Kako ustvariti uporabnike v Authentiku in upravljati njihova dovoljenja

Authentik vam omogoča centralizacijo identitet, ki se uporabljajo za dostop do aplikacij, strežnikov in notranjih storitev. Namesto ustvarjanja ločenega računa na vsaki platformi lahko vzdržujete skupni uporabniški imenik in se z ene same komisije odločiti, kdo se lahko prijavi v posamezno prijavo.

Sistem podpira uporabnike, zunanje odjemalce in račune, namenjene samodejnim integracijam. Vendar pa se vsaka vrsta uporabnika obnaša drugače. Izbira napačne kategorije lahko nekomu prepreči iskanje nadzorne plošče aplikacije, spreminjanje gesla ali dostop do storitev, ki bi morale biti omejene.

Ta priročnik predpostavlja, da sistem že deluje. Če ga še nimate nastavljenega, morate najprej ... Namestitev Authentika z Dockerjem in dokončajte začetno nastavitev skrbniškega uporabnika.

Katere vrste uporabnikov obstajajo v Authentic

Preden ustvarite račun, se morate odločiti, za kaj ga boste uporabljali. Razlika med avtentik notranji uporabniki, zunanji uporabniki in računi storitevNovejše različice za podjetja vključujejo tudi račune agentov za avtomatizacijo, ki delujejo v imenu osebe.

Vrsta računa	Priporočena uporaba	Dostop do plošče z aplikacijami
Notranji uporabnik	Zaposleni, skrbniki in ljudje, ki uporabljajo več aplikacij	Ja
Zunanji uporabnik	Stranke, dobavitelji ali uporabniki, namenjeni za določeno uporabo	Ne
Storitveni račun	Skripti, integracije, LDAP in avtomatizacije	Ne
Račun agenta	Avtomatizacije, ki delujejo v imenu uporabnika	Ne

Un notranji uporabnik Odprete lahko nadzorno ploščo aplikacije Authentik in od tam dostopate do vseh dodeljenih storitev. Dostopate lahko tudi do svojih osebnih nastavitev, kjer lahko spremenite geslo, konfigurirate naprave MFA in pregledate svoje podatke.

Un zunanji uporabnik Zasnovan je za nekoga, ki se mora le prijaviti v aplikacijo. Do glavne nadzorne plošče ali osebnih nastavitev ne more dostopati prek običajnega vmesnika. Če mora spremeniti geslo ali registrirati drugi faktor, ga boste morali usmeriti na ustrezen postopek s posebno povezavo.

A račun storitve Ne predstavlja osebe. Zasnovan je za aplikacije, skripte in storitve, ki jih je treba samodejno overiti. Ne sme se uporabljati kot nadomestilo za notranji ali zunanji račun.

Kako ustvariti notranjega ali zunanjega uporabnika

Če želite ročno ustvariti račun, se morate prijaviti z uporabnikom, ki ima dovoljenja za upravljanje imenika.

1. Odprite skrbniški vmesnik iz Authentika.
2. Vnesite Imenik > Uporabniki.
3. V območju map izberite mesto, kjer želite organizirati račun.
4. Pritisnite Nov uporabnik.
5. Izberite Notranji uporabnik o Zunanji uporabnik.
6. Izpolnite zahtevane podatke.
7. Pritisnite Ustvari.

Med postopkom ustvarjanja boste našli naslednja polja:

• Uporabniško ime: enolični identifikator, ki ga uporabnik uporablja za prijavo.
• Prikazno ime: ime, prikazano na plošči, v dnevnikih in povezanih aplikacijah.
• E-pošta: naslov, ki se uporablja za obvestila, povabila in obnovitev poverilnic.
• Aktivno: določa, ali je mogoče račun overiti.
• Pot: organizacijska mapa, v kateri bo shranjen uporabnik.
• Atributi: dodatni podatki, definirani z uporabo YAML ali JSON.

Uporabniško ime mora biti edinstveno, vendar Avtentičnost privzeto ne zahteva, da je vsak e-poštni naslov drugačen.Če se e-pošta uporablja kot identifikator dostopa ali za obnovitev računov, je priporočljivo uvesti pravilnik, ki preprečuje podvajanje naslovov.

Polje Path Prav tako ne deluje kot organizacijska enota z dovoljenji. Uporablja se za kategorizacijo uporabnikov v mape, kot so employees/marketing o customers/premium, ampak Ne spreminja razpoložljivih skupin, vlog ali aplikacij..

Kako nastaviti geslo za novega uporabnika

Ročno ustvarjanje računa ne vključuje polja za geslo. Po shranjevanju uporabniškega imena morate geslo nastaviti posebej.

1. Nazaj na Imenik > Uporabniki.
2. Kliknite na ime novo ustvarjenega uporabnika.
3. Izberite Ponastavi geslo.
4. Vnesite in potrdite novo geslo.
5. Uporabniku dostavite poverilnice prek varnega kanala.

Ta postopek je uporaben za testni račun, vendar ni najboljša možnost za dodajanje velikega števila ljudi. Skrbnik pozna začetno geslo in ga mora poslati uporabniku. Za dejansko okolje je bolje uporabiti povabilo ali povezava za obnovitevkar osebi omogoča, da sama vzpostavi svoje poverilnice.

Če za shranjevanje začetnih poverilnic uporabljate upravitelja, lahko vidite, kako Izpolnite gesla in obrazce z Bitwardenom brez ročnega kopiranja podatkov.

Kako ustvariti skupine in dodati uporabnike

Upravljanje dostopa uporabnikov za vsakega posameznega uporabnika postane neobvladljivo, ko imenik raste. Priporočljivo je ustvariti skupine glede na oddelke, funkcije ali aplikacije in dodajte ustrezne račune.

1. Dostop Imenik > Skupine.
2. Pritisnite Ustvari.
3. Napišite opisno ime, kot je npr. jellyfin_users o marketing.
4. Če želite ustvariti hierarhijo, izberite zgornje skupine.
5. Dodelite potrebne vloge.
6. Dodajte neobvezne atribute in shranite skupino.

Če želite dodati osebo, pojdite na Imenik > UporabnikiOdprite svoj profil in izberite zavihek Skupine in pritisnite Dodaj v obstoječo skupinoNa istem zaslonu lahko ustvarite tudi novo skupino.

Skupine vam omogočajo skupno rabo nastavitev med več računi. Poleg tega lahko uporabniki dedovanje vlog od skupin kateri pripadajo. Če ima nadrejena skupina vlogo, lahko tudi njene podrejene skupine podedujejo njena dovoljenja.

Pri izbiri morate biti še posebej previdni Je superuporabnikVsi člani skupine bodo imeli popoln nadzor nad Authentikom, ta privilegij pa se lahko podeduje tudi prek potomskih skupin. Preden ga aktivirate, preglejte vse uporabnike, ki so neposredno in posredno vključeni.

Kakšna je razlika med skupinami, vlogami in politikami?

Ti trije koncepti so vključeni v nadzor dostopa, vendar ne opravljajo iste funkcije:

• Skupine: Združujejo uporabnike s podobnimi značilnostmi ali potrebami.
• Vloge: Vsebujejo skrbniška dovoljenja ali dovoljenja za objekte Authentik.
• Pravilniki: Ocenijo pogoje in vrnejo odgovor, ali naj bo dejanje dovoljeno ali zavrnjeno.

V trenutnih različicah Authentika se dovoljenja podeljujejo prek vloge, dodeljene uporabnikom ali skupinamNa primer, lahko ustvarite vlogo, ki vam omogoča ogled uporabnikov, ne da bi jih spreminjali, in jo dodelite ekipi za podporo.

Pravilniki se uporabljajo, kadar je odločitev odvisna od konteksta. Preverjajo lahko članstvo v skupini, atribute uporabnika, IP-naslov, državo, časovni pas ali podatke, ki jih vsebuje zahteva.

Za vzdrževanje razumljivega sistema ustvarite skupine glede na funkcije organizacije, dodelite vloge tem skupinam in rezervirajte pravilnike za dinamični pogoji dostopa.

Kako omejiti uporabnikov dostop do aplikacij

Dodajanje računa v imenik ne določa samodejno, katere aplikacije lahko uporablja. Dostop do posamezne storitve nadzoruje povezovanje uporabnikov, skupin in pravilnikov.

Ta točka je še posebej pomembna, ker če vloga nima zavezujočega Vsi uporabniki imajo privzeto dostop..

Če želite omejiti obstoječo aplikacijo:

1. Vnesite Aplikacije > Aplikacije.
2. Izberite aplikacijo, ki jo želite zaščititi.
3. Odprto Vezave pravilnikov/skupin/uporabnikov.
4. Pritisnite Ustvari ali poveži.
5. Izberite Poveži uporabnika, Vezi skupino ali obstoječo politiko.
6. Izberite uporabnika, skupino ali pravilnik in shranite vezavo.

Če obstaja več povezav, polje Način mehanizma pravilnikov določa, kako se ocenjujejo:

• Vse: Uporabnik mora upoštevati vse obveznosti.
• Kateri koli: Dovolj je, da izpolnjuje vsaj eno zahtevo.

Za večino namestitev je najpreprostejši pristop povezovanje celih skupin z vsako aplikacijo. Na primer, lahko povežete jellyfin_users z medijskim strežnikom in jellyfin_admins z upravnimi funkcijami. Ta struktura omogoča tudi Povežite se z Jellyfinom brez upravljanja vsakega računa posebej.

Skrivanje aplikacije na plošči ne prekličete njenega dostopa. Možnost Skrij na nadzorni plošči aplikacije Odstrani samo ikono; pooblaščeni uporabnik se lahko še vedno prijavi prek neposredne povezave. Če želite resnično preprečiti dostop, potrebujete vezave ali pravilnike.

Kako povabiti uporabnike, da ustvarijo svoj račun

Povabila preprečujejo, da bi skrbnik moral ročno ustvariti in poslati geslo. Uporabnik prejme povezavo za registracijo in v določenem trenutku izpolni svoje podatke. nadzorovan tok vpisa.

1. Dostop Imenik > Vabila.
2. Odprite spustni meni, ki se nahaja poleg Novo povabilo.
3. Izberite obstoječi postopek vpisa ali ustvarite novega s stopnjo povabila.
4. Izberite, ali želite ustvariti notranje ali zunanje uporabnike.
5. Določite ime in datum poteka veljavnosti povabila.
6. Aktivno Enkratna uporaba če mora povezava delovati samo enkrat.
7. Kopirajte povezavo ali jo pošljite po e-pošti.

Čarovnik za povabila lahko samodejno ustvari minimalni potek dela, če ga še nimate. Omogoča vam tudi predhodno izpolnjevanje podatkov, kot so ime, e-poštni naslov, oddelek ali določeni atributi po meri.

Za pošiljanje povabila iz storitve Authentik morate imeti konfigurirano odhodno e-pošto. Če nimate SMTP-ja, lahko povezavo kopirate in jo pošljete prek druge varne metode.

Nastavite kratek datum poteka veljavnosti in po možnosti omogočite enkratno uporabo. Na ta način filtrirane povezave ni mogoče uporabljati za ustvarjanje računov v nedogled.

Kako ustvariti račun storitve

Storitvene račune je treba uporabiti, kadar mora skript, aplikacija ali integracija overiti osebo, ne da bi jo predstavljala. Primeri vključujejo uporabnika iskanja LDAP, proces CI/CD ali avtomatizacijo z uporabo API-ja Authentik.

1. Odprto Imenik > Uporabniki.
2. Pritisnite Nov uporabnik.
3. Izberite Storitveni račun.
4. Vnesite opisno uporabniško ime.
5. Odločite se, ali želite ustvariti skupino z istim imenom.
6. Aktivirajte potek veljavnosti in po potrebi nastavite datum.
7. Pritisnite Naprej.
8. Kopirajte geslo aplikacije, prikazano v potrditvi.

Ustvarjeno geslo se prikaže med ustvarjanjem in ga je treba takoj shraniti v upravitelju skrivnosti. Storitveni račun Ne uporablja običajnega interaktivnega gesla., ne more dokončati registracije MFA in ne more dostopati do uporabniških ali skrbniških vmesnikov.

Če mora integracija poklicati API, ustvarite žeton iz Imenik > Žetoni in gesla za aplikacijeIzberite ustrezen račun in ga nastavite Žeton API-ja kot namen.

Za vsako integracijo uporabite drug račun, dodelite le potrebna dovoljenja in občasno menjajte poverilnice. Ta ločitev omogoča Povežite agente z notranjimi sistemi brez razkritja poverilnic niti si ne deliti skrbniškega računa.

Kako pregledati seje, žetone in metode MFA

Profil vsakega uporabnika vam omogoča ogled več informacij kot le njihovega imena in e-poštnega naslova. Od Imenik > UporabnikiDotaknite se računa in si oglejte različne razpoložljive zavihke.

• Seje: Prikaže naprave z aktivnimi sejami in vam omogoča, da jih zaprete.
• Skupine: označuje skupine, ki jim uporabnik pripada.
• Vloge: Prikazuje neposredne in podedovane vloge.
• Uporabniški dogodki: Beleži prijave, spremembe in avtorizacije.
• Žetoni za osvežitev OAuth: Omogoča preklic žetonov, dostavljenih aplikacijam.
• Preverjevalniki pristnosti MFA: Prikaže registrirane overitelje.
• Izrecno soglasje: Omogoča vam, da prekličete predhodno podeljena soglasja OAuth.

Če uporabnik izgubi mobilni telefon ali varnostni ključ, lahko odstranite prizadeti overitelj iz MFA overiteljiNato boste morali registrirati novo metodo. Preden jo uvedete v celotni organizaciji, je priporočljivo pregledati, kako Aktivirajte 2FA v Authentic in pripraviti postopek izterjave.

Kako obnoviti račun ali ponastaviti geslo

Ko oseba pozabi svoje poverilnice, lahko skrbnik bodisi neposredno spremeni geslo bodisi uporabi postopek obnovitve.

Če želite nastaviti novo geslo, odprite uporabniški profil in pritisnite Ponastavi gesloDa bi uporabnik lahko postopek dokončal samostojno, Authentik ponuja dve možnosti:

• Ustvari povezavo za obnovitev: Ustvari povezavo, ki jo lahko skrbnik kopira in posreduje uporabniku.
• Povezava za obnovitev e-pošte: pošljite povezavo na naslov, registriran v računu.

Obe možnosti zahtevata obstoj obnovitvenega toka in je izbran kot Privzeti tok obnovitve v aktivni blagovni znamki. Samodejno pošiljanje zahteva tudi fazo pošte znotraj toka in pravilno konfiguriran strežnik SMTP.

Izogibajte se pošiljanju trajnega gesla po e-pošti ali sporočilih. Povezava za obnovitev uporabniku omogoča, da izbere lastne poverilnice, ne da bi jih delil s skrbnikom.

Kako deaktivirati ali izbrisati uporabnika

Ko nekdo zapusti organizacijo, je najvarneje storiti to, Najprej deaktivirajte svoj račun.To dejanje blokira preverjanje pristnosti in prekliče aktivne seje, vendar ohrani podatke o identiteti in zgodovino, potrebne za revizijo.

1. Vnesite Imenik > Uporabniki.
2. Izberite uporabnika.
3. Pritisnite Deaktiviraj.
4. Preverite spremembo in jo potrdite z Posodobitev.
5. Preverite tudi dodeljene žetone, skupine in aplikacije.

Izbris je nepreklicen. To možnost uporabite le, če ste prepričani, da vam ne bo treba obnoviti identitete ali dostopati do svojih odnosov. Če je izbris povezan s kršitvijo varnosti podatkov, je priporočljivo pregledati tudi ustrezne informacije. kdaj zapreti račun, iz katerega je prišlo do uhajanja denarja in prekliče povezane poverilnice.

Pogoste napake pri ustvarjanju uporabnikov v Authentic

Uporabnik obstaja, vendar se ne more prijaviti

Preverite, ali je račun aktiven in ali ima geslo. Pri ročnem ustvarjanju notranjega ali zunanjega uporabnika, Geslo v začetni obliki ni nastavljeno.Kasneje ga morate dodati z uporabo Ponastavi geslo ali uporabite potek povabila ali pridobivanja.

Zunanji uporabnik prejme stran z zavrnjenim dostopom

Zunanji uporabniki ne morejo odpreti plošče aplikacije. Avtentikacijo morajo začeti v ustrezni aplikaciji ali pa bodo preusmerjeni na privzeto aplikacijo, konfigurirano v blagovni znamki.

Uporabnik lahko odpre aplikacije, ki jih ne bi smel videti.

Preglejte povezave za vsako aplikacijo. Če povezava ne obstaja, Authentik predpostavlja, da ... Vsi uporabniki imajo dostopSkrivanje ikone plošče ne nadomesti omejitve dostopa.

Skupina ne podeli pričakovanih dovoljenj

Pripadnost skupini ne pomeni samodejno podelitve skrbniških dovoljenj. Preverite, ali ima skupina dodeljeno ustrezno vlogo, in preverite tudi vloge, podedovane od nadrejenih skupin.

Polje Pot ne omejuje dostopa

Polje Path Uporabnike samo organizira v mape. Za nadzor dostopa morate uporabiti skupine, vloge, vezave aplikacij ali pravilnike.

Dva uporabnika imata isti e-poštni naslov

Authentik privzeto zahteva edinstvena uporabniška imena, ne pa edinstvenih e-poštnih naslovov. Če se e-pošta uporablja kot identifikator ali način obnovitve, dodajte pravilnik, ki zavrača podvojene naslove.

Uporabnik ne prejme povezave za obnovitev

Preverite, ali ima račun veljaven e-poštni naslov, ali obstaja tok obnovitve, ali vključuje fazo e-pošte in ali konfiguracija SMTP deluje. Preglejte sistemske naloge za napake pri dostavi.

Storitveni račun se ne more prijaviti v nadzorno ploščo

To je pričakovano vedenje. Storitveni računi so namenjeni neinteraktivnemu preverjanju pristnosti in uporabljajo gesla ali žetone aplikacij. Za vsako osebo morate ustvariti notranjega ali zunanjega uporabnika.

Uporabnik je izgubil drugi faktor in je zaklenjen.

Odprite njegov zapis in odstranite prizadeto napravo iz njega MFA overiteljiPred tem preveri identiteto uporabnika z internim postopkom, da prepreči napadalcu, da bi zaobšel drugi faktor.

Uporabnik je pomotoma postal skrbnik

Preverite svoje skupine in nadrejene skupine. Privilegije superuporabnika se lahko podedujejo po hierarhiji. Odstranite račun iz prizadete skupine in preglejte dogodke, da vidite, katera dejanja je izvedel.

Ustvarjanje uporabnikov v Authentiku vključuje več kot le vnos uporabniškega imena in gesla. Izbrati morate ustrezno vrsto računa, ga organizirati v skupine, dodeliti dovoljenja prek vlog in uporabiti povezave za nadzor razpoložljivih aplikacij.

Za varno vključevanje uporabnikov so povabila in povezave za obnovitev boljša izbira kot ročno pošiljanje gesel. Podobno bi morale integracije uporabljati ločene račune storitev in poverilnice z datumi poteka veljavnosti. Jasna struktura od samega začetka olajša revizijo, zmanjšuje nenamerne dostope in omogoča upravljanje odstranitev uporabnikov brez izgube nadzora nad imenikom.