljeno).
LDAP	Na voljo. Izbira med skupino skrbnikov s polnimi pravicami in skupino delegiranih skrbnikov.
SAML (federacija)	Na voljo. Izbira med skupino skrbnikov s polnimi pravicami in skupino delegiranih skrbnikov.
Drugi lokalni imeniki, anonimni imenik	Ni na voljo.

Stolpca tabele: Group name in Type (skrbnik ali delegirani skrbnik).

Dodajanje skupine¶

Izberite domeno s spustnega seznama.
Kliknite gumb +.
Izpolnite polja in potrdite.

Polje	Opis
Group	Izbere skupino. Če vnesete nekaj znakov, se seznam skupin, pridobljenih iz domene, dinamično filtrira. Za lokalno domeno mora vrednost ustrezati skupini, ki v domeni že obstaja (prosto besedilo je zavrnjeno). Za domene LDAP ali domene federacije je prosto besedilo sprejeto.
Delegated administrators group	Potrditveno polje, ki razlikuje skupino delegiranih skrbnikov (označeno) od skupine skrbnikov s polnimi pravicami (neoznačeno). V lokalnih domenah je skrito in prisilno označeno.

Brisanje skupine¶

Na seznamu izberite skupino in kliknite gumb ×. Brisanje zahteva potrditev. Podprta je večkratna izbira.

Skupina tenanta

Skupine, ki nosi ime tenanta, ni mogoče izbrisati iz domene SAML. Ta zaščita preprečuje nenamerno izgubo skrbniškega dostopa do tenanta.

Delegated administrators¶

Modul Delegated administrators poimensko navaja račune, ki so v domeni LDAP ali SAML prepoznani kot delegirani skrbniki. Odpre se iz modula Authentication domains z gumbom Delegated administrators.

Vrsta domene	Razpoložljivost
LDAP	Na voljo.
SAML (federacija)	Na voljo.
Druge vrste	Ni na voljo.

Zakaj poimenska registracija?

Za domene LDAP in SAML članstvo v skrbniški skupini morda ne zadošča: s tem modulom lahko račun izrecno imenujete za delegiranega skrbnika. Registracija začne veljati le, če račun pripada tudi skupini delegiranih skrbnikov, določeni v prejšnjem modulu (poglavje Administration groups).

Dodajanje delegiranega skrbnika¶

Izberite domeno s spustnega seznama.
Kliknite gumb +.
Vnesite uporabniško ime, kot obstaja v imeniku (znaka < in > sta prepovedana), nato potrdite.

Brisanje delegiranega skrbnika¶

Na seznamu izberite enega ali več računov in kliknite gumb ×. Brisanje zahteva potrditev. Veljajo enaki zaščitni ukrepi kot na seznamu uporabnikov (delegirani skrbnik ne more izbrisati drugega računa, katerega vloga ni User).