Behörighetsadministration för användare, grupp och åtkomst user-group-and-access-rights-administration

Att ge åtkomst till en CRX-databas omfattar flera ämnen:

De grundläggande elementen är:

Användarkonton CRX autentiserar åtkomsten genom att identifiera och verifiera en användare (av en person eller ett annat program) enligt uppgifterna på användarkontot.

I CRX är varje användarkonto en nod på arbetsytan. Ett CRX-användarkonto har följande egenskaper:

Gruppkonton Gruppkonton är samlingar av användare och/eller andra grupper. De används för att förenkla hanteringen eftersom en ändring av de åtkomsträttigheter som tilldelats en grupp automatiskt tillämpas på alla användare i gruppen. En användare behöver inte tillhöra någon grupp, men tillhör ofta flera.

I CRX har en grupp följande egenskaper:

Åtkomsträttigheter CRX använder åtkomsträttigheter för att styra åtkomsten till specifika delar av databasen.

Detta görs genom att tilldela behörigheter för att antingen tillåta eller neka åtkomst till en resurs (nod eller sökväg) i databasen. Eftersom olika behörigheter kan tilldelas måste de utvärderas för att avgöra vilken kombination som är tillämplig för den aktuella begäran.

Med CRX kan du konfigurera åtkomsträttigheter för både användar- och gruppkonton. Samma grundläggande utvärderingsprinciper tillämpas sedan på båda.

Hur åtkomsträttigheter utvärderas how-access-rights-are-evaluated

Ämnen och huvudkonton subjects-and-principals

CRX använder två viktiga begrepp vid utvärdering av åtkomsträttigheter:

Kompilera listan över åtkomsträttigheter för ett ämne compiling-the-list-of-access-rights-for-a-subject

I CRX är motivet beroende av:

Den förteckning över åtkomsträttigheter som är tillämpliga för föremålet är uppbyggd på följande:

Löser begäran och åtkomsträttigheter resolving-request-and-access-rights

När CRX hanterar begäran jämför den åtkomstbegäran från ämnet med åtkomstkontrollistan på databasnoden:

Så om Linda begär att få uppdatera /features nod i följande databasstruktur:

Prioritetsordning order-of-precedence

Åtkomsträttigheterna i CRX utvärderas enligt följande:

Ta två exempel där användaren aUser är medlem i gruppen aGroup:

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
       + grandChildNode

I ovanstående fall:

   + parentNode
     + acl
       + ace: aUser - deny - write
     + childNode
       + acl
         + ace: aGroup - allow - write
         + ace: aUser - deny - write
       + grandChildNode

I detta fall:

Åtkomsträttigheter från flera gruppobjekt utvärderas baserat på deras ordning, både i hierarkin och i en enda åtkomstkontrollista.

Bästa praxis best-practices

I följande tabell visas några rekommendationer och metodtips:

Användaradministration user-administration

En standarddialogruta används för Användaradministration.

Du måste vara inloggad på rätt arbetsyta och sedan kan du öppna dialogrutan från båda:

Egenskaper

Gruppmedlemskap Detta visar alla grupper som kontot tillhör. Den ärvda kolumnen anger medlemskap som har ärvts som ett resultat av medlemskap i en annan grupp.

Om du klickar på ett GroupID (om tillgängligt) öppnas Gruppadministration för den gruppen.

Personifierare Med personifieringsfunktionen kan en användare arbeta för en annan användares räkning.

Det innebär att ett användarkonto kan ange andra konton (användare eller grupp) som kan användas med deras konto. Med andra ord, om användare-B tillåts personifiera användare-A, kan användare-B vidta åtgärder med hjälp av den fullständiga kontoinformationen för användare-A (inklusive ID, namn och åtkomsträttigheter).

Detta gör att persondatorkonton kan slutföra uppgifter som om de använde det konto de personifierar. t.ex. under frånvaro eller för att på kort sikt dela en för hög belastning.

Om ett konto personifierar ett annat är det väldigt svårt att se. Loggfilerna innehåller ingen information om att personifiering har skett för händelserna. Så om användare-B personifierar användare-A ser alla händelser ut som om de utförts av användare-A personligen.

Skapa ett användarkonto creating-a-user-account

Uppdatera ett användarkonto updating-a-user-account

Ta bort ett användarkonto removing-a-user-account

Definiera egenskaper defining-properties

Du kan definiera Egenskaper för nya eller befintliga konton:

Befintliga egenskaper kan tas bort med papperskorgssymbolen.

Med undantag för Lösenordet går det inte att redigera egenskaper, de måste tas bort och återskapas.

Ändra lösenordet changing-the-password

The Lösenord är en specialegenskap som du kan ändra genom att klicka på Ändra lösenord länk.

Du kan också ändra lösenordet till ditt eget användarkonto från Säkerhet i CRX Explorer.

Definiera en personifierare defining-an-impersonator

Du kan definiera personifierare för antingen nya eller befintliga konton:

Gruppadministration group-administration

En standarddialogruta används för Gruppadministration.

Du måste vara inloggad på rätt arbetsyta och sedan kan du öppna dialogrutan från båda:

Egenskaper

Gruppmedlemskap Detta visar alla grupper som det aktuella gruppkontot tillhör. Den ärvda kolumnen anger medlemskap som har ärvts som ett resultat av medlemskap i en annan grupp.

Om du klickar på ett GroupID öppnas dialogrutan för den gruppen.

Medlemmar Visar alla konton (användare och/eller grupper) som är medlemmar i den aktuella gruppen.

The Ärvd kolumn anger medlemskap som har ärvts som ett resultat av medlemskap i en annan grupp.

Skapa ett gruppkonto creating-a-group-account

Uppdatera ett gruppkonto updating-a-group-account

Ta bort ett gruppkonto removing-a-group-account

Definiera egenskaper defining-properties-1

Du kan definiera egenskaper för nya eller befintliga konton:

Befintliga egenskaper kan tas bort med papperskorgssymbolen.

Medlemmar members

Du kan lägga till medlemmar i den aktuella gruppen:

Eller ta bort en befintlig medlem med papperskorgssymbolen.

Behörighetshantering access-right-management

Med Åtkomstkontroll -fliken i CRXDE Lite kan du definiera åtkomstkontrollprinciper och tilldela relaterade behörigheter.

Till exempel Aktuell bana Välj önskad resurs i den vänstra rutan på fliken Åtkomstkontroll i den nedre högra rutan:

Policyerna kategoriseras enligt:

Välj profil policy-selection

Du kan välja profiler för:

Behörighet privileges

Följande behörigheter är tillgängliga när du lägger till en åtkomstkontrollpost (se Säkerhets-API för fullständig information):

Registrerar nya behörigheter registering-new-privileges

Du kan även registrera nya behörigheter:

Lägga till en åtkomstkontrollpost adding-an-access-control-entry

CRX validerar ditt val; för ett givet huvudkonto finns (högst) 1 neka och 1 tillåt post på en viss nod. Implementeringen rensar alltid bort redundanta poster och ser till att samma privilegium inte finns med i både Tillåt- och Neka-posterna.

Principer för lokal åtkomstkontroll vid beställning ordering-local-access-control-policies

Ordningen i listan anger i vilken ordning profilerna tillämpas.

Ta bort en åtkomstkontrollprincip removing-an-access-control-policy

Testa en åtkomstkontrollprincip testing-an-access-control-policy