Sécurité basée sur les groupes d'utilisateurs

La sécurité basée sur les groupes d'utilisateurs de Devolutions Server permet de créer un système de protection granulaire très flexible. Cependant, cette flexibilité a un coût, et parfois de mauvais choix peuvent augmenter le temps nécessaire à la gestion du système.

Les recommandations suivantes sont basées sur notre expérience avec le système et les idées partagées par notre communauté. Suivez ces directives, car elles vous aideront à utiliser efficacement la sécurité basée sur les groupes d'utilisateurs de Devolutions Server.

Voici les points clés de la sécurité basée sur les groupes d'utilisateurs :

• La sécurité est héritée : les éléments enfants et les dossiers sont couverts par la sécurité du dossier parent.
• Les autorisations peuvent être remplacées : une autorisation définie sur un sous-dossier remplacera l'autorisation de l'élément parent.
• Les autorisations sont granulaires : plusieurs autorisations peuvent être définies simultanément sur des entrées.

Configuration des groupes d'utilisateurs

Lors de l'utilisation de la sécurité basée sur les groupes d'utilisateurs de Devolutions Server, les groupes d'utilisateurs sont principalement utilisés pour contrôler l'accès de plusieurs utilisateurs à la fois.

Créer des groupes d'utilisateurs

Pour créer des groupes d'utilisateurs, accédez à Administration – Groupes d'utilisateurs, puis cliquez sur Ajouter.

Tous les paramètres peuvent être laissés par défaut, sauf si le groupe d'utilisateurs ne contient que des administrateurs. Dans ce cas, cochez la case Est administrateur lors de la configuration du groupe d'utilisateurs. Entrez un nom et une description pour le groupe d'utilisateurs, puis cliquez sur OK. Pour les groupes Active Directory, le domaine doit être fourni comme suit.

Pour assigner des utilisateurs au groupe d'utilisateurs, cliquez sur Assigner des utilisateurs au groupe d'utilisateurs. Avec un groupe d'utilisateurs créé à partir d'un groupe Active Directory, il n'est pas nécessaire d'assigner des utilisateurs, car cela est géré automatiquement par Devolutions Server.

Configuration des utilisateurs

Modèle d'utilisateur

Il est possible de modifier le modèle d'utilisateur par défaut. Pour ce faire, accédez à Administration – Paramètres système – Modèle d'utilisateur. Ces paramètres contrôlent les paramètres par défaut d'un nouvel utilisateur. La bonne pratique consiste à désactiver tous les privilèges.

Créer des utilisateurs

Pour créer des utilisateurs, accédez à Administration – Utilisateurs, puis cliquez sur Ajouter un utilisateur. Entrez les informations et cliquez sur Ajouter pour enregistrer.

Un utilisateur peut être assigné à plusieurs groupes d'utilisateurs à la fois en cliquant sur Modifier – Groupes d'utilisateurs ou Plus – Assigner des groupes d'utilisateurs. Dans le cadre de l'intégration Active Directory, il n'est pas nécessaire d'assigner les utilisateurs à ces groupes d'utilisateurs, car cela est géré automatiquement par Devolutions Server.

Sélectionnez les groupes d'utilisateurs que vous souhaitez assigner à l'utilisateur et cliquez sur Mettre à jour.

Administrateurs

Les administrateurs peuvent tout faire, indépendamment de la sécurité. Ces utilisateurs sont généralement les dirigeants et la haute direction.

Utilisateurs

Les utilisateurs ont un accès limité aux ressources. Cependant, ils disposent par défaut des droits Ajouter, Modifier et Supprimer, et peuvent effectuer ces actions sur toutes les entrées non sécurisées.

Sous-traitants

Les utilisateurs sous-traitants ont un accès limité aux ressources, expirent automatiquement à une date définie, doivent fournir une adresse courriel et sont tenus d'entrer un mot de passe lors de la connexion. Ce type d'utilisateur est pratique pour gérer les utilisateurs externes de Devolutions Server.

Bien que les utilisateurs sous-traitants aient accès aux capacités PAM, ils sont limités au mode Lecture seule.

Nécessite l'activation de l'authentification avec les utilisateurs sous-traitants dans la section Administration de Devolutions Server ou Devolutions Cloud.

Sélectionner le type d'utilisateur approprié

Lors de la création d'utilisateurs, certains points clés doivent être pris en considération. Posez-vous les questions suivantes lors de la configuration d'un nouvel utilisateur :

• Doit-il pouvoir accéder à n'importe quelle ressource sans restriction ?

  • Les Administrateurs peuvent accéder à n'importe quelle ressource sans restriction.
  • Sélectionnez Administrateur comme Type d'utilisateur lors de la création de l'utilisateur.

• Doit-il avoir des droits d'administration limités mais la capacité d'ajouter, modifier, supprimer, ajouter à la racine et déplacer des entrées ?

  • Si oui, sélectionnez Utilisateur comme Type d'utilisateur lors de la création de l'utilisateur. Les utilisateurs disposent de tous ces droits par défaut.

Configuration des entrées

L'accès est accordé ou refusé aux utilisateurs en définissant des autorisations sur les entrées. Les autorisations peuvent être définies pour des utilisateurs ou des groupes d'utilisateurs. La bonne pratique consiste à accorder des autorisations aux groupes d'utilisateurs pour contrôler l'accès de plusieurs utilisateurs à la fois.

Pour définir des autorisations sur une entrée, modifiez n'importe quelle entrée, activez Avancé, puis accédez à la section Sécurité – Autorisations.

Les autorisations sont généralement définies sur les dossiers et s'appliquent à toutes les entrées enfants. La bonne pratique consiste à définir toutes les autorisations du dossier du coffre sur Non autorisé. En conséquence, toutes les autorisations de toutes les entrées sont refusées par défaut.

L'accès est refusé aux utilisateurs en accordant expressément l'accès à d'autres utilisateurs. En d'autres termes, tous les utilisateurs qui ne figurent pas dans la liste d'une autorisation se voient refuser l'accès.

Pour qu'un utilisateur ait accès à un sous-dossier, il doit avoir au moins l'autorisation Afficher sur tous les dossiers parents.

Considérez la structure suivante :

Il y a trois niveaux de dossiers : le coffre, Telemark et les éléments enfants de Telemark.

Supposons qu'un utilisateur, tel qu'un consultant, doive avoir accès uniquement au dossier Montreal. Le consultant doit également se voir accorder l'autorisation Afficher sur le dossier Telemark. Cependant, accorder l'accès Afficher au dossier Telemark donne au consultant les autorisations d'afficher tous les éléments enfants de Telemark. Pour refuser les autorisations Afficher au consultant sur des éléments enfants spécifiques, les autorisations Afficher de ces éléments doivent être expressément définies pour d'autres utilisateurs.