Управление доступом

В настоящем разделе представлено описание раздела меню «Пользователи», предусматривающего механизм управления следующими функциями:

• права доступа к разделам веб-интерфейса;

• управление активными сессиями пользователей;

• операции блокировки и разблокировки учётных записей.

Права доступа

Права доступа к разделам веб-интерфейса определяются набором CLI-команд, разрешённых для класса пользователя. Доступ реализуется на основе проверки наличия необходимых привилегий на выполнение соответствующих команд в конфигурационном или эксплуатационном режиме. Подробная информация о классах пользователей и назначении прав доступа в CLI приведена в разделе «Назначение прав доступа пользовательским учётным записям» Руководства по настройке ARMA Стена в CLI.

Основные тезисы предоставления доступа:

• Просмотр раздела возможен при наличии у пользователя прав на выполнение всех команд, требуемых для отображения информации в данном разделе.

• Редактирование (добавление, изменение, удаление конфигураций раздела) допускается только при условии:

  • наличия прав на просмотр всего раздела;

  • наличия прав на модификацию параметров (команды «set», delete»);

  • наличия прав на доступ к смежным зависимым разделам.

Каждый раздел веб-интерфейса связан с определённым минимальным набором CLI-команд, необходимых для реализации функций просмотра и редактирования. Перечень этих команд приведён в таблице «Соответствие прав доступа в веб-интерфейсе CLI-командам».

Таблица «Соответствие прав доступа в веб-интерфейсе CLI-командам»

Раздел	Права на просмотр	Права на редактирование
1. Межсетевой экран
1.1 Глобальные настройки	Команды конфигурационного режима: show firewall global-options	Команды конфигурационного режима: set firewall global-options delete firewall global-options show firewall global-options
1.2 Группы	Команды конфигурационного режима: show firewall group	Команды конфигурационного режима: set firewall group delete firewall group show firewall group show interfaces
1.3 Правила межсетевого экрана	Команды конфигурационного режима: show firewall zone show firewall group show firewall ipv4 show firewall ipv6 show firewall bridge show interfaces	Команды конфигурационного режима: show interfaces show firewall group show firewall zone show firewall ipv4 show firewall ipv6 show firewall bridge set firewall ipv4 set firewall ipv6 set firewall bridge delete firewall ipv4 delete firewall ipv6 delete firewall bridge
1.4 Зоны сети	Команды конфигурационного режима: show firewall zone show interfaces	Команды конфигурационного режима: set firewall zone delete firewall zone show firewall zone show interfaces
1.5 Назначения на направления трафика между зонами сети	Команды конфигурационного режима: show firewall zone show firewall group show firewall ipv4 show firewall ipv6 show firewall bridge show interfaces	Команды конфигурационного режима: show firewall group show interfaces show firewall zone show firewall ipv4 show firewall ipv6 show firewall bridge set firewall zone set firewall ipv4 set firewall ipv6 set firewall bridge delete firewall zone delete firewall ipv4 delete firewall ipv6 delete firewall bridge
1.6 Логи межсетевого экрана	Команды эксплуатационного режима: show logging firewall или show logging all	-
1.7 NAT	Команды конфигурационного режима: show nat show firewall group show interfaces	Команды конфигурационного режима: set nat delete nat show nat show firewall group show interfaces
2. Контроль приложений	Команды конфигурационного режима: show app-control Команды эксплуатационного режима: show app-control	Команды конфигурационного режима: set app-control delete app-control show app-control Команды эксплуатационного режима: show app-control
3. Интерфейсы
3.1 Настройки интерфейсов	Команды конфигурационного режима: show interfaces Команды эксплуатационного режима: show interfaces	Команды конфигурационного режима: set interfaces delete interfaces show interfaces Команды эксплуатационного режима: show interfaces
3.2 Балансировка нагрузки на WAN-интерфейсах	Команды конфигурационного режима: show load-balancing wan show interfaces Команды эксплуатационного режима: show wan-load-balance	Команды конфигурационного режима: show load-balancing wan show interfaces set load-balancing wan delete load-balancing wan Команды эксплуатационного режима: show wan-load-balance
3.3 Обратный прокси	Команды конфигурационного режима: show load-balancing reverse-proxy	Команды конфигурационного режима: show load-balancing reverse-proxy set load-balancing reverse-proxy delete load-balancing reverse-proxy
4. Системные настройки
4.1 Системный DNS	Команды конфигурационного режима: show system domain-search show system name-server show interfaces	Команды конфигурационного режима: show system domain-search show system name-server show interfaces set system domain-search set system name-server delete system domain-search delete system name-server
4.2 Системный Прокси	Команды конфигурационного режима: show system proxy	Команды конфигурационного режима: show system proxy set system proxy delete system proxy
4.3 Логирование	Команды конфигурационного режима: show system logging global show system logging file show system logging host	Команды конфигурационного режима: show system logging global show system logging file show system logging host set system logging global set system logging file set system logging host delete system logging global delete system logging file delete system logging host
4.4 Шлюз по умолчанию	Команды конфигурационного режима: show protocols static route	Команды конфигурационного режима: show protocols static route set protocols static route delete protocols static route
4.5 Управление конфигурацией	Команды конфигурационного режима: show system config-management compare Команды эксплуатационного режима: show configuration show system commit	Команды конфигурационного режима: show system config-management set system config-management delete system config-management load delete commit Команды эксплуатационного режима: show configuration delete commit show system commit
4.6 Мониторинг аппаратной платформы	Команды эксплуатационного режима: show health psu show health all show health json	-
4.7 Мониторинг процессов	Команды эксплуатационного режима: show system processes	-
4.8 Отказоустойчивая маршрутизация	Команды конфигурационного режима: show protocols failover show interfaces	Команды конфигурационного режима: show protocols failover show interfaces set protocols failover delete protocols failover
5. СОВ	Команды конфигурационного режима: show suricata show interfaces Команды эксплуатационного режима: suricata show idps	Команды конфигурационного режима: show suricata show interfaces set suricata delete suricata Команды эксплуатационного режима: suricata show idps
6. Сервисы
6.1 Ретрансляция DHCPv4	Команды конфигурационного режима: show service dhcp-relay show interfaces	Команды конфигурационного режима: show service dhcp-relay show interfaces set service dhcp-relay delete service dhcp-relay
6.2 Ретрансляция DHCPv6	Команды конфигурационного режима: show service dhcpv6-relay show interfaces	Команды конфигурационного режима: show service dhcpv6-relay show interfaces set service dhcpv6-relay delete service dhcpv6-relay
6.3 Веб-прокси	Команды конфигурационного режима: show service webproxy	Команды конфигурационного режима: show service webproxy set service webproxy delete service webproxy
7. DrWEB	Команды конфигурационного режима: show third-party service drweb gss Команды эксплуатационного режима: show third-party drweb gss show logging third-party service drweb	Команды конфигурационного режима: show third-party service drweb gss set third-party service drweb gss delete third-party service drweb gss Команды эксплуатационного режима: show third-party drweb gss show logging third-party service drweb third-party drweb gss update
8. Пользователи	Команды конфигурационного режима: show system login Команды эксплуатационного режима: show users recent show users sessions show system login users	Команды конфигурационного режима: show lock ip show lock users show lock all show system login set system login users delete system login users Команды эксплуатационного режима: clear lock user clear lock ip-address reset sessions show users recent show users sessions
9. Обзорная панель
9.1 Мониторинг аппаратной платформы	Команды эксплуатационного режима: show health	-
9.2 Мониторинг процессов	Команды эксплуатационного режима: show system processes	-
9.3 Трафик экрана	Команды эксплуатационного режима: show interfaces	-
10. Информация о статусе кластера
10.1. Отображение статуса кластера в заголовке страницы источника NGFW	Команды эксплуатационного режима: show vrrp show host name	-
10.2. Отображение статуса кластера в списках источников ARMA MC	Команды конфигурационного режима: show high-availability Команды эксплуатационного режима: show vrrp	-

Примечание

Наличие у пользователя прав на выполнение команд более высокого уровня иерархии автоматически предоставляет доступ к соответствующему разделу веб-интерфейса. Например, если пользователь имеет право на выполнение команды «show firewall», ему предоставляется доступ ко всем подразделам группы «Межсетевой экран», включая, например, «Зоны сети», даже если права на «show firewall zone» не указаны явно.

При отсутствии у пользователя прав на редактирование какого-либо раздела конфигурации кнопка «Сохранить» не будет отображаться в соответствующем разделе веб-интерфейса ARMA Стена.

Просмотр прав доступа

Для просмотра прав доступа текущей учётной записи в веб-интерфейсе необходимо в карточке источника событий NGFW выбрать ссылку «Права доступа» (см. Рисунок – Ссылка на просмотр прав доступа).

Рисунок – Ссылка на просмотр прав доступа

После перехода по указанной ссылке открывается окно «Права доступа <имя_текущей_УЗ>». Окно содержит две основные секции: таблицу разрешений на доступ к разделам веб-интерфейса и список доступных CLI-команд.

Таблица «Разрешения»

Таблица «Разрешения» включает полный перечень всех разделов веб-интерфейса ARMA Стена (см. Рисунок – Просмотр прав доступа).

Для каждого раздела в таблице предусмотрены две колонки:

• «Просмотр» – указывает, имеет ли текущий пользователь право на отображение информации в данном разделе;

• «Редактирование» – отражает наличие прав у текущего пользователя на изменение конфигурации (добавление, редактирование, удаление параметров).

Статус прав визуализируется с помощью графических индикаторов:

– указывает на наличие разрешения;

– указывает на отсутствие соответствующего права.

Рисунок – Просмотр прав доступа

Блок «Список доступных команд командной строки (CLI)»

В дополнение к веб-правам предоставляется информация о CLI-привилегиях пользователя. Данный блок содержит два упорядоченных списка команд:

• Команды эксплуатационного режима;

• Команды конфигурационного режима.

Перечень отражает только те команды, которые включены в класс привилегий текущей учётной записи (см. Рисунок – Список доступных команд командной строки (CLI)).

Рисунок – Список доступных команд командной строки (CLI)

Пример назначения прав доступа для учётной записи

Рассмотрим сценарий настройки класса привилегий для УЗ с именем «test», предназначенной исключительно для просмотра конфигурационных данных межсетевого экрана в веб-интерфейсе. УЗ наделяется правами только на чтение; редактирование конфигурации во всех разделах системы запрещено. Доступ к подразделу «NAT» в составе раздела «Межсетевой экран» не предоставляется.

УЗ «test» ассоциирована с пользовательским классом привилегий, которому разрешено выполнение следующих CLI-команд:

• Команды конфигурационного режима:

  • «show firewall global-options»;

  • «show firewall zone»;

  • «show firewall group»;

  • «show firewall ipv4»;

  • «show firewall ipv6»;

  • «show firewall bridge»;

  • «show interfaces».

• Команды эксплуатационного режима:

  • «show version»;

  • «show license»;

  • «show logging firewall».

В результате пользователь «test» имеет возможность:

• просматривать текущую конфигурацию МЭ, включая глобальные параметры, зоны безопасности, группы объектов, правила фильтрации;

• получать информацию о версии системы, лицензировании и состоянии журналов событий МЭ.

Доступ к разделу «NAT» и ко всем остальным разделам веб-интерфейса блокируется на уровне прав доступа.

Для проверки корректности назначенных прав необходимо выполнить следующие действия:

1. В карточке источника событий NGFW указать учётные данные пользователя «test» в поле авторизации и сохранить изменения.

2. Повторно открыть данную карточку и перейти по ссылке «Права доступа».

3. В открывшемся окне убедиться, что список доступных разделов веб-интерфейса и разрешённых CLI-команд соответствует заданной политике (см. Рисунок – Права доступа для УЗ «test»).

Рисунок – Права доступа для УЗ «test»

В блоке отображения доступных модулей веб-интерфейса карточки источника должен присутствовать только модуль «Межсетевой экран» (см. Рисунок – Доступные модули для УЗ «test»).

Рисунок – Доступные модули для УЗ «test»

Управление пользователями

В системе ARMA Стена реализовано централизованное администрирование пользовательских учётных записей. Функциональность включает контроль доступа, управление состоянием учётных записей, а также оперативное принудительное завершение активных сессий.

Поддерживаются следующие типы сессий:

• SSH-сессии;

• терминальные сессии.

Администратор имеет возможность:

• просматривать список активных сессий;

• блокировать и разблокировать учётные записи;

• инициировать принудительное завершение одной или нескольких сессий.

Просмотр списка активных сессий

Для управления пользовательскими УЗ необходимо выполнить следующие действия:

1. В списке источников открыть карточку необходимого источника «NGFW».

2. В карточке источника выбрать модуль «Пользователи» и перейти в раздел «Управление пользователями» (см. Рисунок – Управление пользователями).

Рисунок – Управление пользователями

Раздел меню позволяет просматривать сессии пользователей в формате таблицы, состоящей из следующих столбцов:

• «Пользователь» – логин УЗ.

• «Полное имя» – полное имя пользовательской УЗ.

• «Статус» – текущее состояние УЗ:

  • Активен;

  • Заблокирован;

  • Временно заблокирован (по причине превышения допустимого количества неудачных попыток авторизации).

  Данные обновляются раз в 30 секунд.

• «Время блокировки» – отображает дату и время временного промежутка на который заблокирована УЗ пользователя.

• «Терминал» – отображает количество активных сессий пользователя.

• «Класс» – наименование класса, к которому относится УЗ.

Для пользователей, имеющих активные сессии, в соответствующей строке таблицы отображается кнопка , раскрывающая детализированный список активных сессий.

Примечание

Сессии, для которых значение поля «Терминал» не указано, являются фоновыми. Как правило, такие сессии создаются системными процессами и не связаны с интерактивным входом пользователя в систему.

Блокировка и разблокировка учётной записи

В системе ARMA Стена реализована функция управления доступом пользователей, включающая возможность блокировки и разблокировки учётных записей с гибкими параметрами по времени и сессиям.

Примечание

Блокировка встроенной учётной записи «admin» запрещена на уровне системы. Допускается исключительно принудительное завершение активных сессий данной учётной записи.

Блокировка учётной записи

Блокировка одной или нескольких пользовательских УЗ может быть выполнена двумя способами.

Способ 1: Групповая блокировка через контекстное меню:

1. В таблице раздела «Управление пользователями» выбрать требуемую УЗ, установив флажок в левом столбце напротив логина. Поддерживается множественный выбор для одновременной обработки нескольких УЗ.

2. Нажать кнопку «Заблокировать». Откроется диалоговое окно «Блокировка пользователей», в котором доступны следующие режимы:

• «Заблокировать» – немедленное применение постоянной блокировки УЗ.

• «Заблокировать на время» – возможность задать временные параметры блокировки:

  • Активация блокировки в заданное время – позволяет назначить дату и время начала блокировки без указания её окончания. Для этого следует выбрать тип «Заблокировать на время», в поле «С» указать требуемую дату и время начала действия блокировки, а поле «По» оставить пустым. УЗ будет заблокирована автоматически в указанное время.

  • Блокировка в указанный период – задание интервала действия блокировки. Необходимо заполнить оба поля: «С» (дата и время начала) и «По» (дата и время окончания). Блокировка будет активна только в пределах указанного периода.

3. При необходимости принудительного завершения активных сессий пользователя следует установить флажок в поле «Разорвать сессии». Это приведёт к немедленному завершению всех текущих сессий выбранного пользователя в момент активации блокировки.

4. Подтвердить операцию, нажав кнопку «Заблокировать» (см. Рисунок – Блокировка учётной записи).

Рисунок – Блокировка учётной записи

5. Для применения и сохранения настроек нажать кнопку «Сохранить», расположенную в правом верхнем углу заголовка раздела «Пользователи» (см. Рисунок – Применение и сохранение настроек блокировки).

Рисунок – Применение и сохранение настроек блокировки

Способ 2: Индивидуальная блокировка через боковую панель:

1. В таблице «Управление пользователями» щёлкнуть по строке нужной УЗ.

2. В открывшемся боковом окне «Пользователь <имя_УЗ>» перевести переключатель «Заблокировать» в положение «Включено».

3. Выбрать тип блокировки (постоянная или временная) и при необходимости активировать опцию «Разорвать сессии».

4. Нажать кнопку «Изменить».

5. Применить изменения, нажав кнопку «Сохранить» в правом верхнем углу раздела (см. Рисунок – Разблокировка учётной записи).

Рисунок – Разблокировка учётной записи

Если при выполнении блокировки УЗ не был выбран параметр «Разорвать сессии», и пользователь к моменту активации блокировки уже авторизован в системе, то его активные сессии не прерываются автоматически. Пользователь сохраняет возможность продолжать работу в рамках существующих сессий до их естественного завершения – в результате ручного выхода, истечения времени бездействия или принудительного завершения администратором. Для обеспечения немедленного прекращения доступа рекомендуется совмещать блокировку УЗ с опцией принудительного разрыва активных сессий.

Примечание

При блокировке УЗ доступ к веб-интерфейсу прекращается немедленно, независимо от того, был ли установлен флаг «Разорвать сессии».

Если на момент блокировки пользователь находился в веб-интерфейсе, текущая страница остаётся открытой, однако возможность вносить изменения в конфигурацию становится недоступной. Любая попытка сохранить изменения приведёт к выводу системной ошибки, после которой отображается сообщение о недостаточности прав.

Источник «NGFW» в ARMA MC, в настройках которого используются учётные данные заблокированной УЗ, автоматически переходит в статус «Ошибка».

Разблокировка учётной записи

Для снятия блокировки с одной или нескольких пользовательских УЗ предусмотрены два способа.

Способ 1: Групповая разблокировка через контекстное меню:

1. В таблице раздела «Управление пользователями» выбрать одну или несколько заблокированных УЗ, установив соответствующие флажки.

2. Нажать кнопку «Разблокировать».

3. В открывшемся диалоговом окне подтвердить операцию, нажав кнопку «Разблокировать» (см. Рисунок – Разблокировка учётных записей).

4. Для применения и сохранения настроек нажать кнопку «Сохранить», расположенную в правом верхнем углу заголовка раздела «Пользователи».

Рисунок – Разблокировка учётных записей

Способ 2: Индивидуальная разблокировка через боковую панель:

1. В таблице «Управление пользователями» щёлкнуть по строке нужной УЗ.

2. В открывшемся боковом окне «Пользователь <имя_УЗ>» перевести переключатель «Заблокировать» в положение «Выключено».

3. Нажать кнопку «Изменить».

4. Применить изменения, нажав кнопку «Сохранить» в правом верхнем углу раздела (см. Рисунок – Разблокировка учётной записи).

Рисунок – Разблокировка учётной записи

После успешного выполнения операции статус УЗ изменяется на «Активен», и пользователь получает возможность авторизоваться в системе в соответствии с установленными политиками доступа.

Примечание

Для повторной авторизации в веб-интерфейсе после разблокировки УЗ необходимо перезагрузить страницу веб-интерфейса.

Принудительное завершение сессий

Система ARMA Стена предоставляет функциональность принудительного завершения активных сессий, реализованную по двум критериям: по идентификатору отдельной сессии или по имени пользователя (УЗ).

Завершение сессии по идентификатору

Одна УЗ может иметь несколько активных сессий одновременно. Для завершения конкретной сессии необходимо выполнить следующие действия:

1. В таблице «Управление пользователями» раскрыть список активных сессий требуемой УЗ с помощью кнопки в соответствующей строке.

2. Выбрать нужную сессию, установив флажок рядом с её идентификатором.

3. Нажать кнопку «Разорвать сессии».

4. В появившемся диалоговом окне подтвердить действие, нажав кнопку «Разорвать» (см. Рисунок – Завершение сессии по идентификатору).

Рисунок – Завершение сессии по идентификатору

После подтверждения выбранная сессия будет немедленно завершена. Пользователь теряет доступ в рамках данного сеанса.

Завершение всех сессий пользователя

Для завершения всех активных сессий выбранного пользователя необходимо выполнить следующие действия:

1. В таблице «Управление пользователями» выбрать УЗ, установив флажок слева от соответствующего значения в столбце «Пользователь». Поддерживается выбор нескольких пользователей для массового завершения сессий.

2. Нажать кнопку «Разорвать сессии».

3. В открывшемся диалоговом окне подтвердить операцию, нажав кнопку «Разорвать» (см. Рисунок – Завершение всех сессий пользователя).

Рисунок – Завершение всех сессий пользователя

Все активные сессии выбранных пользователей будут немедленно завершены. Фоновые сессии (например, системные) также подлежат завершению.

Примечание

Сессии пользователей веб-интерфейса не отображаются в таблице «Управление пользователями» и не подлежат принудительному завершению через данный интерфейс. Для разрыва таких сессий требуется выполнить блокировку соответствующей УЗ. Данная операция недоступна для встроенной УЗ «admin».