Настройка дискретных прав
Описание
В статье рассматривается задача «Настройка дискретных прав» в системе виртуализации «Горизонт-ВС».
Требования
- Развёрнутая платформа «Горизонт-ВС» и доступ к веб-интерфейсу СГУ.
- Доступ к командной строке соответствующего узла с правами администратора.
Пошаговая инструкция
Для того, чтобы создать пользователя с определенным набором прав и привилегий необходимо руководствоваться определенным алгоритмом действий. Ниже представлен примерный алгоритм корректных действий, включающий в себя 4 обязательных этапа.
Рисунок 194 – Схема
Действия, описанные в данной инструкции соответствуют приведенному выше алгоритму. Все наименования и описания ситуаций носят шаблонный характер, т.е. могут быть изменены, за исключением алгоритма действий.
Этап 1. Создание Роли
На 1 этапе необходимо создать Роль, которая отвечает за визуальное отражение интерфейса системы пользователя и отвечает за более тонкую настройку допустимых действий. На 2 этапе создается Группа, к которой будет относится пользователь. На 3 этапе создается Пользователь, обязательными параметрами для которого выступает Роль и Группа. На 4 этапе формируется Список контроля доступа, который будет ограничивать его действия.
Для создания Роли необходимо перейти в раздел «Настройка системы» выбирать подраздел «Роли» нажать на кнопку «Создать».
Рисунок 195 – Раздел «Настройка системы» подраздел «Роли»
В открывшемся меню создания Роли, указывается Название, устанавливаются галочки напротив бокового меню, которое будет доступно для просмотра конкретному пользователю с данной ролью. После этого опускаемся ниже к более детальной настройке каждой из выбранных вкладок и таким же образом устанавливаем все необходимые параметры.
Рисунок 196 – Создание роли
Рисунки 197 – Создание роли, детальная настройка
Каждая вкладка имеет определенный столбец с набор настроек:
Рисунок 198 – «Вкладка шаблонов»
— Панель – внутренние вкладки объекта, которые отражают определенную информацию о нем.
Рисунок 199 – «Панель»
— Действия. Меню управления объектом, т.е. действия, которые можно выполнять с объектом.
Рисунок 200 – «Действия»
— Столбцы таблицы. Рабочая область объекта.
Рисунок 201 – «Столбцы таблицы»
— Вкладки, применимы только к шаблонам.
Рисунок 202 – «Вкладки»
В данном случае все настройки отвечают только за графическое представление, запрет на применение конкретного действия устанавливается в подразделе «Списки контроля».
После выполнения всех необходимых настроек, необходимо вернуться к началу страницы и нажать кнопку «Сохранить».
Рисунок 203 – Сохранение роли
Для просмотра настроенной Роли в правом верхнем углу необходимо нажать вкладку admin выбирать Роли и нажать на Имя конкретной роли. Для возврата к работе с СГУ, осуществляется аналогичная процедура с выбором роли admin.
Рисунок 204 – Процесс отображение интерфейса созданной роли
Рисунок 205 – Процесс отображение интерфейса созданной роли
Рисунок 206 – Процесс отображение интерфейса созданной роли
Редактирование и копирование существующей Роли происходит путем перехода во вкладку Роли, нажатия на Имя необходимой роли. После чего будет доступно редактирование роли с последующим ее сохранением и функция копирования.
Рисунок 207 – Редактирование существующей роли
Этап 2. Создание Группы
Следующим шагом является создание группы. Для этого необходимо перейти в раздел «Настройка системы» выбирать подраздел «Группы» нажать на кнопку «Создать».
Рисунок 208 – Раздел «Настройка системы» подраздел «Группы»
Вкладка «Общие» содержит поле Название – имя группы, как оно будет отображаться в системе.
Рисунок 209 – Окно «Создать группу». Вкладка «Общие»
Вкладка «Администрирование» позволяет создать пользователя группы с административными правами. Содержит поля:
— Имя пользователя.
— Пароль.
— Подтвердите пароль.
— Способ аутентификации.
— Роль, которой будет обладать именно этот пользователь.
Рисунок 210 – Окно «Создать группу». Вкладка «Администрирование»
Вкладка «Права» позволяет выдавать разрешения на создание ресурсов для пользователей группы.
Рисунок 211 – Окно «Создать группу». Вкладка «Права»
Этап 3. Создание Пользователя
Прежде чем создать нового пользователя, необходимо сменить Парольную политику.
Следующим шагом является создание Пользователя. Для этого необходимо перейти в раздел «Настройка системы», выбрать подраздел «Пользователи» и нажать на кнопку «Создать».
Рисунок 212 – Раздел «Настройка системы» подраздел «Пользователи»
Окно создания пользователя содержит следующие поля:
— Имя пользователя – имя пользователя, как оно будет отображаться в системе.
— Пароль и подтвердить пароль – пароль пользователя.
— Способ аутентификации содержит несколько вариаций, основные из которых:
ядро - для аутентификации с использованием механизмов СГУ;
x509 - для аутентификации с использованием сертификатов X.509;
ssh - для аутентификации с использованием механизмов ssh;
ldap – для аутентификации пользователей Active Directory, FreeIPA или Samba AD по протоколу LDAP;
— Роль, которой будет обладать именно этот пользователь.
— Основная группа – группа, в которую будет входить пользователь.
Рисунок 213 – Создание пользователя
Существующему пользователю можно изменить определённые параметры. Для этого необходимо перейти в подраздел «Пользователи» и выбрать конкретного пользователя, путем нажатия на его Имя.
Рисунок 214 – Выбор пользователя
Открывшееся меню содержит ряд вкладок. Вкладка «Информация» позволяет изменить Язык интерфейса, Роль и Token, путем нажатия на кнопку редактирования.
Рисунок 215 – Вкладка «Информация»
Вкладка «Группы» позволяет изменить Основную и Вторичную группу. Для этого необходимо нажать кнопку Изменить, выполнить необходимые изменения, после чего нажать на кнопку «Применить изменения».
Рисунок 216 – Вкладка «Группы»
Вкладка «Отчетность» позволяет получить информацию об использовании ресурсов инфраструктуры за определенный период.
Рисунок 217 – Вкладка «Отчетность»
Вкладку «Аутентификация» позволяет сменить Драйвер аутентификации, Пароль, Токен входа и Публичный ключ SSH, путем нажатия на кнопку редактирования.
Рисунок 218 – Вкладка «Аутентификация»
Автоматическая блокировка входа в систему пользователя, в случае его длительного перерыва в работе, в том числе для локальных УЗ
По умолчанию блокировка выключена, для ее настройки в разделе «Настройка системы» подразделе «Настройки» вкладка «Аутентификация» необходимо указать в поле «Дней неактивности до блокировки (ноль - неограничено):» указать количество дней бездействия пользователей.
Политика настройки глобальная и не распространяется на УЗ admin.
Автоматическое прекращение сессии пользователя, в случае перерыва в его работе, в том числе для локальных УЗ.
Изменение времени активности сессии для учетной записи admin возможно в разделе «Настройки системы» подразделе «Настройки» вкладка «Аутентификация»
Для пользователей в подразделе «Пользователи» меню к онфигурации пользователя вкладка «Аутентификация».
Двухфакторная аутентификация для всех пользователей, кроме учетной записи admin
Для активации данной функции необходимо в разделе «Настройки системы» подразделе «Настройки» во вкладке «Аутентификация» установить флаг «Двухфакторная аутентификация».
После чего все пользователи при авторизации, должны пройти двухфакторную аутентификацию путем: 1. Ввода логина и пароля; 2. Сканированием QR-кода и ввода кода из приложения (к примеру, Яндекс-ID).
Этап 4. Создание Списков контроля
При создании группы в системе дефолтно создается набор определенных политик в разделе «Настройка системы» подраздел «Списки контроля», их необходимо выделить и «Удалить». После этого нажать на кнопку «Создать».
Рисунок 219 – Раздел «Настройка системы» подраздел «Списки Контроля»
Окно создания списка контроля содержит несколько областей:
— Область применения можно указать, для кого будут назначаться права (Все, Пользователь или Группа). При выборе Пользователь или Группа появится раскрывающийся список существующих пользователей/групп.
— Затрагиваемые ресурсы можно установить ресурсы, к которым будет представлен доступ.
— Подмножество ресурсов:
Все – правило будет распространено все ресурсы системы, отмеченные в Затрагиваемых ресурсах.
ID – позволяет применить правило для конкретного ID ресурса, применимо только к «Затрагиваемым ресурсам» - Группы, Зоны и Пользователи.
Группа – представляет собой выпадающий список с перечнем групп и применяет правило только к тем ресурсам, которые относятся к данной группе.
Кластер – представляет собой выпадающий список с перечнем кластеров и применяет правило только к тем ресурсам, которые относятся к данному кластеру.
— Разрешенные действия позволяет определить доступные операции для выбранных ресурсов:
Представление – отвечает за отображение ресурсов, т.е. их видимость для пользователя.
Пользование – позволяет использовать ресурс, без внесения в него изменений (например, использование ВМ, образа или виртуальной сети).
Управление – позволяет вносить изменения в ресурс (например, остановка ВМ, изменение ее ресурсов, изменение атрибута образа виртуального диска на «постоянный» и т.д.).
Администрирование – специальные операции (например, создание/удаление ролей, изменение параметров узлов и кластеров). Данные операции должны назначаться только пользователям с ролью администратора.
Создать – операции создания нового ресурса.
Рисунок 220 – Создание правила контроля
После выбора всех необходимых настроек, нажимается кнопка «Создать».
Изменить созданные Списки контроля не представляется возможным! При необходимости их редактирования, требуется удаление неактуальных правил и создания новых.
Результат
Настройки применены. Проверьте состояние объекта в СГУ или результатом проверки, описанной в инструкции.
Устранение неисправностей
- Проверьте права текущей учётной записи и корректность введённых параметров.
- Если вход невозможен, проверьте состояние учётной записи, парольную политику и журнал событий СГУ.