Управление зонами доступа

Зона доступа — это сущность в продукте «Осмакс», позволяющая разграничивать доступ к устройствам для пользователей и групп пользователей. Зона доступа группирует устройства и назначает их пользователям; при этом устройства и пользователи могут входить в несколько зон одновременно, обеспечивая гибкое управление правами.

Предоставление пользователю доступа к устройствам

Для получения доступа к устройству пользователь должен быть либо напрямую назначен в зону доступа, либо входить в группу, которой назначена соответствующая зона.

Настройка прав доступа включает следующие сценарии:

  • удаление всех доступов у пользователя;

    Исключите пользователя из всех зон, назначенных ему напрямую, а также из групп, на которые назначены зоны доступа.

  • ограничение доступа к конкретным устройствам;

    Создайте новую зону доступа с нужным набором устройств, назначьте ее пользователю или группе и снимите назначение зоны по умолчанию с этих пользователей.

  • предоставление доступа ко всем устройствам (например, для нового пользователя).

    Назначьте зону доступа по умолчанию пользователю или группе.

Зона доступа по умолчанию

Продукт поставляется с предустановленной зоной доступа по умолчанию (default), удалить которую невозможно.

В эту зону автоматически включаются все устройства, зарегистрированные в системе. Доступ к зоне по умолчанию должен предоставляться только пользователям с правами на управление зонами доступа.

При синхронизации с LDAP всем новым пользователям автоматически предоставляется доступ к устройствам в тех зонах, которые назначены их группам. Если пользователь не входит ни в одну из таких групп, ему необходимо явно назначить зону доступа.

Чтобы при внедрении функциональности зон доступа не был потерян доступ к устройствам для существующих пользователей, до завершения настройки зон доступа необходимо предоставить доступ к зоне по умолчанию всем группам пользователей, а также всем отдельным пользователям, не входящим в группы.

Пересчет состава зоны доступа

Пересчет состава зоны доступа — это процесс автоматического или ручного обновления списка устройств, принадлежащих зоне, на основе текущих ограничений и данных из LDAP.

Он также включает повторный расчет прав участников на удаленный доступ (УД) на основе ролей с флагом remote_access.access == true, исключая участников, заданных в конфигурации Guacamole (см. описание параметров ldap-user-search-filter и ldap-group-search-filter в разделе «Описание параметров конфигурационного файла guacamole.properties»).

Пересчет может быть инициирован:

  • вручную администратором для конкретной зоны;

  • автоматически по расписанию (если включено);

  • при полной или частичной синхронизации LDAP.

Статусы пересчета

После каждого пересчета в системе фиксируется статус:

  • Новая — зона только что создана, пересчет не выполнялся;

  • Запущен — пересчет запущен, процесс активен; повторный запуск невозможен;

  • Завершен — пересчет завершен успешно;

  • Ошибка — пересчет завершен с ошибкой (например, недоступность LDAP, таймаут, некорректные учетные данные).

Отображение информации о пересчете

В интерфейсе «Кабинет администратора» отображаются метаданные пересчета:

  • время запуска операции;

  • время окончания операции (не отображается при статусе Запущен);

  • статус операции;

  • имя пользователя (при запуске вручную) или Автоматический пересчет в случае запуска пересчета по расписанию или системным процессом.

Данные о пересчете отображаются в таблице списка зон доступа, на боковой панели и на странице с подробной информацией о зоне.

Права на удаленный доступ

После пересчета для каждого участника зоны (пользователь или группа) определяется наличие прав на УД:

  • для пользователя проверяются роли, назначенные ему напрямую или посредством членства в группах;

  • для группы проверяются роли, назначенные ей напрямую и ее родительским группам.

Работа с зонами доступа

Работа с зонами доступа включает:

Обновлено: