Gruppen konfigurieren
In NetScaler ADM kann eine Gruppe sowohl funktionsbezogenen als auch ressourcenbezogenen Zugriff haben. Zum Beispiel könnte eine Benutzergruppe nur auf ausgewählte NetScaler-Instanzen zugreifen; eine andere Gruppe nur auf einige wenige ausgewählte Anwendungen und so weiter.
Wenn Sie eine Gruppe erstellen, können Sie der Gruppe Rollen zuweisen, der Gruppe Zugriff auf Anwendungsebene gewähren und Benutzer der Gruppe zuweisen. Alle Benutzer in dieser Gruppe erhalten dieselben Zugriffsrechte in NetScaler® ADM.
Sie können den Benutzerzugriff in NetScaler ADM auf individueller Ebene von Netzwerkfunktionsentitäten verwalten. Sie können dem Benutzer oder der Gruppe dynamisch spezifische Berechtigungen auf Entitätsebene zuweisen.
NetScaler ADM behandelt virtuelle Server, Dienste, Dienstgruppen und Server als Netzwerkfunktionsentitäten.
-
Virtueller Server (Anwendungen) – Lastenausgleich (LB), GSLB, Kontextwechsel (CS), Cache-Umleitung (CR), Authentifizierung (
Auth) und NetScaler Gateway (VPN) - Dienste – Lastenausgleichs- und GSLB-Dienste
- Dienstgruppe – Lastenausgleichs- und GSLB-Dienstgruppen
- Server – Lastenausgleichs-Server
Eine Benutzergruppe erstellen
-
Navigieren Sie in NetScaler ADM zu Einstellungen > Benutzer & Rollen > Gruppen.
-
Klicken Sie auf Hinzufügen.
Die Seite Systemgruppe erstellen wird angezeigt.
-
Geben Sie im Feld Gruppenname den Namen der Gruppe ein.
-
Geben Sie im Feld Gruppenbeschreibung eine Beschreibung Ihrer Gruppe ein. Eine gute Beschreibung der Gruppe hilft Ihnen, die Rolle und Funktion der Gruppe zu einem späteren Zeitpunkt besser zu verstehen.
-
Fügen Sie im Abschnitt Rollen eine oder mehrere Rollen zur Liste Konfiguriert hinzu oder verschieben Sie diese.
Hinweis:
Unter der Liste Verfügbar können Sie auf Neu oder Bearbeiten klicken, um Rollen zu erstellen oder zu ändern. Alternativ können Sie zu Einstellungen > Benutzer & Rollen > Benutzer navigieren, um Benutzer zu erstellen oder zu ändern.
-
Klicken Sie auf Weiter. Auf der Registerkarte Autorisierungseinstellungen können Sie Autorisierungseinstellungen für die folgenden Ressourcen bereitstellen:
- Autoscale™-Gruppen
- Instanzen
- Anwendungen
- Konfigurationsvorlagen
- StyleBooks
- Configpacks
- Domänennamen
Möglicherweise möchten Sie bestimmte Ressourcen aus den Kategorien auswählen, auf die Benutzer Zugriff haben sollen.
Autoscale-Gruppen:
Wenn Sie die spezifischen Autoscale-Gruppen auswählen möchten, die ein Benutzer anzeigen oder verwalten kann, führen Sie die folgenden Schritte aus:
-
Deaktivieren Sie das Kontrollkästchen Alle Autoscale-Gruppen und klicken Sie auf Autoscale-Gruppen hinzufügen.
-
Wählen Sie die gewünschten Autoscale-Gruppen aus der Liste aus und klicken Sie auf OK.
Instanzen:
Wenn Sie die spezifischen Instanzen auswählen möchten, die ein Benutzer anzeigen oder verwalten kann, führen Sie die folgenden Schritte aus:
-
Deaktivieren Sie das Kontrollkästchen Alle Instanzen und klicken Sie auf Instanzen auswählen.
-
Wählen Sie die gewünschten Instanzen aus der Liste aus und klicken Sie auf OK.
Anwendungen:
Die Liste Anwendungen auswählen ermöglicht es Ihnen, einem Benutzer Zugriff auf die erforderlichen Anwendungen zu gewähren.
Sie können Zugriff auf Anwendungen gewähren, ohne deren Instanzen auszuwählen. Denn Anwendungen sind unabhängig von ihren Instanzen, um Benutzerzugriff zu gewähren.
Wenn Sie einem Benutzer Zugriff auf eine Anwendung gewähren, ist der Benutzer nur für den Zugriff auf diese Anwendung autorisiert, unabhängig von der Instanzauswahl.
Diese Liste bietet Ihnen die folgenden Optionen:
-
Alle Anwendungen: Diese Option ist standardmäßig ausgewählt. Sie fügt alle Anwendungen hinzu, die in NetScaler ADM vorhanden sind.
-
Alle Anwendungen ausgewählter Instanzen: Diese Option wird nur angezeigt, wenn Sie Instanzen aus der Kategorie Alle Instanzen auswählen. Sie fügt alle Anwendungen hinzu, die auf der ausgewählten Instanz vorhanden sind.
-
Spezifische Anwendungen: Diese Option ermöglicht es Ihnen, die erforderlichen Anwendungen hinzuzufügen, auf die Benutzer zugreifen sollen. Klicken Sie auf Anwendungen hinzufügen und wählen Sie die gewünschten Anwendungen aus der Liste aus.
-
Individuellen Entitätstyp auswählen: Diese Option ermöglicht es Ihnen, einen spezifischen Typ von Netzwerkfunktionsentität und die entsprechenden Entitäten auszuwählen.
Sie können entweder einzelne Entitäten hinzufügen oder alle Entitäten unter dem erforderlichen Entitätstyp auswählen, um einem Benutzer Zugriff zu gewähren.
Die Option Auch auf gebundene Entitäten anwenden autorisiert die Entitäten, die an den ausgewählten Entitätstyp gebunden sind. Wenn Sie beispielsweise eine Anwendung auswählen und Auch auf gebundene Entitäten anwenden auswählen, autorisiert NetScaler ADM alle Entitäten, die an die ausgewählte Anwendung gebunden sind.
Hinweis:
Stellen Sie sicher, dass Sie nur einen Entitätstyp ausgewählt haben, wenn Sie gebundene Entitäten autorisieren möchten.
Sie können reguläre Ausdrücke verwenden, um Netzwerkfunktionsentitäten zu suchen und hinzuzufügen, die die Regex-Kriterien für die Gruppen erfüllen. Der angegebene Regex-Ausdruck wird in NetScaler ADM persistent gespeichert. Um reguläre Ausdrücke hinzuzufügen, führen Sie die folgenden Schritte aus:
-
Klicken Sie auf Regulären Ausdruck hinzufügen.
-
Geben Sie den regulären Ausdruck in das Textfeld ein.
Die folgende Abbildung erklärt, wie Sie reguläre Ausdrücke verwenden, um eine Anwendung hinzuzufügen, wenn Sie die Option Spezifische Anwendungen auswählen:
Die folgende Abbildung erklärt, wie Sie reguläre Ausdrücke verwenden, um Netzwerkfunktionsentitäten hinzuzufügen, wenn Sie die Option Individuellen Entitätstyp auswählen wählen:
Wenn Sie weitere reguläre Ausdrücke hinzufügen möchten, klicken Sie auf das +-Symbol.
Hinweis:
Der reguläre Ausdruck stimmt nur mit dem Servernamen für den Entitätstyp Server überein und nicht mit der Server-IP-Adresse.
Wenn Sie die Option Auch auf gebundene Entitäten anwenden für eine erkannte Entität auswählen, kann ein Benutzer automatisch auf die Entitäten zugreifen, die an die erkannte Entität gebunden sind.
Der reguläre Ausdruck wird im System gespeichert, um den Autorisierungsbereich zu aktualisieren. Wenn die neuen Entitäten dem regulären Ausdruck ihres Entitätstyps entsprechen, aktualisiert NetScaler ADM den Autorisierungsbereich auf die neuen Entitäten.
Konfigurationsvorlagen:
Wenn Sie die spezifische Konfigurationsvorlage auswählen möchten, die ein Benutzer anzeigen oder verwalten kann, führen Sie die folgenden Schritte aus:
-
Deaktivieren Sie das Kontrollkästchen Alle Konfigurationsvorlagen und klicken Sie auf Konfigurationsvorlage hinzufügen.
-
Wählen Sie die gewünschte Vorlage aus der Liste aus und klicken Sie auf OK.
StyleBooks:
Wenn Sie das spezifische StyleBook auswählen möchten, das ein Benutzer anzeigen oder verwalten kann, führen Sie die folgenden Schritte aus:
-
Deaktivieren Sie das Kontrollkästchen Alle StyleBooks und klicken Sie auf StyleBook zur Gruppe hinzufügen. Sie können entweder einzelne StyleBooks auswählen oder eine Filterabfrage angeben, um StyleBooks zu autorisieren.
Wenn Sie die einzelnen StyleBooks auswählen möchten, wählen Sie die StyleBooks aus dem Bereich Individuelle StyleBooks aus und klicken Sie auf Auswahl speichern.
Wenn Sie eine Abfrage zum Suchen von StyleBooks verwenden möchten, wählen Sie den Bereich Benutzerdefinierte Filter aus. Eine Abfrage ist eine Zeichenfolge von Schlüssel-Wert-Paaren, wobei die Schlüssel
name,namespaceundversionsind.Sie können auch reguläre Ausdrücke als Werte verwenden, um StyleBooks zu suchen und hinzuzufügen, die die Regex-Kriterien für die Gruppen erfüllen. Eine benutzerdefinierte Filterabfrage zum Suchen von StyleBooks unterstützt sowohl die
And- als auch dieOr-Operation.Beispiel:
name=lb-mon|lb AND namespace=com.citrix.adc.stylebooks AND version=1.0 <!--NeedCopy-->Diese Abfrage listet die StyleBooks auf, die die folgenden Bedingungen erfüllen:
- Der StyleBook-Name ist entweder
lb-monoderlb. - Der StyleBook-Namespace ist
com.citrix.adc.stylebooks. - Die StyleBook-Version ist
1.0.
Verwenden Sie eine
Or-Operation zwischen Wertausdrücken, die für den Schlüsselausdruck definiert sind.Beispiel:
- Die Abfrage
name=lb-mon|lbist gültig. Sie gibt die StyleBooks zurück, deren Name entwederlb-monoderlbist. - Die Abfrage
name=lb-mon | version=1.0ist ungültig.
Drücken Sie die
Enter-Taste, um die Suchergebnisse anzuzeigen, und klicken Sie auf Abfrage speichern.
Die gespeicherte Abfrage wird in der Benutzerdefinierten Filterabfrage angezeigt. Basierend auf der gespeicherten Abfrage gewährt ADM den Benutzern Zugriff auf diese StyleBooks.
- Der StyleBook-Name ist entweder
-
Wählen Sie die gewünschten StyleBooks aus der Liste aus und klicken Sie auf OK.
Sie können die erforderlichen StyleBooks auswählen, wenn Sie Gruppen erstellen und Benutzer zu dieser Gruppe hinzufügen. Wenn Ihr Benutzer das zulässige StyleBook auswählt, werden auch alle abhängigen StyleBooks ausgewählt.
Configpacks:
Wählen Sie unter Configpacks eine der folgenden Optionen aus:
-
Alle Konfigurationen: Diese Option ist standardmäßig ausgewählt. Sie fügt alle Konfigurationspakete hinzu, die in ADM vorhanden sind.
-
Alle Konfigurationen der ausgewählten StyleBooks: Diese Option fügt alle Konfigurationspakete des ausgewählten StyleBooks hinzu.
-
Spezifische Konfigurationen: Diese Option ermöglicht es Ihnen, die erforderlichen Konfigurationspakete hinzuzufügen.
Sie können die erforderlichen Konfigurationspakete auswählen, wenn Sie Gruppen erstellen und Benutzer zu dieser Gruppe hinzufügen.
Domänennamen:
Wenn Sie den spezifischen Domänennamen auswählen möchten, den ein Benutzer anzeigen oder verwalten kann, führen Sie die folgenden Schritte aus:
-
Deaktivieren Sie das Kontrollkästchen Alle Domänennamen und klicken Sie auf Domänennamen hinzufügen.
-
Wählen Sie die gewünschten Domänennamen aus der Liste aus und klicken Sie auf OK.
-
Klicken Sie auf Gruppe erstellen.
-
Wählen Sie im Abschnitt Benutzer zuweisen den Benutzer in der Liste Verfügbar aus und fügen Sie den Benutzer zur Liste Konfiguriert hinzu.
Hinweis:
Sie können Benutzer auch hinzufügen, indem Sie auf Neu klicken.
-
Klicken Sie auf Fertig stellen.
Benutzerzugriff über mehrere Netzwerkfunktionsentitäten hinweg verwalten
Als Administrator können Sie den Benutzerzugriff auf individueller Ebene von Netzwerkfunktionsentitäten in NetScaler ADM verwalten. Und Sie können dem Benutzer oder einer Gruppe dynamisch spezifische Berechtigungen auf Entitätsebene mithilfe des Filters für reguläre Ausdrücke zuweisen.
Dieses Dokument beschreibt, wie die Benutzerautorisierung auf Entitätsebene definiert wird.
Bevor Sie beginnen, erstellen Sie eine Gruppe. Weitere Informationen finden Sie unter Gruppen in NetScaler ADM konfigurieren.
Anwendungsszenario:
Betrachten Sie ein Szenario, in dem eine oder mehrere Anwendungen (virtuelle Server) auf demselben Server gehostet werden. Ein Superadministrator (George) möchte Steve (einem Anwendungsadministrator) nur Zugriff auf App1 gewähren und nicht auf den Hostingserver.
Die folgende Tabelle veranschaulicht diese Umgebung, in der Server-A die Anwendungen App-1 und App-2 hostet.
| Host-Server | Anwendung (virtueller Server) | Dienst | Dienstgruppe |
|---|---|---|---|
| Server A | App1 | App-Dienst-1 | App-Dienstgruppe-1 |
| Server A | App2 | App-Dienst-2 | App-Dienstgruppe-2 |
Hinweis
NetScaler ADM behandelt virtuelle Server, Dienste, Dienstgruppen und Server als Netzwerkfunktionsentitäten. Der Entitätstyp virtueller Server wird als Anwendung bezeichnet.
Um Benutzerberechtigungen für Netzwerkfunktionsentitäten zuzuweisen, definiert George die Benutzerautorisierung wie folgt:
-
Navigieren Sie zu Konto > Benutzerverwaltung > Gruppen und fügen Sie eine Gruppe hinzu.
-
Wählen Sie auf der Registerkarte Autorisierungseinstellungen die Option Anwendungen auswählen.
-
Wählen Sie Individuellen Entitätstyp auswählen.
-
Wählen Sie den Entitätstyp Alle Anwendungen aus und fügen Sie die Entität App-1 aus der verfügbaren Liste hinzu.
-
Klicken Sie auf Gruppe erstellen.
-
Wählen Sie unter Benutzer zuweisen die Benutzer aus, die die Berechtigung benötigen. Für dieses Szenario wählt George Steves Benutzerprofil aus.
-
Klicken Sie auf Fertig stellen.
Mit dieser Autorisierungseinstellung kann Steve nur App-1 verwalten und keine anderen Netzwerkfunktionsentitäten.
Hinweis:
Stellen Sie sicher, dass die Option Auch auf gebundene Entitäten anwenden deaktiviert ist. Andernfalls gewährt NetScaler ADM Zugriff auf alle Netzwerkfunktionsentitäten, die an App-1 gebunden sind. Dies führt dazu, dass auch Zugriff auf den Hostingserver gewährt wird.
Ein Superadministrator kann die regulären Ausdrücke (Regex) für jeden Entitätstyp angeben. Der reguläre Ausdruck wird im System gespeichert, um den Benutzerautorisierungsbereich zu aktualisieren. Wenn neue Entitäten dem regulären Ausdruck ihres Entitätstyps entsprechen, kann NetScaler ADM Benutzern dynamisch Zugriff auf die spezifischen Netzwerkfunktionsentitäten gewähren.
Um Benutzerberechtigungen dynamisch zu gewähren, kann der Superadministrator reguläre Ausdrücke auf der Registerkarte Autorisierungseinstellungen hinzufügen.
In diesem Szenario fügt George App* als regulären Ausdruck für den Entitätstyp Anwendungen hinzu, und die Anwendungen, die den Regex-Kriterien entsprechen, erscheinen in der Liste. Mit dieser Autorisierungseinstellung kann Steve auf alle Anwendungen zugreifen, die dem App*-Regex entsprechen. Sein Zugriff ist jedoch nur auf die Anwendungen beschränkt, nicht auf den gehosteten Server.
Wie sich der Benutzerzugriff basierend auf dem Autorisierungsbereich ändert
Wenn ein Administrator einen Benutzer zu einer Gruppe hinzufügt, die unterschiedliche Zugriffsrichtlinieneinstellungen hat, wird der Benutzer mehreren Autorisierungsbereichen und Zugriffsrichtlinien zugeordnet.
In diesem Fall gewährt ADM dem Benutzer Zugriff auf Anwendungen, abhängig vom spezifischen Autorisierungsbereich.
Betrachten Sie einen Benutzer, der einer Gruppe zugewiesen ist, die zwei Richtlinien hat: Richtlinie-1 und Richtlinie-2.
-
Richtlinie-1 – Nur-Lese-Berechtigung für Anwendungen.
-
Richtlinie-2 – Lese- und Schreibberechtigung für Anwendungen.
Der Benutzer kann die in Richtlinie-1 angegebenen Anwendungen anzeigen. Außerdem kann dieser Benutzer die in Richtlinie-2 angegebenen Anwendungen anzeigen und bearbeiten. Der Bearbeitungszugriff auf Anwendungen der Gruppe-1 ist eingeschränkt, da er nicht unter den Autorisierungsbereich der Gruppe-1 fällt.
Zuordnung von RBAC beim Upgrade von NetScaler ADM von Version 12.0 auf spätere Versionen
Wenn Sie NetScaler ADM von Version 12.0 auf 13.1 aktualisieren, sehen Sie beim Erstellen von Gruppen nicht die Optionen zum Bereitstellen von “Lese-Schreib”- oder “Lese”-Berechtigungen. Diese Berechtigungen wurden durch “Rollen und Zugriffsrichtlinien” ersetzt, die Ihnen mehr Flexibilität bieten, rollenbasierte Berechtigungen für die Benutzer bereitzustellen. Die folgende Tabelle zeigt, wie die Berechtigungen in Version 12.0 auf Version 13.1 abgebildet werden:
| 12.0 | Nur Anwendungen zulassen | 13.1 |
|---|---|---|
| admin Lese-Schreib | False | admin |
| admin Lese-Schreib | True | appAdmin |
| admin Nur-Lese | False | readonly |
| admin Nur-Lese | True | appReadonly |