Rollen

Rollen sind Sätze von Berechtigungen, die Benutzern, Benutzergruppen oder Anwendungsidentitäten zugewiesen werden. Sie regeln den Zugriff auf Datenquellen, Tresore und PAM-Anbieter und sind getrennt von vererbbaren Berechtigungen, die steuern, was ein bestimmter Benutzer oder eine bestimmte Benutzergruppe in einem gegebenen Eintrag oder Ordner innerhalb eines Tresors tun kann.

Es gibt viele Rollen für verschiedene Anwendungsfälle, aber alle fallen in drei Kategorien: Mitglieder, Administratoren und Besitzer:

• Mitglieder haben die wenigsten Berechtigungen. Sie können nur den Inhalt bestimmter Tresore anzeigen, und was sie innerhalb dieser Tresore tun können, wird separat über Berechtigungen gesteuert.
• Administratoren können Benutzer, Sicherheitseinstellungen, Passwortrichtlinien, Lizenzen, Voreinstellungen und ähnliche Einstellungen verwalten. Da ihre Rechte auf die Verwaltung beschränkt sind, erhalten sie nicht automatisch Zugriff auf den Inhalt der Tresore oder PAM-Anbieter, die sie administrieren.
• Besitzer haben volle Berechtigungen innerhalb ihres zugewiesenen Bereichs. Aus Sicherheitsgründen wird dringend empfohlen, die Anzahl der Besitzer auf ein Minimum zu beschränken, zum Beispiel einen pro Tresor.

Um zu sehen, welche Rollen Ihnen zugewiesen sind, gehen Sie zur Weboberfläche von Devolutions Server, klicken Sie auf Ihren Avatar in der oberen rechten Ecke und wählen Sie Meine Rollen.

Rollenzuweisungen

Das Zuweisen von Rollen an Benutzer erfordert das Hinzufügen von Rollenzuweisungen. Diese sind von mehreren Stellen aus zugänglich, nämlich:

• Der Abschnitt Rollenzuweisungen unter Administration – Konfiguration und Sicherheit, der jede Rollenzuweisung in der Datenquelle auflistet und es Ihnen ermöglicht, neue hinzuzufügen.
• Direkt dort, wo diese Rollen gelten:

  • Administration – Tresore – Bearbeiten – Rollenzuweisungen
  • Administration – Benutzer – Bearbeiten – Rollenzuweisungen
  • Administration – Benutzergruppen – Bearbeiten – Rollenzuweisungen
  • Administration – Anwendungsidentitäten – Bearbeiten – Rollenzuweisungen

Auditing von Rollenzuweisungen

Jede Rollenzuweisung wird protokolliert, einschließlich wenn ein Administrator sich selbst Zugriff auf einen Tresor gewährt. Gehen Sie zu Berichte – Sicherheit und wählen Sie dann zwischen den Berichten Tresor-Rollenzuweisungen, Datenquellen-Rollenzuweisungen und Redundante Rollenzuweisungen.

Diese Berichte zeigen, wer welche Rollen innehat, wie sie diese erhalten haben und wie deren Bereich aussieht. Der Bericht Redundante Rollenzuweisungen kennzeichnet zusätzlich redundante Zuweisungen, sodass sie bereinigt werden können.

Integrierte Rollen

Rollen können in drei Bereichen zugewiesen werden: Datenquelle, Tresor und PAM-Anbieter.

Rolle	Beschreibung
Datenquellenbesitzer	Gewährt unbeschränkten Zugriff auf die gesamte Datenquelle, einschließlich jedes Tresors und seines Inhalts. Wird automatisch Benutzern und Gruppen zugewiesen, die als Datenquellenbesitzer markiert sind; sie kann nicht manuell gewährt, bearbeitet oder entfernt werden.
Datenquellen-Administrator	Verwaltet jeden Bereich der Datenquelle: Benutzer, Rollen, Tresore, Einstellungen, Lizenzen, Protokolle und PAM. Gewährt keinen Zugriff auf den Inhalt der Tresore.
Administrator für Benutzer und Identitäten	Benutzerkonten und Anwendungsidentitäten erstellen, bearbeiten, löschen, entsperren und trennen, deren MFA und API-Schlüssel verwalten, Benutzergruppen und deren Mitglieder erstellen und verwalten sowie Berichte zu Benutzeraktivitäten und Lizenzzuweisungen anzeigen.
Tresor-Administrator	Tresore erstellen, bearbeiten und löschen, deren Gateways und Benutzerzuweisungen verwalten. Gewährt keinen Zugriff auf den Inhalt der Tresore.
PAM-Administrator	Konfiguriert jede PAM-Einstellung (Richtlinien, Vorlagen, OTP, Weitergabe, Risiko), verwaltet alle Anbieter für privilegierten Zugriff vollständig, einschließlich Kontoerkennung und Erkennungsergebnissen, und zeigt aktive privilegierte Sitzungen an.
Gateway-Administrator	Devolutions Gateway-Instanzen verwalten, überprüfen, wer sie verwenden kann und welche Berechtigungen gelten, und aktive Gateway-Sitzungen beenden.
Tresor-Mitglied	Gewährt Zugriff auf den Inhalt der zugewiesenen Tresore. Die im Tresor definierten Eintragsberechtigungen gelten weiterhin.
Tresor-Besitzer	Verwaltet jeden Aspekt eines zugewiesenen Tresors: dessen Inhalt, Berechtigungen, Zugriffsanfragen, Eintragsstatus, gelöschte Einträge, Berichte und Sitzungsaufzeichnungen sowie die Konfiguration, Gateways und Zuweisungen des Tresors selbst.
PAM-Anbieter-Besitzer	Verwaltet jeden Aspekt eines zugewiesenen Anbieters für privilegierten Zugriff, einschließlich dessen Kontoerkennungskonfiguration, Erkennungsergebnisse, Gruppenauflistung und Zuweisungen. Erlaubt nicht das Erstellen neuer Anbieter.
Lizenz-Administrator	Lizenzen hinzufügen, bearbeiten, löschen und zuweisen sowie Berichte zur Lizenznutzung und zu Benutzerlizenzen anzeigen.
Administrator für Eintragsvorlagen	Eintragsvorlagen erstellen, bearbeiten, löschen und exportieren, die Standardvorlage festlegen und überprüfen, wo jede Vorlage verwendet wird.
Administrator für Passwortrichtlinien	Passwortrichtlinien und Passphrasen-Wörterbücher erstellen, bearbeiten, löschen und exportieren.
Administrator für Systemabbilder	Die in der Datenquelle verfügbaren Systemabbilder erstellen, bearbeiten, löschen und bereinigen.
PAM-Konto-Ersteller	Erstellt PAM-Konten auf einem zugewiesenen Anbieter für privilegierten Zugriff. Gewährt keine anderen Berechtigungen für den Anbieter.
Datenquellen-Protokollbetrachter	Zeigt die Server- und Administrationsprotokolle der Datenquelle, die Anmeldeversuche und den Anmeldeverlauf, die PAM-Protokolle und die Aktivitätsprotokolle jedes Tresors an.
Supervisor für privilegierte Sitzungen	Aktive privilegierte Sitzungen anzeigen und beenden.
Auditor	Nur-Lese-Ansicht des gesamten Administrationsbereichs: Benutzer, Gruppen, Rollen, Tresore, Einstellungen, Lizenzen, Protokolle und Berichte. Gewährt keinen Zugriff auf den Inhalt der Tresore.