Gebruiker, Groep en het Beleid van de Rechten van de Toegang user-group-and-access-rights-administration

Het toelaten van toegang tot een bewaarplaats van CRX impliceert verscheidene onderwerpen:

De basiselementen zijn:

Rekeningen van de Gebruiker - CRX verklaart toegang door, en verifieert, een gebruiker (door die een persoon, of een andere toepassing) volgens details voor authentiek die in de gebruikersrekening worden gehouden.

In CRX is elk gebruikersaccount een knooppunt in de werkruimte. Een CRX-gebruikersaccount heeft de volgende eigenschappen:

de Rekeningen van de Groep - de rekeningen van de Groep zijn inzamelingen van gebruikers en/of andere groepen. Deze worden gebruikt om beheer te vereenvoudigen aangezien een verandering in de toegangsrechten die aan een groep worden toegewezen automatisch op alle gebruikers in die groep wordt toegepast. Een gebruiker hoeft niet tot een groep te behoren, maar behoort vaak tot een groep.

In CRX heeft een groep de volgende eigenschappen:

de Rechten van de Toegang - CRX gebruikt de Rechten van de Toegang om toegang tot specifieke gebieden van de bewaarplaats te controleren.

Dit wordt gedaan door voorrechten toe te wijzen om of toegang tot een middel (knoop of weg) in de bewaarplaats toe te staan of te ontkennen. Aangezien verschillende voorrechten kunnen worden toegewezen, moeten zij worden geëvalueerd om te bepalen welke combinatie voor het huidige verzoek van toepassing is.

Met CRX kunt u de toegangsrechten configureren voor gebruikers- en groepsaccounts. Vervolgens worden dezelfde basisbeginselen voor de evaluatie toegepast op beide.

Hoe de Rechten van de Toegang worden geëvalueerd how-access-rights-are-evaluated

Onderwerpen en Opdrachten subjects-and-principals

CRX hanteert twee belangrijke concepten bij het evalueren van toegangsrechten:

Opstellen van de lijst van toegangsrechten voor een onderwerp compiling-the-list-of-access-rights-for-a-subject

In CRX hangt het onderwerp af van:

De lijst van toegangsrechten die van toepassing zijn op het onderwerp is samengesteld uit:

Aanvraag- en toegangsrechten oplossen resolving-request-and-access-rights

Wanneer CRX het verzoek behandelt, vergelijkt het het toegangsverzoek van het onderwerp met de toegangsbeheerlijst op de repository knoop:

Dus als Linda vraagt om het knooppunt /features bij te werken in de volgende repository structuur:

Volgorde van voorrang order-of-precedence

De toegangsrechten in CRX worden als volgt beoordeeld:

Twee voorbeelden waarbij de gebruiker aUser lid is van de groep aGroup :

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
       + grandChildNode

In het bovenstaande geval:

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
         + ace: aUser - deny - write
       + grandChildNode

In dit geval:

De rechten van de toegang van veelvoudige groepshoofden worden geëvalueerd gebaseerd op hun orde, zowel binnen de hiërarchie als binnen één enkele toegangsbeheerlijst.

Aanbevolen procedures best-practices

In de volgende tabel vindt u een aantal aanbevelingen en aanbevolen procedures:

Gebruikersbeheer user-administration

Een standaarddialoog wordt gebruikt voor Beleid van de Gebruiker.

U moet in de aangewezen werkruimte worden geregistreerd, dan kunt u tot de dialoog van allebei toegang hebben:

Eigenschappen

Lidmaatschap van de Groep

Hiermee worden alle groepen weergegeven waartoe de account behoort. De kolom Overgenomen geeft het lidmaatschap aan dat is overgeërfd als gevolg van het lidmaatschap van een andere groep.

Het klikken van een GroupID (wanneer beschikbaar) opent het Beleid van de Groepvoor die groep.

Imitators

Met de functie Imiteren kan een gebruiker namens een andere gebruiker werken.

Dit betekent dat een gebruikersaccount andere accounts (gebruiker of groep) kan opgeven die met hun account kunnen werken. Met andere woorden, als gebruiker-B wordt toegestaan om gebruiker-A te nadoen, dan kan gebruiker-B het gebruiken van de volledige rekeningsdetails van gebruiker-A (met inbegrip van identiteitskaart, naam, en toegangsrechten) handelen.

Hierdoor kunnen imitatoraccounts taken uitvoeren alsof ze de account gebruiken die ze nadoen, bijvoorbeeld tijdens afwezigheid, of een buitensporige last op korte termijn delen.

Als een account een andere account nastreeft, is het moeilijk te zien. De logboekdossiers houden geen informatie over het feit dat de imitatie op de gebeurtenissen is voorgekomen. Dus als user-B zich gebruiker-A imiteert, kunnen alle gebeurtenissen kijken alsof zij door gebruiker-A persoonlijk werden uitgevoerd.

Een gebruikersaccount maken creating-a-user-account

Een gebruikersaccount bijwerken updating-a-user-account

Een gebruikersaccount verwijderen removing-a-user-account

Eigenschappen definiëren defining-properties

U kunt Eigenschappen voor of nieuwe of bestaande rekeningen bepalen:

Bestaande eigenschappen kunnen met het prullenbaksymbool worden verwijderd.

Met uitzondering van het wachtwoord kunnen eigenschappen niet worden bewerkt, maar moeten ze worden verwijderd en opnieuw gemaakt.

Het wachtwoord wijzigen changing-the-password

Het Wachtwoord is een speciaal bezit dat kan worden veranderd door de verbinding van het Wachtwoord van de Verandering te klikken.

U kunt het wachtwoord in uw eigen gebruikersrekening van het menu van de Veiligheid in de Ontdekkingsreiziger van CRX ook veranderen.

Een imitator definiëren defining-an-impersonator

U kunt imitators definiëren voor nieuwe of bestaande accounts:

Groepsbeheer group-administration

Een standaarddialoog wordt gebruikt voor Beleid van de Groep.

U moet in de aangewezen werkruimte worden geregistreerd, dan kunt u tot de dialoog van allebei toegang hebben:

Eigenschappen

Lidmaatschap van de Groep

Hiermee worden alle groepen weergegeven waartoe de huidige groepsaccount behoort. De kolom Overgenomen geeft het lidmaatschap aan dat is overgeërfd als gevolg van het lidmaatschap van een andere groep.

Wanneer u op een GroupID klikt, wordt het dialoogvenster voor die groep geopend.

Leden

Hiermee geeft u alle accounts (gebruikers en/of groepen) weer die lid zijn van de huidige groep.

De Geërfte kolom wijst op lidmaatschap dat als resultaat van lidmaatschap van een andere groep is geërft.

Een groepsaccount maken creating-a-group-account

Een groepsaccount bijwerken updating-a-group-account

Een groepsaccount verwijderen removing-a-group-account

Eigenschappen definiëren defining-properties-1

U kunt Eigenschappen definiëren voor nieuwe of bestaande accounts:

Bestaande eigenschappen kunnen met het prullenbaksymbool worden verwijderd.

Leden members

U kunt leden toevoegen aan de huidige groep:

Of verwijder een bestaand lid met het prullenbaksymbool.

Toegangsbeheer access-right-management

Met het lusje van het Toegangsbeheer van CRXDE Lite, kunt u het beleid van de toegangscontrole bepalen en de verwante voorrechten toewijzen.

Bijvoorbeeld, voor Huidige Weg selecteer het vereiste middel in de linkerruit, het lusje van het Controle van de Toegang in de laag-juiste ruit:

Het beleid wordt ingedeeld volgens:

Beleidsselectie policy-selection

Het beleid kan worden geselecteerd voor:

Rechten privileges

De volgende voorrechten zijn beschikbaar voor selectie wanneer het toevoegen van een ingang van de toegangscontrole (zie Veiligheid APIvoor volledige details):

Registreren van nieuwe rechten registering-new-privileges

U kunt ook nieuwe rechten registreren:

Een toegangsbeheeritem toevoegen adding-an-access-control-entry

CRX valideert uw selectie. Voor een bepaalde principal bestaat er (hoogstens) één ontkent en één toestaat ingang op een bepaald knooppunt. De implementatie ontruimt altijd overtollige ingangen en zorgt ervoor dat het zelfde voorrecht niet in zowel toestaat als ontkent ingangen vermeld is.

Plaatselijk beleid voor toegangsbeheer bestellen ordering-local-access-control-policies

De volgorde in de lijst geeft de volgorde aan waarin het beleid wordt toegepast.

Een toegangsbeheerbeleid verwijderen removing-an-access-control-policy

Het testen van een Beleid van het Toegangsbeheer testing-an-access-control-policy