Amministrazione di utenti, gruppi e diritti di accesso user-group-and-access-rights-administration

L’abilitazione dell’accesso a un archivio CRX prevede diversi argomenti:

Gli elementi di base sono:

Account utente - CRX autentica l'accesso identificando e verificando un utente (tramite una persona o un'altra applicazione) in base ai dettagli contenuti nell'account utente.

In CRX, ogni account utente è un nodo nell’area di lavoro. Un account utente di CRX dispone delle seguenti proprietà:

Account gruppo - Gli account gruppo sono insiemi di utenti e/o altri gruppi. Questi vengono utilizzati per semplificare la gestione in quanto una modifica dei diritti di accesso assegnati a un gruppo viene applicata automaticamente a tutti gli utenti di tale gruppo. Un utente non deve necessariamente appartenere a nessun gruppo, ma spesso appartiene a più gruppi.

In CRX, un gruppo ha le seguenti proprietà:

Diritti di accesso - CRX utilizza i diritti di accesso per controllare l'accesso ad aree specifiche dell'archivio.

Questa operazione viene eseguita assegnando i privilegi per consentire o negare l’accesso a una risorsa (nodo o percorso) nell’archivio. Poiché è possibile assegnare vari privilegi, questi devono essere valutati per determinare quale combinazione è applicabile alla richiesta corrente.

CRX consente di configurare i diritti di accesso sia per gli account utente che per quelli di gruppo. Gli stessi principi di base di valutazione sono poi applicati a entrambi.

Valutazione dei diritti di accesso how-access-rights-are-evaluated

Soggetti e oggetti principali subjects-and-principals

CRX utilizza due concetti chiave per valutare i diritti di accesso:

Compilazione dell'elenco dei diritti di accesso per un oggetto compiling-the-list-of-access-rights-for-a-subject

In CRX, l’argomento dipende da:

L’elenco dei diritti di accesso applicabili al soggetto è costituito da:

Risoluzione di richieste e diritti di accesso resolving-request-and-access-rights

Quando CRX gestisce la richiesta, confronta la richiesta di accesso dal soggetto con l’elenco di controllo di accesso sul nodo dell’archivio:

Pertanto, se Linda richiede di aggiornare il nodo /features nella seguente struttura dell'archivio:

Ordine di precedenza order-of-precedence

I diritti di accesso in CRX vengono valutati come segue:

Prendendo due esempi in cui l'utente aUser è membro del gruppo aGroup:

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
       + grandChildNode

Nel caso di cui sopra:

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
         + ace: aUser - deny - write
       + grandChildNode

In questo caso:

I diritti di accesso di più entità di gruppo vengono valutati in base al loro ordine, sia all'interno della gerarchia che all'interno di un singolo elenco di controllo di accesso.

Best practice best-practices

La tabella seguente elenca alcuni consigli e best practice:

Amministrazione utente user-administration

Viene utilizzata una finestra di dialogo standard per Amministrazione utenti.

Devi aver effettuato l’accesso all’area di lavoro appropriata, quindi puoi accedere alla finestra di dialogo da entrambi:

Proprietà

Appartenenza al gruppo

In questo modo vengono visualizzati tutti i gruppi a cui appartiene l’account. La colonna Ereditato indica l'appartenenza ereditata a seguito dell'appartenenza a un altro gruppo.

Facendo clic su un GroupID (se disponibile) si apre Group Administration per quel gruppo.

Impersonatori

Con la funzionalità Impersona un utente può lavorare per conto di un altro utente.

Ciò significa che un account utente può specificare altri account (utente o gruppo) che possono operare con il proprio account. In altre parole, se l’utente B può rappresentare l’utente A, allora l’utente B può agire utilizzando i dettagli completi dell’account dell’utente A (inclusi ID, nome e diritti di accesso).

Questo consente agli account di rappresentazione di completare le attività come se stessero utilizzando l’account che impersonano; ad esempio, durante un’assenza o per condividere un carico eccessivo a breve termine.

Se un account ne rappresenta un altro, è difficile visualizzarlo. I file di registro non contengono informazioni sul fatto che la rappresentazione si sia verificata sugli eventi. Pertanto, se l’utente B rappresenta l’utente A, tutti gli eventi possono avere l’aspetto di essere eseguiti personalmente dall’utente A.

Creazione di un account utente creating-a-user-account

Aggiornamento di un account utente updating-a-user-account

Rimozione di un account utente removing-a-user-account

Definizione delle proprietà defining-properties

Puoi definire Proprietà per account nuovi o esistenti:

Le proprietà esistenti possono essere eliminate con il simbolo del cestino.

Ad eccezione della password, le proprietà non possono essere modificate, devono essere eliminate e ricreate.

Modifica della password changing-the-password

La password è una proprietà speciale che può essere modificata facendo clic sul collegamento Cambia password.

Puoi anche modificare la password per il tuo account utente dal menu Sicurezza in Esplora risorse di CRX.

Definizione di una rappresentazione defining-an-impersonator

Puoi definire gli impersonatori per account nuovi o esistenti:

Amministrazione gruppo group-administration

Finestra di dialogo standard utilizzata per Amministrazione gruppo.

Devi aver effettuato l’accesso all’area di lavoro appropriata, quindi puoi accedere alla finestra di dialogo da entrambi:

Proprietà

Appartenenza al gruppo

In questo modo vengono visualizzati tutti i gruppi a cui appartiene il conto di gruppo corrente. La colonna Ereditato indica l'appartenenza ereditata a seguito dell'appartenenza a un altro gruppo.

Se si fa clic su un GroupID, viene visualizzata la finestra di dialogo relativa a tale gruppo.

Membri

Elenca tutti gli account (utenti e/o gruppi) che sono membri del gruppo corrente.

La colonna Ereditato indica l'appartenenza ereditata come risultato dell'appartenenza a un altro gruppo.

Creazione di un account di gruppo creating-a-group-account

Aggiornamento di un account di gruppo updating-a-group-account

Rimozione di un account di gruppo removing-a-group-account

Definizione delle proprietà defining-properties-1

Puoi definire le Proprietà per account nuovi o esistenti:

Le proprietà esistenti possono essere eliminate con il simbolo del cestino.

Membri members

È possibile aggiungere membri al gruppo corrente:

In alternativa, eliminare un membro esistente con il simbolo del cestino.

Gestione diritti di accesso access-right-management

Con la scheda Controllo di accesso di CRXDE Lite, puoi definire i criteri di controllo di accesso e assegnare i relativi privilegi.

Ad esempio, per Percorso corrente selezionare la risorsa richiesta nel riquadro sinistro, la scheda Controllo di accesso nel riquadro inferiore destro:

I criteri sono suddivisi in categorie in base a:

Selezione criteri policy-selection

I criteri possono essere selezionati per:

Privilegi privileges

Durante l'aggiunta di una voce di controllo di accesso è possibile selezionare i privilegi seguenti (per informazioni dettagliate, vedere l'API di protezione):

Registrazione di nuovi privilegi registering-new-privileges

È inoltre possibile registrare nuovi privilegi:

Aggiunta di una voce di controllo di accesso adding-an-access-control-entry

CRX convalida la selezione; per un determinato utente/gruppo/ruolo esiste (al massimo) un elemento deny e uno allow entry su un determinato nodo. L’implementazione cancella sempre le voci ridondanti e si assicura che lo stesso privilegio non sia elencato sia nelle voci consentite che in quelle negate.

Ordinamento dei criteri di controllo dell'accesso locale ordering-local-access-control-policies

L’ordine nell’elenco indica l’ordine in cui vengono applicati i criteri.

Rimozione di un criterio di controllo di accesso removing-an-access-control-policy

Verifica di un criterio di controllo degli accessi testing-an-access-control-policy