Administration des utilisateurs, des groupes et des droits d’accès user-group-and-access-rights-administration

Plusieurs thèmes sont associés à l’activation de l’accès à un référentiel CRX :

Les éléments de base sont les suivants :

Comptes d’utilisateur CRX authentifie l’accès en identifiant et en vérifiant un utilisateur (par l’intermédiaire de cette personne ou d’une autre application) en fonction des détails contenus dans le compte d’utilisateur.

Dans CRX, chaque compte utilisateur est un nœud dans l’espace de travail. Un compte utilisateur CRX possède les propriétés suivantes :

Comptes de groupe Les comptes de groupe sont des ensembles d’utilisateurs et/ou d’autres groupes. Ils sont utilisés pour simplifier la gestion, car toute modification des droits d’accès affectés à un groupe est appliquée automatiquement à tous les utilisateurs de ce groupe. Un utilisateur ne doit appartenir à aucun groupe, mais appartient souvent à plusieurs.

Dans CRX, un groupe possède les propriétés suivantes :

Droits d’accès CRX utilise des droits d’accès pour contrôler l’accès à des zones spécifiques du référentiel.

Cette opération est effectuée en affectant des autorisations pour autoriser ou refuser l’accès à une ressource (nœud ou chemin d’accès) dans le référentiel. Lorsque différentes autorisations peuvent être affectées, les droits d’accès doivent être évalués afin de déterminer la combinaison qui s’applique à la demande actuelle.

CRX permet de configurer les droits d’accès pour des comptes utilisateur et des comptes de groupe. Les mêmes principes de base de l'évaluation sont alors appliqués aux deux.

Évaluation des droits d’accès how-access-rights-are-evaluated

Sujets et entités subjects-and-principals

CRX utilise deux concepts clés lors de l’évaluation des droits d’accès :

Compilation de la liste des droits d’accès pour un objet compiling-the-list-of-access-rights-for-a-subject

Dans CRX, le sujet dépend de :

La liste des droits d'accès applicables au sujet est construite à partir :

Résolution des droits de demande et d’accès resolving-request-and-access-rights

Lorsque CRX gère la demande, il compare la demande d’accès du sujet à la liste de contrôle d’accès sur le noeud du référentiel :

Ainsi, si Linda demande de mettre à jour le nœud /features dans la structure de référentiel suivante :

Ordre de priorité order-of-precedence

Les droits d’accès dans CRX sont évalués comme suit :

En prenant deux exemples dans lesquels l’utilisateur aUser est membre du aGroup :

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
       + grandChildNode

Dans le cas ci-dessus :

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
         + ace: aUser - deny - write
       + grandChildNode

Dans ce cas :

Les droits d’accès provenant de plusieurs entités de groupe sont évalués en fonction de leur ordre, à la fois dans la hiérarchie et dans une seule liste de contrôle d’accès.

Bonnes pratiques best-practices

Le tableau ci-dessous contient des recommandations et bonnes pratiques :

Administration des utilisateurs user-administration

Une boîte de dialogue standard est utilisée pour l’administration des utilisateurs.

Vous devez être connecté à l’espace de travail approprié, puis vous pouvez accéder à la boîte de dialogue à partir des deux éléments suivants :

Propriétés.

Appartenance à un groupe Cela affiche tous les groupes auxquels le compte appartient. La colonne Hérité indique l’appartenance héritée en raison de l’appartenance à un autre groupe.

Si vous cliquez sur un ID de groupe (le cas échéant), l’Administration des groupes s’affiche pour ce groupe.

Emprunteurs d’identité La fonction Emprunter l’identité permet à un utilisateur ou une utilisatrice de travailler sous le nom d’un(e) autre.

Cela signifie qu’un compte utilisateur peut spécifier d’autres comptes (utilisateur ou groupe) compatibles avec son compte. En d’autres termes, si l’utilisateur B est autorisé à emprunter l’identité de l’utilisateur A, l’utilisateur B peut agir à l’aide des détails du compte utilisateur (dont l’ID, le nom et les droits d’accès) de l’utilisateur A.

Cela permet aux comptes d’emprunteur d’identité d’effectuer des tâches comme s’ils utilisaient le compte qu’ils empruntaient ; par exemple, lors d’une absence ou pour partager une charge excessive à court terme.

Si un compte emprunte l’identité d’un autre compte, il est très difficile de s’en rendre compte. Les fichiers journaux ne contiennent pas d’informations sur le fait que l’emprunt de l’identité s’est produit lors des événements. Ainsi, si l’utilisateur B emprunte l’identité de l’utilisateur A, tous les événements sembleront avoir été effectués par l’utilisateur A personnellement.

Création d’un compte d’utilisateur creating-a-user-account

Mise à jour d’un compte d’utilisateur updating-a-user-account

Suppression d’un compte d’utilisateur removing-a-user-account

Définition des propriétés defining-properties

Vous pouvez définir Propriétés pour les comptes nouveaux ou existants :

Les propriétés existantes peuvent être supprimées avec le symbole de la corbeille.

A l'exception du mot de passe, les propriétés ne peuvent pas être modifiées, elles doivent être supprimées et recréées.

Modification du mot de passe changing-the-password

Le Mot de passe est une propriété spéciale qui peut être modifiée en cliquant sur la propriété Modifier le mot de passe lien.

Vous pouvez également modifier le mot de passe de votre propre compte utilisateur à partir du Sécurité dans l’Explorateur CRX.

Définition d’un personnage defining-an-impersonator

Vous pouvez définir des personnalisateurs pour les comptes nouveaux ou existants :

Administration des groupes group-administration

Une boîte de dialogue standard est utilisée pour Administration des groupes.

Vous devez être connecté à l’espace de travail approprié, puis vous pouvez accéder à la boîte de dialogue à partir des deux éléments suivants :

Propriétés.

Appartenance à un groupe Cela affiche tous les groupes auxquels appartient le compte de groupe actuel. La colonne Hérité indique l’appartenance héritée en raison de l’appartenance à un autre groupe.

Si vous cliquez sur un ID de groupe, la boîte de dialogue pour ce groupe s’affiche.

Membres Répertorie tous les comptes (utilisateurs et/ou groupes) qui sont membres du groupe actuel.

Le Hérité indique l’appartenance héritée suite à l’appartenance à un autre groupe.

Création d’un compte de groupe creating-a-group-account

Mise à jour d’un compte de groupe updating-a-group-account

Suppression d’un compte de groupe removing-a-group-account

Définition des propriétés defining-properties-1

Vous pouvez définir des Propriétés pour les comptes nouveaux ou existants :

Les propriétés existantes peuvent être supprimées avec le symbole de la corbeille.

Membres members

Vous pouvez ajouter des membres au groupe actuel :

Vous pouvez également supprimer un membre existant avec le symbole de la corbeille.

Gestion des droits d’accès access-right-management

Grâce à l’onglet Contrôle d’accès de CRXDE Lite, vous pouvez définir des stratégies de contrôle d’accès et affecter les autorisations associées.

Par exemple, pour Chemin d’accès actuel, sélectionnez la ressource nécessaire dans le volet de gauche, l’onglet Contrôle d’accès dans le volet inférieur droit :

Les stratégies sont classées en fonction des éléments suivants :

Sélection d’une stratégie policy-selection

Les stratégies peuvent être sélectionnées pour les éléments suivants :

Autorisations privileges

Les autorisations ci-dessous peuvent être sélectionnées lors de l’ajout d’une entrée de contrôle d’accès (pour plus d’informations, voir API de sécurité) :

Enregistrement de nouvelles autorisations registering-new-privileges

Vous pouvez également enregistrer de nouvelles autorisations :

Ajout d’une entrée de contrôle d’accès adding-an-access-control-entry

CRX valide votre sélection ; pour un principal donné, il existe (au plus) 1 entrée de refus et 1 entrée d’autorisation sur un nœud donné. La mise en œuvre efface toujours les entrées redondantes et s’assure que les mêmes autorisations ne figurent pas à la fois dans les entrées d’autorisation et de refus.

Ordre des stratégies de contrôle d’accès locales ordering-local-access-control-policies

L’ordre dans la liste indique l’ordre dans lequel les stratégies sont appliquées.

Suppression d’une stratégie de contrôle d’accès removing-an-access-control-policy

Test d’une stratégie de contrôle d’accès testing-an-access-control-policy