사용자, 그룹 및 액세스 권한 관리 user-group-and-access-rights-administration

CRX 저장소에 대한 액세스 활성화에는 다음과 같은 몇 가지 주제가 포함됩니다.

기본 요소는 다음과 같습니다.

사용자 계정 - CRX은 사용자 계정에 보관된 세부 정보에 따라 사용자(해당 사용자 또는 다른 애플리케이션)를 식별하고 확인하여 액세스를 인증합니다.

CRX에서 모든 사용자 계정은 작업 영역의 노드입니다. CRX 사용자 계정에는 다음 속성이 있습니다.

그룹 계정 - 그룹 계정은 사용자 및/또는 다른 그룹의 컬렉션입니다. 그룹에 할당된 액세스 권한의 변경 사항이 해당 그룹의 모든 사용자에게 자동으로 적용되므로 관리를 단순화하는 데 사용됩니다. 사용자는 어떤 그룹에도 속할 필요는 없지만 여러 그룹에 속하는 경우가 많습니다.

CRX에서 그룹은 다음 속성을 갖습니다.

액세스 권한 - CRX은 액세스 권한을 사용하여 저장소의 특정 영역에 대한 액세스를 제어합니다.

이 작업은 저장소의 리소스(노드 또는 경로)에 대한 액세스를 허용 또는 거부하는 권한을 할당함으로써 수행됩니다. 다양한 권한을 지정할 수 있으므로 현재 요청에 적용할 수 있는 조합을 결정하기 위해 권한을 평가해야 합니다.

CRX을 사용하면 사용자 및 그룹 계정 모두에 대한 액세스 권한을 구성할 수 있습니다. 그런 다음 동일한 기본 평가 원칙이 양쪽 모두에 적용됩니다.

액세스 권한 평가 방법 how-access-rights-are-evaluated

주체 및 주체 subjects-and-principals

CRX은 액세스 권한을 평가할 때 두 가지 주요 개념을 사용합니다.

제목에 대한 액세스 권한 목록 컴파일 compiling-the-list-of-access-rights-for-a-subject

CRX에서 제목은 다음에 따라 다릅니다.

주제에 적용할 수 있는 액세스 권한 목록은 다음 위치에서 구성됩니다.

요청 및 액세스 권한 해결 resolving-request-and-access-rights

CRX은 요청을 처리할 때 주체의 액세스 요청을 저장소 노드의 액세스 제어 목록과 비교합니다.

따라서 Linda가 다음 저장소 구조의 /features 노드 업데이트를 요청하는 경우:

우선 순위 order-of-precedence

CRX의 액세스 권한은 다음과 같이 평가됩니다.

aUser 사용자가 aGroup 그룹의 멤버인 두 가지 예를 취합니다.

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
       + grandChildNode

위의 경우:

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
         + ace: aUser - deny - write
       + grandChildNode

이 경우:

여러 그룹 주체의 액세스 권한은 계층 내 및 단일 액세스 제어 목록 내에서 해당 순서를 기반으로 평가됩니다.

모범 사례 best-practices

다음 표에는 몇 가지 권장 사항과 모범 사례가 나와 있습니다.

사용자 관리 user-administration

표준 대화 상자는 사용자 관리 ​에 사용됩니다.

적절한 작업 영역에 로그인해야 다음 두 작업 영역에서 대화 상자에 액세스할 수 있습니다.

속성

그룹 구성원

계정이 속한 모든 그룹이 표시됩니다. 상속됨 열은 다른 그룹의 멤버쉽으로 상속된 멤버쉽을 나타냅니다.

GroupID(사용 가능한 경우)를 클릭하면 해당 그룹에 대한 그룹 관리가 열립니다.

가장자

가장 기능을 사용하면 사용자가 다른 사용자를 대신하여 작업할 수 있습니다.

즉, 사용자 계정은 해당 계정으로 작동할 수 있는 다른 계정(사용자 또는 그룹)을 지정할 수 있습니다. 즉, user-B가 user-A를 가장하도록 허용되면 user-B는 user-A의 전체 계정 세부 정보(ID, 이름 및 액세스 권한 포함)를 사용하여 작업할 수 있습니다.

이를 통해 가장 계정은 가장 중인 계정을 사용하는 것처럼 작업을 완료할 수 있습니다(예: 부재 중 또는 과도한 로드 단기간 공유).

계정이 다른 계정을 가장하면 보기가 어렵습니다. 로그 파일에는 이벤트가 가장되었다는 사실에 대한 정보가 없습니다. 따라서 user-B가 user-A를 가장하는 경우 모든 이벤트가 user-A가 개인적으로 수행한 것처럼 보일 수 있습니다.

사용자 계정 만들기 creating-a-user-account

사용자 계정 업데이트 updating-a-user-account

사용자 계정 제거 removing-a-user-account

속성 정의 defining-properties

새 계정 또는 기존 계정에 대해 속성 ​을(를) 정의할 수 있습니다.

휴지통 기호를 사용하여 기존 속성을 삭제할 수 있습니다.

암호를 제외한 속성은 편집할 수 없으며 삭제했다가 다시 만들어야 합니다.

암호 변경 changing-the-password

암호 ​은(는) 암호 변경 링크를 클릭하여 변경할 수 있는 특수 속성입니다.

CRX 탐색기의 보안 메뉴에서 자신의 사용자 계정에 대한 암호를 변경할 수도 있습니다.

가장자 정의 defining-an-impersonator

새 계정 또는 기존 계정에 대해 가장자를 정의할 수 있습니다.

그룹 관리 group-administration

표준 대화 상자는 그룹 관리 ​에 사용됩니다.

적절한 작업 영역에 로그인해야 다음 두 작업 영역에서 대화 상자에 액세스할 수 있습니다.

속성

그룹 구성원

현재 그룹 계정이 속한 모든 그룹이 표시됩니다. 상속됨 열은 다른 그룹의 멤버쉽으로 상속된 멤버쉽을 나타냅니다.

GroupID를 클릭하면 해당 그룹의 대화 상자가 열립니다.

구성원

현재 그룹의 구성원인 모든 계정(사용자 및/또는 그룹)을 나열합니다.

상속됨 열은 다른 그룹의 멤버십으로 인해 상속된 멤버십을 나타냅니다.

그룹 계정 만들기 creating-a-group-account

그룹 계정 업데이트 updating-a-group-account

그룹 계정 제거 removing-a-group-account

속성 정의 defining-properties-1

새 계정 또는 기존 계정에 대한 등록 정보를 정의할 수 있습니다.

휴지통 기호를 사용하여 기존 속성을 삭제할 수 있습니다.

구성원 members

현재 그룹에 구성원을 추가할 수 있습니다.

또는 휴지통 기호가 있는 기존 멤버를 삭제합니다.

액세스 권한 관리 access-right-management

CRXDE Lite의 액세스 제어 탭에서 액세스 제어 정책을 정의하고 관련 권한을 할당할 수 있습니다.

예를 들어, 현재 경로 ​의 경우 왼쪽 창에서 필요한 리소스를 선택하고 오른쪽 아래 창의 액세스 제어 탭을 선택합니다.

정책은 다음에 따라 분류됩니다.

정책 선택 policy-selection

다음에 대한 정책을 선택할 수 있습니다.

권한 privileges

액세스 제어 항목을 추가할 때 다음 권한을 선택할 수 있습니다(자세한 내용은 보안 API 참조).

새 권한 등록 registering-new-privileges

새 권한을 등록할 수도 있습니다.

액세스 제어 항목 추가 adding-an-access-control-entry

CRX은 선택 내용을 확인합니다. 지정된 주체에 대해 지정된 노드에 거부 항목과 허용 항목이 각각 하나씩 있습니다. 구현은 항상 중복 항목을 지우고 동일한 권한이 허용 및 거부 항목 모두에 나열되지 않도록 합니다.

로컬 액세스 제어 정책 순서 지정 ordering-local-access-control-policies

목록의 순서는 정책이 적용되는 순서를 나타냅니다.

액세스 제어 정책 제거 removing-an-access-control-policy

액세스 제어 정책 테스트 testing-an-access-control-policy