Rôles

Les rôles sont des ensembles de permissions attribués aux utilisateurs, aux groupes d'utilisateurs ou aux identités d'application. Ils régissent l'accès aux espaces de travail, aux coffres et aux fournisseurs PAM, et sont distincts des permissions héritables, qui contrôlent ce qu'un utilisateur ou un groupe d'utilisateurs précis peut faire dans une entrée ou un dossier donné au sein d'un coffre.

Il existe de nombreux rôles pour différents cas d'utilisation, mais ils se répartissent tous en trois catégories : Membres, Administrateurs et Propriétaires :

• Les Membres ont le moins de permissions. Ils peuvent uniquement voir le contenu de coffres spécifiques, et ce qu'ils peuvent faire dans ces coffres est contrôlé séparément via Permissions.
• Les Administrateurs peuvent gérer les utilisateurs, les paramètres de sécurité, les politiques de mots de passe, les licences, les préférences et les paramètres semblables. Comme leurs droits se limitent à la gestion, ils n'obtiennent pas automatiquement l'accès au contenu des coffres ou des fournisseurs PAM qu'ils administrent.
• Les Propriétaires disposent de toutes les permissions dans leur portée attribuée. Pour des raisons de sécurité, il est fortement recommandé de garder le nombre de propriétaires au minimum, par exemple un par coffre.

Pour voir quels rôles vous sont attribués, rendez-vous dans l'interface Web de Devolutions Server, cliquez sur votre avatar dans le coin supérieur droit et sélectionnez Mes rôles.

Attributions de rôles

L'attribution de rôles aux utilisateurs nécessite l'ajout d'Attributions de rôles. Celles-ci sont accessibles à partir de plusieurs endroits, notamment :

• La section Attributions de rôles, sous Administration – Configuration et sécurité, qui répertorie chaque attribution de rôle dans l'espace de travail et vous permet d'en ajouter de nouvelles.
• Directement là où ces rôles s'appliquent :

  • Administration – Coffres – Modifier – Attributions de rôles
  • Administration – Utilisateurs – Modifier – Attributions de rôles
  • Administration – Groupes d'utilisateurs – Modifier – Attributions de rôles
  • Administration – Identités d'application – Modifier – Attributions de rôles

Auditer les attributions de rôles

Chaque attribution de rôle est journalisée, y compris lorsqu'un administrateur s'accorde un accès à un coffre. Rendez-vous dans Rapports – Sécurité, puis choisissez entre les rapports Attributions de rôles de coffre, Attributions de rôles d'espace de travail et Attributions de rôles redondantes.

Ces rapports indiquent qui détient quels rôles, comment ils les ont obtenus et quelle est leur portée. Le rapport Attributions de rôles redondantes signale en plus les attributions redondantes afin qu'elles puissent être nettoyées.

Rôles intégrés

Les rôles peuvent être attribués à trois portées : Espace de travail, Coffre et Fournisseur PAM.

Rôle	Description
Propriétaire de l'espace de travail	Accorde un accès illimité à l'ensemble de l'espace de travail, y compris à chaque coffre et à son contenu. Attribué automatiquement aux utilisateurs et aux groupes désignés comme propriétaires de l'espace de travail; il ne peut pas être accordé, modifié ou supprimé manuellement.
Administrateur de l'espace de travail	Administrer chaque secteur de l'espace de travail : utilisateurs, rôles, coffres, paramètres, licences, journaux et PAM. N'accorde pas l'accès au contenu des coffres.
Administrateur des utilisateurs et des identités	Créer, modifier, supprimer, déverrouiller et déconnecter des comptes utilisateur et des identités d'application, gérer leur AMF et leurs clés API, créer et gérer des groupes d'utilisateurs et leurs membres, et consulter les rapports d'activité des utilisateurs et d'attribution de licences.
Administrateur des coffres	Créer, modifier et supprimer des coffres, gérer leurs Gateway et leurs attributions d'utilisateurs. N'accorde pas l'accès au contenu des coffres.
Administrateur PAM	Configurer chaque paramètre PAM (politiques, modèles, OTP, propagation, risque), gérer entièrement tous les fournisseurs d'accès privilégié, y compris la détection de compte et les résultats de détection, et consulter les sessions privilégiées actives.
Administrateur Gateway	Gérer les instances de Devolutions Gateway, examiner qui peut les utiliser et quelles permissions s'appliquent, et mettre fin aux sessions Gateway actives.
Membre de coffre	Accorde l'accès au contenu des coffres attribués. Les permissions d'entrée définies dans le coffre s'appliquent toujours.
Propriétaire de coffre	Gérer chaque aspect d'un coffre attribué : son contenu, ses permissions, ses demandes d'accès, les statuts des entrées, les entrées supprimées, les rapports et les enregistrements de session, ainsi que la configuration, les Gateway et les attributions propres au coffre.
Propriétaire du fournisseur PAM	Gérer chaque aspect d'un fournisseur d'accès privilégié attribué, y compris sa configuration de détection de compte, les résultats de détection, la liste des groupes et les attributions. Ne permet pas de créer de nouveaux fournisseurs.
Administrateur des licences	Ajouter, modifier, supprimer et attribuer des licences, et consulter les rapports d'utilisation des licences et de licences d'utilisateur.
Administrateur des modèles d'entrée	Créer, modifier, supprimer et exporter des modèles d'entrée, définir le modèle par défaut et vérifier où chaque modèle est utilisé.
Administrateur des politiques de mots de passe	Créer, modifier, supprimer et exporter des politiques de mots de passe et des dictionnaires de phrases de passe.
Administrateur des images système	Créer, modifier, supprimer et nettoyer les images système disponibles dans l'espace de travail.
Créateur de comptes PAM	Créer des comptes PAM sur un fournisseur d'accès privilégié attribué. N'accorde aucune autre permission sur le fournisseur.
Visualiseur des journaux de l'espace de travail	Consulter les journaux de serveur et les journaux administratifs de l'espace de travail, les tentatives de connexion et l'historique de connexion, les journaux PAM et les journaux d'activité de chaque coffre.
Superviseur des sessions privilégiées	Consulter les sessions privilégiées actives et y mettre fin.
Auditeur	Vue en lecture seule de toute la section d'administration : utilisateurs, groupes, rôles, coffres, paramètres, licences, journaux et rapports. N'accorde pas l'accès au contenu des coffres.