Gruppen konfigurieren
In NetScaler Console kann eine Gruppe sowohl funktionsbezogenen als auch ressourcenbezogenen Zugriff haben. Zum Beispiel könnte eine Benutzergruppe nur auf ausgewählte NetScaler-Instanzen zugreifen; eine andere Gruppe nur auf wenige ausgewählte Anwendungen und so weiter.
Wenn Sie eine Gruppe erstellen, können Sie der Gruppe Rollen zuweisen, der Gruppe Zugriff auf Anwendungsebene gewähren und Benutzer der Gruppe zuweisen. Alle Benutzer in dieser Gruppe erhalten dieselben Zugriffsrechte in NetScaler Console.
Sie können den Benutzerzugriff in NetScaler Console auf individueller Ebene von Netzwerkfunktionsentitäten verwalten. Sie können dem Benutzer oder der Gruppe dynamisch spezifische Berechtigungen auf Entitätsebene zuweisen.
NetScaler Console behandelt virtuelle Server, Dienste, Dienstgruppen und Server als Netzwerkfunktionsentitäten.
-
Virtueller Server (Anwendungen) – Lastenausgleich (LB), GSLB, Kontextwechsel (CS), Cache-Umleitung (CR), Authentifizierung (
Auth) und NetScaler Gateway (VPN) - Dienste – Lastenausgleichs- und GSLB-Dienste
- Dienstgruppe – Lastenausgleichs- und GSLB-Dienstgruppen
- Server – Lastenausgleichs-Server
Eine Benutzergruppe erstellen
-
Navigieren Sie in NetScaler Console zu Einstellungen > Benutzer & Rollen > Gruppen.
-
Klicken Sie auf Hinzufügen.
Die Seite Systemgruppe erstellen wird angezeigt.
-
Geben Sie im Feld Gruppenname den Namen der Gruppe ein. Die maximal zulässige Länge beträgt 64 Zeichen.
-
Geben Sie im Feld Gruppenbeschreibung eine Beschreibung Ihrer Gruppe ein. Eine gute Beschreibung der Gruppe hilft Ihnen, die Rolle und Funktion der Gruppe zu einem späteren Zeitpunkt besser zu verstehen.
-
Fügen Sie im Abschnitt Rollen eine oder mehrere Rollen zur Liste Konfiguriert hinzu oder verschieben Sie diese.
Hinweis:
Unter der Liste Verfügbar können Sie auf Neu oder Bearbeiten klicken, um Rollen zu erstellen oder zu ändern. Alternativ können Sie zu Einstellungen > Benutzer & Rollen > Benutzer navigieren und Benutzer erstellen oder ändern.
-
Wählen Sie Benutzersitzungs-Timeout konfigurieren, um den Zeitraum zu konfigurieren, für den ein Benutzer aktiv bleiben soll.
Wenn aktiviert, geben Sie die folgenden Parameter an:
- Sitzungs-Timeout: Geben Sie den Zeitraum ein, wie lange eine Benutzersitzung aktiv bleiben muss. Der Standardwert ist 15.
- Sitzungs-Timeout-Einheit: Wählen Sie die Timeout-Einheit aus der Liste, in Minuten oder Stunden. Der Standardwert ist Minuten.
-
Geben Sie im Feld Benutzersitzungslimit die maximale Anzahl der pro Benutzer zulässigen Sitzungen ein.
Hinweis:
Sie können bis zu 40 Benutzersitzungen konfigurieren. Standardmäßig sind Ihnen 20 Benutzersitzungen zugewiesen. Wenn Sie jedoch zu den Administrator- und schreibgeschützten Benutzergruppen gehören, sind Ihnen standardmäßig 40 Benutzersitzungen zugewiesen, und dieser Wert kann nicht geändert werden.
-
Klicken Sie auf Weiter. Auf der Registerkarte Autorisierungseinstellungen können Sie Autorisierungseinstellungen für die folgenden Ressourcen bereitstellen:
- Autoscale™-Gruppen
- Instanzen
- Anwendungen
- Konfigurationsvorlagen
- StyleBooks
- Konfigurationspakete
- Domainnamen
Möglicherweise möchten Sie spezifische Ressourcen aus den Kategorien auswählen, auf die Benutzer Zugriff haben sollen.
Autoscale-Gruppen:
Wenn Sie die spezifischen Autoscale-Gruppen auswählen möchten, die ein Benutzer anzeigen oder verwalten kann, führen Sie die folgenden Schritte aus:
-
Deaktivieren Sie das Kontrollkästchen Alle Autoscale-Gruppen und klicken Sie auf Autoscale-Gruppen hinzufügen.
-
Wählen Sie die erforderlichen Autoscale-Gruppen aus der Liste aus und klicken Sie auf OK.
Instanzen:
Wenn Sie die spezifischen Instanzen auswählen möchten, die ein Benutzer anzeigen oder verwalten kann, führen Sie die folgenden Schritte aus:
-
Deaktivieren Sie das Kontrollkästchen Alle Instanzen und klicken Sie auf Instanzen auswählen.
-
Wählen Sie die erforderlichen Instanzen aus der Liste aus und klicken Sie auf OK.
Tags:
Um Benutzer zum Anzeigen oder Verwalten spezifischer Instanzen basierend auf zugeordneten Tags zu autorisieren:
-
Deaktivieren Sie das Kontrollkästchen Alle Instanzen und klicken Sie auf Tags auswählen.
-
Wählen Sie die erforderlichen Tags aus der Liste aus und klicken Sie auf OK.
Später, wenn Sie weitere Instanzen mit den ausgewählten Tags verknüpfen, erhalten die autorisierten Benutzer automatisch Zugriff auf die neuen Instanzen.
Weitere Informationen zu Tags und deren Zuordnung zu Instanzen finden Sie unter So erstellen Sie Tags und weisen sie Instanzen zu.
Anwendungen:
Die Liste Anwendungen auswählen ermöglicht es Ihnen, einem Benutzer Zugriff auf die erforderlichen Anwendungen zu gewähren.
Sie können Zugriff auf Anwendungen gewähren, ohne deren Instanzen auszuwählen. Wenn Sie einem Benutzer Zugriff auf eine Anwendung gewähren, ist der Benutzer nur zum Zugriff auf diese Anwendung autorisiert, unabhängig von der Instanzauswahl.
Die folgenden Optionen sind verfügbar:
-
Alle Anwendungen: Diese Option ist standardmäßig ausgewählt. Sie fügt alle Anwendungen hinzu, die in der NetScaler Console vorhanden sind.
-
Alle Anwendungen ausgewählter Instanzen: Diese Option wird nur angezeigt, wenn Sie Instanzen aus der Kategorie Alle Instanzen auswählen. Sie fügt alle Anwendungen hinzu, die auf der ausgewählten Instanz vorhanden sind.
-
Spezifische Anwendungen: Diese Option ermöglicht es Ihnen, die erforderlichen Anwendungen hinzuzufügen, auf die Benutzer zugreifen sollen. Klicken Sie auf Anwendungen hinzufügen und wählen Sie die erforderlichen Anwendungen aus der Liste aus.
-
Individuellen Entitätstyp auswählen: Diese Option ermöglicht es Ihnen, einen spezifischen Typ von Netzwerkfunktionsentität und entsprechende Entitäten auszuwählen.
Sie können entweder einzelne Entitäten hinzufügen oder alle Entitäten unter dem erforderlichen Entitätstyp auswählen, um einem Benutzer Zugriff zu gewähren.
Die Option Auch auf gebundene Entitäten anwenden autorisiert die Entitäten, die an den ausgewählten Entitätstyp gebunden sind. Wenn Sie beispielsweise eine Anwendung auswählen und Auch auf gebundene Entitäten anwenden auswählen, autorisiert NetScaler Console alle Entitäten, die an die ausgewählte Anwendung gebunden sind.
Hinweis:
Um gebundene Entitäten zu autorisieren, wählen Sie nur einen Entitätstyp aus.
Sie können reguläre Ausdrücke verwenden, um die Netzwerkfunktionsentitäten zu suchen und hinzuzufügen, die die Regex-Kriterien für die Gruppen erfüllen. Der angegebene Regex-Ausdruck wird in NetScaler Console beibehalten. Um einen regulären Ausdruck hinzuzufügen, führen Sie die folgenden Schritte aus:
-
Klicken Sie auf Regulären Ausdruck hinzufügen.
-
Geben Sie den regulären Ausdruck in das Textfeld ein.
Die folgende Abbildung erklärt, wie ein regulärer Ausdruck verwendet wird, um eine Anwendung hinzuzufügen, wenn Sie die Option Spezifische Anwendungen auswählen:
Die folgende Abbildung erklärt, wie ein regulärer Ausdruck verwendet wird, um Netzwerkfunktionsentitäten hinzuzufügen, wenn Sie die Option Individuellen Entitätstyp auswählen wählen:
Wenn Sie weitere reguläre Ausdrücke hinzufügen möchten, klicken Sie auf das +-Symbol.
Hinweis:
Der reguläre Ausdruck stimmt nur mit dem Servernamen für den Entitätstyp Server überein und nicht mit der Server-IP-Adresse.
Wenn Sie die Option Auch auf gebundene Entitäten anwenden für eine erkannte Entität auswählen, kann ein Benutzer automatisch auf die Entitäten zugreifen, die an die erkannte Entität gebunden sind.
Der reguläre Ausdruck wird im System gespeichert, um den Autorisierungsbereich zu aktualisieren. Wenn die neuen Entitäten dem regulären Ausdruck ihres Entitätstyps entsprechen, aktualisiert NetScaler Console den Autorisierungsbereich auf die neuen Entitäten.
Konfigurationsvorlagen:
Wenn Sie die spezifische Konfigurationsvorlage auswählen möchten, die ein Benutzer anzeigen oder verwalten kann, führen Sie die folgenden Schritte aus:
-
Deaktivieren Sie das Kontrollkästchen Alle Konfigurationsvorlagen und klicken Sie auf Konfigurationsvorlage hinzufügen.
-
Wählen Sie die erforderliche Vorlage aus der Liste aus und klicken Sie auf OK.
StyleBooks:
Wenn Sie das spezifische StyleBook auswählen möchten, das ein Benutzer anzeigen oder verwalten kann, führen Sie die folgenden Schritte aus:
-
Deaktivieren Sie das Kontrollkästchen Alle StyleBooks und klicken Sie auf StyleBook zur Gruppe hinzufügen. Sie können entweder einzelne StyleBooks auswählen oder eine Filterabfrage angeben, um StyleBooks zu autorisieren.
Wenn Sie die einzelnen StyleBooks auswählen möchten, wählen Sie die StyleBooks aus dem Bereich Individuelle StyleBooks aus und klicken Sie auf Auswahl speichern.
Wenn Sie eine Abfrage zum Suchen von StyleBooks verwenden möchten, wählen Sie den Bereich Benutzerdefinierte Filter aus. Eine Abfrage ist eine Zeichenfolge von Schlüssel-Wert-Paaren, wobei die Schlüssel
name,namespaceundversionsind.Sie können auch reguläre Ausdrücke als Werte verwenden, um StyleBooks zu suchen und hinzuzufügen, die die Regex-Kriterien für die Gruppen erfüllen. Eine benutzerdefinierte Filterabfrage zum Suchen von StyleBooks unterstützt sowohl die
And- als auch dieOr-Operation.Beispiel:
name=lb-mon|lb AND namespace=com.citrix.adc.stylebooks AND version=1.0 <!--NeedCopy-->Diese Abfrage listet die StyleBooks auf, die die folgenden Bedingungen erfüllen:
- Der StyleBook-Name ist entweder
lb-monoderlb. - Der StyleBook-Namespace ist
com.citrix.adc.stylebooks. - Die StyleBook-Version ist
1.0.
Verwenden Sie eine
Or-Operation zwischen Wertausdrücken, die für den Schlüssel-Ausdruck definiert sind.Beispiel:
- Die Abfrage
name=lb-mon|lbist gültig. Sie gibt die StyleBooks zurück, die einen Namenlb-monoderlbhaben. - Die Abfrage
name=lb-mon | version=1.0ist ungültig.
Drücken Sie
Enter, um die Suchergebnisse anzuzeigen, und klicken Sie auf Abfrage speichern.
Die gespeicherte Abfrage wird in der Benutzerdefinierten Filterabfrage angezeigt. Basierend auf der gespeicherten Abfrage gewährt die NetScaler Console Benutzern Zugriff auf diese StyleBooks.
- Der StyleBook-Name ist entweder
-
Wählen Sie die erforderlichen StyleBooks aus der Liste aus und klicken Sie auf OK.
Sie können die erforderlichen StyleBooks auswählen, wenn Sie Gruppen erstellen und Benutzer zu dieser Gruppe hinzufügen. Wenn Ihr Benutzer das zulässige StyleBook auswählt, werden auch alle abhängigen StyleBooks ausgewählt.
Konfigurationspakete:
Wählen Sie unter Konfigurationspakete eine der folgenden Optionen aus:
-
Alle Konfigurationen: Diese Option ist standardmäßig ausgewählt. Sie ermöglicht Benutzern die Verwaltung aller Konfigurationen, die in NetScaler Console vorhanden sind.
-
Alle Konfigurationen der ausgewählten StyleBooks: Diese Option fügt alle Konfigurationspakete des ausgewählten StyleBooks hinzu.
-
Spezifische Konfigurationen: Diese Option ermöglicht es Ihnen, spezifische Konfigurationen eines beliebigen StyleBooks hinzuzufügen.
-
Alle von der Benutzergruppe erstellten Konfigurationen: Diese Option ermöglicht Benutzern den Zugriff nur auf Konfigurationen, die von Benutzern derselben Gruppe erstellt wurden.
Sie können die anwendbaren Konfigurationspakete auswählen, wenn Sie Gruppen erstellen und Benutzer dieser Gruppe zuweisen.
Domainnamen:
Wenn Sie den spezifischen Domainnamen auswählen möchten, den ein Benutzer anzeigen oder verwalten kann, führen Sie die folgenden Schritte aus:
-
Deaktivieren Sie das Kontrollkästchen Alle Domainnamen und klicken Sie auf Domainnamen hinzufügen.
-
Wählen Sie die erforderlichen Domainnamen aus der Liste aus und klicken Sie auf OK.
-
Klicken Sie auf Gruppe erstellen.
-
Wählen Sie im Abschnitt Benutzer zuweisen den Benutzer in der Liste Verfügbar aus und fügen Sie den Benutzer der Liste Konfiguriert hinzu.
Hinweis:
Sie können Benutzer auch durch Klicken auf Neu hinzufügen.
-
Klicken Sie auf Fertig stellen.
Benutzerzugriff über mehrere Netzwerkfunktionsentitäten hinweg verwalten
Als Administrator können Sie den Benutzerzugriff in NetScaler Console auf individueller Ebene von Netzwerkfunktionsentitäten verwalten. Und Sie können dem Benutzer oder einer Gruppe dynamisch spezifische Berechtigungen auf Entitätsebene mithilfe des Filters für reguläre Ausdrücke zuweisen.
Dieses Dokument beschreibt, wie die Benutzerautorisierung auf Entitätsebene definiert wird.
Bevor Sie beginnen, erstellen Sie eine Gruppe. Weitere Informationen finden Sie unter Gruppen in NetScaler Console konfigurieren.
Anwendungsszenario:
Betrachten Sie ein Szenario, in dem eine oder mehrere Anwendungen (virtuelle Server) auf demselben Server gehostet werden. Ein Superadministrator (George) möchte Steve (einem Anwendungsadministrator) nur Zugriff auf App1 gewähren und nicht auf den Hostingserver.
Die folgende Tabelle veranschaulicht diese Umgebung, in der Server-A die Anwendungen App-1 und App-2 hostet.
| Host-Server | Anwendung (virtueller Server) | Dienst | Dienstgruppe |
|---|---|---|---|
| Server A | App1 | App-Dienst-1 | App-Dienstgruppe-1 |
| Server A | App2 | App-Dienst-2 | App-Dienstgruppe-2 |
Hinweis
NetScaler Console behandelt virtuelle Server, Dienste, Dienstgruppen und Server als Netzwerkfunktionsentitäten. Der Entitätstyp virtueller Server wird als Anwendung bezeichnet.
Um Benutzerberechtigungen für Netzwerkfunktionsentitäten zuzuweisen, definiert George die Benutzerautorisierung wie folgt:
-
Navigieren Sie zu Konto > Benutzerverwaltung > Gruppen und fügen Sie eine Gruppe hinzu.
-
Wählen Sie auf der Registerkarte Autorisierungseinstellungen die Option Anwendungen auswählen.
-
Wählen Sie Individuellen Entitätstyp auswählen.
-
Wählen Sie den Entitätstyp Alle Anwendungen aus und fügen Sie die Entität App-1 aus der verfügbaren Liste hinzu.
-
Klicken Sie auf Gruppe erstellen.
-
Wählen Sie unter Benutzer zuweisen die Benutzer aus, die die Berechtigung benötigen. Für dieses Szenario wählt George Steves Benutzerprofil aus.
-
Klicken Sie auf Fertig stellen.
Mit dieser Autorisierungseinstellung kann Steve nur App-1 verwalten und keine anderen Netzwerkfunktionsentitäten.
Hinweis:
Stellen Sie sicher, dass die Option Auch auf gebundene Entitäten anwenden deaktiviert ist. Andernfalls gewährt NetScaler Console Zugriff auf alle Netzwerkfunktionsentitäten, die an App-1 gebunden sind. Dies würde auch den Zugriff auf den Hostingserver gewähren.
Ein Superadministrator kann die regulären Ausdrücke (Regex) für jeden Entitätstyp angeben. Der reguläre Ausdruck wird im System gespeichert, um den Benutzerautorisierungsbereich zu aktualisieren. Wenn neue Entitäten dem regulären Ausdruck ihres Entitätstyps entsprechen, kann NetScaler Console Benutzern dynamisch Zugriff auf die spezifischen Netzwerkfunktionsentitäten gewähren.
Um Benutzerberechtigungen dynamisch zu gewähren, kann der Superadministrator reguläre Ausdrücke auf der Registerkarte Autorisierungseinstellungen hinzufügen.
In diesem Szenario fügt George App* als regulären Ausdruck für den Entitätstyp Anwendungen hinzu, und die Anwendungen, die den Regex-Kriterien entsprechen, erscheinen in der Liste. Mit dieser Autorisierungseinstellung kann Steve auf alle Anwendungen zugreifen, die dem Regex App* entsprechen. Sein Zugriff ist jedoch nur auf die Anwendungen beschränkt, nicht auf den gehosteten Server.
Wie sich der Benutzerzugriff basierend auf dem Autorisierungsbereich ändert
Wenn ein Administrator einen Benutzer zu einer Gruppe hinzufügt, die unterschiedliche Zugriffsrichtlinieneinstellungen hat, wird der Benutzer mehreren Autorisierungsbereichen und Zugriffsrichtlinien zugeordnet.
In diesem Fall gewährt die NetScaler Console dem Benutzer Zugriff auf Anwendungen, abhängig vom spezifischen Autorisierungsbereich.
Betrachten Sie einen Benutzer, der einer Gruppe zugewiesen ist, die zwei Richtlinien hat: Richtlinie-1 und Richtlinie-2.
-
Richtlinie-1 – Nur Lesezugriff auf Anwendungen.
-
Richtlinie-2 – Lese- und Schreibzugriff auf Anwendungen.
Der Benutzer kann die in Richtlinie-1 angegebenen Anwendungen anzeigen. Außerdem kann dieser Benutzer die in Richtlinie-2 angegebenen Anwendungen anzeigen und bearbeiten. Der Bearbeitungszugriff auf Anwendungen der Gruppe-1 ist eingeschränkt, da er nicht unter den Autorisierungsbereich der Gruppe-1 fällt.
Zuordnung von RBAC beim Upgrade von NetScaler Console von Version 12.0 auf spätere Releases
Wenn Sie NetScaler Console von Version 12.0 auf 13.1 aktualisieren, sehen Sie beim Erstellen von Gruppen nicht die Optionen zum Bereitstellen von “Lese-Schreib”- oder “Lese”-Berechtigungen. Diese Berechtigungen werden durch “Rollen und Zugriffsrichtlinien” ersetzt, die Ihnen mehr Flexibilität bieten, rollenbasierte Berechtigungen für die Benutzer bereitzustellen. Die folgende Tabelle zeigt, wie die Berechtigungen in Version 12.0 auf Version 13.1 abgebildet werden:
| 12.0 | Nur Anwendungen zulassen | 13.1 |
|---|---|---|
| Admin Lese-Schreib | Falsch | admin |
| Admin Lese-Schreib | Wahr | appAdmin |
| Admin Nur-Lesen | Falsch | readonly |
| Admin Nur-Lesen | Wahr | appReadonly |