5.1. Управление пользователями

Управление пользователями - функциональность в Avanpost FAM, предназначенная для решения следующих задач:

• сбор и фиксация данных о пользователях;
• добавление пользователей, включая добавление пользователей из внешних источников;
• управление УЗ с возможностью запуска/приостановки УЗ, расширения/ограничения привилегий пользователя;
• настройка и управление параметрами факторов аутентификации пользователей;
• управление уведомлениями пользователям;
• передача параметров пользователей в механизм определения сценария аутентификации для упрощения, усложнения сценария MFA или для принятия решения о запрете аутентификации;
• отображение администратору данных о пользователях.

Функциональность управления пользователями позволяет администратору осуществлять следующие операции с пользовательскими аккаунтами и их данными:

• поиск и получение информации о пользователях;
• добавление и удаление пользователей;
• добавление логинов пользователей в черный список;
• добавление, редактирование и удаление дополнительных атрибутов пользователей и редактирование основных атрибутов пользователей;
• управление доступом пользователей к приложениям;
• управление группами и ролями пользователей;
• контроль сценариев аутентификации пользователей с возможностью блокировки или разблокировки факторов аутентификации для конкретных пользователей;
• управление паролями пользователей;
• управление токенами, OTP-токенами и сертификатами пользователей;
• управление статусом пользовательских устройств, их удаление и запоминание;
• настройка и управление уведомлениями пользователям.

Управление пользователями осуществляется в режиме «Пользователи». Режим «Пользователи» содержит следующие компоненты:

• реестр пользователей, отображающий базовую информацию о пользователях;
• элементы управления поиском, включающие поисковую строку и фильтры;
• кнопку «Добавить пользователя», переводящую на вкладку с формой добавления нового пользователя;
• кнопку «Операции с несколькими пользователями», переводящую на вкладку с интерфейсом для проведения массовых операций;
• кнопку «Редактор атрибутов», переводящую на вкладку управления дополнительными атрибутами пользователей;
• кнопку «Черный список имен», переводящую на вкладку управления черным списком пользователей.

Avanpost FAM реализует функционал Управление устройствами, с которых аутентифицируются пользователи, более подробно описанный в разделе Управление устройствами.

Avanpost FAM реализует функционал Управление сессиями, более подробно описанный в разделе Управление сессиями.

Поиск пользователей

Управление поиском осуществляется при помощи поисковой строки и фильтров. Поисковая строка позволяет искать пользователей по значениям атрибутов «Имя», «Фамилия», «Логин», «E-mail», «Телефон». Поиск пользователей выполняется по любым совпадениям введенных слов с полями, участвующими в поиске (Имя, Фамилия, Отчество и т.п.) независимо от порядка введенных слов. Лишние пробелы перед введенным значением, после него, а также между значениями игнорируются.

В реестре отображается следующая информация о пользователях.

Фильтры позволяют осуществить быстрый поиск пользователей по настроенным условиям фильтрации с целью последующего получения необходимых сведений. Управление фильтрами осуществляется вводом данных в поля элемента интерфейса, которые можно развернуть нажатием на кнопку управления фильтрами.

Для активации поиска по фильтрам необходимо нажать «Поиск». Чтобы очистить выбранные параметры фильтров, нажать «Сбросить фильтр».

Добавление пользователей и атрибутов

Создание пользователей и обновление их атрибутов возможны следующими способами:

• администратором вручную:
  • используя интерфейс административной консоли для создания/редактирования УЗ отдельного пользователя;
  • используя интерфейс административной консоли для импорта пользователей из загружаемого в FAM CSV/XLSX-файла;
• синхронизацией с LDAP-каталогами и при использовании LDAP-аутентификации в Avanpost FAM;
• через API-запросы от внешних приложений с использованием HTTP-протокола;
• с использованием внешних провайдеров аутентификации, выступающих в роли SAML/OIDC Identity Provider;
• через функцию самостоятельной регистрации;

Для описания пользователей используются пары атрибут-значение. Каждый пользователь обладает набором атрибутов, которые можно разделить на две группы: основные и дополнительные.

1. Основные атрибуты формируют базовую информацию о пользователе. Основные атрибуты установлены в продукте изначально, и администратор может редактировать их значения, но не удалять сами атрибуты.
2. Дополнительные атрибуты представляют свойства и характеристики, связанные с профилем пользователя, его ролью, сценариями аутентификации и т.п. Дополнительные атрибуты добавляются, удаляются и редактируются администратором, исходя из задач и потребностей.

Управление дополнительными атрибутами пользователей

Avanpost FAM позволяет администратору задавать значения дополнительных атрибутов, которые могут использоваться для:

• настройки нестандартных сценариев аутентификации;
• передачи данных в подключенные приложения.

При настройке специфических или расширенных сценариев аутентификации администратор пишет скрипт, который ставит сценарий аутентификации в зависимость от тех или иных атрибутов. Более подробно разработка скрипта описывается в разделе Разработка скрипта MFA.

Avanpost FAM дает возможность настроить дополнительные атрибуты, которые будут загружаться и обновляться из подключенных LDAP-каталогов. Для настройки дополнительных атрибутов следует перейти на вкладку «Редактор атрибутов» сервиса «Пользователи». Редактор атрибутов содержит следующие компоненты:

• реестр, содержащий данные о дополнительных атрибутах и позволяющую изменять/добавлять и обновлять данные о них;
• кнопку «Добавить атрибут», переводящую на страницу добавления нового атрибута.

В реестре дополнительных атрибутов содержатся следующие данные.

На «Редакторе атрибутов» имеются кнопки с со следующими функциональностями.

Добавление пользователей и атрибутов вручную

Для добавления нового пользователя требуется перейти во вкладку «Новый пользователь», нажав кнопку «Добавить пользователя» сервиса «Пользователи». В данной вкладке следует ввести значения основных атрибутов пользователя согласно таблице.

Помимо заполнения значений основных атрибутов в продукте имеется возможность выбрать способ настройки пароля и настроить дополнительные опции.

Импорт пользователей вручную

Встроенная функциональность импорта пользователей вручную из загружаемого CSV/XLSX-файла доступна по нажатию кнопки в режиме "Пользователи". В открывшемся окне "Импорт пользователей" администратор должен ввести следующие параметры.

Для завершения действия после загрузки файла и ввода параметров следует нажать кнопку "Сохранить", чтобы отказаться от действия — кнопку "Отмена".

При формировании CSV/XLSX-файла для загрузки пользователей допускается указание следующих параметров в файле загрузки:

• Логин (обязателен);
• Email (обязателен);
• Имя (обязателен);
• Фамилия (обязателен);
• Отчество (не обязателен);
• Домен (не обязателен);
• Номер телефона (не обязателен).

Добавление пользователей и атрибутов из LDAP-каталогов

Встроенная функциональность LDAP-синхронизации и LDAP-аутентификации позволяет Avanpost FAM совершать следующие операции с пользователями и их атрибутами:

• первичная загрузка данных о пользователях.
• поддержка актуальности данных о пользователях.
• загрузка информации о членстве пользователей.

Avanpost FAM поддерживает одновременную интеграцию с несколькими доменами, в качестве которых могут выступать LDAP-каталоги как на базе OpenLDAP, MS AD, FreeIPA, Avanpost DS и т.д., информация о настройке и сценариях использования которых дана в соответствующих разделах.

Настройка LDAP-провайдера для импорта данных пользователей и групп описана в разделе Управление LDAP-источниками.

Добавление пользователей и атрибутов через API

Avanpost FAM позволяет добавлять пользователей сторонним приложениям через API с использованием HTTP-протокола. Добавление пользователя осуществляется путем аутентификации пользователя в стороннем доверенном приложении, взаимодействующим с Avanpost FAM через API. При первой аутентификации через стороннее приложение Avanpost FAM автоматически создает пользователя, присваивая ему атрибуты из внешнего приложения. 

Добавление пользователей и атрибутов через внешние IdP

Avanpost FAM позволяет создавать пользователей при помощи внешних провайдеров аутентификации, выступающих в роли SAML/OIDC Identity Provider. Если вход в Avanpost FAM осуществляется с при помощи IdP, пользователь создается автоматически и ему присваиваются атрибуты, полученные от внешнего IdP-провайдера. 

Информация о настройке импорта пользователей из стороннего Identity Provider, поддерживающего OpenID Connect Federation дана в разделе Управление IdP с поддержкой OIDC Federation. Информация о настройке импорта пользователей через SAML Identity Provider дана в разделе Управление SAML-источниками. 

Самостоятельная регистрация пользователей

Avanpost FAM предоставляет функцию самостоятельной регистрации пользователей и возможность управления ей как на уровне всего продукта, так и для конкретных приложений, доступ к которым осуществляется через Avanpost FAM. Пользователям, зарегистрировавшимся самостоятельно, присваивается статус неактивных и на указанный Email направляется ссылка для активации. После перехода по ссылке и дальнейшей авторизации, пользователь получает статус активного и можем пользоваться функционалом Avanpost FAM.

Политика регистрации в отношении пользователей осуществляется следующими способами:

• через административную консоль во вкладке "Системные настройки" режима "Сервис";
• через профиль приложения;
• через конфигурационный файл. 

Во вкладке "Системные настройки" режима "Сервис" настраиваются параметры самостоятельной регистрации для Avanpost FAM по умолчанию. Для редактирования требуется нажать  в разделе "Настройки регистрации" и настроить следующие параметры:

После внесения изменений следует нажать "Сохранить" для сохранения или "Отмена", чтобы не вносить изменения.

Настройка регистрации через профиль приложения осуществляется в разделе "Настройки регистрации" вкладки "Настройки" и описаны в разделе Управление приложениями в статьях, посвященных разным типам приложений. Настройки регистрации для приложения (разрешение/запрет саморегистрации) применяются в приложении вне зависимости от политик регистрации в Avanpost FAM.

Настройка регистрации через конфигурационный файл осуществляется в следующей секции.

[selfregistration]
redirectUrl = 'https://<your_redirect_URL_after_registration>'
disabled = false

Параметры имеют следующее значение:

• disabled - разрешает (false) или запрещает (true) самостоятельную регистрацию пользователем.
• redirectUrl - URL-адрес перенаправления после регистрации.

Когда саморегистрация разрешена, при входе в Avanpost FAM незарегистрированному пользователю требуется нажать кнопку "Регистрация" и заполнить следующие поля:

• Логин;
• Фамилия;
• Имя;
• Адрес электронной почты;
• Пароль;
• Подтверждение пароля;
• Код с картинки (CAPTCHA).

Управление восстановлением доступа

Avanpost FAM предоставляет возможность тонкой настройки сценария восстановления доступа пользователями. 

Управление восстановлением доступа пользователей осуществляется через административную консоль. Во вкладке "Системные настройки" режима "Сервис" настраивается сценарий восстановления доступа. Для редактирования требуется нажать в разделе "Настройки восстановления доступа к аккаунтам" и настроить следующие параметры:

После внесения изменений следует нажать "Сохранить" для сохранения или "Отмена", чтобы не вносить изменения.

Управление УЗ пользователя 

Avanpost FAM позволяет централизованно управлять всеми параметрами пользователя из УЗ пользователя. Из вкладки УЗ пользователя администратор может решать следующие задачи:

• получение данных о пользователях;
• изменение атрибутами пользователей;
• управление привилегиями пользователей через добавление/удаление ролей и удаления из групп;
• настройку факторов аутентификации и их параметров;
• управление паролями;
• управление сроком действия УЗ пользователя;
• настройка токенов, сертификатов и OTP-токенов для конкретного пользователя; 
• получение информации о рассчитанном риске пользователе и возможность повторно пересчитать риск.

Для перехода в профиль пользователя администратору следует найти необходимого пользователя при помощи реестра режима «Пользователи» и выбрать его в столбце «Пользователь». УЗ пользователя содержит следующие разделы:

• Профиль;
• Приложения;
• Группы и роли;
• Аутентификаторы;
• Безопасность;
• Дополнительно. 

Вне зависимости от того, в каком разделе профиля УЗ находится администратор, ему доступны следующие возможности и информация:

• Общая информация о пользователе – Имя, фамилия, логин и фотография (аватар) пользователя;
• Информация о статусе УЗ пользователя – включенная УЗ ()/ выключенная УЗ ();
• Кнопка "Изменить" – Нажать для смены изображения (аватара), привязанного к пользователю (после нажатия в открывшемся вкладке следует нажать кнопку "Выберите файл", указать путь до изображения и после загрузки нажать кнопку "Сохранить" для внесения изменений или "Отмена" для отказа);
• Кнопка смены пользовательского статуса – Включенная УЗ при нажатии  выключается/Выключенная УЗ при нажатии включается;
• Кнопка – Нажать для удаления УЗ пользователя (после подтверждения);
• Информация о риске;
  • Риск – Числовое значение рассчитанного коэффициента риска пользователя;
  • Детализация факторов, влияющих на коэффициент риска: 
    • Права доступа – Доля фактора наличия/отсутствия прав администратора, имеющихся у пользователя, в расчетном значении коэффициента риска; 
    • Устройства –  Доля факторов, связанных с устройствами пользователя, в расчетном значении коэффициента риска; 
    • Аутентификаторы – Доля факторов, связанных с использующимися пользователем аутентификаторами, в расчетном значении коэффициента риска;
  • Кнопка – Нажать, чтобы пересчитать имеющееся значение коэффициента риска пользователя.

Вкладка «Профиль»

Вкладка «Профиль» предназначена для получения и редактирования атрибутов пользователя, получения данных о способе создания УЗ и о внешних УЗ. Вкладка «Профиль» содержит информацию об УЗ пользователя:

Вкладка «Приложения» предназначена для получения данных о приложениях, доступных пользователю и управления учеными записями пользователя в различных приложениях. При переходе в «Приложения» администратор может выбрать из вкладок:

• «Приложения»;
• «Учетные записи».

Во вкладке «Приложения» содержатся данные о доступных пользователю приложениях. Вкладка содержит реестр со следующими данными о приложениях:

Вкладка позволяет обновить данные о приложениях, нажав значок . Вкладка предоставляет возможность перейти в профиль управления приложением, нажав на наименование приложения. 

Более подробное описание возможностей вкладки управления приложением в разделе Управление приложениями.

Вкладка «Учетные записи» предназначена для:

• создания новых учетных записей в приложениях типов Reverse Proxy и Enterprise SSO, доступных пользователю;
• редактирования существующих учетных записей в приложениях, доступных пользователю.

Вкладка «Учетные записи» содержит:

• реестр со следующими параметрами учетных записей пользователя:
  • учетная запись - логин, под которым пользователь авторизуется в приложении;
  • приложение - наименование приложения;
  • комментарий - комментарий администратора.
• кнопку добавления новой учетной записи в приложении ;
• кнопку просмотра установленного пароля для учетной записи в приложении  - при нажатии открывается форма для просмотра установленного пароля (чтобы запретить просмотр пароля следует в конфигурационном файле задать значение allowRevealCredentials = false);
• кнопка изменения установленного пароля для учетной записи в приложении  - при нажатии в  открывшейся форме администратору предлагается ввести и подтвердить новый пароль;
• кнопка удаления выбранной учетной записи для приложении.

При добавлении новой учетной записи в приложении перед администратором открывается форма, предлагающая ввести следующие данные:

• логин - логин пользователя в приложении (может отличаться от логина в Avanpost FAM);
• пароль - пароль пользователя в приложении (может отличаться от пароля в Avanpost FAM);
• подтверждение пароля;
• приложение - требуется выбрать приложение из выпадающего списка;
• домен - домен пользователя (может отличаться от домена в Avanpost FAM, устанавливается опционально);
• комментарий - комментарий администратора (добавляется опционально);

При нажатии в реестре на наименование учетной записи открывается форма для редактирования следующих данных:

• логин;
• домен;
• комментарий.

Вкладка «Группы и роли»

Вкладка «Группы и роли» предназначена для получения данных о группах, в которых состоит пользователь, и ролях, присвоенных пользователю, а также для управления ролями и группами пользователя.

При переходе в «Группы и роли» администратор может выбрать из вкладок:

• «Группы»;
• «Роли».

Во вкладке «Группы» содержатся данные о группах, в которых состоит пользователь. Вкладка содержит реестр с наименованиями групп. 

При помощи реестра можно совершать следующие действия:

• удалять пользователя из групп путем нажатия кнопки , лишая пользователя соответствующих прав и привилегий;
• искать группы при помощи поисковой строки;
• переходить в профиль группы путем нажатия на нее.

При переходе в профиль группы открываются возможности для ее настройки, более подробно описанные в разделе Управление доступом.

Во вкладке «Роли» содержатся данные о ролях, присвоенных пользователю. Вкладка содержит реестр со следующими данными:

• Роль – название роли;
• Описание – описание роли, добавляемое опционально
• Тип – тип роли:
  • system - системные роли, дающие возможность работы с элементами Avanpost FAM, более подробно описанные в разделе Спецификации ролей администраторов;
  • custom - роли, настраиваемые для работы со сторонними приложениями;
• Приложение - приложения, доступ к которым обеспечивается назначением данной роли;
• Назначена - переключатель назначения/отзыва роли.

При помощи вкладки роли администратор может совершать следующие действия:

• искать роли по наименованиям при помощи поисковой строки;
• назначать/отзывать роли нажатием на переключатель в графе "Назначена";
• переходить во вкладку редактирования ролей при нажатии на выбранную роль.

Возможности, которые дает настройка ролевой модели, более подробно описана в разделе Настройка ролей и прав.

Вкладка «Аутентификаторы»

Вкладка «Аутентификаторы» предназначена для получения информации о методах аутентификации, привязанных к пользователю, управления (привязки и отключения) методов к пользователю (функциональность доступна с версии Avanpost FAM 1.15). Методы аутентификации должны быть предварительно настроены в разделе "Настройка методов аутентификации" режима "Сервис" (настройка методов аутентификации описана в разделе Управление аутентификацией). При создании нового метода аутентификации он автоматически добавляется в раздел "Аутентификаторы" в УЗ пользователя (методам Локальный пароль и Доменный пароль автоматически присваивается статус "Включен", прочие методы требуют привязки).

Вкладка содержит реестр со следующими параметрами аутентификаторов пользователя:

• Метод аутентификации – Наименование и тип метода аутентификации;
• Дата и инициатор привязка – Дата привязки и логин пользователя, выполнившего привязку фактора;
• Последнее использование – Время и дата последнего использования аутентификатора данного типа;
• Статус – Состояние аутентификатора в конкретный момент жизненного цикла:
  • Включен – Пользователь может использовать аутентификатор;
  • Отключен – Аутентификатор привязан к пользователю, но не может быть использован (до тех пор, пока администратор не переведет аутентификатор в положение "Включен");
  • Ожидает привязки – Аутентификатор не привязан к пользователю;
  • Заблокирован – Аутентификатор привязан к пользователю, но не может быть использован из-за блокировки согласно настройкам политик безопасности (статус доступен с версии 1.16 и выше);
  • Удален – Аутентификатор удален удален из карточки пользователя и восстановлению не подлежит (удаленные аутентификаторы не отображаются в карточке, если не установлен чекбокс "Показывать удаленные");
• Действия – при нажатии на кнопку открывается список с доступными для данного аутентификатора действиями (перечень действий, доступных в конкретный момент, зависит от типа и статуса аутентификатора):
  • Кнопка "Включить" – После включения пользователь сможет использовать ранее привязанный к нему аутентификатор;
  • Кнопка "Отключить" – После отключения пользователь не сможет использовать аутентификатор;
  • Кнопка "Привязать" – Выполнить привязку аутентификатора к пользователю: в процессе привязки к пользователю однозначно прикрепляется тот или иной идентификатор (телефонный номер, почтовый адрес, OTP-токен и т.п.);
  • Кнопка "Сбросить" – Сбросить привязку аутентификатора, т.е. удалить соответствие между пользователем и его идентификатором (например, для фактора SMS будет сброшен текущий номер телефона пользователя, для фактора Email – адрес электронной почты, для фактора TOTP – привязанный OTP-токен и т.д.): после сбрасывания потребуется повторная привязка метода к пользователю.
  • Кнопка "Разблокировать" –  Разблокировать аутентификатор пользователя, если ранее он был заблокирован Avanpost FAM (функция доступна с версии 1.16 и выше).
• Кнопка "Удалить" – Нажать, чтобы удалить выбранный аутентификатор (кнопка доступна для нажатия, если установлен флаг в чекбокс напротив как минимум одного аутентификатора): после подтверждения выбранный аутентификатор удаляется из карточки пользователя и восстановлению не подлежит;
• Чекбокс "Показывать удаленные" – При установке флажка в чекбоксе в списке аутентификаторов отображаются ранее удаленные;
• Кнопка "Новый аутентификатор" – Добавить пользователю новый аутентификатор, доступный для привязки. При нажатии на кнопку администратор должен выбрать из выпадающего списка ранее настроенный метод аутентификации и нажать "Сохранить" для добавления аутентификатора (или кнопку "Отмена" для отказа от действия).

Управление жизненным цикл аутентификаторов в Avanpost FAM выполняется при помощи действий, описанных в таблице:

В случае, если кнопка с действием доступна, но отсутствует фактическая возможность его совершить (например, администратор пытается привязать фактор SMS для пользователя, у которого не указан телефонный номер), выдается информационное сообщение с указанием причины.

Вкладка «Безопасность»

Вкладка «Безопасность» предназначена для получения данных об устройствах и сессиях пользователя, управления паролями пользователя и сроком действия его учетной записи.

При переходе в «Безопасность» администратор может выбрать из вкладок:

• «Учетная запись»;
• «Устройства»;
• «Текущие сессии».

Вкладка «Учетная запись» позволяет совершать следующие действия:

• задавать новый пароль пользователя;
• сбрасывать старый пароль пользователя;
• добавлять, изменять или удалять дату блокировки аккаунта.

Для изменения пароля пользователя следует нажать кнопку «Задать новый пароль», ввести новый пароль и подтвердить его. 

Чтобы сбросить пароль, следует нажать кнопку «Сбросить».  После подтверждения сброса пароля администратор сможет задать новый пароль в текстовой строке.

Для установки/изменения даты и времени блокировки аккаунта следует нажать на кнопку  и выбрать/отредактировать дату или очистить строку.

Вкладка «Устройства» позволяет совершать следующие действия:

• получать данные об устройствах пользователя;
• добавлять устройства пользователя в запомненные;
• удалять устройства пользователя из запомненных.

Вкладка содержит реестр со следующими параметрами устройств пользователя:

• Описание – Данные о браузере и операционной системе;
• Тип – Тип устройства, с которого аутентифицировался пользователь;
• Статус – Статус устройства в FAM ("Активно", "Приостановлено" или "Деактивировано");
• Последнее изменение статуса – Дата и время последнего изменения статуса устройства;
• Запомнено – Присвоен ли устройству статус запомненного в FAM.

При нажатии кнопки администратор получает следующие данные об устройстве, представленные в виде таблицы. Выводимые параметры зависят от типа устройства и его ОС. Полный перечень параметров устройства представлен в разделе "Профили устройств" статьи Управление устройствами):

Администратор может получить дополнительные данные о параметрах устройства, нажав на , или перейти в профиль устройства, нажав на его наименование. Администратор может добавить устройства в запомненные, поставив флажок в графе «Запомнено».

Функционал управления устройствами и их параметры более подробно описаны в разделе Управление устройствами.

Вкладка «Текущие сессии» позволяет совершать следующие действия:

• получать информацию о сессиях пользователя;
• удалять отдельные сессии или очищать список сессий пользователя.

 Вкладка содержит реестр со следующими параметрами:

• IP-адрес – IP-адрес устройства, использующегося в данной сессии;
• Начало – Время начала сессии;
• Истекает – Время завершения сессии;
• Браузер – Тип браузера;
• Платформа – Тип операционной системы;
• Устройство – Тип устройства;
• Факторы аутентификации – Факторы аутентификации, пройденные владельцем сессии.

Для обновления данных о сессиях пользователя следует нажать . Чтобы очистить данные о сессиях пользователя, следует нажать «Очистить». Чтобы удалить данные о конкретной сессии, следует нажать  напротив нее.

Функционал управления сессиями и их параметры более подробно описаны в разделе Управление сессиями.

Вкладка «Дополнительно»

Вкладка «Дополнительно» предназначена для привязки/удаления к УЗ пользователя usb-токенов, смарт-карт, аппаратных OTP (TOTP), программных TOTP-токенов и сертификатов электронной подписи. 

При переходе в «Дополнительно» администратор может выбрать из вкладок:

• «Токены»;
• «Сертификаты»;
• «OTP-токены».

Вкладка «Токены» позволяет администратору совершать следующие действия:

• добавление токенов пользователя;
• удаление токенов пользователя;
• изменение токенов пользователя;
• получение информации о токенах пользователя.

Вкладка содержит реестр с токенами и их основными данными (серийный номер). Для добавления нового токена следует нажать кнопку . В открывшейся форму необходимо ввести следующие данные:

• серийный номер токена в текстовом поле;
• установить или убрать флажок "Требовать пин-код"
  • при установленном флажке у пользователя запрашивается пин-код при использовании данного токена для аутентификации;
  • при выключенном флажке пин-код при использовании данного токена не запрашивается.

Для удаления токена необходимо нажать «Удалить» напротив выбранного сертификата, для внесения изменений - кнопку «Изменить».

Для получения дополнительной информации о токенах следует обратиться к статье Настройка метода программный TOTP.

Вкладка «Сертификаты» позволяет администратору совершать следующие действия:

• добавление сертификатов ЭП пользователя;
• удаление сертификатов ЭП пользователя;
• получение информации о сертификатах пользователя.

Вкладка содержит реестр с сертификатами и их основными данными (серийный номер, издатель). Для добавления нового сертификата следует нажать кнопку  и загрузить в открывшейся форме файл формата .cer с сертификатом. Для удаления сертификата необходимо нажать «Удалить» напротив выбранного сертификата и подтвердить действие. 

Для получения дополнительной информации о настройке сертификатов следует обратиться к статье Настройка метода ЭП/сертификат.

Вкладка «OTP-токены» позволяет администратору совершать следующие действия:

• назначать OTP-токены данному пользователю;
• удалять токены, привязанные к данному пользователю;
• получать информацию о токенах пользователя.

Во вкладке доступен реестр со следующей информацией о токенах:

• Серийный номер - серийный номер токена;
• Производитель - наименование производителя токена;
• Модель - модель носителя для аппаратного генератора/soft - для программного;
• Длина пароля - количество символов в пароле;
• Алгоритм - тип алгоритма хеширования;
• Период - время действия токена;
• Статус - активен/заблокирован;
• Привязан - время и дата привязки.

Назначение новых токенов возможно двумя способами:

1. При нажатии на кнопку «Назначить токены» открывается вкладка, содержащая реестр токенов и поисковую строку. Администратор может назначить соответствующие токены, выбрав их и «Сохранить»
2. При нажатии на кнопку «Назначить новый токен» открывается вкладка «Регистрация нового токена», которая позволяет назначить пользователю новый токен. Регистрация нового токена более подробна описана в разделе .

Для изменения параметров токена следует нажать на него и перейти во вкладку токена. Более подробно добавление и изменение параметров OTP-токена рассмотрено в разделе Настройка метода аппаратный OTP. Чтобы отвязать токен от данного пользователя, следует нажать на .

Управление черным списком

Функция черного списка предназначена для исключения возможности использования указанного логина. Логины, внесенные в черные список имен, не могут быть зарегистрированы в Avanpost FAM даже при отсутствии/удалении соответствующих пользователей.

Продукт позволяет проводить следующие операции с черным списком пользователей:

• получение информации о черном списке;
• добавление логинов пользователей в черный список;
• удаление логинов пользователей из черного списка.

Для управления черным списком следует перейти в соответствующую форму, нажав на кнопку «Черный список имен» в режиме «Пользователи». Форма «Черный список имен» содержит следующие компоненты:

• кнопку «Добавить имя», переводящую на страницу добавления нового имени в черный список;
• реестр, содержащий данные о логинах и времени блокировки пользователей с возможностью исключения из черного списка.

При нажатии на кнопку «Добавить имя» открывается форма добавления пользователя в черный список.

Реестр черного списка имен содержит следующую информацию о пользователях:

• логин заблокированного пользователя;
• дату блокировки пользователя;
• дату, когда пользователь будет разблокирован, или ее отсутствие, если пользователь заблокирован бессрочно.

В реестре представлена возможность удаления логина пользователя из черного списка нажатием на кнопку .

Управление инициализацией пользователей

Функциональность управления инициализацией пользователей позволяет настроить сценарии инициализации факторов аутентификации для пользователей, добавляемых/регистрирующихся в Avanpost FAM. Если в Avanpost FAM настроен сценарий инициализации, то после аутентификации пользователю будет предложено привязать факторы аутентификации, настроенные в данном сценарии. Факторы, настроенные в сценарии инициализации как обязательные, будут привязываться принудительно (пользователь не сможет пользоваться продуктом, пока не выполнит привязку). Инициализация факторов, не выбранных в качестве обязательных,  будет предложена пользователю, но может быть пропущена без каких-либо последствий.

При настройке сценария инициализации могут использоваться следующие факторы:

• Telegram; 
• TOTP;
• SMS;
• Email.

Для настройки сценария инициализации требуется перейти в режиме "Сервис" в раздел "Настройки инициализации пользователей". Раздел содержит реестр со следующей информацией:

• Сценарий – Наименование сценария инициализации:
• Шаг – Перечень шагов (с указанием факторов аутентификации) в сценарии инициализации.

Для настройки сценария следует перейти в его профиль, в котором содержится следующая информация и возможности:

• Реестр используемых факторов в данном сценарии инициализации со следующей информацией:
  • Наименование шага – Описание шага, который используется в процессе инициализации;
  • Обязательный – Переключатель (изменение положения доступно при редактировании сценария): при включенном положении () инициализации данного фактора становится обязательной, при выключенном () инициализация фактора доступна пользователю, но не обязательна;
• Кнопка "Редактировать" – Нажать  для редактирования сценария (открывает возможности добавления/удаления шагов, включения/выключения обязательности шага, изменения периодичности шагов).
• Кнопка "Удалить" – Нажать , чтобы удалить фактор из сценария (доступно при редактировании сценария).
• Кнопка "Добавить шаг" – Нажать для добавления нового шага в сценарий инициализации (доступно при редактировании сценария). При нажатии открывается интерфейс со следующими возможностями:
  • Шаг – Выбрать из выпадающего списка фактор, используемый на шаге инициализации:
    • Инициализация Telegram фактора;
    • Инициализация SMS фактора;
    • Инициализация TOTP фактора;
    • Активация пользователя через Email;
  • Обязательный – Выбрать из выпадающего списка, является ли инициализация данного фактора обязательной;
  • Кнопка "Добавить" – Нажать для добавления шага в сценарий;
  • Кнопка "Отмена" – Нажать для отказа от добавления шага;
• Кнопки изменения порядка инициализации – Нажать или для изменения порядка отображения пользователю факторов, настроенных в сценарии инициализации (доступно при наличии двух и более шагов в сценарии).

После редактирования сценария стоит нажать "Сохранить" для сохранения настроек, или "Отменить" для отказа от изменений.

Риск пользователя

Риск пользователя представляет собой расчетный оценочный показатель, обобщающий влияние различных параметров на безопасность аутентификации и последующей работы пользователя в системе (для получения информации о риске сессии следует обратиться к статье Управление сессиями). Факторы, учитываемые при расчете коэффициента риска пользователя, напрямую влияют на риски компрометации учетной записи пользователя, риски обхода многофакторной аутентификации злоумышленником и гипотетический объем ущерба, который мог бы нанести злоумышленник при получении доступа к данной учетной записи. Чем ниже значение коэффициента, тем меньше риски информационной безопасности.

Информация о риске отображается в профиле пользователя и в реестре пользователей напротив логина. Для удобства при отображении в реестре пользователей коэффициент риска умножается на 100 (например, если коэффициент риска пользователя 0,66, то в столбце Риск отобразится значение 66).

Коэффициент риска пользователя может использоваться следующим образом:

• в скриптах MFA для автоматического упрощения, усложнения или запрета прохождения сценария аутентификации для пользователей с определенным коэффициентом риска;
• для получения администратором информации о пользователях с целью принятия тех или иных действий в отношении пользователей с определенным коэффициентом (например, выключения аккаунта). 

На значение риска пользователя влияют следующие факторы:

• наличие роли администратора;
• наличие и количество запомненных устройств;
• тип привязанных аутентификаторов к профилю пользователя;
• количество включенных аутентификаторов.

Пример разработки скрипта, использующего для динамического вычисления сценария аутентификации с учетом расчетных значений коэффициента риска пользователя, представлен в статье Разработка скрипта MFA.