Управление доступом

1. Организация

Организация — это иерархический список каталогов (папок/проектов). Используется для разграничения проектных и линейных активностей.

В Организации пользователь может создавать папки и проекты.

Папка — логическое объединение папок и проектов (например, папка «Департамент розничного бизнеса»). Папка обладает свойством бюджетных лимитов: на эту сущность можно заложить сумму, за пределы которой владельцы пространства не могут выйти.

Проект — это сущность, которая содержит в себе инфраструктурные объекты: виртуальные машины, платформенные сервисы и так далее. Заказать услуги можно только на уровне проекта.

Создание папок в структуре Организации нужно для разграничения прав доступа пользователей к проектам. Рекомендуется создавать папки разного уровня вложенности в соответствии с активностями организационных подразделений или групп пользователей из разных подразделений, работающих в рамках одного проекта.

Структура Организации имеет следующие ограничения:

Уровней вложенных папок — не более 8
Папок на одном уровне — не более 50
Проектов на одном уровне — не более 15

Чтобы выбрать организацию, папку или проект:

Перейдите в раздел организационной структуры, кликнув значок вверху портала DC Manager.
Выберите имя нужной организации из выпадающего списка.
В появившейся иерархической структуре организации кликните имя папки или проекта.

Появится уведомление о том, что выбран контекст. Выбранный объект отобразится вверху экрана.

1.1. Настройка организационной структуры

Создание и настройка организационной структуры доступны только пользователю с соответствующими правами.

1.1.1. Создание папки/проекта

Перейдите в раздел Управление доступом Организация.
Напротив организации или папки нажмите ⋮.
Нажмите Создать папку или Создать проект.
Введите параметры:
- Для новой папки:
  1. Введите Название.
  2. При необходимости включите опцию Создать собственный счет.
  3. Выберите одну или более Информационные системы из списка.
  4. Нажмите Создать.
- Для нового проекта:
  1. Введите Название.
  2. Из списка выберите Информационную систему.
  3. При создании проекта из списка выберите Среду.
  4. Нажмите Создать.

Созданная папка/проект отобразится в разделе Организация.

1.1.2. Редактирование папки/проекта

При необходимости пользователь может внести изменения в наименование папки или проекта. Для этого необходимо выполнить следующие действия:

Перейдите в раздел Управление доступом Организация.
Напротив организации или папки нажмите ⋮.
Нажмите на Переименовать.
В открывшейся форме внесите изменения в поле Наименование и примените изменения.

1.1.3. Удаление папки/проекта

Пользователь с соответствующими правами может удалить папку или проект.

Перед удалением папки с дочерними элементами (папки/проекты), нужно предварительно удалить эти дочерние элементы.

Для удаления папки/проекта:

Перейдите в раздел Управление доступом Организация.
Нажмите ⋮ напротив выбранной папки/проекта.
В списке выберите пункт Удалить.
Подтвердите операцию удаления, нажав OK.

Вместе с папкой безвозвратно удалится всё содержимое. Средства перераспределяются в родительскую папку.

2. Сервисные аккаунты

Для управления пользователями на портале DC Manager применяется ролевая политика по модели RBAC(Role Based Access Control). Пользователь может выполнять те или иные действия в зависимости от присвоенной ему роли.

В этом разделе можно создать, изменить, удалить сервисные аккаунты с определенными ролями, а также просмотреть список созданных сервисных аккаунтов.

2.1. Создать сервисный аккаунт

Для создания нового сервисного аккаунта:

Перейдите в раздел Управление доступом Сервисные аккаунты.
Нажмите кнопку + (Добавить).
В появившемся окне заполните параметры:
- Название
- Роли в каталоге — выберите одну или несколько ролей.
Нажмите Создать.

После успешного выполнения действия отображается уведомление о создании сервисного аккаунта, содержащее его идентификатор и API-ключ.

Идентификатор сервисного аккаунта и API-ключ необходимо скопировать, после закрытия окна уведомления данные будут недоступны.

2.1.1. Изменить сервисный аккаунт

Для изменения параметров сервисного аккаунта:

Перейдите в раздел Управление доступом Сервисные аккаунты.
Напротив сервисного аккаунта нажмите ✎ для перехода в режим редактирования.
Измените параметры:
- Название — введите новое название.
- Роли в каталоге — можно удалить существующие или добавить новые из списка.
Нажмите Сохранить.

2.1.2. Удалить сервисный аккаунт

Для удаления сервисного аккаунта:

Перейдите в раздел Управление доступом Сервисные аккаунты.
Напротив сервисного аккаунта нажмите ⋮ и выберите Удалить аккаунт.
Нажмите Да,удалить

3. Учетные записи

В разделе Учетные записи можно просмотреть существующих пользователей портала DC Manager и добавить новых.

Можно фильтровать список пользователей при работе с фильтром, заполнив поля Поиск и/или Роли.

Также в выпадающем списке Показать пользователей можно выбрать:

Текущего уровня — отобразятся записи, входящие в текущий проект
Текущего уровня и ниже — отобразятся записи, входящие в текущую папку и её дочерние папки и проекты
Текущего уровня и выше — отобразятся записи, входящие в текущую папку/проект и родительские папки и организацию

3.1. Добавить пользователя к организации/папке/проекту

В разделе Учетные записи можно добавить пользователя к нужному контексту. Для этого:

Перейдите в раздел Управление доступом Учетные записи.
Нажмите кнопку +Добавить.
В появившемся окне:
1. Выберите одного или нескольких пользователей в поле Пользователь. Для поиска пользователя начните набирать его имя.
2. В поле Роли из выпадающего меню выберите роли, которые хотите назначить пользователю для этой организации/папки/проекта.
Нажмите Создать.

На странице Учетные записи отобразится новая запись.

Роли в каталоге создаются пользователями с правами администратора согласно ролевой модели организации.

3.1.1. Редактировать права пользователя

Права пользователя в контексте можно изменить. Для их редактирования:

Активируйте необходимый контекст соответствующей организации.
Перейдите на экран Управление доступом Учетные записи.
Напротив нужного пользователя в списке нажмите ⋮ и выберите Редактировать.
В появившемся окне добавьте и/или удалите необходимые роли.
Нажмите Применить.

3.1.2. Отозвать права пользователя

Активируйте необходимый контекст соответствующей организации.
Перейдите в раздел Управление доступом Учетные записи.
В строке с нужным пользователем нажмите ⋮ и выберите Отозвать права.

После выполнения операции пользователь будет уделён из списка пользователей организационной единицы.

4. Роли

Раздел Роли позволяет просматривать роли и соответствующий им набор разрешений, а так же создавать новые роли в рамках организации

С помощью ролей можно гибко регулировать доступы пользователей к ресурсам портала DC Manager, что обеспечивает защиту корпоративных данных.

В этом разделе можно увидеть как роли, созданные системой (тип — service или basic), так и созданные пользователями (тип — custom).

Просмотр и создание ролей в проекте доступно только пользователям с соответствующими правами.

4.1. Создать новую роль

Для создания новой роли:

Активируйте необходимый контекст соответствующей организации.
Перейдите в раздел Управление доступом Роли.
В правом верхнем углу нажмите кнопку + (Создать).
1. В окне Создание роли заполните следующие параметры:
  - Название — введите название роли. Это название может быть любым, но в нем должны использоваться только латинские буквы и цифры.
  - Код роли — введите код роли. В качестве кода для сервисных ролей используется ключевое слово service, для базовых ролей используется ключевое слово basic, все остальные роли в системе будут обозначены ключевым словом custom.
  - Описание — опишите, для чего эта роль применяется.
  - Выберите права из списка — выберите одно или несколько разрешений для этой роли.
    
    Выбранные разрешения для роли переместятся из левой колонки в правую колонку (Добавленные права).
2. Нажмите Создать роль.

Новая роль появится в общем списке. Ее можно будет отредактировать, удалить или создать на ее основе другие роли.

4.2. Удалить роль

Удалить можно только те роли, которые создали сами пользователи (тип — custom). Роли с типом service или basic удалить нельзя.

Для удаления роли:

Перейдите в раздел Управление доступом Роли.
Напротив роли нажмите ⋮ и выберите Удалить.

5. SSH-ключи

В этом разделе можно просмотреть уже существующие SSH-ключи и добавить новые.

SSH-ключи используются для идентификации клиента при подключении к серверу по зашифрованному сетевому протоколу SSH. Они представляют собой пару: публичный ключ — размещается на виртуальной машине, приватный ключ — сохраняется локально.

Публичный ключ можно предоставить любому пользователю, но только у вас должен быть доступ к вашему приватному ключу.

5.1. Добавить SSH-ключ

Для добавления SSH-ключа:

Перейдите в раздел SSH-ключи.
В правом верхнем углу нажмите кнопку + Добавить.
Выберите тип ключа.
В поле Название введите название добавляемого ключа.
В поле Логин введите имя пользователя, для которого добавляется ключ.
Сгенерируйте пару ключей на клиентской машине:
- Linux/MacOS
  1. Откройте терминал и выполните команду:
    
    $ ssh-keygen -t rsa
    
    Если команда ssh-keygen не найдена, установите пакет openssh.
  2. Укажите путь до файла, в который нужно сохранить ssh-ключ или оставьте по умолчанию:
    
    Enter file in which to save the key (/home/user/.ssh/id_rsa):
  3. Нажмите Enter.
  4. Введите кодовую фразу (если фраза введена, она будет запрашиваться при обращении на сервер) или оставьте строку без нее и нажмите Enter.
    
    Enter passphrase (empty for no passphrase):
    
    В папке .ssh (по умолчанию) будут созданы два файла: id_rsa (приватный ключ) и id_rsa.pub (публичный ключ). В терминале отобразится отпечаток сгенерированного ключа:
    
    Your identification has been saved in /home/user/.ssh/id_rsa. Your public key has been saved in /home/user/.ssh/id_rsa.pub. The key fingerprint is: 476:b2:a8:7f:08:b4:c0:af:81:25:7e:21:48:01:0e:98 user@localhost The key's randomart image is: +--[ RSA 2048]----+ |+.o. | |ooE | |oo | |o.+.. | |.+.+.. S . | |....+ o + | | .o .... | | . .. . | | .... | +-----------------+
  5. В терминале выполните следующую команду:
    
    $ cat ~/.ssh/id_rsa.pub В консоли отобразится сгенерированный SSH-ключ.
  6. Скопируйте значение ключа и вставьте в поле ключа в окне Добавить SSH-ключ на портале.
- Windows
  1. Загрузите клиент Putty с официального сайта.
  2. Распакуйте загруженный архив и запустите файл puttygen.exe.
  3. Выберите тип ключа SSH-2 RSA и длину 2048 бит.
  4. Нажмите кнопку Generate. Во время генерации водите курсором в пустой области окна (это нужно для создания псевдослучайности).
  5. Сохраните сгенерированную пару ключей с помощью кнопок Save public key и Save private key.
  6. Скопируйте сгенерированный публичный ключ (расширение pub) и вставьте его в поле ключа в окне Добавить SSH-ключ на портале.
В окне Добавить SSH-ключ на портале нажмите Добавить. Этот ключ сохранится в списке всех ssh-ключей на портале.
После добавления ключа выполните в терминале команду:
```
 $ ssh root@[IP-адрес сервера]
```
После выполнения всех действий будет установлено соединение с сервером. Вводить пароль при этом не потребуется.