Ruoli

I ruoli sono insiemi di autorizzazioni assegnati a utenti, gruppi di utenti o identità applicative. Governano l'accesso a spazi di lavoro, casseforti e provider PAM e sono distinti dalle autorizzazioni ereditabili, che controllano ciò che un utente o un gruppo di utenti specifico può fare in una determinata voce o cartella all'interno di una cassaforte.

Esistono molti ruoli per diversi casi d'uso, ma tutti rientrano in tre categorie: Membri, Amministratori e Proprietari:

• I membri dispongono del minor numero di autorizzazioni. Possono solo visualizzare il contenuto di casseforti specifiche e ciò che possono fare all'interno di tali casseforti è controllato separatamente tramite Autorizzazioni.
• Gli amministratori possono gestire utenti, impostazioni di sicurezza, criteri delle password, licenze, preferenze e impostazioni simili. Poiché i loro diritti sono limitati alla gestione, non ottengono automaticamente l'accesso al contenuto delle casseforti o dei provider PAM che amministrano.
• I proprietari dispongono di autorizzazioni complete all'interno dell'ambito loro assegnato. Per motivi di sicurezza, si consiglia vivamente di mantenere al minimo il numero di proprietari, ad esempio uno per cassaforte.

Per vedere quali ruoli le sono assegnati, acceda all'interfaccia web di Devolutions Server, clicchi sul suo avatar nell'angolo in alto a destra e selezioni I miei ruoli.

Assegnazioni di ruolo

Per assegnare i ruoli agli utenti è necessario aggiungere delle Assegnazioni di ruolo. Queste sono accessibili da diversi punti, ovvero:

• La sezione Assegnazioni di ruolo, in Amministrazione – Configurazione e sicurezza, che elenca ogni assegnazione di ruolo nello spazio di lavoro e consente di aggiungerne di nuove.
• Direttamente nei punti in cui questi ruoli si applicano:

  • Amministrazione – Casseforti – Modifica – Assegnazioni di ruolo
  • Amministrazione – Utenti – Modifica – Assegnazioni di ruolo
  • Amministrazione – Gruppi di utenti – Modifica – Assegnazioni di ruolo
  • Amministrazione – Identità applicative – Modifica – Assegnazioni di ruolo

Audit delle assegnazioni di ruolo

Ogni assegnazione di ruolo viene registrata, compreso il caso di un amministratore che concede a se stesso l'accesso a una cassaforte. Vada su Report – Sicurezza, quindi scelga tra i report Assegnazioni di ruolo delle casseforti, Assegnazioni di ruolo dello spazio di lavoro e Assegnazioni di ruolo ridondanti.

Questi report mostrano chi detiene quali ruoli, come li ha ottenuti e qual è il loro ambito. Il report Assegnazioni di ruolo ridondanti segnala inoltre le assegnazioni ridondanti, in modo che possano essere rimosse.

Ruoli integrati

I ruoli possono essere assegnati a tre ambiti: Spazio di lavoro, Cassaforte e Provider PAM.

Ruolo	Descrizione
Proprietario dello spazio di lavoro	Concede accesso illimitato all'intero spazio di lavoro, incluse tutte le casseforti e il loro contenuto. Viene assegnato automaticamente agli utenti e ai gruppi contrassegnati come proprietari dello spazio di lavoro; non può essere concesso, modificato o rimosso manualmente.
Amministratore dello spazio di lavoro	Amministrare ogni area dello spazio di lavoro: utenti, ruoli, casseforti, impostazioni, licenze, log e PAM. Non concede l'accesso al contenuto delle casseforti.
Amministratore di utenti e identità	Creare, modificare, eliminare, sbloccare e disconnettere account utente e identità applicative, gestire la loro MFA e le chiavi API, creare e gestire gruppi di utenti e i relativi membri, e visualizzare i report sull'attività degli utenti e sull'assegnazione delle licenze.
Amministratore delle casseforti	Creare, modificare ed eliminare casseforti, gestire i relativi gateway e le assegnazioni degli utenti. Non concede l'accesso al contenuto delle casseforti.
Amministratore PAM	Configurare ogni impostazione PAM (criteri, modelli, OTP, propagazione, rischio), gestire completamente tutti i provider di accesso privilegiato, inclusi il rilevamento degli account e i risultati del rilevamento, e visualizzare le sessioni privilegiate attive.
Amministratore del gateway	Gestire le istanze di Devolutions Gateway, verificare chi può utilizzarle e quali autorizzazioni si applicano, e terminare le sessioni gateway attive.
Membro della cassaforte	Concede l'accesso al contenuto delle casseforti assegnate. Le autorizzazioni sulle voci definite nella cassaforte continuano ad applicarsi.
Proprietario della cassaforte	Gestire ogni aspetto di una cassaforte assegnata: il suo contenuto, le autorizzazioni, le richieste di accesso, gli stati delle voci, le voci eliminate, i report e le registrazioni delle sessioni, nonché la configurazione della cassaforte stessa, i suoi gateway e le sue assegnazioni.
Proprietario del provider PAM	Gestire ogni aspetto di un provider di accesso privilegiato assegnato, inclusa la configurazione del rilevamento degli account, i risultati del rilevamento, l'elenco dei gruppi e le assegnazioni. Non consente di creare nuovi provider.
Amministratore delle licenze	Aggiungere, modificare, eliminare e assegnare licenze, e visualizzare i report sull'utilizzo delle licenze e sulle licenze degli utenti.
Amministratore dei modelli di voce	Creare, modificare, eliminare ed esportare modelli di voce, impostare il modello predefinito e verificare dove viene utilizzato ciascun modello.
Amministratore dei criteri delle password	Creare, modificare, eliminare ed esportare criteri delle password e dizionari di passphrase.
Amministratore delle immagini di sistema	Creare, modificare, eliminare e ripulire le immagini di sistema disponibili nello spazio di lavoro.
Creatore di account PAM	Creare account PAM su un provider di accesso privilegiato assegnato. Non concede alcuna altra autorizzazione sul provider.
Visualizzatore dei log dello spazio di lavoro	Visualizzare i log del server e di amministrazione dello spazio di lavoro, i tentativi di accesso e la cronologia degli accessi, i log PAM e i log di attività di ogni cassaforte.
Supervisore delle sessioni privilegiate	Visualizzare le sessioni privilegiate attive e terminarle.
Auditor	Visualizzazione in sola lettura dell'intera sezione di amministrazione: utenti, gruppi, ruoli, casseforti, impostazioni, licenze, log e report. Non concede l'accesso al contenuto delle casseforti.