Zarządzanie użytkownikami

Użytkowników można tworzyć zarówno ręcznie, jak i automatycznie, za pomocą uwierzytelniania SAML 2. Aby rozpocząć proces:

1. Utwórz foldery użytkowników: Najpierw utwórz foldery w module Użytkownicy, aby uporządkować użytkowników. Wymaga to szablonu użytkownika z kodem „admin”.
2. Dodaj użytkowników: Po przygotowaniu szablonu możesz rozpocząć dodawanie użytkowników:
   1. Otwórz widok Uprawnienia w interfejsie użytkownika administratora.
   2. Wybierz „Użytkownicy i role” w panelu drzewa.
   3. Kliknij „Nowy folder” w menu wyświetlania.
   4. Po nadaniu folderowi nazwy, przypisaniu uprawnień i zapisaniu go, pojawi się on w panelu drzewa Uprawnienia.
   5. Następnie dodaj szablon administratora jako dozwolony szablon, wprowadź kod dla folderu i ponownie zapisz.

Ręczne tworzenie użytkowników

Aby ręcznie utworzyć użytkownika:

1. Przejdź do odpowiedniego folderu.
2. Wybierz „Nowy użytkownik”, aby otworzyć widok Użytkownik Efecte.
3. Podaj nazwę nowego użytkownika.
4. Wpisz wymagane informacje (jeśli takie istnieją).
5. Kliknij Zapisz.

Informacje o nowym użytkowniku pojawiają się w obszarze zawartości ESM, a nazwa nowego użytkownika jest wyświetlana pod aktywnym folderem w panelu drzewa uprawnień

Automatyczne zarządzanie użytkownikami

Automatyczne tworzenie, aktualizowanie i usuwanie użytkowników można zorganizować za pomocą Efecte Provisioning Engine (EPE) poprzez węzeł Orchestration w ramach przepływów pracy. Szczegółowe informacje można znaleźć w dokumentacji EPE.

Ustawienia specyficzne dla użytkownika

Ustawienia użytkownika umożliwiają dostosowanie metod uwierzytelniania i preferencji interfejsu, w tym języka i strefy czasowej. Ustawienia te są unikalne dla każdego użytkownika.

Kliknij Ustawienia w menu wyświetlania, aby otworzyć widok Ustawienia użytkownika:

Ustawienia zabezpieczeń specyficzne dla użytkownika

• Metoda uwierzytelniania: Wybierz pomiędzy uwierzytelnianiem za pomocą identyfikatora/hasła ( inne ), uwierzytelnianiem opartym na usłudze LDAP AD lub uwierzytelnianiem SAML 2. Każda metoda ma swoją specyfikę dotyczącą dopasowywania identyfikatorów użytkowników i przypisywania ról.
  • a. Jeśli wybrano inną metodę uwierzytelniania, użytkownika ESM można uwierzytelnić lokalnie, używając identyfikatora użytkownika i hasła zapisanych w bazie danych, lub za pomocą uwierzytelniania NTSM, używając identyfikatora użytkownika zapisanego w bazie danych lub pobranego przez interfejs LDAP.
  • Zazwyczaj uwierzytelnianie LDAP korzysta z usługi Windows Active Directory . Ustawienia LDAP (zazwyczaj serwerów LDAP) należy określić w sekcji „Ustawienia uwierzytelniacza wtykowego” w ustawieniach platformy (edytowalne w sekcji Administracja > Konserwacja > Edytuj ustawienia).
    • UWAGA! W przypadku uwierzytelniania LDAP, identyfikator użytkownika Efecte musi być zgodny z istniejącym identyfikatorem użytkownika w systemie LDAP, a LDAP musi być dodany jako pierwsza wartość w ustawieniu platformy auth.chain. Ustawienie LDAP specyficzne dla użytkownika skonfigurowane w widoku Ustawienia zabezpieczeń specyficzne dla użytkownika można zastąpić ustawieniem platformy auth.chain.
    • Jeśli w wartości auth.chain przed LDAP wymieniono inne metody uwierzytelniania (np. bazę danych lub NTLM), najpierw zostanie podjęta próba uwierzytelnienia przy użyciu tych metod, niezależnie od ustawień w widoku Ustawienia zabezpieczeń użytkownika.
    • Jeśli w wartości auth.chain brakuje LDAP, uwierzytelnianie LDAP nigdy nie zostanie podjęte, niezależnie od ustawienia w widoku ustawień zabezpieczeń użytkownika.
  • Po włączeniu uwierzytelniania SAML 2 role użytkownika ESM są przypisywane zgodnie z rolami zidentyfikowanymi w wiadomościach SAML 2.
    • Gdy używane jest uwierzytelnianie SAML 2, nie można ręcznie przypisać ról użytkownikowi w interfejsie użytkownika administratora ESM, można to zrobić wyłącznie za pomocą komunikatu SAML 2.
    • UWAGA! Identyfikatory zewnętrzne identyfikujące role muszą być mapowane na role ESM w widoku edytora ról.
• Identyfikator użytkownika i hasło ESM: W przypadku uwierzytelniania lokalnego należy podać identyfikator użytkownika i hasło.
  • Należy pamiętać, że tylko użytkownik root jest uprawniony do modyfikowania identyfikatorów użytkowników.
• Poziom użytkownika ESM: Opcje obejmują:
• Normalny — wyświetlanie, edytowanie i usuwanie szablonów, folderów i kart danych zgodnie z uprawnieniami roli użytkownika.
• Tylko do odczytu — odczyt kart danych zgodnie z uprawnieniami roli użytkownika.
• Root - nieograniczone prawa do danych ESM i ich konserwacji, bez żadnych ograniczeń roli użytkownika.
  • Używaj uprawnień użytkownika root ostrożnie, ponieważ są one wyjątkowo potężne.

Ustawienia strefy czasowej użytkownika

Włączenie opcji multiple.timezone.support umożliwia użytkownikom ustawienie preferowanej strefy czasowej, co zwiększa ogólną użyteczność ESM.

Metoda uwierzytelniania

Możesz wybrać, czy uwierzytelniać użytkowników na podstawie identyfikatora użytkownika i hasła (Inne), uwierzytelniania na podstawie usługi LDAP AD (LDAP) czy uwierzytelniania SAML 2 ( SAML 2).

Automatyczne tworzenie użytkowników za pomocą SAML 2

Uwierzytelnianie SAML 2 umożliwia automatyczne tworzenie użytkowników na podstawie informacji o atrybutach zawartych w wiadomościach SAML 2, przypisując im odpowiednie role i poziomy użytkowników. To przenosi zarządzanie użytkownikami (z wyjątkiem użytkowników root) na dostawcę tożsamości, takiego jak Efecte Identity Management (EIM) lub Secure Access ( ESA ).

Należy pamiętać, że w przypadku uwierzytelniania opartego na SAML 2, całe zarządzanie rolami musi odbywać się za pośrednictwem EIM lub ESA . Nawet jeśli metoda uwierzytelniania zostanie ręcznie zmieniona na LDAP lub dodane zostaną nowe role do użytkownika, uwierzytelnianie zostanie przywrócone do SAML 2.0 przy następnym logowaniu, jeśli EIM lub ESA prześle informacje o poziomie użytkownika.

Konfigurowanie uwierzytelniania opartego na SAML 2

Aby wykorzystać uwierzytelnianie oparte na SAML 2:

1. Dostosuj łańcuch uwierzytelniania w ustawieniach platformy, aby uwzględnić SAML 2.
2. Skonfiguruj dostawcę tożsamości w celu wysyłania wymaganych atrybutów za pomocą Shibboleth.
   1. §roles - lista ról w postaci ciągu znaków rozdzielonych znakiem ';'.
   2. esm_userLevel - możliwe wartości Root, Normal, Readonly, NoAccess.
   3. esm_email — wymagane do utworzenia osoby.
   4. esm_firstName — do tworzenia osoby, opcjonalne.
   5. esm_lastName — do tworzenia osoby, opcjonalne.
3. Przypisz role ESM do ról zidentyfikowanych za pomocą SAML 2 w edytorze ról.

Mapowanie ról w widoku edytora ról:

Konfigurowanie uwierzytelniania NTLM (lokalnie)

Uwierzytelnianie NTLM jest dostępne wyłącznie w przypadku instalacji lokalnych i umożliwia użytkownikom logowanie się przy użyciu danych logowania systemu Windows.

Uwaga! Dotyczy to tylko instalacji ESM na miejscu.

Jeśli ESM jest skonfigurowany do korzystania z uwierzytelniania NTLM HTTP, użytkownicy mogą logować się do ESM przy użyciu swoich danych logowania systemu Windows bez konieczności ponownego wprowadzania nazwy użytkownika i hasła (po zalogowaniu się na stacji roboczej z systemem Windows). Uwierzytelnianie NTLM HTTP to protokół typu wyzwanie/odpowiedź: serwer wysyła wyzwanie do klienta (tj. przeglądarki), a serwer i klient odpowiadają za pomocą protokołu HTTP.

ESM obsługuje zarówno protokoły NTLMv1, jak i NTLMv2. Starszy protokół v1 nie jest już zalecany do używania i nie działa nawet z domyślnymi ustawieniami nowszych stacji roboczych i serwerów Windows. ESM obsługuje starszą wersję protokołu w celu zapewnienia wstecznej kompatybilności.

Dzięki ustawieniu auth.sso.use.fully.qualified.account.name, ESM można skonfigurować tak, aby porównywał nazwę użytkownika Windows z nazwą użytkownika ESM, używając w pełni kwalifikowanej nazwy konta (DOMENA\nazwa_użytkownika). Ta konfiguracja działa ze wszystkimi uwierzytelnieniami SSO: NTLMv1, NTLMv2 i Kerberos. Wymaga to, aby użytkownicy ESM mieli identyfikatory użytkownika w formacie DOMENA\nazwa_użytkownika.

Jak korzystać z uwierzytelniania NTLM w ESM:

1. Użytkownicy muszą mieć tę samą nazwę użytkownika w domenie Windows i ESM.
2. NTLM musi być skonfigurowany jako jedna z metod uwierzytelniania.
   1. Można to zrobić, dodając wartość „negotiation” lub „NTLM” (dla NTLMv1) do ustawienia auth.chain (w sekcji Administracja > Konserwacja > Edytuj ustawienia ) – na przykład auth.chain = negotiation, baza danych. Ta przykładowa konfiguracja włącza uwierzytelnianie NTLMv2 dla ESM i ustawia je jako pierwszą metodę uwierzytelniania, która zostanie wypróbowana.
      

      Notatka:

      Najpopularniejsze wartości konfiguracji to: database; LDAP, database; oraz negocjacja, LDAP, database. Jeśli NTLM i negocjacja są skonfigurowane jednocześnie, używana będzie tylko negocjacja.
      Negocjacja (lub NTLM) musi być pierwszą opcją na liście, jeśli ma być używana. W przeciwnym razie: 1) jeśli główna metoda logowania zakończy się powodzeniem, uwierzytelnianie NTLM również zostanie przeprowadzone, ale nigdy nie będzie używane w ESM, lub 2) jeśli główna metoda logowania zawiedzie, logowanie wydaje się pomyślne z dowolnym hasłem, ponieważ uwierzytelnianie NTLM zostanie użyte jako opcja zapasowa, ale nie zostanie wyświetlone żadne powiadomienie.
3. Tylko dla NTLMv1: Kontrolery domeny muszą być skonfigurowane. Na przykład, jeśli użytkownicy mogą należeć do jednej z domen SALES i DEVEL, należy podać kontrolery domeny dla obu domen. W tym celu należy dodać następujące wiersze do ustawień platformy:
   1. auth.ntlm.SALES.domaincontroller = salesdc.mycompany.com
   2. auth.ntlm.DEVEL.domaincontroller = develdc.mycompany.com
   3. Ogólna forma tego ustawienia to auth.ntlm.<nazwa NetBIOS domeny>.domaincontroller.
      1. Należy pamiętać, że nazwa NetBIOS stanowi jedynie część w pełni kwalifikowanej nazwy domeny – na przykład sales.mycompany.com jest w pełni kwalifikowaną nazwą domeny, a SALES jest nazwą NetBIOS tej domeny. Wartością tego ustawienia jest nazwa DNS, w pełni kwalifikowana nazwa domeny lub adres IP kontrolera domeny danej domeny.
         

         Notatka:

         Może również istnieć wiele kontrolerów domeny. W takim przypadku pierwszy kontroler domeny jest skonfigurowany jako auth.ntlm.DOMAIN.domaincontroller, a kolejne jako: auth.ntlm.DOMAIN.domaincontroller.1 , auth.ntlm.DOMAIN.domaincontroller.2 itd.

Tylko dla NTLMv1: Należy pamiętać, że ustawienie auth.ntlm.defaultdomaincontroller również powinno być skonfigurowane (znajduje się ono w sekcji „Ustawienia uwierzytelniacza wtykowego” w ustawieniach platformy). Wartością tego ustawienia jest nazwa DNS, w pełni kwalifikowana nazwa domeny lub adres IP kontrolera domeny. To ustawienie jest używane, jeśli przeglądarka nie wysyła informacji o domenie lub domena jest nieznana. Problematyczny jest przypadek, gdy użytkownik IE pochodzi z nieznanej domeny. Jeśli domyślny kontroler domeny nie jest skonfigurowany, IE uznaje, że negocjacja NTLM nie została zakończona i nie wysyła nazwy użytkownika i hasła z formularza logowania do serwera ESM. Oznacza to, że uwierzytelnianie zawsze się nie powiedzie.

Obsługa uwierzytelniania NTLM HTTP w przeglądarkach

Microsoft Internet Explorer będzie transparentnie negocjować uwierzytelnianie NTLM HTTP. Po wynegocjowaniu uwierzytelniania NTLM HTTP, IE będzie proaktywnie renegocjować NTLM dla żądań POST dla całej zawartości powiązanej z serwerem. Oznacza to, że IE będzie renegocjować za każdym razem, gdy będzie musiał wysłać dane POST do ESM (np. zapisując dane na karcie). Zmiana zachowania IE jest możliwa, ale wymaga edycji rejestru systemu Windows.

Aby uwierzytelnianie NTLM działało prawidłowo, ustawienia zabezpieczeń programu IE należy skonfigurować w następujący sposób:

1. Adres URL ESM musi być skonfigurowany jako zaufany w przeglądarce IE (w obszarze Opcje internetowe > Zabezpieczenia > Zaufane witryny > Witryny > Zaawansowane ).
2. Opcja logowania w ustawieniach zabezpieczeń przeglądarki IE musi być ustawiona na „ Automatyczne logowanie tylko w strefie intranetu ” lub „ Automatyczne logowanie przy użyciu bieżącej nazwy użytkownika i hasła ” (w obszarze Opcje internetowe > Zabezpieczenia > Zaufane witryny > Poziom niestandardowy… ).

Ustawienia zabezpieczeń programu Internet Explorer dla uwierzytelniania NTLM :

Przeglądarki Mozilla i oparte na Mozilli, takie jak Firefox, obsługują uwierzytelnianie HTTP NTLM, ale zawsze proszą użytkownika o podanie danych uwierzytelniających. Przeglądarki oparte na Mozilli można jednak skonfigurować tak, aby przeprowadzały transparentną negocjację NTLM:

1. Uruchom przeglądarkę.
2. Wpisz about:config w pasku adresu.
3. Edytuj preferencję network.automatic-ntlm-auth.trusted-uris: Wartość tej preferencji to lista prefiksów URL lub domen rozdzielonych przecinkami. Dodaj prefiks URL dla swojego serwera ESM, na przykład http://efecteserver .

Tę zmianę można również wprowadzić w pliku konfiguracyjnym Mozilli, co ułatwi wdrożenie.

Konfigurowanie uwierzytelniania Kerberos (tylko lokalnie)

Aby zapewnić jak najszersze wsparcie klienta i najwyższy poziom bezpieczeństwa, można zastosować uwierzytelnianie Kerberos. Wadą Kerberos jest to, że choć jest to najbezpieczniejsza opcja uwierzytelniania, to jednocześnie najtrudniejsza do poprawnego uruchomienia. W większości przypadków, gdy dostępne są tylko stacje robocze z systemem Windows, NTLMv2 powinno być w zupełności wystarczające i znacznie łatwiejsze w uruchomieniu.

Dzięki ustawieniu auth.sso.use.fully.qualified.account.name, ESM można skonfigurować tak, aby porównywał nazwę użytkownika Windows z nazwą użytkownika ESM, używając w pełni kwalifikowanej nazwy konta (DOMENA\nazwa_użytkownika). Ta konfiguracja działa ze wszystkimi uwierzytelnieniami SSO: NTLMv1, NTLMv2 i Kerberos. Wymaga to, aby użytkownicy ESM mieli identyfikatory użytkownika w formacie DOMENA\nazwa_użytkownika.

Jak skonfigurować uwierzytelnianie Kerberos w ESM

1. Użytkownicy muszą mieć tę samą nazwę użytkownika w domenie Windows i ESM.
2. Negocjacja musi być skonfigurowana jako jedna z metod uwierzytelniania. Można to zrobić, dodając wartość „negocjacja” do ustawienia auth.chain (w sekcji „Konserwacja” > „Edytuj ustawienia”) – na przykład auth.chain = negocjacja , baza danych. Ta przykładowa konfiguracja włącza uwierzytelnianie negocjacyjne Kerberos dla ESM i ustawia je jako pierwszą metodę uwierzytelniania, która zostanie przetestowana.
3. Zmień wartość ustawienia platformy „negotiate.protocol” na „Negotiate”. Należy pamiętać, że zmiany tego ustawienia zaczną obowiązywać dopiero po ponownym uruchomieniu usługi ESM.

Jeśli chcesz uruchomić usługę ESM z innym użytkownikiem niż system lokalny, musisz wyłączyć dla niego konieczność wstępnego uwierzytelniania Kerberos w usłudze Active Directory i utworzyć dla niego główną nazwę usługi (SPN), która będzie zgodna z serwerem, na którym uruchamiany jest ESM. Oto przykład nazwy SPN: HTTP/efecteserver.domena.com.

Konfiguracja przeglądarki dla uwierzytelniania Kerberos jest taka sama jak dla NTLM w Internet Explorerze. W Firefoksie ustawienie, w którym należy dodać serwer ESM, to network.negotiate-auth.trusted-uris.

Uwierzytelnianie LDAP z wieloma domenami (tylko lokalnie)

Uwierzytelnianie z wielu domen można włączyć, ustawiając wartość ustawienia platformy auth.ldap.multidomain.enabled na true.

Adresy URL LDAP należy podawać za pomocą ustawień auth.ldap.host.uri.DOMAIN , gdzie słowo DOMAIN należy zastąpić rzeczywistą nazwą domeny. To ustawienie może mieć wiele wartości rozdzielonych przecinkami. Przykład: auth.ldap.host.uri.SALES= ldap://dc1:3268,ldap://dc2:3268

Wszystkie używane tutaj kontrolery domeny muszą mieć włączony Katalog Globalny (GC) (domyślny port to 3268). Katalog Globalny jest potrzebny, ponieważ nie mamy zdefiniowanych bazowych nazw wyróżniających dla domen i tylko GC umożliwia wyszukiwanie bez niego. Użytkownicy logujący się do ESM muszą podać swoją nazwę użytkownika w formacie DOMENA\nazwa_użytkownika.

Uwierzytelniacz serwletów

Uwierzytelnianie serwletów można skonfigurować za pomocą ustawień konkretnej platformy, co umożliwia kontrolę logowania na podstawie grup Active Directory i automatyczne tworzenie kont użytkowników w ESM na podstawie uwierzytelniania serwletów.

• servlet.auth.admin.ad.group – nazwa grupy AD , która umożliwia użytkownikom z uprawnieniami administratora logowanie się do ESM. Obsługiwane są liczne grupy. Wartości należy rozdzielać przecinkami.
• servlet.auth.create.users – jeśli konto użytkownika jeszcze nie istnieje, zostanie utworzone. Wartość domyślna to true.
• servlet.auth.person.groups.attribute.code — kod atrybutu grupy w „szablonie osoby” zawierający odwołanie do szablonu „Grupa Active Directory ”.
• servlet.auth.person.template.code — kod szablonu zawierający dane osobowe.
• servlet.auth.person.uid uid — Kod atrybutu grupy w „szablonie osoby” zawierającym ciąg dla identyfikatora użytkownika w Active Directory .
• servlet.auth.person.user.attribute.code — Kod atrybutu grupy w „szablonie osoby” zawierający odwołanie do szablonu użytkownika Efecte.
• servlet.auth.user.ad.group – nazwa grupy AD , która umożliwia zwykłym użytkownikom logowanie się do ESM. Obsługiwane są wiele grup. Wartości należy rozdzielać przecinkami.
• servlet.auth.user.folder.code — kod folderu drzewa uprawnień, w którym zostanie utworzony nowy użytkownik.
• servlet.auth.user.name.attribute.code — Kod atrybutu grupy w szablonie „Użytkownik”, który zawiera ciąg dla nazwy użytkownika.
• servlet.auth.user.person.attribute.code — Kod atrybutu grupy w szablonie „Użytkownik”, który zawiera odwołanie do szablonu osoby.
• servlet.auth.user.readonly.roles — nazwa roli administratora, która zostanie nadana użytkownikom rozpoznanym jako użytkownicy z uprawnieniami tylko do odczytu.
  • Nie należą one do „servlet.auth.user.ad.group” ani „servlet.auth.admin.ad.group”.
    • Jeśli to ustawienie jest puste, użytkownicy, którzy nie przynależą do żadnej z tych ról, nie będą mogli się zalogować.
• servlet.auth.user.roles – nazwa roli administratora, która będzie nadawana użytkownikom rozpoznawanym jako zwykli użytkownicy. Zobacz „servlet.auth.user.ad.group”.