Amministrazione di diritti di accesso, gruppi e utenti user-group-and-access-rights-administration

L'abilitazione dell'accesso a un archivio CRX prevede diversi argomenti:

Gli elementi di base sono i seguenti:

Account utente CRX autentica l'accesso identificando e verificando un utente (da quella persona o un'altra applicazione) in base ai dettagli contenuti nell'account utente.

In CRX ogni account utente è un nodo nell'area di lavoro. Un account utente CRX ha le seguenti proprietà:

Account di gruppo Gli account di gruppo sono raccolte di utenti e/o di altri gruppi. Questi vengono utilizzati per semplificare la gestione in quanto una modifica dei diritti di accesso assegnati a un gruppo viene applicata automaticamente a tutti gli utenti di quel gruppo. Un utente non deve appartenere ad alcun gruppo, ma spesso appartiene a diversi.

In CRX un gruppo ha le seguenti proprietà:

Diritti di accesso CRX utilizza i diritti di accesso per controllare l'accesso a specifiche aree dell'archivio.

Questo viene fatto assegnando privilegi per consentire o negare l’accesso a una risorsa (nodo o percorso) nell’archivio. Poiché è possibile assegnare vari privilegi, questi devono essere valutati per determinare quale combinazione è applicabile alla richiesta corrente.

CRX ti consente di configurare i diritti di accesso per gli account utente e per i gruppi. Gli stessi principi di valutazione di base sono poi applicati a entrambi.

Valutazione dei diritti di accesso how-access-rights-are-evaluated

Argomenti e Principali subjects-and-principals

CRX utilizza due concetti chiave durante la valutazione dei diritti di accesso:

Compilazione dell'elenco dei diritti di accesso per un soggetto compiling-the-list-of-access-rights-for-a-subject

In CRX il soggetto dipende da:

L'elenco dei diritti di accesso applicabili all'oggetto è costituito da:

Risoluzione dei diritti di richiesta e di accesso resolving-request-and-access-rights

Quando CRX gestisce la richiesta confronta la richiesta di accesso dall'oggetto con l'elenco di controllo accessi sul nodo del repository:

Quindi se Linda richiede di aggiornare la /features nodo nella seguente struttura del repository:

Ordine di precedenza order-of-precedence

I diritti di accesso in CRX sono valutati come segue:

Due esempi in cui l’utente aUser è membro del gruppo aGroup:

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
       + grandChildNode

Nel caso di cui sopra:

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
         + ace: aUser - deny - write
       + grandChildNode

In questo caso:

I diritti di accesso da più entità di gruppo vengono valutati in base al loro ordine, sia all'interno della gerarchia che all'interno di un unico elenco di controllo di accesso.

Best practice best-practices

Nella tabella seguente sono elencati alcuni consigli e best practice:

Amministrazione utente user-administration

Viene utilizzata una finestra di dialogo standard per Amministrazione utente.

Devi aver effettuato l’accesso all’area di lavoro appropriata, quindi puoi accedere alla finestra di dialogo da entrambi:

Proprietà

Iscrizione al gruppo Vengono visualizzati tutti i gruppi a cui appartiene l’account. La colonna Ereditato indica l'appartenenza ereditata a seguito dell'appartenenza di un altro gruppo.

Facendo clic su un GroupID (se disponibile) si aprirà la Amministrazione dei gruppi per quel gruppo.

Impersonatori La funzionalità Impersona permette a un utente di lavorare a nome di un altro utente.

Ciò significa che un account utente può specificare altri account (utente o gruppo) che possono funzionare con il proprio account. In altre parole, se l’utente-B può rappresentare l’utente-A, l’utente-B può intraprendere azioni utilizzando i dettagli account completi dell’utente-A (inclusi ID, nome e diritti di accesso).

Ciò consente agli account dell’impersonatore di completare le attività come se utilizzassero l’account che stanno impersonando; ad esempio, durante un'assenza o per condividere un carico eccessivo a breve termine.

Se un account ne impersona un altro è molto difficile da vedere. I file di registro non contengono informazioni sul fatto che si è verificata una rappresentazione sugli eventi. Quindi, se l’utente-B rappresenta l’utente-A, tutti gli eventi avranno l’aspetto di come se fossero stati eseguiti personalmente dall’utente-A.

Creazione di un account utente creating-a-user-account

Aggiornamento di un account utente updating-a-user-account

Rimozione di un account utente removing-a-user-account

Definizione delle proprietà defining-properties

Puoi definire Proprietà per i conti nuovi o esistenti:

Le proprietà esistenti possono essere eliminate con il simbolo del cestino.

Ad eccezione della password, le proprietà non possono essere modificate, devono essere eliminate e ricreati.

Modifica della password changing-the-password

La Password è una proprietà speciale che può essere modificata facendo clic sul pulsante Modifica password link.

Puoi anche modificare la password del tuo account utente dal Sicurezza in CRX Explorer.

Definizione di un impersonatore defining-an-impersonator

Puoi definire gli utenti impersonatori per account nuovi o esistenti:

Amministrazione dei gruppi group-administration

Viene utilizzata una finestra di dialogo standard per Amministrazione dei gruppi.

Devi aver effettuato l’accesso all’area di lavoro appropriata, quindi puoi accedere alla finestra di dialogo da entrambi:

Proprietà

Iscrizione al gruppo Vengono visualizzati tutti i gruppi a cui appartiene l'account del gruppo corrente. La colonna Ereditato indica l'appartenenza ereditata a seguito dell'appartenenza di un altro gruppo.

Facendo clic su un GroupID si aprirà la finestra di dialogo relativa a tale gruppo.

Membri Elenca tutti gli account (utenti e/o gruppi) che sono membri del gruppo corrente.

La Ereditato colonna indica l'appartenenza ereditata a seguito dell'appartenenza di un altro gruppo.

Creazione di un account di gruppo creating-a-group-account

Aggiornamento di un account di gruppo updating-a-group-account

Rimozione di un account di gruppo removing-a-group-account

Definizione delle proprietà defining-properties-1

Puoi definire le Proprietà per account nuovi o esistenti:

Le proprietà esistenti possono essere eliminate con il simbolo del cestino.

Membri members

È possibile aggiungere membri al gruppo corrente:

Oppure eliminare un membro esistente con il simbolo del cestino.

Accesso alla gestione dei diritti access-right-management

Con la Controllo degli accessi è possibile definire i criteri di controllo accessi e assegnare i relativi privilegi tramite la scheda di CRXDE Lite.

Ad esempio, Percorso corrente seleziona la risorsa richiesta nel riquadro a sinistra, nella scheda Controllo accesso del riquadro in basso a destra:

Le politiche sono classificate in base a:

Selezione criteri policy-selection

I criteri possono essere selezionati per:

Privilegi privileges

Sono disponibili i seguenti privilegi per la selezione quando si aggiunge una voce di controllo di accesso (consulta la sezione API di sicurezza per maggiori dettagli):

Registrazione di nuovi privilegi registering-new-privileges

È inoltre possibile registrare nuovi privilegi:

Aggiunta di una voce di controllo di accesso adding-an-access-control-entry

CRX convalida la tua selezione; per un dato entità principale esiste (al massimo) 1 negazione e 1 permette l'ingresso su un dato nodo. L'implementazione cancella sempre le voci ridondanti e si assicura che lo stesso privilegio non sia elencato sia nelle voci allow che deny.

Ordinamento dei criteri di controllo accessi locali ordering-local-access-control-policies

L'ordine nell'elenco indica l'ordine in cui vengono applicati i criteri.

Rimozione di un criterio di controllo degli accessi removing-an-access-control-policy

Verifica di un criterio di controllo degli accessi testing-an-access-control-policy