Käyttäjien hallinta

Käyttäjiä voidaan luoda sekä manuaalisesti että automaattisesti SAML 2 -todennuksen avulla. Aloita prosessi seuraavasti:

1. Käyttäjäkansioiden luominen: Luo ensin Käyttäjät-moduuliin kansioita käyttäjien järjestämistä varten. Tämä edellyttää käyttäjämallia, jonka koodi on ”admin”.
2. Lisää käyttäjiä: Kun mallipohja on käytössä, voit aloittaa käyttäjien lisäämisen:
   1. Avaa Käyttöoikeudet-näkymä hallintakäyttöliittymästä.
   2. Valitse puupaneelista ”Käyttäjät ja roolit”.
   3. Napsauta näyttövalikossa "Uusi kansio".
   4. Kun olet nimennyt kansion, määrittänyt käyttöoikeudet ja tallentanut sen, se näkyy käyttöoikeudet-puuruudussa.
   5. Lisää seuraavaksi järjestelmänvalvojan mallipohja sallittuna mallipohjana, anna kansiolle koodi ja tallenna uudelleen.

Käyttäjien manuaalinen luominen

Käyttäjän luominen manuaalisesti:

1. Siirry sopivaan kansioon.
2. Avaa Efecte-käyttäjänäkymä valitsemalla "Uusi käyttäjä".
3. Anna uudelle käyttäjälle nimi.
4. Täytä tarvittavat tiedot (jos niitä on).
5. Valitse Tallenna.

Uuden käyttäjän tiedot näkyvät ESM-sisältöalueella, ja uuden käyttäjän nimi näkyy aktiivisen kansion alla käyttöoikeuspuuruudussa.

Käyttäjien automaattinen hallinta

Automaattinen käyttäjien luonti, päivitys ja poisto voidaan organisoida Efecte Provisioning Engine (EPE) avulla käyttämällä työnkulkujen Orchestration-node-solmua. Katso lisätietoja EPE:n dokumentaatiosta.

Käyttäjäkohtaiset asetukset

Käyttäjäkohtaiset asetukset mahdollistavat todennusmenetelmien ja käyttöliittymän asetusten, kuten kielen ja aikavyöhykkeen, mukauttamisen. Nämä asetukset ovat käyttäjäkohtaisia.

Avaa käyttäjäasetusten näkymä napsauttamalla näyttövalikossa Asetukset-painiketta:

Käyttäjäkohtaiset suojausasetukset

• Todennusmenetelmä: Valitse käyttäjätunnus/salasana ( Muu ), LDAP AD -pohjainen tai SAML 2 -todennus. Jokaisella menetelmällä on omat erityispiirteensä käyttäjätunnusten yhteensovittamisen ja roolien määrittämisen suhteen.
  • a. Jos valitaan Muu todennusmenetelmä, ESM-käyttäjä voidaan todentaa joko paikallisesti tietokantaan tallennetulla käyttäjätunnuksella/salasanalla tai NTSM-todennuksella tietokantaan tallennetulla käyttäjätunnuksella tai LDAP-rajapinnan kautta haetulla käyttäjätunnuksella.
  • Yleensä LDAP- todennus käyttää Windows Active Directory . Sinun on määritettävä LDAP-asetukset (yleensä LDAP-palvelimet) alustan asetusten kohdassa Liitettävän todentajan asetukset (muokattavissa kohdassa Hallinta > Ylläpito > Muokkaa asetuksia).
    • HUOMAUTUS! Jos käytetään LDAP-todennusta, käyttäjän Efecte-käyttäjätunnuksen on vastattava LDAP-järjestelmässä olevaa käyttäjätunnusta, ja LDAP on lisättävä ensimmäiseksi arvoksi auth.chain-alusta-asetuksissa. Käyttäjäkohtaiset suojausasetukset -näkymässä määritetty käyttäjäkohtainen LDAP-asetus voidaan ohittaa auth.chain-alusta-asetuksella.
    • Jos auth.chain-arvossa ennen LDAP:tä on lueteltu muita todennusmenetelmiä (esim. tietokanta tai ntlm), todennusta yritetään ensin niillä käyttäjän suojausasetusten asetuksista riippumatta.
    • Jos auth.chain-arvosta puuttuu LDAP, LDAP-todennusta ei koskaan yritetä käyttäjän suojausasetusten asetuksesta riippumatta.
  • Kun SAML 2 -todennus on käytössä, ESM-käyttäjän roolit määritetään SAML 2 -viesteissä tunnistettujen roolien mukaisesti.
    • Kun käytetään SAML 2 -todennusta, rooleja ei voi määrittää käyttäjälle manuaalisesti ESM:n hallintakäyttöliittymässä, vaan se on tehtävä SAML 2 -viestin kautta.
    • HUOMAUTUS! Roolien tunnistavat ulkoiset tunnukset on yhdistettävä ESM-rooleihin roolieditorinäkymässä.
• ESM-käyttäjätunnus ja salasana: Määritä paikallista todennusta varten käyttäjätunnus ja salasana.
  • Huomaa, että vain pääkäyttäjällä on oikeus muokata käyttäjätunnuksia.
• ESM-käyttäjätaso: Vaihtoehtoihin kuuluvat:
• Normaali – Näytä, muokkaa ja poista malleja, kansioita ja datakortteja käyttäjäroolin käyttöoikeuksien mukaisesti.
• Vain luku - Lue datakortteja käyttäjäroolin oikeuksien määrittämällä tavalla.
• Pääkäyttäjä – rajattomat oikeudet ESM-tietoihin ja niiden ylläpitoon ilman käyttäjäroolirajoituksia.
  • Käytä pääkäyttäjän tasoa varoen, sillä se on poikkeuksellisen tehokas.

Käyttäjän aikavyöhykeasetukset

multiple.timezone.support- ominaisuuden käyttöönotto antaa käyttäjille mahdollisuuden asettaa haluamansa aikavyöhykkeen, mikä parantaa ESM:n globaalia käytettävyyttä.

Todennusmenetelmä

Voit valita, todennetaanko käyttäjät käyttäjätunnuksen/salasanan (Muu), LDAP AD -pohjaisen todennuksen (LDAP) vai SAML 2 -todennuksen ( SAML 2) perusteella.

Käyttäjien automaattinen luominen SAML 2:lla

SAML 2 -todennus mahdollistaa käyttäjien automaattisen luomisen SAML 2 -viestien ominaisuustietojen perusteella, jolloin roolit ja käyttäjätasot määritetään vastaavasti. Tämä siirtää käyttäjien hallinnan (pääkäyttäjiä lukuun ottamatta) identiteetintarjoajalle, kuten Efecte Identity Managementille (EIM) tai Secure Access ( ESA ).

Huomaa, että jos käyttäjälle käytetään SAML 2 -pohjaista todennusta, koko roolien hallinta on hoidettava EIM:n tai ESA kautta. Vaikka todennusmenetelmä vaihdettaisiin manuaalisesti LDAP:ksi tai käyttäjälle lisättäisiin uusia rooleja, todennus palautuu SAML 2.0:aan seuraavan kirjautumisen yhteydessä, jos EIM tai ESA lähettää käyttäjätason tiedot.

SAML 2 -pohjaisen todennuksen määrittäminen

SAML 2 -pohjaisen todennuksen käyttäminen:

1. Säädä todennusketjua alustan asetuksissa siten, että se sisältää SAML 2:n.
2. Määritä identiteetintarjoaja lähettämään Shibbolethin kautta pakolliset määritteet.
   1. §roolit - roolien luettelo merkkijonona erotettuna merkillä ';'.
   2. esm_userLevel - mahdolliset arvot Root, Normal, Reading, NoAccess.
   3. esm_email - Henkilön luomiseen vaaditaan.
   4. esm_firstName - Henkilön luomista varten, valinnainen.
   5. esm_lastName - Luovaa henkilöä varten, valinnainen.
3. Yhdistä ESM-roolit SAML 2:n kautta tunnistettuihin rooleihin roolieditorissa.

Roolien yhdistäminen roolieditorinäkymässä:

NTLM-todennuksen määrittäminen (paikallinen)

NTLM-todennus koskee vain paikallisia asennuksia, ja sen avulla käyttäjät voivat kirjautua sisään Windows-tunnuksillaan.

Huomautus! Tämä koskee vain paikallisia ESM-asennuksia.

Jos ESM on määritetty käyttämään NTLM HTTP -todennusta, käyttäjät voivat kirjautua ESM:ään Windows-tunnistetiedoillaan ilman, että heidän tarvitsee antaa käyttäjätunnusta ja salasanaa uudelleen (kun he ovat kirjautuneet Windows-työasemaansa). NTLM HTTP -todennus on haaste/vastaus-protokolla: palvelin lähettää haasteen asiakkaalle (eli selaimelle), ja palvelin ja asiakas vastaavat HTTP-yhteyden kautta.

ESM tukee sekä NTLMv1- että NTLMv2-protokollia. Vanhempaa v1-protokollaa ei enää suositella käytettäväksi, eikä se toimi edes uudempien Windows-työasemien ja -palvelimien oletusasetuksilla. ESM tukee vanhempaa protokollaversiota taaksepäin yhteensopivuuden takaamiseksi.

Asetuksella auth.sso.use.fully.qualified.account.name ESM voidaan määrittää vertaamaan Windows-käyttäjätunnusta ESM-käyttäjätunnukseen käyttämällä täysin pätevää tilin nimeä (DOMAIN\käyttäjätunnus). Tämä määritys toimii kaikkien SSO-todennusten kanssa: NTLMv1, NTLMv2 ja Kerberos. Tämä edellyttää, että ESM-käyttäjien käyttäjätunnukset ovat muodossa DOMAIN\käyttäjätunnus.

NTLM-todennuksen käyttäminen ESM:ssä:

1. Käyttäjillä on oltava sama käyttäjätunnus Windows-toimialueella ja ESM:ssä.
2. NTLM on määritettävä yhdeksi todennusmenetelmistä.
   1. Tämä voidaan tehdä lisäämällä auth.chain-asetukseen (valikossa Hallinta > Ylläpito > Muokkaa asetuksia ) arvo negotiate tai NTLM (NTLMv1:lle ) – esimerkiksi auth.chain = negotiate, database. Tämä esimerkkimääritys ottaa käyttöön NTLMv2-todennuksen ESM:lle ja tekee siitä ensimmäisen kokeiltavan todennusmenetelmän.
      

      Huomautus:

      Yleisimmät määritysarvot ovat database; LDAP, database; ja negotiate, LDAP, database. Jos sekä NTLM että negotiate on määritetty samanaikaisesti, käytetään vain negotiate-arvoa.
      Neuvottelun (tai NTLM:n) on oltava luettelon ensimmäinen vaihtoehto, jos sitä käytetään. Muussa tapauksessa 1) jos ensisijainen kirjautumistapa onnistuu, myös NTLM-todennus suoritetaan, mutta sitä ei koskaan käytetä ESM:ssä, tai 2) jos ensisijainen kirjautumistapa epäonnistuu, sisäänkirjautuminen näyttää onnistuvan millä tahansa salasanalla, koska NTLM-todennusta käytetään varalla, mutta tästä ei näytetä ilmoitusta.
3. Vain NTLMv1: Toimialueen ohjauskoneet on konfiguroitava. Jos käyttäjät esimerkiksi kuuluvat joko SALES- tai DEVEL-toimialueisiin, molempien toimialueiden ohjauskoneet on annettava. Tämä tehdään lisäämällä seuraavat rivit alustan asetuksiin:
   1. touth.ntlm.SALES.domaincontroller = myyntidc.omayritys.com
   2. auth.ntlm.DEVEL.domaincontroller = develdc.omayritys.com
   3. Tämän asetuksen yleinen muoto on auth.ntlm.<toimialueen NetBIOS-nimi>.domaincontroller.
      1. Huomaa, että NetBIOS-nimi on vain osa täysin pätevää verkkotunnusnimeä – esimerkiksi sales.mycompany.com on täysin pätevä verkkotunnusnimi ja SALES on verkkotunnuksen NetBIOS-nimi.) Asetuksen arvo on DNS-nimi, täysin pätevä verkkotunnusnimi tai kyseisen verkkotunnuksen verkkotunnuksen ohjaimen IP-osoite.
         

         Huomautus:

         Toimialueen kontrollereita voi olla myös useita. Tällaisessa tapauksessa ensimmäinen toimialueen kontrolleri konfiguroidaan muotoon auth.ntlm.DOMAIN.domaincontroller ja seuraavat toimialueen kontrollerit muotoon auth.ntlm.DOMAIN.domaincontroller.1 , auth.ntlm.DOMAIN.domaincontroller.2 ja niin edelleen.

Vain NTLMv1: Huomaa, että asetus auth.ntlm.defaultdomaincontroller tulee myös määrittää (se sijaitsee alustan asetusten Liitettävän todentajan asetukset -osiossa ). Asetuksen arvo on DNS-nimi, täysin hyväksytty verkkotunnus tai verkkotunnuksen ohjaimen IP-osoite. Tätä asetusta käytetään, jos selain ei lähetä tietoja verkkotunnuksesta tai verkkotunnus ei ole tiedossa. Ongelmallinen tapaus on, kun IE-käyttäjä tulee tuntemattomasta verkkotunnuksesta. Jos oletusverkkotunnuksen ohjainta ei ole määritetty, IE luulee, että NTLM-neuvottelu ei ole valmis, eikä se lähetä käyttäjätunnusta ja salasanaa kirjautumislomakkeesta ESM-palvelimelle. Eli todennus epäonnistuu aina.

Selaintuki NTLM HTTP -todennukselle

Microsoft Internet Explorer neuvottelee NTLM HTTP -todennuksen läpinäkyvästi. Kun IE on neuvotellut NTLM HTTP -todennuksen, se neuvottelee ennakoivasti NTLM:n uudelleen POST-pyyntöjä varten kaikille palvelimeen liittyville sisällöille. Tämä tarkoittaa, että IE neuvottelee uudelleen aina, kun sen on lähetettävä POST-tietoja ESM:lle (esim. datakortin tallennus). IE:n toimintaa on mahdollista muuttaa, mutta se vaatii Windowsin rekisterin muokkaamisen.

Jotta NTLM-todennus toimisi tarkoitetulla tavalla, IE-suojausasetukset on määritettävä seuraavasti:

1. ESM:n URL-osoitteen on oltava määritettynä luotettavaksi sivustoksi IE:ssä (kohdassa Internet-asetukset > Tietoturva > Luotetut sivustot > Sivustot > Lisäasetukset ).
2. IE:n suojausasetuksissa Kirjautumis- vaihtoehdon on oltava joko ” Automaattinen kirjautuminen vain intranet-vyöhykkeellä ” tai ” Automaattinen kirjautuminen nykyisellä käyttäjätunnuksella ja salasanalla ” (kohdassa Internet-asetukset > Suojaus > Luotetut sivustot > Mukautettu taso… ).

Internet Explorerin suojausasetukset NTLM-todennusta varten :

Mozilla ja Mozilla-pohjaiset selaimet, kuten Firefox, tukevat NTLM HTTP -todennusta, mutta pyytävät käyttäjältä aina tunnistetietoja. Mozilla-pohjaiset selaimet on kuitenkin mahdollista määrittää suorittamaan NTLM-neuvottelut läpinäkyvästi:

1. Käynnistä selain.
2. Kirjoita osoiteriville about:config .
3. Muokkaa asetusta network.automatic-ntlm-auth.trusted-uris: Tämän asetuksen arvo on pilkuilla erotettu luettelo URL-etuliitteistä tai verkkotunnuksista. Lisää ESM-palvelimesi URL-etuliite, esimerkiksi http://efecteserver .

Tämä muutos voidaan tehdä myös Mozillan asetustiedostoon helpomman käyttöönoton vuoksi.

Kerberos-todennuksen määrittäminen (vain paikallisesti)

Laaimman mahdollisen asiakastuen ja parhaan tietoturvan saavuttamiseksi voidaan käyttää Kerberos-todennusta. Kerberoksen haittapuolena on, että vaikka se on turvallisin todennusvaihtoehto, sitä on myös vaikeinta saada toimimaan kunnolla. Useimmissa tapauksissa, joissa on vain Windows-työasemia, NTLMv2:n pitäisi olla enemmän kuin riittävä ja se on paljon helpompi saada toimimaan.

Asetuksella auth.sso.use.fully.qualified.account.name ESM voidaan määrittää vertaamaan Windows-käyttäjätunnusta ESM-käyttäjätunnukseen käyttämällä täysin pätevää tilin nimeä (DOMAIN\käyttäjätunnus). Tämä määritys toimii kaikkien SSO-todennusten kanssa: NTLMv1, NTLMv2 ja Kerberos. Tämä edellyttää, että ESM-käyttäjien käyttäjätunnukset ovat muodossa DOMAIN\käyttäjätunnus.

Kerberos-todennuksen määrittäminen ESM:ssä

1. Käyttäjillä on oltava sama käyttäjätunnus Windows-toimialueella ja ESM:ssä.
2. Neuvottelu on määritettävä yhdeksi todennusmenetelmäksi. Tämä voidaan tehdä lisäämällä negotiate-arvo asetukseen auth.chain (kohdassa Ylläpito > Muokkaa asetuksia) – esimerkiksi auth.chain = negotiate , database. Tämä esimerkkimääritys ottaa käyttöön Kerberos-negotiation-todennuksen ESM:lle ja tekee siitä ensimmäisen kokeiltavan todennusmenetelmän.
3. Muuta alustan asetuksen negotiate.protocol arvoksi Negotiate. Huomaa, että tämän asetuksen muutokset eivät tule voimaan ennen kuin ESM-palvelu käynnistetään uudelleen.

Jos haluat suorittaa ESM-palvelua jollakin muulla käyttäjätunnuksella kuin paikallisella järjestelmällä, sinun on poistettava Kerberos-esitunnistus käytöstä kyseiseltä käyttäjältä Active Directory ja luotava käyttäjälle palvelun päänimi (SPN), joka vastaa palvelinta, jolla ESM:ää suoritetaan. Tässä on esimerkki SPN:stä: HTTP/efecteserver.domain.com.

Kerberos-todennuksen selainasetukset ovat samat kuin NTLM-todennuksen määritykset Internet Explorerissa. Firefoxissa asetus, johon ESM-palvelin on lisättävä, on network.negotiate-auth.trusted-uris.

LDAP-todennus useilla verkkotunnuksilla (vain paikallisesti)

Useiden verkkotunnusten todennus voidaan ottaa käyttöön asettamalla alustan asetuksen auth.ldap.multidomain.enabled arvoksi true.

LDAP-URL-osoitteet on annettava asetuksilla auth.ldap.host.uri.DOMAIN , joissa sana DOMAIN on korvattava verkkotunnuksen varsinaisella nimellä. Tällä asetuksella voi olla useita pilkulla erotettuja arvoja. Esimerkki: auth.ldap.host.uri.SALES= ldap://dc1:3268, ldap://dc2:3268

Kaikissa tässä käytettävissä toimialueen ohjauskoneissa on oltava käytössä Global Catalog (GC) (sen oletusportti on 3268). GC:tä tarvitaan, koska meillä ei ole määritettyjä perus-DN:iä toimialueille ja vain GC sallii haut ilman sitä. ESM:ään kirjautuvien käyttäjien on annettava käyttäjätunnuksensa muodossa TOIMIALUE\käyttäjätunnus.

Servlet-todentaja

Servlet-todennus voidaan määrittää tiettyjen alusta-asetusten kautta, jolloin kirjautumisen hallinta voidaan ottaa käyttöön Active Directory -ryhmien perusteella ja käyttäjätilien automaattinen luonti ESM:ään servlet-todennuksen perusteella.

• servlet.auth.admin.ad.group - Sen AD ryhmän nimi, jonka avulla järjestelmänvalvojat voivat kirjautua ESM:ään. Useita ryhmiä tuetaan. Arvot tulee erottaa pilkuilla.
• servlet.auth.create.users - Jos käyttäjätiliä ei ole jo olemassa, se luodaan. Oletusarvo on true.
• servlet.auth.person.groups.attribute.code - Ryhmäattribuutin koodi "person template" -mallissa, joka sisältää viittauksen " Active Directory Group" -malliin.
• servlet.auth.person.template.code - Henkilökohtaisia tietoja sisältävä mallipohja.
• uid - Ryhmäattribuutin koodi "person template" -mallissa, joka sisältää merkkijonon käyttäjätunnukselle Active Directory .
• servlet.auth.person.user.attribute.code - Ryhmäattribuutin koodi "person template" -kohdassa, joka sisältää viittauksen Efecte User -malliin.
• servlet.auth.user.ad.group - Sen AD ryhmän nimi, jonka avulla normaalit käyttäjät voivat kirjautua ESM:ään. Useita ryhmiä tuetaan. Arvot tulee erottaa pilkuilla.
• servlet.auth.user.folder.code - Sen käyttöoikeuspuun kansion koodi, johon uusi käyttäjä luodaan.
• servlet.auth.user.name.attribute.code - Ryhmäattribuutin koodi "Käyttäjä"-templaatissa, joka sisältää merkkijonon käyttäjätunnukselle.
• servlet.auth.user.person.attribute.code - Ryhmäattribuutin koodi "Käyttäjä"-templaatissa, joka sisältää viittauksen Person-templaattiin.
• servlet.auth.user.readonly.roles - Ylläpitäjäroolin nimi, joka annetaan käyttäjille, joilla on vain lukuoikeudet.
  • Ne eivät kuulu "servlet.auth.user.ad.group"- tai "servlet.auth.admin.ad.group"-ryhmään.
    • Jos tämä asetus on tyhjä, käyttäjät, jotka eivät kuulu kumpaankaan näistä rooleista, eivät voi kirjautua sisään.
• servlet.auth.user.roles - Järjestelmänvalvojan roolin nimi, joka annetaan käyttäjille, jotka tunnistetaan normaaleiksi käyttäjiksi. Katso "servlet.auth.user.ad.group".