Identity Cloud : 5.1. Управление пользователями

Управление пользователями – функциональность в Avanpost Identity Cloud, предназначенная для решения следующих задач:

• сбор и фиксация данных о пользователях;
• добавление пользователей, включая добавление пользователей из внешних источников;
• управление УЗ с возможностью запуска/приостановки УЗ, расширения/ограничения привилегий пользователя;
• настройка и управление параметрами факторов аутентификации пользователей;
• управление уведомлениями пользователям;
• передача параметров пользователей в механизм определения сценария аутентификации для упрощения, усложнения сценария MFA или для принятия решения о запрете аутентификации;
• отображение администратору данных о пользователях.

Функциональность управления пользователями позволяет администратору осуществлять следующие операции с пользовательскими аккаунтами и их данными:

• поиск и получение информации о пользователях;
• добавление и удаление пользователей;
• добавление логинов пользователей в черный список;
• добавление, редактирование и удаление дополнительных атрибутов пользователей и редактирование основных атрибутов пользователей;
• управление доступом пользователей к приложениям;
• управление группами и ролями пользователей;
• контроль сценариев аутентификации пользователей с возможностью блокировки или разблокировки факторов аутентификации для конкретных пользователей;
• управление паролями пользователей;
• управление токенами, OTP-токенами и сертификатами пользователей;
• управление статусом пользовательских устройств, их удаление и запоминание;
• настройка и управление уведомлениями пользователям.

Управление пользователями осуществляется в режиме «Пользователи». Режим «Пользователи» содержит следующие компоненты:

• реестр пользователей, отображающий базовую информацию о пользователях;
• элементы управления поиском, включающие поисковую строку и фильтры;
• кнопку «Добавить пользователя», переводящую на вкладку с формой добавления нового пользователя;
• кнопку «Массовые операции», переводящую на вкладку с интерфейсом для проведения массовых операций;
• кнопку «Редактор атрибутов», переводящую на вкладку управления дополнительными атрибутами пользователей;
• кнопку «Черный список имен», переводящую на вкладку управления черным списком пользователей.

Avanpost Identity Cloud реализует функционал Управление устройствами, с которых аутентифицируются пользователи, более подробно описанный в разделе Управление устройствами.

Avanpost Identity Cloud реализует функционал Управление сессиями, более подробно описанный в разделе Управление сессиями.

Поиск пользователей

Управление поиском осуществляется при помощи поисковой строки и фильтров. Поисковая строка позволяет искать пользователей по значениям атрибутов «Имя», «Фамилия», «Логин», «E-mail», «Телефон», «Домен». Поиск пользователей выполняется по любым совпадениям введенных слов с полями, участвующими в поиске (Имя, Фамилия, Отчество и т.п.) независимо от порядка введенных слов. Лишние пробелы перед введенным значением, после него, а также между значениями игнорируются.

При осуществлении поиска пользователи, соответствующие заданным критериям, отображаются в реестре пользователей. При необходимости администратор может перемещаться между страницами реестра, нажимая на соответствующий номер страницы. В реестре представлена следующая информация о пользователях:

Фильтры позволяют осуществить быстрый поиск пользователей по настроенным условиям фильтрации с целью последующего получения необходимых сведений. Управление фильтрами осуществляется вводом данных в поля элемента интерфейса, которые можно развернуть нажатием на кнопку «Фильтр». В интерфейсе представлены следующие фильтры:

Для активации поиска по фильтрам необходимо нажать «Применить». Чтобы очистить выбранные параметры фильтров, нажать «Сбросить».

Добавление пользователей и атрибутов

Создание пользователей и обновление их атрибутов возможны следующими способами:

• администратором вручную:
  • используя интерфейс административной консоли для создания/редактирования УЗ отдельного пользователя;
  • используя интерфейс административной консоли для импорта пользователей из загружаемого в Identity Cloud CSV/XLSX-файла;
• синхронизацией с LDAP-каталогами и при использовании LDAP-аутентификации в Avanpost Identity Cloud;
• через API-запросы от внешних приложений с использованием HTTP-протокола;
• с использованием внешних провайдеров аутентификации, выступающих в роли SAML/OIDC Identity Provider;
• через функцию самостоятельной регистрации;

Атрибуты пользователей 

Для описания пользователей используются пары атрибут-значение. Каждый пользователь обладает набором атрибутов, которые можно разделить на две группы: основные и дополнительные.

1. Основные атрибуты формируют базовую информацию о пользователе. Основные атрибуты установлены в продукте изначально, и администратор может редактировать их значения, но не удалять сами атрибуты.
2. Дополнительные атрибуты представляют свойства и характеристики, связанные с профилем пользователя, его ролью, сценариями аутентификации и т.п. Дополнительные атрибуты добавляются, удаляются и редактируются администратором, исходя из задач и потребностей.

Добавление пользователей вручную

Для добавления нового пользователя требуется перейти во вкладку «Новый пользователь». Для этого требуется в разделе «Пользователи» нажать кнопку «Добавить пользователя» и выбрать из выпадающего списка «Создать пользователя». В данной вкладке следует ввести значения основных атрибутов пользователя согласно таблице.

Помимо заполнения значений основных атрибутов в продукте имеется возможность выбрать способ настройки пароля и настроить дополнительные опции.

После ввода данных требуется нажать кнопку «Сохранить» для создания нового пользователя или «Отменить» для отказа от действия. 

Импорт пользователей вручную

Встроенная функциональность импорта пользователей вручную из загружаемого CSV/XLSX-файла доступна в режиме "Пользователи". Для этого в разделе «Пользователи» следует нажать кнопку «Дополнительно» () и выбрать из выпадающего списка «Импорт». В открывшемся окне "Импорт пользователей" администратор должен ввести параметры согласно таблице.

Для завершения действия после загрузки файла и ввода параметров следует нажать кнопку "Сохранить", чтобы отказаться от действия — кнопку "Назад".

Добавление пользователей и атрибутов из LDAP-каталогов

Встроенная функциональность LDAP-синхронизации и LDAP-аутентификации позволяет Avanpost Identity Cloud совершать следующие операции с пользователями и их атрибутами:

• первичная загрузка данных о пользователях.
• поддержка актуальности данных о пользователях.
• загрузка информации о членстве пользователей.

Avanpost Identity Cloud поддерживает одновременную интеграцию с несколькими доменами, в качестве которых могут выступать LDAP-каталоги как на базе OpenLDAP, MS AD, FreeIPA, Avanpost DS и т.д., информация о настройке и сценариях использования которых дана в соответствующих разделах.

Настройка LDAP-провайдера для импорта данных пользователей и групп описана в разделе Управление LDAP-источниками.

Добавление пользователей и атрибутов через API

Avanpost Identity Cloud позволяет добавлять пользователей сторонним приложениям через API с использованием HTTP-протокола. Добавление пользователя осуществляется путем аутентификации пользователя в стороннем доверенном приложении, взаимодействующим с Avanpost Identity Cloud через API. При первой аутентификации через стороннее приложение Avanpost Identity Cloud автоматически создает пользователя, присваивая ему атрибуты из внешнего приложения. 

Добавление пользователей и атрибутов через внешние IdP

Avanpost Identity Cloud позволяет создавать пользователей при помощи внешних провайдеров аутентификации, выступающих в роли SAML/OIDC Identity Provider. Если вход в Avanpost Identity Cloud осуществляется с при помощи IdP, пользователь создается автоматически и ему присваиваются атрибуты, полученные от внешнего IdP-провайдера. 

Информация о настройке импорта пользователей из стороннего Identity Provider, поддерживающего OpenID Connect Federation дана в разделе Управление IdP с поддержкой OIDC Federation. Информация о настройке импорта пользователей через SAML Identity Provider дана в разделе Управление SAML-источниками. 

Самостоятельная регистрация пользователей

Avanpost Identity Cloud предоставляет функцию самостоятельной регистрации пользователей и возможность управления ей как на уровне всего продукта, так и для конкретных приложений, доступ к которым осуществляется через Avanpost Identity Cloud. Пользователям, зарегистрировавшимся самостоятельно, присваивается статус неактивных и на указанный Email направляется ссылка для активации. После перехода по ссылке и дальнейшей авторизации, пользователь получает статус активного и можем пользоваться функционалом Avanpost Identity Cloud.

Политика регистрации в отношении пользователей осуществляется следующими способами:

• через административную консоль во вкладке "Системные настройки" режима "Сервис";
• через профиль приложения.

Во вкладке "Системные настройки" режима "Сервис" настраиваются параметры самостоятельной регистрации для Avanpost Identity Cloud по умолчанию. Для редактирования требуется нажать  в разделе "Настройки регистрации" и настроить следующие параметры:

После внесения изменений следует нажать "Сохранить" для сохранения или "Отмена", чтобы не вносить изменения.

Настройка регистрации через профиль приложения осуществляется в разделе "Настройки регистрации" вкладки "Настройки" и описаны в разделе Управление приложениями в статьях, посвященных разным типам приложений. Настройки регистрации для приложения (разрешение/запрет саморегистрации) применяются в приложении вне зависимости от политик регистрации в Avanpost Identity Cloud.

Когда саморегистрация разрешена, при входе в Avanpost Identity Cloud незарегистрированному пользователю требуется нажать кнопку "Регистрация" и заполнить следующие поля:

• Логин;
• Фамилия;
• Имя;
• Адрес электронной почты;
• Пароль;
• Подтверждение пароля;
• Код с картинки (CAPTCHA).

Управление дополнительными атрибутами пользователей

Avanpost Identity Cloud позволяет администратору задавать значения дополнительных атрибутов, которые могут использоваться для:

• настройки нестандартных сценариев аутентификации;
• передачи данных в подключенные приложения.

При настройке специфических или расширенных сценариев аутентификации администратор пишет скрипт, который ставит сценарий аутентификации в зависимость от тех или иных атрибутов. Более подробно разработка скрипта описывается в разделе Разработка скрипта MFA.

Avanpost Identity Cloud дает возможность настроить дополнительные атрибуты, которые будут загружаться и обновляться из подключенных LDAP-каталогов. Для настройки дополнительных атрибутов следует перейти на вкладку «Список дополнительных атрибутов». Для этого следует нажать кнопку «Дополнительно» () сервиса «Пользователи» и выбрать «Дополнительные атрибуты». Редактор атрибутов содержит следующие компоненты:

• реестр, содержащий данные о дополнительных атрибутах и позволяющий изменять/удалять атрибуты;
• кнопку «Добавить атрибут», переводящую на страницу добавления нового атрибута.

В реестре дополнительных атрибутов содержатся следующие данные:

В разделе имеются кнопки с со следующими функциями:

Управление УЗ пользователя 

Avanpost Identity Cloud позволяет централизованно управлять всеми параметрами пользователя из УЗ пользователя. Из вкладки УЗ пользователя администратор может решать следующие задачи:

• получение данных о пользователях;
• изменение атрибутов пользователей;
• управление привилегиями пользователей через добавление/удаление ролей и удаления из групп;
• настройку аутентификаторов и их параметров;
• управление паролями;
• управление сроком действия УЗ пользователя;
• настройка токенов, сертификатов и OTP-токенов для конкретного пользователя; 
• управление внешними аккаунтами пользователей;
• получение информации о рассчитанном риске пользователе и возможность повторно пересчитать риск.

Для перехода в профиль пользователя администратору следует найти необходимого пользователя при помощи реестра режима «Пользователи» и выбрать его в столбце «Пользователь». УЗ пользователя содержит следующие разделы, отображаемые в боковом навигационном меню профиля: 

Общие возможности профиля 

Вне зависимости от того, в каком разделе профиля УЗ находится администратор, ему доступны следующие возможности и информация:

• Логин, имя и фамилия пользователя;
• Email пользователя;
• Дата и время последнего успешного входа;
• Кликабельный аватар – Нажать для смены изображения (аватара), привязанного к пользователю (после нажатия в открывшемся вкладке следует нажать кнопку "Выберите файл", указать путь до изображения и после загрузки нажать кнопку "Сохранить" для внесения изменений или "Отмена" для отказа);
• Кнопка "Редактировать" – Нажать для редактирования основных атрибутов УЗ пользователя;
• Выпадающее меню, открывающееся при нажатии кнопки , со следующими возможностями:
  • Кнопка смены пароля –  При нажатии "Сменить пароль" открывается меню окно изменения пароля пользователя. 
  • Кнопка смены пользовательского статуса – Нажать "Включить"/"Выключить" для изменения статуса пользователя;
  • Кнопка активации УЗ пользователя – Нажать "Активировать" для активации учетной записи (доступно только для тех пользователей, которые еще не активированы);
  • Кнопки управления блокировкой – Нажать для блокировки/разблокировки пользователя (при нажатии "Блокировка по дате" следует внести дату и время, когда будет заблокирован пользователь);
  • Кнопка – Нажать для удаления УЗ пользователя (после подтверждения).

Вкладка «Профиль»

Вкладка «Профиль» предназначена для получения и редактирования атрибутов пользователя, получения данных о способе создания и иных свойствах УЗ. Вкладка «Профиль» содержит информацию об УЗ пользователя:

Вкладка «Приложения» предназначена для получения данных о приложениях, доступных пользователю и управления учеными записями пользователя в различных приложениях. При переходе в «Приложения» администратор может выбрать из разделов:

• «Приложения»;
• «Учетные записи».

Во вкладке «Приложения» содержатся данные о доступных пользователю приложениях. Вкладка содержит реестр со следующими данными о приложениях:

Вкладка предоставляет возможность перейти в профиль управления приложением, нажав на наименование приложения. 

Более подробное описание возможностей вкладки управления приложением в разделе Управление приложениями.

Вкладка «Учетные записи» предназначена для:

• создания новых учетных записей в приложениях типов Reverse Proxy и Enterprise SSO, доступных пользователю;
• редактирования существующих учетных записей в приложениях, доступных пользователю.

Вкладка «Учетные записи» содержит:

• реестр со следующими параметрами учетных записей пользователя со следующими данными и возможностями:
  • Имя пользователя – логин, под которым пользователь авторизуется в приложении;
  • Домен – Домен, к которому принадлежит пользователь;
  • Приложение - наименование приложения;
  • Комментарий - комментарий администратора;
  • Кнопка – Нажать для редактирования учетной записи во внешнем ESSO/Reverse Proxy-приложении (открывается форма, в которой можно отредактировать логин, домен, комментарий). 
  • Кнопка – Нажать для изменения пароля от учетной записи во внешнем ESSO/Reverse Proxy-приложении;
  • Кнопка  – Нажать для удаления учетной записи во внешнем ESSO/Reverse Proxy-приложении (после подтверждения); 
• кнопку «Добавить» – Нажать добавления новой учетной записи в приложении;

При добавлении новой учетной записи в приложении перед администратором открывается форма, предлагающая ввести следующие данные:

Для сохранения изменений нажать «Сохранить», для отказа от изменений – «Отмена».

Вкладка «Группы»

Во вкладке «Группы» содержатся данные о группах, в которых состоит пользователь. Вкладка содержит реестр с наименованиями групп. 

При помощи реестра можно совершать следующие действия:

• удалять пользователя из групп путем нажатия кнопки, лишая пользователя соответствующих прав и привилегий;
• искать группы при помощи поисковой строки;
• переходить в профиль группы путем нажатия на нее.

При переходе в профиль группы открываются возможности для ее настройки, более подробно описанные в разделе Управление доступом.

Вкладка «Роли»

Во вкладке «Роли» содержатся данные о ролях, присвоенных пользователю. Вкладка содержит реестр со следующими данными:

При помощи вкладки роли администратор может совершать следующие действия:

• искать роли по наименованиям при помощи поисковой строки;
• назначать/отзывать роли нажатием на переключатель в графе "Назначена";
• переходить во вкладку редактирования ролей при нажатии на выбранную роль.

Возможности, которые дает настройка ролевой модели, более подробно описана в разделе Настройка ролей и прав.

Вкладка «Аутентификаторы»

Вкладка «Аутентификаторы» предназначена для получения информации о методах аутентификации, привязанных к пользователю, управления (привязки и отключения) методов к пользователю. Методы аутентификации должны быть предварительно настроены в разделе "Настройка методов аутентификации" режима "Сервис" (настройка методов аутентификации описана в разделе Управление аутентификацией). При создании нового метода аутентификации он автоматически добавляется в раздел "Аутентификаторы" в УЗ пользователя (методам Локальный пароль и Доменный пароль автоматически присваивается статус "Включен", прочие методы требуют привязки).

Вкладка содержит реестр со следующими параметрами аутентификаторов пользователя:

Управление жизненным цикл аутентификаторов в Avanpost Identity Cloud выполняется при помощи действий, описанных в таблице:

В случае, если кнопка с действием доступна, но отсутствует фактическая возможность его совершить (например, администратор пытается привязать фактор SMS для пользователя, у которого не указан телефонный номер), выдается информационное сообщение с указанием причины.

Вкладка «Устройства»

Вкладка «Устройства» позволяет совершать следующие действия:

• получать данные об устройствах пользователя;
• добавлять устройства пользователя в запомненные;
• удалять устройства пользователя из запомненных.

Вкладка содержит реестр со следующими параметрами устройств пользователя:

Функционал управления устройствами и их параметры более подробно описаны в разделе Управление устройствами.

Вкладка «Сессии»

Вкладка «Cессии» позволяет совершать следующие действия:

• получать информацию о сессиях пользователя;
• удалять отдельные сессии или очищать список сессий пользователя.

 Вкладка «Текущие сессии» содержит реестр со следующими параметрами:

Для завершения всех сессий нажать кнопку «Завершить все».

Вкладка «Токены»

Вкладка «Токены» позволяет администратору совершать следующие действия:

• добавление токенов пользователя;
• удаление токенов пользователя;
• изменение токенов пользователя;
• получение информации о токенах пользователя.

Вкладка содержит реестр с токенами и их основными данными: 

Для добавления нового токена следует нажать кнопку «Добавить новый токен». В открывшейся форму необходимо ввести следующие данные:

Для получения дополнительной информации о токенах следует обратиться к статье Настройка метода программный TOTP.

Вкладка «Сертификаты»

Вкладка «Сертификаты» позволяет администратору совершать следующие действия:

• добавление сертификатов ЭП пользователя;
• удаление сертификатов ЭП пользователя;
• получение информации о сертификатах пользователя.

Вкладка содержит реестр с сертификатами и их основными данными (серийный номер, издатель). Добавление нового сертификата доступно при нажатии кнопки «Добавить сертификат» следующими способами: 

• загрузить в открывшейся форме файл с сертификатом допустимого формата (*.pem, *.crt, *.cer, *.der); 
• вставить сертификат в текстовое поле.

Для удаления сертификата необходимо нажать напротив выбранного сертификата и подтвердить действие. 

Для получения дополнительной информации о настройке сертификатов следует обратиться к статье Настройка метода ЭП/сертификат.

Вкладка «OTP-токены»

Вкладка «OTP-токены» позволяет администратору совершать следующие действия:

• назначать OTP-токены данному пользователю;
• удалять токены, привязанные к данному пользователю;
• получать информацию о токенах пользователя.

Во вкладке доступен реестр со следующей информацией о токенах:

Администратор имеет возможность совершить следующие действия с привязанными токенами:

• отвязать токен, нажав на кнопку  и подтвердив действие;
• администратор имеет возможность заблокировать или разблокировать токен, нажав и соответственно.

При нажатии на кнопку «Добавить токен» открывается вкладка, содержащая реестр токенов и поисковую строку. Администратор может назначить соответствующие токены, выбрав их и нажав «Назначить» (для отказа от действия нажать «Отменить»).

Для изменения параметров токена следует нажать на него и перейти во вкладку токена. Более подробно добавление и изменение параметров OTP-токена рассмотрено в разделе Настройка метода аппаратный OTP.

Вкладка «Дополнительные атрибуты»

Вкладка «Дополнительные атрибуты» позволяет администратору совершать следующие действия:

• получать информацию о дополнительных атрибутах пользователя;
• изменять значения дополнительных атрибутов пользователя. 

Во вкладке представлен перечень всех дополнительных атрибутов, настроенных в Avanpost Identity Cloud. Для изменения значения атрибута следует внести новое значение в текстовое поля рядом с наименованием атрибута и нажать кнопку «Сохранить».

Вкладка «Внешние аккаунты»

Вкладка «Внешние аккаунты» позволяет администратору совершать следующие действия:

• получать информацию о внешних учетных записях пользователя;
• удалять внешние учетные записи пользователя.

Во вкладке доступен реестр внешних учетных записей со следующей информацией:

Риск пользователя

Риск пользователя представляет собой расчетный оценочный показатель, обобщающий влияние различных параметров на безопасность аутентификации и последующей работы пользователя в системе (для получения информации о риске сессии следует обратиться к статье Управление сессиями). Факторы, учитываемые при расчете коэффициента риска пользователя, напрямую влияют на риски компрометации учетной записи пользователя, риски обхода многофакторной аутентификации злоумышленником и гипотетический объем ущерба, который мог бы нанести злоумышленник при получении доступа к данной учетной записи. Чем ниже значение коэффициента, тем меньше риски информационной безопасности.

Информация о риске отображается в профиле пользователя и в реестре пользователей напротив логина. Для удобства при отображении в реестре пользователей коэффициент риска умножается на 100 (например, если коэффициент риска пользователя 0,66, то в столбце Риск отобразится значение 66).

Коэффициент риска пользователя может использоваться следующим образом:

• в скриптах MFA для автоматического упрощения, усложнения или запрета прохождения сценария аутентификации для пользователей с определенным коэффициентом риска;
• для получения администратором информации о пользователях с целью принятия тех или иных действий в отношении пользователей с определенным коэффициентом (например, выключения аккаунта). 

На значение риска пользователя влияют следующие факторы:

• наличие роли администратора;
• наличие и количество запомненных устройств;
• тип привязанных аутентификаторов к профилю пользователя;
• количество включенных аутентификаторов.

Пример разработки скрипта, использующего для динамического вычисления сценария аутентификации с учетом расчетных значений коэффициента риска пользователя, представлен в статье Разработка скрипта MFA.

Управление инициализацией пользователей

Функциональность управления инициализацией пользователей позволяет настроить сценарии инициализации факторов аутентификации для пользователей, добавляемых/регистрирующихся в Identity Cloud. Если в Identity Cloud настроен сценарий инициализации, то после аутентификации пользователю будет предложено привязать факторы аутентификации, настроенные в данном сценарии. Факторы, настроенные в сценарии инициализации как обязательные, будут привязываться принудительно (пользователь не сможет пользоваться продуктом, пока не выполнит привязку). Инициализация факторов, не выбранных в качестве обязательных,  будет предложена пользователю, но может быть пропущена без каких-либо последствий.

При настройке сценария инициализации могут использоваться следующие факторы:

• Telegram; 
• TOTP;
• SMS;
• Email.

Для настройки сценария инициализации требуется перейти в режиме "Сервис" в раздел "Настройки инициализации пользователей". Раздел содержит реестр со следующей информацией:

• Сценарий – Наименование сценария инициализации:
• Шаги – Перечень шагов (с указанием факторов аутентификации) в сценарии инициализации.

Для настройки сценария следует перейти в его профиль, в котором содержится следующая информация и возможности:

Допускается перетягивать настроенные факторы инициализации для изменения порядка привязки пользователем факторов, настроенных в сценарии инициализации (доступно при наличии двух и более шагов в сценарии).

После редактирования сценария стоит нажать "Сохранить" для сохранения настроек, или "Отменить" для отказа от изменений.

Управление восстановлением доступа

Avanpost Identity Cloud предоставляет возможность тонкой настройки сценария восстановления доступа пользователями. 

Управление восстановлением доступа пользователей осуществляется через административную консоль. Во вкладке "Системные настройки" режима "Сервис" настраивается сценарий восстановления доступа. Для редактирования требуется перейти в раздел "Настройки восстановления доступа к аккаунтам" и настроить следующие параметры:

После внесения изменений следует нажать "Сохранить" для сохранения или "Отменить", чтобы не вносить изменения.