Administration des utilisateurs, des utilisatrices, des groupes et des droits d’accès user-group-and-access-rights-administration

Plusieurs thèmes sont associés à l’activation de l’accès à un référentiel CRX :

Les éléments de base sont les suivants :

Comptes utilisateur  : CRX authentifie l’accès en identifiant et en vérifiant un utilisateur ou une utilisatrice (par l’intermédiaire de cette personne ou d’une autre application) en fonction des détails contenus dans le compte utilisateur.

Dans CRX, chaque compte utilisateur est un nœud dans l’espace de travail. Un compte d’utilisateur CRX possède les propriétés suivantes :

Comptes de groupe  : les comptes de groupe sont des ensembles d’utilisateurs et utilisatrices et/ou d’autres groupes. Ils sont utilisés pour simplifier la gestion, car toute modification des droits d’accès affectés à un groupe est appliquée automatiquement à tous les utilisateurs de ce groupe. Un utilisateur ou une utilisatrice n’a pas l’obligation d’appartenir à un groupe, mais il ou elle appartient souvent à plusieurs groupes.

Dans CRX, un groupe possède les propriétés suivantes :

Droits d’accès  : CRX utilise des droits d’accès pour contrôler l’accès à des zones spécifiques du référentiel.

Cette opération est effectuée en affectant des autorisations pour autoriser ou refuser l’accès à une ressource (nœud ou chemin d’accès) dans le référentiel. Lorsque différentes autorisations peuvent être affectées, les droits d’accès doivent être évalués afin de déterminer la combinaison qui s’applique à la demande actuelle.

CRX permet de configurer les droits d’accès pour des comptes utilisateur et des comptes de groupe. Les mêmes principes de base d’évaluation sont alors appliqués aux deux.

Évaluation des droits d’accès how-access-rights-are-evaluated

Sujets et entités subjects-and-principals

CRX utilise deux concepts clés lors de l’évaluation des droits d’accès :

Compilation de la liste des droits d’accès pour un sujet compiling-the-list-of-access-rights-for-a-subject

Dans CRX, le sujet dépend de :

La liste des droits d’accès applicables au sujet est établie à partir :

Résolution des demandes et des droits d’accès resolving-request-and-access-rights

Lorsque CRX gère la demande, il compare la demande d’accès du sujet à la liste de contrôle d’accès sur le nœud du référentiel :

Ainsi, si Linda demande de mettre à jour le nœud /features dans la structure de référentiel suivante :

Ordre de priorité order-of-precedence

Les droits d’accès dans CRX sont évalués comme suit :

En prenant deux exemples dans lesquels l’utilisateur aUser est membre du aGroup :

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
       + grandChildNode

Dans le cas ci-dessus :

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
         + ace: aUser - deny - write
       + grandChildNode

Dans ce cas :

Les droits d’accès provenant de plusieurs entités de groupe sont évalués en fonction de leur ordre, à la fois dans la hiérarchie et dans une seule liste de contrôle d’accès.

Bonnes pratiques best-practices

Le tableau ci-dessous contient des recommandations et bonnes pratiques :

Administration des utilisateurs user-administration

Une boîte de dialogue standard est utilisée pour l’administration des utilisateurs.

Vous devez être connecté(e) à l’espace de travail approprié, puis vous pouvez accéder à la boîte de dialogue à partir :

Propriétés

Appartenance à un groupe

Tous les groupes auxquels appartient le compte s’affichent. La colonne Hérité indique l’appartenance héritée en raison de l’appartenance à un autre groupe.

Si vous cliquez sur un ID de groupe (le cas échéant), l’Administration des groupes s’affiche pour ce groupe.

Emprunteurs d’identité

La fonction Emprunter l’identité permet à un utilisateur ou une utilisatrice de travailler sous le nom d’un(e) autre.

Cela signifie qu’un compte d’utilisateur peut spécifier d’autres comptes (utilisateur, utilisatrice ou groupe) compatibles avec son compte. En d’autres termes, si la personne B est autorisée à emprunter l’identité de la personne A, la personne B peut agir à l’aide des détails du compte utilisateur (dont l’ID, le nom et les droits d’accès) de la personne A.

Cela permet aux comptes d’emprunteur d’identité d’effectuer des tâches comme s’ils utilisaient le compte qu’ils empruntaient. Par exemple, lors d’une absence ou pour partager une charge excessive à court terme.

Si un compte emprunte l’identité d’un autre compte, il est très difficile de s’en rendre compte. Les fichiers journaux ne contiennent pas d’informations sur le fait que l’emprunt de l’identité s’est produit lors des événements. Ainsi, si la personne B emprunte l’identité de la personne A, tous les événements peuvent sembler avoir été effectués personnellement par la personne A.

Création d’un compte d’utilisateur creating-a-user-account

Mise à jour d’un compte d’utilisateur updating-a-user-account

Suppression d’un compte d’utilisateur removing-a-user-account

Définition des propriétés defining-properties

Vous pouvez définir des propriétés pour les comptes nouveaux ou existants :

Les propriétés existantes peuvent être supprimées avec le symbole de la corbeille.

À l’exception du mot de passe, les propriétés ne peuvent pas être modifiées. Elles doivent être supprimées et recréées.

Modification du mot de passe changing-the-password

Le mot de passe est une propriété spéciale qui peut être modifiée en cliquant sur le lien Modifier le mot de passe.

Vous pouvez également modifier le mot de passe de votre propre compte d’utilisateur à partir du menu Sécurité dans l’Explorateur CRX.

Définition d’un emprunteur d’identité defining-an-impersonator

Vous pouvez définir des emprunteurs d’identité pour les comptes nouveaux ou existants :

Administration des groupes group-administration

Une boîte de dialogue standard est utilisée pour l’administration des groupes.

Vous devez être connecté(e) à l’espace de travail approprié, puis vous pouvez accéder à la boîte de dialogue à partir :

Propriétés

Appartenance à un groupe

Tous les groupes auxquels appartient le compte s’affichent. La colonne Hérité indique l’appartenance héritée en raison de l’appartenance à un autre groupe.

Cliquer sur un ID de groupe ouvre la boîte de dialogue correspondante.

Membres

Répertorie tous les comptes (utilisateurs, utilisatrices et/ou groupes) qui sont membres du groupe actuel.

La colonne Hérité indique l’appartenance héritée en raison de l’appartenance à un autre groupe.

Création d’un compte de groupe creating-a-group-account

Mise à jour d’un compte de groupe updating-a-group-account

Suppression d’un compte de groupe removing-a-group-account

Définition des propriétés defining-properties-1

Vous pouvez définir des propriétés pour les comptes nouveaux ou existants :

Les propriétés existantes peuvent être supprimées avec le symbole de la corbeille.

Membres members

Vous pouvez ajouter des membres au groupe actuel :

Vous pouvez également supprimer un membre existant avec le symbole de la corbeille.

Gestion des droits d’accès access-right-management

Grâce à l’onglet Contrôle d’accès de CRXDE Lite, vous pouvez définir des politiques de contrôle d’accès et affecter les autorisations associées.

Par exemple, pour Chemin d’accès actuel, sélectionnez la ressource requise dans le volet de gauche, l’onglet Contrôle d’accès dans le volet inférieur droit :

Les politiques sont classées en fonction des éléments suivants :

Sélection d’une politique policy-selection

Les politiques peuvent être sélectionnées pour les éléments suivants :

Autorisations privileges

Les autorisations ci-dessous peuvent être sélectionnées lors de l’ajout d’une entrée de contrôle d’accès (pour plus d’informations, voir API de sécurité) :

Enregistrement de nouvelles autorisations registering-new-privileges

Vous pouvez également enregistrer de nouvelles autorisations :

Ajout d’une entrée de contrôle d’accès adding-an-access-control-entry

CRX valide votre sélection ; pour un principal donné, il existe (au plus) une entrée de refus et une entrée d’autorisation sur un nœud donné. La mise en œuvre efface toujours les entrées redondantes et s’assure que les mêmes autorisations ne figurent pas à la fois dans les entrées d’autorisation et de refus.

Ordre des politiques de contrôle d’accès locales ordering-local-access-control-policies

L’ordre dans la liste indique l’ordre dans lequel les politiques sont appliquées.

Suppression d’une politique de contrôle d’accès removing-an-access-control-policy

Test d’une politique de contrôle d’accès testing-an-access-control-policy