Раздел «Пользователи системы»

Раздел «Настройка системы» содержит подразделы: Пользователи, Группы, Списки контроля, Роли, Обновление, Настройки.

Рисунок 167 – Раздел «Настройка системы», подраздел «Пользователи»

Подраздел Пользователи

Работа с пользователями СГУ осуществляется в подразделе «Пользователи».

Рисунок 168 —Подраздел «Пользователи». Список пользователей.

В данном подразделе имеется кнопка «+», позволяющая создать нового пользователя.

Рисунок 169 – Окно «Создать пользователя»

Данное окно содержит следующие поля:

— Имя пользователя – имя пользователя, как оно будет отображаться в системе;

— Пароль и подтвердить пароль – пароль пользователя;

— Способ аутентификации содержит несколько вариаций, основные из которых:

ядро - для аутентификации с использованием механизмов СГУ;

x509 - для аутентификации с использованием сертификатов X.509;

ssh - для аутентификации с использованием механизмов ssh;

ldap – для аутентификации пользователей Active Directory, FreeIPA или Samba AD по протоколу LDAP;

Способы server_cipher и server_x509 для аутентификации непосредственно пользователей СГУ неприменимы.

Рисунок 170 – Выбор способа аутентификации

— Основная группа – группа, в которую будет входить пользователь.

Создание нового пользователя

Для создания пользователя необходимо перейти в раздел «Настройка системы», выбрать подраздел «Пользователи» и нажать на кнопку «Создать».

Рисунок 171 – Подраздел «Пользователи»

В окне создания пользователя заполнить поля:

— Имя пользователя.

— Пароль.

— Подтвердить пароль.

— Способ аутентификации ядро.

— Роль, которой будет обладать именно этот пользователь.

— Основная группа – группа, в которую будет входить пользователь.

Нажать кнопку «Создать».

Важно!

Пароль может содержать строчные и заглавные латинские буквы, а также следующие специальные символы: ! " # % & ' ( ) * + , - . / : ; < = > ? @ [ \ ] ^ _`

В пароле нельзя использовать символ пробела, фигурные скобки и ~ $

Рисунок 172 – Окно интерфейса создания пользователя

Пользователь с первичными аутентификационными данными успешно создан.

Выйти из учетной записи admin.

Рисунок 173 – Выход из учетной записи

Ввести учетные данные созданного пользователя. При авторизации пользователя в системе, требуется его идентификатор «логин» и пароль. При вводе пароля его символы скрываются специальными знаками, что обеспечивает визуальную защиту.

Рисунок 174 – Ввод учетных данных созданного пользователя

После успешного ввода первичных аутентификационных данных со стороны пользователя, система выдаст обязательное окно смены пароля, в котором пользователь задает новый пароль.

Рисунок 175 – Окно смены пароля

Необходимо ввести новый пароль и нажать на кнопку «Изменить пароль».

Рисунок 176 – Окно смены пароля

Подраздел Группы

Для разграничения прав в Горизонт-ВС, для каждого ресурса, помимо пользователей, определены группы. Как и пользователь, группа обладает правами доступа к тем или иным каталогам, файлам, ВМ и т.д. Группы объединяют пользователей для предоставления одинаковых полномочий на какие-либо действия. Принадлежность пользователя к группе устанавливается администратором.

Работа с группами пользователей виртуальных машин осуществляется в подразделе «Группы». В рабочей области подраздела содержится список зарегистрированных в системе групп.

Рисунок 177 – Группы пользователей

В данном подразделе имеется кнопка «+», позволяющая создать новую группу.

Рисунок 178 – Окно вкладки «Общие» окна «Создать группу»

Вкладка «Общие» содержит поле:

— Название – имя группы, как оно будет отображаться в системе.

Вкладка «Администрирование» позволяет создать пользователя группы с административными правами. Содержит поля:

— Имя пользователя.

— Пароль.

— Подтвердите пароль.

— Способ аутентификации.

— Роль.

Рисунок 179 – Окно вкладки «Администрирование» окна «Создать группу»

Вкладка «Права» позволяет выдавать разрешения на создание ресурсов для пользователей группы.

Рисунок 180 – Окно вкладки «Права» окна «Создать группу»

Подраздел Списки контроля

Дискреционный принцип контроля доступа позволяет осуществлять настройку разрешенных операций для любого пользователя или группы пользователей. При попытке доступа происходит проверка списков контроля доступа, по результатам которой запрос разрешается или отклоняется. Настройка правил контроля доступа может производиться как для отдельных пользователей, так и для групп пользователей.

Подраздел «Списки контроля» имеет следующее окно интерфейса.

Рисунок 181 – Окно подраздела «Списки контроля доступа»

Интерфейс данного подраздела представляет таблицу, которая содержит следующую информацию:

— ID – идентификатор списка;

— Применено к – к кому применен список, к пользователю, группе или ко всем сущностям;

— Затрагиваемые ресурсы – перечень типов ресурсов, для которых будут разрешены действия;

— № ресурса/Принадлежит – кому принадлежит ресурс;

— Разрешенные действия.

В данном подразделе имеется кнопка «+», позволяющая создать правило контроля.

Рисунок 182 – Окно интерфейса «Создать правило контроля»

Окно создания списка контроля содержит несколько областей:

— Область применения можно указать, для кого будут назначаться права (Все, Пользователь или Группа). При выборе Пользователь или Группа появится раскрывающийся список существующих пользователей/групп.

— Затрагиваемые ресурсы можно установить ресурсы, к которым будет представлен доступ.

— Подмножество ресурсов:

Все – правило будет распространено все ресурсы системы, отмеченные в Затрагиваемых ресурсах.

ID – позволяет применить правило для конкретного ID ресурса, применимо только к «Затрагиваемым ресурсам» - Группы, Зоны и Пользователи.

Группа – представляет собой выпадающий список с перечнем групп и применяет правило только к тем ресурсам, которые относятся к данной группе.

Кластер - представляет собой выпадающий список с перечнем кластеров и применяет правило только к тем ресурсам, которые относятся к данному кластеру.

— Разрешенные действия позволяет определить доступные операции для выбранных ресурсов:

Представление – отвечает за отображение ресурсов, т.е. их видимость для пользователя.

Пользование – позволяет использовать ресурс, без внесения в него изменений (например, использование ВМ, образа или виртуальной сети).

Управление – позволяет вносить изменения в ресурс (например, остановка ВМ, изменение ее ресурсов, изменение атрибута образа виртуального диска на «постоянный» и т.д.).

Администрирование – специальные операции (например, создание/удаление ролей, изменение параметров узлов и кластеров). Данные операции должны назначаться только пользователям с ролью администратора.

Создать – операции создания нового ресурса.

Подраздел Роли

Роли — это графическое представление интерфейса СГУ, которое видит конкретно взятый пользователь. Выступает в качестве дополнения к списку контроля и позволяет во избежание необдуманных действий со стороны пользователя, скрыть определенный функционал. Т.е. если настроек списка контроля недостаточно, есть возможность его дополнить.

Подраздел «Роли» имеет следующее окно интерфейса.

Рисунок 183 – Подраздел «Роли»

В ПК «Горизонт-ВС» реализован ролевой метод управления доступом с четырьмя ролями пользователей, которые создаются при установке Системы группового управления «Горизонт-ВС-СГУ»:

1. Администратор средства виртуализации (Admin) — Роль администратора средства виртуализации должна позволять:

— Создавать учетные записи пользователей средства виртуализации;

— Управлять учетными записями пользователей средства виртуализации;

— Назначать права доступа пользователям средства виртуализации к виртуальным машинам;

— Создавать и удалять виртуальное оборудование средства виртуализации;

— Изменять конфигурации виртуального оборудования средства виртуализации;

— Управлять доступом виртуальных машин к физическому и виртуальному оборудованию;

— Управлять квотами доступа виртуальных машин к физическому и виртуальному оборудованию;

— Управлять перемещением виртуальных машин;

— Удалять виртуальные машины;

— Запускать и останавливать виртуальные машины;

— Создавать снимки состояния виртуальных машин, включающих файл конфигурации виртуальной машины, образа виртуальной машины и образа памяти виртуальной машины.

Рисунок 184 – Окно интерфейса роли Admin

2. Администратор безопасности средства виртуализации (Security Admin) имеет доступ на чтение к журналу событий безопасности средства виртуализации и позволяет формировать отчеты с учетом заданных критериев отбора, выгрузку (экспорт) данных из журнала событий безопасности средства виртуализации.

Рисунок 185 – Окно интерфейса роли Security Admin

3. Администратор виртуальной машины (VM Admin) позволяет осуществлять доступ пользователя средства виртуализации к виртуальной машине посредством интерфейса средства виртуализации.

Рисунок 186 – Окно интерфейса роли VM Admin

4. Разработчик виртуальной машины (VM Developer) отвечает за отображение ресурсов, т.е. их видимость для пользователя.

Рисунок 187 – Окно интерфейса роли VM Developer