2.7. Настройки безопасности¶

2.7.1.1. Создание роли пользователя¶

Администратор имеет возможность создания новых ролей доступа, в том числе на базе уже существующих (ролей по умолчанию или ранее созданных пользовательских ролей). Для новой роли может быть задан произвольный набор прав, и также к ней может быть привязан профиль доступа к данным.

Для создания новой роли пользователя:

1. На вкладке Settings > Roles нажмите Add new role. Откроется диалог создания роли.

2. В диалоге создания задайте следующие параметры:

   • Name — название роли;
   • Description (optional) — (опционально) произвольное описание роли;
   • Inherit from role — (опционально) выбор существующей роли, на базе которой будет создаваться новая.

3. В таблице отметьте флаг Allowed для тех действий, которые будут доступны для пользователя данной роли (перечислены в списке в колонке Action). Профили доступа к данным, если они уже созданы в системе, отображаются в этом же списке. Назначить профиль доступа к данным можно и позднее, отредактировав набор действий для этой роли.

4. Сохраните новую роль, нажав Save.

   

2.7.2.1. Создание профиля пользователя¶

Для создания профиля пользователя TDG:

1. В web-интерфейсе перейдите на вкладку Settings > Users и нажмите Create user. Откроется диалог создания пользователя.

   

2. В диалоге укажите следующие параметры:

   • Name — имя пользователя;
   • Email — электронная почта пользователя;
   • Password — пароль для авторизации в системе (должен соответствовать политике паролей). Также пароль можно сгенерировать автоматически:
     • либо кнопкой Generate;
     • либо оставить поле пустым — в этом случае система автоматически сгенерирует пароль и отправит пользователю на указанный Email (для этого необходимо иметь настроенный SMTP-сервер).
   • Expires in — (опционально) срок действия пароля;

   Примечание

   Проверка истечения срока действия паролей выполняется примерно раз в 30 минут. Учетные записи с истекшим сроком действия паролем блокируются.

   • Role — роль пользователя согласно ролевой модели доступа.

3. Нажмите Submit.

При создании профиля автоматически генерируется уникальный идентификатор пользователя, который отображается в колонке LOGIN в таблице User list и используется в дальнейшем для авторизации в web-интерфейсе.

Профили пользователей, включая их пароли, хранятся в файле конфигурации системы config.yml, который синхронизируется между всеми инстансами, входящими в кластер. В целях безопасности пароли пользователей хранятся в виде хэша с добавлением криптографической соли.

При задании пароля можно посмотреть текущую политику паролей в режиме подсказки:

2.7.2.2. Редактирование и удаление профиля пользователя¶

Для редактирования профиля пользователя:

1. В web-интерфейсе перейдите на вкладку Settings > Users.
2. В таблице User list в колонке ACTIONS для нужного пользователя нажмите Edit.
3. В диалоге редактирования профиля пользователя измените необходимые параметры и нажмите Submit.

Для удаления профиля пользователя из системы в колонке ACTIONS нажмите More для нужного пользователя и выберите в выпадающем меню Delete. В диалоговом окне подтвердите удаление, нажав OK.

2.7.2.3. Изменение статуса пользователя¶

При создании профиля пользователя он автоматически активируется в системе, на что указывает статус «active» в колонке STATUS таблицы User list. Администратор может изменить статус пользователя вручную — заблокировать пользователя в системе:

1. В колонке ACTIONS нажмите More для нужного пользователя и выберите в выпадающем меню Block user:

   

2. В диалоговом окне укажите, если необходимо, причину изменения статуса (параметр Reason) и нажмите Block. Если ранее статус пользователя уже менялся, причина последнего изменения статуса будет указана в параметре Previous Reason.

   

Статус пользователя будет изменен на «blocked» и отображен в колонке STATUS.

В дальнейшем администратор может заново активировать профиль пользователя по аналогичной процедуре (More > Unblock user).

2.7.2.4. Сброс пароля пользователя¶

Администратор может сбросить пароль любого из пользователей: в колонке ACTIONS нажмите More для нужного пользователя и выберите в выпадающем меню Reset password. В диалоговом окне подтвердите сброс пароля, нажав OK. После этого на электронный адрес пользователя, указанный в его профиле, будет выслан временный пароль для авторизации в системе.

Для корректной работы отправки нового пароля на электронный адрес должен быть настроен SMPT-сервер. Для этого необходимо:

1. Развернуть и запустить SMTP-сервер.

2. В файле конфигурации TDG config.yml прописать следующие настройки и загрузить измененную конфигурацию в систему:

   connector:
     output:
       - name: to_smtp
         type: smtp
         url: <URI SMPT-сервера>
         from: <адрес отправителя>
         timeout: <значение тайм-аута, секунды>
   
   account_manager:
     only_one_time_passwords: true
     output:
       name: to_smtp
   

2.7.2.5. Экспорт/импорт профилей пользователей¶

Профили пользователей можно экспортировать из системы в формате JSON. Для этого на вкладке Settings > Users нажмите Export:

В результате система сформирует и экспортирует файл с именем users-<N>.json (где <N> — порядковый номер), который содержит массив с профилями всех текущих пользователей. Профиль каждого пользователя имеет следующий формат (пример):

[
   {
     "expires_in":2592000,
     "login":"pc9199",
     "email":"petrov@mailserver.com",
     "created_at":1586236779870364400,
     "state_reason":"petrov@mailserver.com state is changed to active: recover from disabled",
     "failed_login_attempts":1,
     "uid":"23563aa8-facc-4970-89f3-cfc267609c3b",
     "role":"admin",
     "state":"active",
     "username":"Петров",
     "last_login":1586236825716746000,
     "last_password_update_time":null
   },
   {
   ...
   }
]

Также возможна обратная операция — импорт профилей пользователей в систему.

Для импорта вначале необходимо подготовить файл с профилями пользователей в формате JSON. Это может быть ранее экспортированный файл с профилями (см. выше), или же администратор может подготовить файл с этими данными самостоятельно. В описанном представлении данных пользователя в формате JSON обязательными являются все поля кроме:

• state_reason;
• last_login;
• last_password_update_time;
• password.

Отдельно нужно сказать про поле password и логику генерации пароля пользователя при импорте профиля. Существует 2 варианта создания пароля:

1. Указать пароль в явном виде в поле password — в этом случае флаг Generate passwords в диалоге импорта отмечать не нужно (см. ниже процедуру импорта), и пароль для пользователя будет взять из поля password как есть. При этом пароль должен соответствовать текущей политике паролей, определенной в системе.
2. Сгенерировать пароль автоматически — в этом случае в поле password необходимо передать пустое значение (null) или просто не указывать это поле в JSON, а в диалоге импорта нужно отметить флаг Generate passwords. Пароль будет сгенерирован автоматически в соответствии с текущей политикой паролей.

После успешного импорта профиля данные пользователя, включая пароль, будут отображены в web-интерфейсе. Также можно настроить отправку данных на электронную почту пользователя. Для этого необходимо иметь настроенный SMTP-сервер и в диалоге импорта отметить флаг Send passwords via user’s email.

Пример профиля пользователя в формате JSON для импорта в систему:

[
   {
     "expires_in":2592000,
     "login":"rk7222",
     "email":"ivanov@mailserver.com",
     "created_at":1586236779870364400,
     "state_reason":null,
     "failed_login_attempts":0,
     "uid":"a0067457-faf2-4441-b213-7c823422bab6",
     "role":"admin",
     "state":"active",
     "username":"Иванов",
     "last_login":null,
     "last_password_update_time":null,
     "password":null
   }
]

Для импорта профилей пользователей:

1. На вкладке Settings > Users нажмите Import. Откроется диалоговое окно.

   

2. В диалоговом окне выберите JSON-файл с профилями пользователей (Choose File), отметьте, если необходимо, опции, связанные с генерацией паролей (Generate passwords и Send passwords via user’s email), и нажмите Apply.

В случае успешного импорта новые профили пользователей будут добавлены в таблицу User list. Данные профилей, включая пароли, будут показаны в web-интерфейсе в сообщении о результатах операции импорта.

Также данные импортированного пользователя, включая пароль, можно сохранить в формате .csv — кнопка Download passwords в сообщении с результатами импорта.

2.7.2.6. Управление политикой паролей¶

Политика создания паролей для авторизации пользователей в системе регулируется на вкладке Settings > Password Policy. Данная политика применима в равной степени как к паролям, которые пользователи задают вручную, так и к автоматически сгенерированным паролям. Изменять политику паролей может только администратор.

Политика определяет минимальную допустимую длину пароля (Password length) и то, какие категории символов должны быть обязательно включены в пароль:

• латинские буквы в нижнем регистре (Include Lowercase Characters);
• латинские буквы в верхнем регистре (Include Uppercase Characters);
• цифры от 0 до 9 включительно (Include Digits);
• дополнительные символы !"#$%&'()*+,-./:;<=>?@[\]^_`{|}~ (Include Symbols).

Значения по умолчанию: длина пароля — 8 символов; в пароле должны обязательно присутствовать символы из первых трех категорий (дополнительные символы — опционально).

Для изменения политики паролей необходимо поменять значения нужных параметров и нажать ОК.