Żądania dostępu¶
Wysłanie żądania na potrzeby dostępu do zasobów jest podstawą funkcjonalności Just in Time. Użytkownik wysyłający ma do wyboru dwa typy żądania: natychmiastowy lub zaplanowany.
W przypadku wybrania natychmiastowego typu żądania, użytkownik może ustalić okres dostępu od zaraz do maksymalnie 24 godzin. Okres dostępu użytkownika zaczyna się w momencie zatwierdzenia żądania przez administratora - wtedy ma on 24 godziny na rozpoczęcie sesji. Kiedy użytkownik rozpoczyna sesję, system odlicza czas dostępu i przerywa połączenie, kiedy czas ten się skończy. Natomiast, jeśli użytkownik nie łączy się w ciągu bliższych 24 godzin, jego dostęp zostaje cofnięty.
Zaplanowany typ żądania polega na wyborze daty rozpoczęcia oraz daty zakończenia trwania dostępu.
Żądania są wysyłane użytkownikiem przez Portal Użytkownika, a osoby uprawnione do udzielenia dostępu, mogą zaakceptować bądź odrzucić żądanie w zakładce .
Aby ustawić proces głosowania dla dostępu do zasobów, postępuj zgodnie z procedurą:
Wybierz > i znajdź żądany sejf, bądź stwórz nowy.
W sekcji Dostęp zaznacz opcję Just in Time. Razem z włączonym checkboxem pojawi się pole do wprowadzenia liczby tak zwanych głosów, które będą się liczyć do akceptacji bądź odrzucenia żądania użytkownika.
Aby wymagać zatwierdzenia tylko poza godzinami polityki codziennego dostępu użytkownika, zaznacz dodatkowo podopcję Pomiń zatwierdzanie w godzinach dziennej polityki dostępu - zobacz Żądania dostępu zależne od czasu.
Uwaga
Użytkownicy o rolach Admin oraz użytkownicy dodani do sejfu jako Uprawnieni użytkownicy mogą głosować o udzielenie dostępu.
Użytkownik, który wysłał żądanie o dostęp nie może udzielać dostępu na swoje własne żądanie, więc wysłane przez niego żądania nie są dla niego widoczne.
W przypadku ustawienia liczby osób głosujących większej niż 1, żądanie będzie musiało być zaakceptowane przez zdefiniowaną liczbę osób. Natomiast, jeśli jeden z głosujących zagłosuje na odrzucenie, całe żądanie zostanie odrzucone.
Przejdź do zakładki Uprawnienia i Powiadomienia, wybierz konkretnego użytkownika i kliknij przycisk .
Wybierz typ powiadomienia Wysłano żądanie dostępu i kliknij , aby zamknąć okno.
Uwaga
Powiadomienia są ustawiane per węzeł - zgodnie z ustawieniami w zakładce Powiadomienia. W przypadku wybrania notyfikacji typu Wysłano żądanie dostępu, powiadomienie mailowe zostanie wysłane z tego węzła, z którego zostało wysłane żądanie. Więcej na temat wysłania notyfikacji znajdziesz pod linkiem Powiadomienia.
Kliknij .
Uwaga
Powód podawany przez użytkownika przy wysyłaniu żądania można ograniczyć do zdefiniowanego zestawu pól zamiast dowolnego tekstu, aby łatwiej było go przetwarzać automatycznie. Zobacz Formaty powodu żądania (JiT Reason Formats).
Żądania dostępu zależne od czasu¶
Domyślnie sejf z włączoną opcją Just in Time wymaga zatwierdzonego żądania dostępu dla każdego połączenia, a niezależnie od tego egzekwowana jest polityka codziennego dostępu z przypisania użytkownika do sejfu: poza godzinami polityki połączenie jest blokowane nawet wtedy, gdy żądanie dostępu zostało zatwierdzone. Zaznaczenie podopcji Pomiń zatwierdzanie w godzinach dziennej polityki dostępu sprawia, że to wymaganie zatwierdzenia staje się zależne od czasu: w zdefiniowanych przedziałach czasowych użytkownik łączy się bezpośrednio, a poza nimi wymagane jest zatwierdzone żądanie dostępu.
Konfiguracja sejfu |
W godzinach polityki dostępu |
Poza godzinami polityki dostępu |
|---|---|---|
Just in Time wyłączone |
Połączenie bezpośrednie |
Dostęp zablokowany przez politykę czasową |
Just in Time włączone, podopcja wyłączona |
Wymagane żądanie dostępu |
Dostęp zablokowany przez politykę czasową, nawet po zatwierdzeniu żądania |
Just in Time włączone, podopcja włączona |
Połączenie bezpośrednie |
Wymagane żądanie dostępu |
Aby skonfigurować żądania dostępu zależne od czasu, wykonaj następujące kroki:
Wybierz > .
Wybierz sejf z listy lub utwórz nowy.
W sekcji Dostęp zaznacz opcję Just in Time i podaj liczbę głosujących (co najmniej
1).Zaznacz podopcję Pomiń zatwierdzanie w godzinach dziennej polityki dostępu.
Przejdź do zakładki UŻYTKOWNICY, wybierz użytkowników i kliknij .
W zakładce POLITYKA CODZIENNEGO DOSTĘPU włącz politykę czasową i zdefiniuj okna dostępu.
Kliknij .
Uwaga
Podopcja jest dostępna tylko wtedy, gdy włączona jest opcja Just in Time. Wyłączenie Just in Time resetuje ją.
Polityka codziennego dostępu jest pobierana z przypisania użytkownik-sejf, a w przypadku dostępu przez grupę - z przypisania grupa-sejf. Bezpośrednie przypisanie użytkownik-sejf ma pierwszeństwo przed regułami grupowymi, co opisuje sekcja Rozstrzyganie dostępu i priorytetyzacja.
Ostrożnie
Sesja rozpoczęta w przedziale czasowym jest przerywana w momencie zamknięcia tego przedziału, chyba że zatwierdzone żądanie dostępu obejmuje pozostały czas.
W Portalu Użytkownika konto w takim sejfie nie jest oznaczane jako Zablokowane poza przedziałami czasowymi. Zamiast tego użytkownik może wysłać dla niego żądanie dostępu. Żądania i ich historia pozostają dostępne również w przedziałach czasowych, mimo że zatwierdzenie nie jest tam wymagane.
Żądania oczekujące¶
Żądania oczekujące decyzji uprawnionych osób są widoczne w zakładce .
Żeby zagłosować, wciśnij przycisk . W modalu będzie widoczna szczegółowa informacja o wysłanym żądaniu. Wprowadź Powód odpowiedzi oraz wybierz opcję akceptacji albo odrzucenia.
Uwaga
Użytkownicy, którzy wysłali żądanie o dostęp oraz mają skonfigurowane adresy mailowe w Panelu Admina, dostaną powiadomienie, kiedy ich żądanie zostanie zaakceptowane bądź odrzucone.
Jeśli użytkownik próbuje się połączyć do serwera (przykładowo, o protokole SSH) korzystając z opcji klient natywny, ale nie wysłał żądania o dostęp, stosowny komunikat o błędzie uwierzytelnienia będzie zapisany w Dzienniku zdarzeń:
Unable to authenticate user: safe requires acceptance.
Żądania aktywne¶
Pod zakładką Aktywne są widoczne dwa typy żądań: 1) te, które zostały zaakceptowane, i je sesje obecnie trwają, oraz 2) te, które dalej oczekują na część głosów. W kolumnie Głosy można sprawdzić aktualny stan żądania oraz ile głosów konkretne żądanie potrzebuje.
Stąd też można odwołać dostęp użytkownikowi poprzez wciśnięcie przycisku Anuluj, dostępnego dla żądań z już uznanym dostępem. Ta opcja też jest przydatna w sytuacji, kiedy użytkownik skończył pracę wcześniej - administrator może odwołać dostęp w celu uniknięcia nadużycia zasobów.
Archiwum żądań¶
Historia skompletowanych żądań jest widoczna w zakładce .
Informacja o dokonanych głosach na konkretne żądanie jest dostępna po najechaniu na rekord kolumny Głosy.
Funkcjonalność Just in Time działa też w obrębie klastra połączonych instancji Fudo. Żądania oraz głosy są replikowane na poszczególnych węzłach klastra.
Uwaga
W przypadku, gdy użytkownik zagłosował na kilku maszynach w obrębie klastra, i jego głosy były sprzeczne, system potraktuje żądanie jako odrzucone.
Tematy pokrewne: