Amministrazione di utenti, gruppi e diritti di accesso user-group-and-access-rights-administration

L’abilitazione dell’accesso a un archivio CRX prevede diversi argomenti:

Gli elementi di base sono:

Account utente - CRX autentica l’accesso identificando e verificando un utente (tramite tale persona o altra applicazione) in base ai dettagli presenti nell’account utente.

In CRX, ogni account utente è un nodo nell’area di lavoro. Un account utente CRX dispone delle seguenti proprietà:

Account di gruppo - Gli account di gruppo sono insiemi di utenti e/o altri gruppi. Questi vengono utilizzati per semplificare la gestione in quanto una modifica dei diritti di accesso assegnati a un gruppo viene applicata automaticamente a tutti gli utenti di tale gruppo. Un utente non deve necessariamente appartenere a nessun gruppo, ma spesso appartiene a più gruppi.

In CRX, un gruppo ha le seguenti proprietà:

Diritti di accesso - CRX utilizza i diritti di accesso per controllare l’accesso ad aree specifiche dell’archivio.

Questa operazione viene eseguita assegnando i privilegi per consentire o negare l’accesso a una risorsa (nodo o percorso) nell’archivio. Poiché è possibile assegnare vari privilegi, questi devono essere valutati per determinare quale combinazione è applicabile alla richiesta corrente.

CRX consente di configurare i diritti di accesso sia per gli account utente che per quelli di gruppo. Gli stessi principi di base di valutazione sono poi applicati a entrambi.

Valutazione dei diritti di accesso how-access-rights-are-evaluated

Soggetti e oggetti principali subjects-and-principals

CRX utilizza due concetti chiave per valutare i diritti di accesso:

Compilazione dell'elenco dei diritti di accesso per un oggetto compiling-the-list-of-access-rights-for-a-subject

In CRX, il soggetto dipende da:

L’elenco dei diritti di accesso applicabili al soggetto è costituito da:

Risoluzione di richieste e diritti di accesso resolving-request-and-access-rights

Quando CRX gestisce la richiesta, confronta la richiesta di accesso dal soggetto con l’elenco di controllo di accesso sul nodo dell’archivio:

Quindi, se Linda richiede di aggiornare /features nella seguente struttura dell’archivio:

Ordine di precedenza order-of-precedence

I diritti di accesso in CRX vengono valutati come segue:

Prendendo due esempi in cui l'utente aUser è membro del gruppo aGroup:

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
       + grandChildNode

Nel caso di cui sopra:

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
         + ace: aUser - deny - write
       + grandChildNode

In questo caso:

I diritti di accesso di più entità di gruppo vengono valutati in base al loro ordine, sia all'interno della gerarchia che all'interno di un singolo elenco di controllo di accesso.

Best practice best-practices

La tabella seguente elenca alcuni consigli e best practice:

Amministrazione utente user-administration

Una finestra di dialogo standard viene utilizzata per Amministrazione utente.

Devi aver effettuato l’accesso all’area di lavoro appropriata, quindi puoi accedere alla finestra di dialogo da entrambi:

Proprietà

Appartenenza al gruppo

In questo modo vengono visualizzati tutti i gruppi a cui appartiene l’account. La colonna Ereditato indica l'appartenenza ereditata a seguito dell'appartenenza a un altro gruppo.

Facendo clic su un GroupID (se disponibile) si apre il Amministrazione gruppo per quel gruppo.

Impersonatori

Con la funzionalità Impersona un utente può lavorare per conto di un altro utente.

Ciò significa che un account utente può specificare altri account (utente o gruppo) che possono operare con il proprio account. In altre parole, se l’utente B può rappresentare l’utente A, allora l’utente B può agire utilizzando i dettagli completi dell’account dell’utente A (inclusi ID, nome e diritti di accesso).

Questo consente agli account di rappresentazione di completare le attività come se stessero utilizzando l’account che impersonano; ad esempio, durante un’assenza o per condividere un carico eccessivo a breve termine.

Se un account ne rappresenta un altro, è difficile visualizzarlo. I file di registro non contengono informazioni sul fatto che la rappresentazione si sia verificata sugli eventi. Pertanto, se l’utente B rappresenta l’utente A, tutti gli eventi possono avere l’aspetto di essere eseguiti personalmente dall’utente A.

Creazione di un account utente creating-a-user-account

Aggiornamento di un account utente updating-a-user-account

Rimozione di un account utente removing-a-user-account

Definizione delle proprietà defining-properties

Puoi definire Proprietà per gli account nuovi o esistenti:

Le proprietà esistenti possono essere eliminate con il simbolo del cestino.

Ad eccezione della password, le proprietà non possono essere modificate, devono essere eliminate e ricreate.

Modifica della password changing-the-password

Il Password è una proprietà speciale che può essere modificata facendo clic sul pulsante Cambia password collegamento.

Puoi anche modificare la password del tuo account utente da Sicurezza in CRX Explorer.

Definizione di una rappresentazione defining-an-impersonator

Puoi definire gli impersonatori per account nuovi o esistenti:

Amministrazione gruppo group-administration

Una finestra di dialogo standard viene utilizzata per Amministrazione gruppo.

Devi aver effettuato l’accesso all’area di lavoro appropriata, quindi puoi accedere alla finestra di dialogo da entrambi:

Proprietà

Appartenenza al gruppo

In questo modo vengono visualizzati tutti i gruppi a cui appartiene il conto di gruppo corrente. La colonna Ereditato indica l'appartenenza ereditata a seguito dell'appartenenza a un altro gruppo.

Se si fa clic su un GroupID, viene visualizzata la finestra di dialogo relativa a tale gruppo.

Membri

Elenca tutti gli account (utenti e/o gruppi) che sono membri del gruppo corrente.

Il Ereditato la colonna indica l'appartenenza ereditata in seguito all'appartenenza a un altro gruppo.

Creazione di un account di gruppo creating-a-group-account

Aggiornamento di un account di gruppo updating-a-group-account

Rimozione di un account di gruppo removing-a-group-account

Definizione delle proprietà defining-properties-1

Puoi definire le Proprietà per account nuovi o esistenti:

Le proprietà esistenti possono essere eliminate con il simbolo del cestino.

Membri members

È possibile aggiungere membri al gruppo corrente:

In alternativa, eliminare un membro esistente con il simbolo del cestino.

Gestione diritti di accesso access-right-management

Con il Controllo dell’accesso di CRXDE Liti, è possibile definire i criteri di controllo di accesso e assegnare i relativi privilegi.

Ad esempio, per Percorso corrente seleziona la risorsa richiesta nel riquadro a sinistra, la scheda Controllo di accesso nel riquadro in basso a destra:

I criteri sono suddivisi in categorie in base a:

Selezione criteri policy-selection

I criteri possono essere selezionati per:

Privilegi privileges

Quando si aggiunge una voce di controllo di accesso, è possibile selezionare i seguenti privilegi (vedere API di sicurezza per maggiori informazioni:

Registrazione di nuovi privilegi registering-new-privileges

È inoltre possibile registrare nuovi privilegi:

Aggiunta di una voce di controllo di accesso adding-an-access-control-entry

CRX convalida la selezione; per un determinato utente/gruppo/ruolo esiste (al massimo) un elemento deny e uno allow entry su un determinato nodo. L’implementazione cancella sempre le voci ridondanti e si assicura che lo stesso privilegio non sia elencato sia nelle voci consentite che in quelle negate.

Ordinamento dei criteri di controllo dell'accesso locale ordering-local-access-control-policies

L’ordine nell’elenco indica l’ordine in cui vengono applicati i criteri.

Rimozione di un criterio di controllo di accesso removing-an-access-control-policy

Verifica di un criterio di controllo degli accessi testing-an-access-control-policy