Создание пользователя для входа и привязка роли к пользователю

Чтобы установить Department в вышестоящий отдел для пользователя, вам необходимо иметь права управления модулем Department. Подробную информацию о том, как редактировать права роли пользователя, см. в Editing Role Information.

• У вас есть права на создание или импорт пользователей в модуле User.
• У вас есть права на синхронизацию пользователей с доменным сервером AD в модуль System.

1. Войдите в ваш bastion host.
2. В панели навигации слева выберите User > User, чтобы перейти на страницу списка пользователей.
3. В правом верхнем углу страницы нажмите New. В отображаемом диалоговом окне New User заполните обязательные параметры.

   Table 1 Параметры создания пользователя

   Параметр	Описание
   LoginName	Указывает имя пользователя для входа в систему. LoginName должен быть уникальным в системе и не может быть изменён после создания.
   Verification Type	Указывает способ проверки пользователя при входе на bastion host. Local: Пользователь проверяется в системе управления учётными записями bastion host. Этот метод является методом по умолчанию. AD: Пользователь проверяется на сервере домена Windows AD. LDAP: Пользователь проверяется на стороннем сервере аутентификации через протокол LDAP. RADIUS: Пользователь проверяется на стороннем сервере аутентификации через протокол RADIUS. Azure AD: Пользователь проверяется на платформе Azure на основе конфигурации Security Assertion Markup Language (SAML). NOTE: Если вы хотите проверять пользователя на удалённом домене AD, серверах LDAP или RADIUS или проверять пользователя через сервис Azure AD, настройте удалённый сервер аутентификации в bastion host. Подробности см. в Authentication Configuration.
   Domain name	Этот параметр обязателен, если вы выбираете Azure AD для Verification Type. Укажите суффикс, зарегистрированный в платформе Azure.
   Password/Confirm Password	Пароль должен быть настроен для входа пользователя в bastion host, если вы выбираете Local для Verification Type.
   Authentication server	Необходимо настроить сервер аутентификации, если вы выбираете AD или LDAP для Verification Type.
   UserName	Указывает имя пользователя, заданное пользователем. Это имя указывает имя человека, использующего учётную запись, чтобы системные пользователи могли отличаться друг от друга.
   Mobile	Указывает мобильный номер пользователя. Этот номер используется для входа по SMS‑аутентификации и сброса пароля.
   Email	Указывает адрес электронной почты пользователя. Bastion host отправляет уведомления на этот адрес электронной почты.
   Role	Указывает роль, назначаемую пользователю. Можно назначить только одну роль. По умолчанию системные роли включают DepartmentManager, PolicyManager, AuditManager и User. DepartmentManager: отвечает за управление отделами. За исключением модулей User и Role, эта роль имеет права конфигурации для всех остальных модулей. PolicyManager: отвечает за настройку прав политики. Эта роль имеет права конфигурации для модулей User Group, Account Group и ACL Rules. AuditManager: отвечает за аудит системных и обслуживающих данных. Эта роль имеет право конфигурации для модулей Live Session, History Session и System Log. User: обычные системные пользователи и операторы ресурсов. Эта роль имеет права для модулей Host Operations, App Operations и Ticket approval. Роль, определяемая пользователем: только пользователь admin может создавать новую роль или изменять права стандартной роли.
   Название отдела	Указывает отдел, к которому принадлежит пользователь. Подробности о том, как создать отдел, см. Creating a Department.
   Примечания	(Optional) Предоставляет дополнительную информацию о пользователе.

4. Нажмите OK.

1. Войдите в ваш bastion host.
2. В панели навигации слева выберите User > User, чтобы перейти на страницу списка пользователей.
3. Нажмите в правом верхнем углу.
4. Нажмите Download рядом с Download template.
5. Введите информацию о пользователях в соответствии с требованиями конфигурации в шаблоне.

   Таблица 2 параметры шаблона

   Параметр	Описание
   LoginName	(Mandatory) Указывает имя пользователя для входа пользователя в bastion host.
   Verification Type	(Mandatory) Указывает метод аутентификации. Можно ввести только один метод аутентификации. Вы можете выбрать Local, RADIUS, AD Domain, LDAP, Azure AD или IAM.
   Password	(Mandatory) Указывает пользовательский пароль для входа. Этот параметр требуется, когда Verification Type установлен на Local.
   Authentication server/Domain name	(Mandatory) Указывает сервер аутентификации. Этот параметр требуется, если Verification Type установлен на AD, LDAP или Azure AD. Обратите внимание, что значение должно быть введено в требуемом формате. Для аутентификации AD domain значение должно быть в формате IP:PORT, например, 10.10.10.10:389. Для LDAP authentication значение должно быть в формате IP:'PORT/ou=test,dc=test,dc=com', например, 10.10.10.10:'389/ou=test,dc=com'. Для Azure AD authentication укажите имя домена.
   UserName	Введите имя системного пользователя.
   Mobile	Введите мобильный номер системного пользователя.
   Email	(Обязательно) Введите адрес электронной почты системного пользователя.
   Role	(Обязательно) Введите системную роль пользователя. Можно ввести только один тип роли. Для выбора доступны четыре роли по умолчанию: DepartmentManager, PolicyManager, AuditManager и User. Можно ввести только role, созданную в системе.
   Department Name	(Обязательно) Введите отдел, к которому принадлежит пользователь. Структура отдела должна быть полной. Можно ввести только одну структуру отдела, и пользователь может принадлежать только к одному отделу. По умолчанию отдел может быть установлен в HQ. Используйте запятую (,) для разделения отдела и его нижестоящего отдела. Можно ввести только department, созданный в системе.
   Примечания	Предоставляет дополнительную информацию о пользовательском аккаунте.
   User Groups	Указывает группу пользователей, к которой принадлежит пользователь. Учетная запись пользователя может принадлежать нескольким группам пользователей в одном отделе. Используйте запятую (,) для разделения каждой пары групп пользователей. Можно ввести только user group, созданную в системе.

6. Нажмите Upload и выберите готовый файл шаблона.
7. (Необязательно) Выберите Override existing user.
   • Выбрано: Если существующая учетная запись пользователя и импортируемая учетная запись имеют одинаковый LoginName, существующая будет перезаписана. Информация об учетной записи пользователя в bastion host будет обновлена соответствующим образом.
   • Не выбрано: Если существующая учетная запись пользователя и импортируемая учетная запись имеют одинаковый LoginName, существующая будет пропущена и оставлена без изменений.

8. Нажмите OK. Затем вы можете просмотреть нового системного пользователя на странице списка пользователей.

Вы можете настроить Sync Mode для аутентификации AD, чтобы система синхронизировала существующую информацию о пользователях на сервере домена AD с вашим bastion host. Когда пользователь входит в bastion host, сервер домена AD предоставляет службу аутентификации личности.

1. Войдите в ваш bastion host.
2. Выберите System > System Config > Authenticate.
3. Нажмите Add в области AD Settings.
4. Установите аутентификацию домена AD Mode в Sync Mode.

   Table 3 настройки AD для синхронизации пользователей

   Параметр	Описание
   Сервер	Указывает IP-адрес сервера домена AD.
   Состояние	Указывает, включена ли удалённая аутентификация домена AD. Удалённая аутентификация домена AD включена по умолчанию. Включено: аутентификация домена AD включена. Если конфигурационная информация действительна, аутентификация домена AD включена или пользователи домена AD синхронизируются с bastion host, когда пользователь выполняет вход. Отключено: аутентификация домена AD отключена.
   SSL	Указывает, следует ли включать SSL encryption. SSL encryption отключено по умолчанию. Отключено: SSL encryption отключено. После включения SSL encryption данные, передаваемые синхронизированными пользователями или аутентифицированными пользователями, шифруются.
   Mode	Указывает рабочий режим AD domain. Выберите Sync Mode.
   Port	Указывает порт доступа удалённого сервера AD domain. Порт по умолчанию — 389.
   LoginName	Указывает имя пользователя учётной записи для входа в сервер AD domain.
   Password	Указывает пароль учётной записи для входа в сервер AD domain.
   Domain	Указывает домен службы AD.
   Base DN	Указывает базовый DN для удалённого сервера AD domain.
   Dept Filter	Указывает отделы, которые следует исключить для удалённого сервера домена AD.
   User Filter	Указывает пользователей, которые следует исключить для удалённого сервера домена AD.
   Login Name Filter	Указывает имя входа, которое следует исключить. Разделяйте несколько имён входа вертикальными чертами (|).
   UserName	Указывает имя атрибута имён пользователей на удалённом сервере домена AD, например, name.
   Email	Указывает имя атрибута почтового ящика пользователя на удалённом сервере домена AD, например, mail.
   Mobile	Указывает имя атрибута мобильного телефона пользователя на удалённом сервере домена AD, например, mobile.
   Sync	Указывает метод синхронизации пользователей AD. Доступные варианты: Manual и Auto. Manual: После завершения обязательных настроек вручную синхронизируйте информацию о пользователях с сервером AD. Auto: После того как вы завершите обязательные настройки, информация о пользователях будет автоматически синхронизирована. Также необходимо настроить Start time of sync, Duration и End time для автоматической синхронизации.
   Department	Указывает отдел, к которому относится синхронизированная учетная запись пользователя.
   Options	Override existing Selected: Если существующая учетная запись пользователя и импортируемая учетная запись имеют одинаковый LoginName, существующая будет перезаписана. Информация об учетной записи пользователя в bastion host будет обновлена соответствующим образом. Deselected: Если существующая учетная запись пользователя и импортируемая учетная запись имеют одинаковый LoginName, существующая будет пропущена и оставлена без изменений. Sync user status: Если выбрать эту опцию, текущий статус пользователя будет синхронизирован в bastion host. Эта опция рекомендуется.

5. (Optional) Если вы хотите синхронизировать пользователей с сервера домена AD, нажмите Next, чтобы получить структуру исходного отдела сервера домена AD.
   • Sync All Users включено по умолчанию.
   • Если выбрать вышестоящий отдел источника пользователей, все пользователи из нижестоящих отделов будут включены в источник.
   • Create new dept отключено по умолчанию. Вы можете включить его, чтобы система создавала отделы на основе структуры отделов в домене AD и синхронизировала пользователей из отделов домена AD.

6. Нажмите OK. Затем вы сможете просмотреть конфигурации аутентификации AD в списке серверов AD.
7. В области AD Settings найдите строку сервера AD. В столбце Operation нажмите Start, чтобы синхронизировать пользователей домена AD с bastion host. Синхронизированную информацию о пользователях можно просмотреть в списке пользователей.