5.1.7. Управление учётными записями и субъектами

Aladdin Enterprise CAАдминистрированиеAladdin Enterprise CA

Раздел “Учётные записи”

Раздел “Учётные записи” обеспечивает возможности управления доступом к интерфейсам управления на основе ролей, а также управление данными и ограничениями данных.

Переход к разделу “Учётные записи” осуществляется по выбору раздела “Учётные записи” бокового меню, расположенного слева на главном экране (см. рисунок Экран раздела меню “Учётные записи”).

Экран раздела меню “Учётные записи”

В разделе “Учётные записи” присутствуют:

• кнопка “Создать” для создания новой учётной записи;

• таблица с перечнем учётных записей. Для каждой учётной записи указаны отображаемое имя, роль, логин, дата создания, состояние. Для учётной записи, созданной на основе субъекта, присутствует индикация (в виде пиктограммы “Облако”). Для автоматических учётных записей присутствует дополнительная индикация (в виде пиктограммы “Синхронизируемый пользователь”, при наведении курсора на которую отображается всплывающее сообщение “Автоматическая учётная запись”.

• Для учётных записей, не являющихся автоматическими, доступны кнопки “Редактировать”, “Заблокировать” или “Активировать” (в зависимости от текущего состояния учётной записи), “Удалить” (недоступна для удаления пользователя текущей сессии).

• Для автоматических учётных записей доступна кнопка “Заблокировать” или “Активировать” (в зависимости от текущего состояния учётной записи). Для автоматических учётных записей кнопки “Редактировать” и “Удалить” недоступны для нажатия.

• Для учётных записей, не являющихся автоматическими, доступна кнопка создания сертификата (при наведении курсора на данную кнопку отображается всплывающее окно “Создать сертификат”) с возможностью создания сертификата:

  • с закрытым ключом (PKCS#12);

  • на ключевом носителе.

  • Для автоматических учётных записей кнопка создания сертификата должна быть недоступна для нажатия.

Вход под учётной записью пользователя на сервер осуществляется при помощи сертификата, выпущенного с использованием шаблона “User”. Подробнее о настройке аутентификации для входа в учётную запись см. Аутентификация в программе.

В программе отслеживаются и фиксируются дата и время последней активности пользователей. Операциями, обновляющими запись о последней активности пользователя, являются:

• успешная аутентификация, включая аутентификацию в eCA-RA;

• успешное обновление маркера доступа, включая его обновление в eCA-RA.

eCA-CA автоматически блокирует учётные записи пользователей с ролью “Оператор”, период пассивности которых превысил значение, указанное в параметре block_inactive_account_delay (По умолчанию в данном параметре указано значение “0”, обозначающее отсутствие ограничения на неактивность пользователей.) конфигурационного файла. Запуск проверки периода неактивности и блокировка соответствующих учётных записей пользователей с ролью “Оператор” выполняются по расписанию в соответствии со значением параметра block_inactive_account_cron (По умолчанию – каждую полночь.) конфигурационного файла.

Внимание

При обновлении ПО до версии 2.4 для всех существующих в программе на момент обновления учётных записей в качестве даты и времени последней активности в базу данных записывается дата и время выполнения обновления.

Внимание

Действия с учётными записями могут быть ограничены параметром ldap_accounts_status_sync_enabled конфигурационного файла.

Создание учётной записи пользователя локального ресурса

Порядок создания учётной записи для пользователя eCA-CA:

• На панели слева выберите раздел “Учётные записи” .

• Нажмите кнопку (см. рисунок Экран раздела меню “Учётные записи”).

• В открывшемся окне выполните следующие действия (см. рисунок Окно создания новой учётной записи локального пользователя):

  • выберите роль учётной записи;

  • укажите имя, которое отображается на верхней панели веб–интерфейса после авторизации пользователя;

  • логин – имя учётной записи (данные для поля “Common Name” при выпуске сертификата пользователя).

Внимание

Логины (имена) учётных записей должны быть уникальными.

Окно создания новой учётной записи локального пользователя

• Нажмите кнопку .

Для созданной учётной записи пользователя с ролью “Оператор” создайте правила доступа шаблонам и субъектам (см. Назначение прав оператору).

Для созданной учётной записи пользователя с ролью “Администратора” настройка прав не требуется, так как ограничений для этой роли не будет.

Создание учетной записи для подключённого субъекта

Для создания учётной записи доменного пользователя перейдите в раздел “Субъекты” и создайте учётную запись в соответствии с разделом Создание учётной записи для субъекта.

Изменение статуса учётной записи

При наведении курсора на строку c данными выбранной учётной записи отображаются инструменты управления учётной записью (возможность управления статусом текущей учётной записи) (см. рисунок Доступные действия над учётными записями):

• по нажатию кнопки “Заблокировать” возможно приостановить действие активной выбранной учётной записи или

• по нажатию кнопки “Активировать” действие заблокированной ранее учётной записи будет возобновлено.

Доступные действия над учётными записями

Редактирование учётной записи

По нажатию на кнопку “Редактировать” (в строке учётной записи) открывается карточка учётной записи, содержащая следующие поля (см. рисунок Окно редактирование учётной записи):

Окно редактирование учётной записи

• редактируемый выбор назначенной роли;

• редактируемое отображаемое имя (ФИО);

• таблицу с параметрами сертификатов (“CN”, “Дата создания”, “Действителен до” и “Состояние”), которые привязаны к учётной записи. У каждого сертификата редактируемый статус (доступные действия приведены в таблице “Внимание! Если достигнуто предельное количество субъектов с действующими сертифик”), а также кнопку скачивания сертификата в формате .pem.

Переход в карточку связанного сертификата возможен по нажатию на строку выбранного сертификата в карточке учётной записи.

Карточка учётной записи, которая в текущий момент авторизована, доступна только для просмотра.

Назначение прав оператору

Для назначения прав оператору перейдите в раздел “Правила доступа” и произведите назначение прав в соответствии с разделом Управление правилами доступа.

Удаление учётной записи

По нажатию на кнопку “Удалить” (в строке учётной записи) открывается окно подтверждения удаления учётной записи (см. рисунок Окно подтверждения удаления учётной записи)

Окно подтверждения удаления учётной записи

После подтверждения действия нажатием кнопки “Удалить” администратор будет уведомлён всплывающим сообщением “Пользователь успешно удалён!”.

Выпуск сертификата для учётной записи

По нажатию на кнопку “Создать сертификат” (в строке учётной записи) в выпадающем меню выберите способ выпуска (см. рисунок Раздел “Учётные записи”. Кнопка выпуска сертификата):

• с закрытым ключом;

• на ключевом носителе.

Сертификат будет создан с использованием выбранного шаблона. Значение поля “Common Name”, будет заполнено автоматически и соответствовать логину учётной записи, для которой выпускается сертификат.

Более подробно процедура выпуска сертификата приведена в Приложении 1. Создание сертификата для субъекта.

Раздел “Учётные записи”. Кнопка выпуска сертификата

Управление правилами доступа

Пользователи с ролью “Администратор” имею возможность при помощи правил доступа предоставлять пользователям с ролью “Оператор” и группам безопасности зарегистрированных ресурсных систем (Назначение правил доступа группам безопасности зарегистрированных ресурсных систем предназначено для наследования данных правил операторами, учётные записи которых созданы на основе субъектов данных групп безопасности.) доступ:

• к шаблонам сертификатов. Доступные операции с шаблонами: просмотр и использование шаблонов при создании сертификатов для субъектов;

• только к сертификатам субъектов. Доступные операции с сертификатами субъектов: создание, просмотр управление статусом, публикация в домен. Доступные операции с субъектами: просмотр;

• к субъектам и их сертификатам. Доступные операции с локальными субъектами: создание, просмотр, редактирование, удаление. Доступные операции с внешними субъектами: просмотр, редактирование не загружаемых из домена атрибутов. Доступные операции с сертификатами субъектов: создание, просмотр управление статусом, публикация в домен.

Доступ по правилу, в котором субъектом доступа является группа безопасности, не наследуется для её дочерних групп.

Управление правилами доступа осуществляется в разделе “Правила доступа”.

Раздел “Правила доступа” доступен только пользователям с ролью “Администратор”.

Переход в раздел “Правила доступа” осуществляется через боковое меню, расположенное слева на главном экране (см. Полный вид боковой панели).

В данном разделе отображаются все существующие правила доступа (см. рисунок Экран раздела меню “Правила доступа”).

Экран раздела меню “Правила доступа”

Создание правила доступа

Для создания правила доступа:

1. Перейдите в раздел “Правила доступа” и нажмите кнопку “Создать”.

2. На шаге 1 мастера создания правила доступа выберите тип правила доступа “Доступ к шаблонам”, “Доступ только к сертификатам субъектов” или “Доступ к субъектам и их сертификатам” (см. рисунок Окно “Создание правила доступа”. Шаг 1) и нажмите кнопку “Продолжить”.

Окно “Создание правила доступа”. Шаг 1

4. На шаге 2 окна мастера создания правила доступа выберите субъектов доступа: “Все операторы” или “Выбрать операторов или группы”.

5. Если выбрана опция “Выбрать операторов или группы”:

6. В выпадающем списке поля “Тип” выберите тип: “Операторы” (см. рисунок Окно “Создание правила доступа”. Шаг 2. Операторы) или “Группы” (см. рисунок Окно “Создание правила доступа”. Шаг 2. Группы).

7. Перенесите субъекты доступа в правый столбец (“Выбрано”) путём нажатия на стрелку вправо.

Окно “Создание правила доступа”. Шаг 2. Операторы

Окно “Создание правила доступа”. Шаг 2. Группы

6. Нажмите кнопку “Продолжить”.

7. На шаге 3 мастера создания правила доступа выберите объекты доступа:

8. Если на шаге 1 был выбран тип “Доступ к шаблонам”, то выберите “Выбрать шаблоны” или “Все шаблоны”.

9. Если выбрано “Выбрать шаблоны”, то необходимые шаблоны перенесите в правый столбец (“Выбрано”) путём нажатия на стрелку вправо (см. рисунок Окно “Создание правила доступа”. Шаг 3. Выбор шаблонов).

Окно “Создание правила доступа”. Шаг 3. Выбор шаблонов

3. Если на шаге 1 мастера создания правила доступа был выбран тип “Доступ к субъектам и их сертификатам”, то выберите “Все субъекты” или “Выбрать группы”.

4. Если выбрано “Выбрать группы”:

5. В выпадающем списке поля “Домен” выберите домен (см. рисунок Окно “Создание правила доступа”. Шаг 3. Выбор групп. Домен) или локальную ресурсную систему (см. рисунок Окно “Создание правила доступа”. Шаг 3. Выбор групп. Локальная ресурсная система).

6. Перенесите объекты доступа в правый столбец (“Выбрано”) путём нажатия на стрелку вправо.

Окно “Создание правила доступа”. Шаг 3. Выбор групп. Домен

Окно “Создание правила доступа”. Шаг 3. Выбор групп. Локальная ресурсная система

8. Нажмите кнопку “Продолжить”.

9. На шаге 4 мастера создания правила доступа ознакомьтесь с информацией о создаваемом правиле доступа и нажмите кнопку “Создать правило” (см. рисунок Окно “Создание правила доступа”. Шаг 4. Подтверждение).

Окно “Создание правила доступа”. Шаг 4. Подтверждение

Созданное правило будет отображаться в списке правил доступа на вкладке “Правила доступа”.

Редактирование правила доступа

Для редактирования правила доступа:

1. Перейдите в раздел “Правила доступа” и нажмите на кнопку “Редактировать” в строке правила доступа, которое необходимо отредактировать.

2. В мастере редактирования правила доступа отредактируйте параметры правила аналогично их выбору в ходе создания правила (см. Создание правила доступа). (Редактирование типа правила недоступно.)

3. В окне шага 3 мастера редактирования правила доступа (см. рисунок Окно “Редактирование правила доступа”. Шаг 3) ознакомьтесь с изменёнными параметрами и нажмите кнопку “Сохранить изменения”.

Окно “Редактирование правила доступа”. Шаг 3

Удаление правила доступа

Для удаления правила доступа:

1. Перейдите в раздел “Правила доступа” и нажмите на кнопку “Удалить” в строке правила доступа, которое необходимо удалить.

2. В окне подтверждения удаления правила доступа (см. рисунок Окно подтверждения удаления правила доступа) ознакомьтесь с значением полей удаляемого правила доступа и подтвердите действие нажатием на кнопку “Удалить”.

Окно подтверждения удаления правила доступа