Käyttäjien hallinta

Käyttäjiä voidaan luoda sekä manuaalisesti että automaattisesti SAML2-todennuksen kautta. Aloita prosessi seuraavasti:

1. Luo käyttäjäkansiot: Luo ensin kansiot Users-moduuliin käyttäjien järjestämistä varten. Tämä edellyttää käyttäjämallia, jonka koodi on “admin.”
2. Lisää käyttäjiä: Kun malli on paikallaan, voit alkaa lisätä käyttäjiä:
   1. Avaa Permissions-näkymä Administration-käyttöliittymästä.
   2. Valitse “Users and roles” puupaneelista.
   3. Napsauta “New folder” näyttövalikosta.
   4. Kun olet nimennyt kansion, määrittänyt käyttöoikeudet ja tallentanut kansion, se näkyy Permissions-puupaneelissa.
   5. Lisää seuraavaksi admin-malli sallituksi malliksi, anna kansiolle koodi ja tallenna uudelleen.

Käyttäjien manuaalinen luominen

Luodaksesi käyttäjän manuaalisesti:

1. Siirry asianmukaiseen kansioon.
2. Valitse "New user" avataksesi Efecte User -näkymän.
3. Anna uudelle käyttäjälle nimi.
4. Täytä tarvittavat tiedot (jos niitä on).
5. Napsauta Save.

Uuden käyttäjän tiedot näkyvät ESM:n sisältöalueella, ja uuden käyttäjän nimi näkyy aktiivisen kansion alla käyttöoikeuspuu-paneelissa

Käyttäjien automaattinen hallinta

Käyttäjien automaattinen luominen, päivittäminen ja poistaminen voidaan toteuttaa Efecte Provisioning Enginellä (EPE) käyttämällä orkestrointisolmua työnkuluissa. Kattavat tiedot löytyvät EPE-dokumentaatiosta.

Käyttäjäkohtaiset asetukset

Käyttäjäkohtaiset asetukset mahdollistavat todennusmenetelmien ja käyttöliittymän mieltymysten, kuten kielen ja aikavyöhykkeen, mukauttamisen. Nämä asetukset ovat yksilöllisiä kullekin käyttäjälle.

Napsauta Settings näyttövalikosta avataksesi User settings -näkymän:

Käyttäjäkohtaiset tietoturva-asetukset

• Todennusmenetelmä: Valitse ID/salasana- (Other), LDAP-pohjainen AD-todennus tai SAML2-todennus. Kullakin menetelmällä on omat erityispiirteensä käyttäjätunnuksen täsmäytyksen ja roolien osoittamisen suhteen.
  • a.    Jos Other -todennusmenetelmä on valittu, ESM-käyttäjä voidaan todentaa joko paikallisesti tietokantaan tallennetulla käyttäjätunnuksella/salasanalla, NTSM-todennuksella tietokantaan tallennetulla käyttäjätunnuksella tai LDAP-rajapinnan kautta haetulla käyttäjätunnuksella.
  • Tyypillisesti LDAP-todennus käyttää Windows Active Directorya. LDAP-asetukset (yleensä LDAP-palvelimet) on määritettävä platform-asetusten Pluggable authenticator settings -osiossa (muokattavissa kohdassa Administration > Maintenance > Edit settings).
    • HUOM! Jos LDAP-todennusta käytetään, käyttäjän Efecte-käyttäjätunnuksen on vastattava olemassa olevaa käyttäjätunnusta LDAP-järjestelmässä, ja LDAP on lisättävä ensimmäiseksi arvoksi auth.chain-platform-asetukseen. User Specific Security Settings -näkymässä määritetty käyttäjäkohtainen LDAP-asetus voidaan ohittaa auth.chain-platform-asetuksella.
    • Jos auth.chain-arvossa on lueteltu muita todennusmenetelmiä (esim. database tai ntlm) ennen LDAP:ia, todennusta yritetään ensin niillä riippumatta käyttäjän Security Settings -näkymän asetuksesta.
    • Jos LDAP puuttuu auth.chain-arvosta, LDAP-todennusta ei koskaan yritetä riippumatta käyttäjän security settings -näkymän asetuksesta.
  • Kun SAML2 -todennus on käytössä, ESM-käyttäjän roolit osoitetaan SAML2-viesteistä tunnistettujen roolien mukaisesti.
    • Kun SAML2-todennusta käytetään, rooleja ei voi osoittaa käyttäjälle manuaalisesti ESM:n Administration-käyttöliittymässä, vaan ainoastaan SAML2-viestin kautta.
    • HUOM! Roolit tunnistavat ulkoiset tunnisteet on kartoitettava ESM-rooleihin role editor -näkymässä.
• ESM-käyttäjätunnus ja salasana: Paikallista todennusta varten määritä käyttäjätunnus ja salasana.
  • Huomaa, että vain root-käyttäjä saa muokata käyttäjätunnuksia.
• ESM-käyttäjätaso: Vaihtoehtoja ovat:
• Normal – Tarkastele, muokkaa ja poista malleja, kansioita ja tietokortteja käyttäjäroolin käyttöoikeuksien mukaisesti.
• Read-only – Lue tietokortteja käyttäjäroolin käyttöoikeuksien mukaisesti.
• Root – rajoittamattomat oikeudet ESM-tietoihin ja tietojen ylläpitoon ilman käyttäjärooleihin liittyviä rajoituksia.
  • Käytä root-käyttäjätasoa varoen, sillä se on poikkeuksellisen tehokas.

Käyttäjän aikavyöhykeasetukset

Ottamalla käyttöön multiple.timezone.support -asetuksen käyttäjät voivat asettaa haluamansa aikavyöhykkeen, mikä parantaa ESM:n käytettävyyttä globaalisti.

Todennusmenetelmä

Voit valita, todennetaanko käyttäjät käyttäjätunnuksella/salasanalla (Other), LDAP AD -pohjaisella todennuksella (LDAP) vai SAML2-todennuksella (SAML2).

Käyttäjien automaattinen luominen SAML2:lla

SAML2-todennus mahdollistaa käyttäjien automaattisen luomisen SAML2-viestien attribuuttitietojen perusteella, ja roolit ja käyttäjätasot osoitetaan sen mukaisesti. Tämä siirtää käyttäjähallinnan (root-käyttäjiä lukuun ottamatta) identiteetintarjoajalle, kuten Efecte Identity Managementille (EIM) tai Secure Accessille (ESA).

Huomaa, että jos käyttäjälle käytetään SAML2-pohjaista todennusta, koko roolien hallinta on hoidettava EIM:n tai ESA:n kautta. Vaikka todennusmenetelmä vaihdettaisiin manuaalisesti LDAP:ksi ja käyttäjälle lisättäisiin uusia rooleja, todennus vaihtuu takaisin SAML 2.0:aan seuraavalla kirjautumiskerralla, jos EIM tai ESA lähettää käyttäjätasotiedot.

SAML2-pohjaisen todennuksen määrittäminen

SAML2-pohjaisen todennuksen käyttöönotto:

1. Muokkaa platform-asetusten todennusketjua sisältämään SAML2.
2. Määritä identiteetintarjoaja lähettämään Shibbolethin edellyttämät attribuutit.
   1. §roles – luettelo rooleista merkkijonona, eroteltuna ';'-merkillä.
   2. esm_userLevel – mahdolliset arvot Root, Normal, Readonly, NoAccess.
   3. esm_email – pakollinen henkilön luomista varten.
   4. esm_firstName – valinnainen henkilön luomista varten.
   5. esm_lastName – valinnainen henkilön luomista varten.
3. Kartoita ESM-roolit SAML2:n kautta tunnistettuihin rooleihin role editorissa.

Roolien kartoitus role editor -näkymässä:

NTLM-todennuksen määrittäminen (on-premise)

Koskee vain on-premise-asennuksia: NTLM-todennus mahdollistaa käyttäjien kirjautumisen Windows-tunnuksillaan.

Huom! Tämä koskee vain on-premise-ESM-asennuksia.

Jos ESM on määritetty käyttämään NTLM HTTP -todennusta, käyttäjät voivat kirjautua ESM:ään Windows-tunnuksillaan ilman, että heidän tarvitsee syöttää käyttäjätunnusta ja salasanaa uudelleen (kun he ovat kirjautuneet Windows-työasemalleen). NTLM HTTP -todennus on haaste/vastaus-protokolla: palvelin lähettää haasteen asiakkaalle (eli selaimelle), ja palvelin ja asiakas vastaavat HTTP:n kautta.

ESM tukee sekä NTLMv1- että NTLMv2-protokollia. Vanhempaa v1-protokollaa ei enää suositella käytettäväksi, eikä se edes toimi uudempien Windows-työasemien ja -palvelimien oletusasetuksilla. ESM tukee vanhempaa protokollaversiota taaksepäin yhteensopivuuden vuoksi.

Asetuksella auth.sso.use.fully.qualified.account.name ESM voidaan määrittää vertaamaan Windows-käyttäjätunnusta ESM-käyttäjätunnukseen käyttäen täysin määriteltyä tilinnimeä (DOMAIN\käyttäjätunnus). Tämä määritys toimii kaikkien SSO-todennusten kanssa: NTLMv1, NTLMv2 ja Kerberos. Tämä edellyttää, että ESM-käyttäjien käyttäjätunnukset ovat muodossa DOMAIN\käyttäjätunnus.

NTLM-todennuksen käyttäminen ESM:ssä:

1. Käyttäjillä on oltava sama käyttäjätunnus Windows-toimialueella ja ESM:ssä.
2. NTLM on määritettävä yhdeksi todennusmenetelmistä.
   1. Tämä tehdään lisäämällä arvo negotiate tai NTLM (NTLMv1:tä varten) asetukseen auth.chain (kohdasta Administration > Maintenance > Edit settings) – esimerkiksi auth.chain = negotiate, database. Tämä esimerkkimääritys ottaa käyttöön NTLMv2-todennuksen ESM:lle ja tekee siitä ensimmäisen kokeiltavan todennusmenetelmän.
      

      Huomautus:

      Yleisimmät määritysarvot ovat database; LDAP, database; ja negotiate, LDAP, database. Jos sekä NTLM että negotiate on määritetty samanaikaisesti, käytetään vain negotiatea.
      Negotiaten (tai NTLM:n) on oltava luettelon ensimmäinen vaihtoehto, jos sitä käytetään. Muutoin: 1) jos ensisijainen kirjautumismenetelmä onnistuu, myös NTLM-todennus suoritetaan, mutta sitä ei koskaan käytetä ESM:ssä, tai 2) jos ensisijainen kirjautumismenetelmä epäonnistuu, kirjautuminen näyttää onnistuvan millä tahansa salasanalla, koska NTLM-todennusta käytetään varmenteena, mutta tästä ei näytetä mitään ilmoitusta.

       
3. Vain NTLMv1: Toimialueohjaimet on määritettävä. Jos käyttäjät voivat esimerkiksi kuulua johonkin toimialueista SALES ja DEVEL, molempien toimialueiden toimialueohjaimet on annettava. Tämä tehdään lisäämällä seuraavat rivit platform-asetuksiin:
   1. auth.ntlm.SALES.domaincontroller = salesdc.mycompany.com
   2. auth.ntlm.DEVEL.domaincontroller = develdc.mycompany.com
   3. Tämän asetuksen yleinen muoto on auth.ntlm.<toimialueen NetBIOS-nimi>.domaincontroller.
      1. Huomaa, että NetBIOS-nimi on vain osa täysin määriteltyä toimialueen nimeä – esimerkiksi sales.mycompany.com on täysin määritelty toimialueen nimi, ja SALES on toimialueen NetBIOS-nimi.) Asetuksen arvo on kyseisen toimialueen toimialueohjaimen DNS-nimi, täysin määritelty toimialueen nimi tai IP-osoite.
         

         Huomautus:

         Toimialueohjaimia voi olla myös useita. Tällöin ensimmäinen toimialueohjain määritetään asetuksella auth.ntlm.DOMAIN.domaincontroller ja seuraavat asetuksilla: auth.ntlm.DOMAIN.domaincontroller.1, auth.ntlm.DOMAIN.domaincontroller.2 ja niin edelleen.

          

Vain NTLMv1: Huomaa, että asetus auth.ntlm.defaultdomaincontroller on myös määritettävä (se sijaitsee Pluggable authenticator settings -osiossa platform-asetuksissa). Asetuksen arvo on toimialueohjaimen DNS-nimi, täysin määritelty toimialueen nimi tai IP-osoite. Tätä asetusta käytetään, jos selain ei lähetä tietoa toimialueesta tai toimialue ei ole tiedossa. Ongelmallinen tapaus on, kun IE-käyttäjä tulee tuntemattomasta toimialueesta. Jos oletustoimialueohjainta ei ole määritetty, IE luulee, ettei NTLM-neuvottelu ole päättynyt, eikä se lähetä käyttäjätunnusta ja salasanaa kirjautumislomakkeelta ESM-palvelimelle. Toisin sanoen todennus epäonnistuu aina.

Selaintuki NTLM HTTP -todennukselle

Microsoft Internet Explorer neuvottelee NTLM HTTP -todennuksen läpinäkyvästi. Kun IE on neuvotellut NTLM HTTP -todennuksen, se neuvottelee NTLM:n ennakoivasti uudelleen POST-pyyntöjä varten kaikelle palvelimeen liittyvälle sisällölle. Tämä tarkoittaa, että IE neuvottelee uudelleen aina, kun sen on lähetettävä POST-dataa ESM:ään (esim. tietokortin tallennus). IE:n toimintaa on mahdollista muuttaa, mutta se edellyttää Windowsin rekisterin muokkaamista.

Jotta NTLM-todennus toimisi tarkoitetulla tavalla, IE:n tietoturva-asetukset on määritettävä seuraavasti:

1. ESM-URL-osoite on määritettävä luotetuksi sivustoksi IE:ssä (kohdasta Internet Options > Security > Trusted sites > Sites > Advanced).
2. Kohdassa Logon-vaihtoehto IE:n tietoturva-asetuksissa on asetettava joko "Automatic logon only in Intranet zone" tai "Automatic logon with current username and password" (kohdasta Internet Options > Security > Trusted sites > Custom Level…).

Internet Explorerin tietoturva-asetukset NTLM-todennusta varten:

Mozilla ja Mozilla-pohjaiset selaimet, kuten Firefox, tukevat NTLM HTTP -todennusta, mutta ne pyytävät aina käyttäjältä tunnukset. Mozilla-pohjaiset selaimet on kuitenkin mahdollista määrittää suorittamaan NTLM-neuvottelu läpinäkyvästi:

1. Käynnistä selain.
2. Kirjoita about:config osoiteriville.
3. Muokkaa asetusta network.automatic-ntlm-auth.trusted-uris: Tämän asetuksen arvo on pilkuin eroteltu luettelo URL-etuliitteitä tai toimialueita. Lisää ESM-palvelimesi URL-etuliite, esimerkiksi http://efecteserver.

Tämä muutos voidaan tehdä myös Mozillan määritystiedostoon käyttöönoton helpottamiseksi.

Kerberos-todennuksen määrittäminen (vain on-premise)

Laajimman mahdollisen asiakastuen ja parhaan tietoturvan saavuttamiseksi voidaan käyttää Kerberos-todennusta. Kerberoksen haittapuoli on se, että vaikka se on turvallisin todennusvaihtoehto, sen saaminen toimimaan kunnolla on myös vaikeinta. Useimmissa tapauksissa, joissa on vain Windows-työasemia, NTLMv2 on enemmän kuin riittävä ja huomattavasti helpompi saada toimimaan.

Asetuksella auth.sso.use.fully.qualified.account.name ESM voidaan määrittää vertaamaan Windows-käyttäjätunnusta ESM-käyttäjätunnukseen käyttäen täysin määriteltyä tilinnimeä (DOMAIN\käyttäjätunnus). Tämä määritys toimii kaikkien SSO-todennusten kanssa: NTLMv1, NTLMv2 ja Kerberos. Tämä edellyttää, että ESM-käyttäjien käyttäjätunnukset ovat muodossa DOMAIN\käyttäjätunnus.

Kerberos-todennuksen määrittäminen ESM:ssä

1. Käyttäjillä on oltava sama käyttäjätunnus Windows-toimialueella ja ESM:ssä.
2. Negotiate on määritettävä yhdeksi todennusmenetelmistä. Tämä tehdään lisäämällä arvo negotiate asetukseen auth.chain (kohdasta Maintenance > Edit settings) – esimerkiksi auth.chain = negotiate, database. Tämä esimerkkimääritys ottaa käyttöön Kerberos negotiate -todennuksen ESM:lle ja tekee siitä ensimmäisen kokeiltavan todennusmenetelmän.
3. Muuta platform-asetuksen negotiate.protocol arvoksi Negotiate. Huomaa, että muutokset tähän asetukseen tulevat voimaan vasta, kun ESM-palvelu käynnistetään uudelleen.

Jos haluat suorittaa ESM-palvelun jollakin muulla käyttäjällä kuin Local Systemillä, sinun on poistettava käytöstä Kerberos-esitodennuksen tarve kyseiselle käyttäjälle Active Directoryssa ja luotava sille Service Principal Name (SPN), joka vastaa palvelinta, jolla ESM toimii. Tässä esimerkki SPN:stä: HTTP/efecteserver.domain.com.

Selaimen määritys Kerberos-todennusta varten on sama kuin NTLM:lle Internet Explorerissa. Firefoxissa asetus, johon ESM-palvelin on lisättävä, on network.negotiate-auth.trusted-uris.

LDAP-todennus usealla toimialueella (vain on-premise)

Todennus useilta toimialueilta voidaan ottaa käyttöön asettamalla platform-asetuksen auth.ldap.multidomain.enabled arvoksi true.

LDAP-URL-osoitteet on annettava asetuksilla auth.ldap.host.uri.DOMAIN joissa sana DOMAIN on korvattava toimialueen todellisella nimellä. Tällä asetuksella voi olla useita pilkuin eroteltuja arvoja. Esimerkki: auth.ldap.host.uri.SALES= ldap://dc1:3268,ldap://dc2:3268

Kaikilla tässä käytettävillä toimialueohjaimilla on oltava Global Catalog (GC) käytössä (sen oletusportti on 3268). GC:tä tarvitaan, koska toimialueille ei ole määritetty base DN -arvoja, ja vain GC sallii haut ilman sitä. ESM:ään kirjautuvien käyttäjien on annettava käyttäjätunnuksensa muodossa DOMAIN\käyttäjätunnus.

Servlet-todennin

Servlet-todennus voidaan määrittää tietyillä platform-asetuksilla, mikä mahdollistaa kirjautumisen hallinnan Active Directory -ryhmien perusteella sekä käyttäjätilien automaattisen luomisen ESM:ään servlet-todennuksen perusteella.

• servlet.auth.admin.ad.group - Sen AD-ryhmän nimi, joka sallii ylläpitäjäkäyttäjien kirjautua ESM:ään. Useita ryhmiä tuetaan. Arvot on eroteltava pilkuilla.
• servlet.auth.create.users - Jos käyttäjätiliä ei vielä ole, se luodaan. Oletusarvo true.
• servlet.auth.person.groups.attribute.code - "person template" -mallin ryhmäattribuutin koodi, joka sisältää viittauksen "Active Directory Group" -malliin.
• servlet.auth.person.template.code - Mallin koodi, jossa on henkilötiedot.    
• servlet.auth.person.uid.attribute.code - "person template" -mallin ryhmäattribuutin koodi, joka sisältää merkkijonon käyttäjätunnukselle Active Directoryssa.
• servlet.auth.person.user.attribute.code - "person template" -mallin ryhmäattribuutin koodi, joka sisältää viittauksen Efecte User -malliin.
• servlet.auth.user.ad.group - Sen AD-ryhmän nimi, joka sallii tavallisten käyttäjien kirjautua ESM:ään. Useita ryhmiä tuetaan. Arvot on eroteltava pilkuilla.
• servlet.auth.user.folder.code - Sen Permissions-puun kansion koodi, johon uusi käyttäjä luodaan.
• servlet.auth.user.name.attribute.code - "User"-mallin ryhmäattribuutin koodi, joka sisältää merkkijonon käyttäjätunnukselle.    
• servlet.auth.user.person.attribute.code - "User"-mallin ryhmäattribuutin koodi, joka sisältää viittauksen Person-malliin.
• servlet.auth.user.readonly.roles - Ylläpitoroolin nimi, joka annetaan käyttäjille, jotka tunnistetaan vain luku -käyttäjiksi. 
  • Ne eivät kuulu ryhmään "servlet.auth.user.ad.group" tai "servlet.auth.admin.ad.group". 
    • Jos tämä asetus on tyhjä, käyttäjät, jotka eivät kuulu kumpaankaan näistä rooleista, eivät voi kirjautua sisään.    
• servlet.auth.user.roles - Ylläpitoroolin nimi, joka annetaan käyttäjille, jotka tunnistetaan tavallisiksi käyttäjiksi. Katso "servlet.auth.user.ad.group".