Utilisateurs et groupes

Créer des utilisateurs locaux et des groupes dans la console, définir leurs groupes, les désactiver, lever un verrouillage et les supprimer.

Créez les comptes qui se connectent à la console, regroupez-les et traitez un compte verrouillé, perdu ou devenu inutile. Les utilisateurs d'un fournisseur d'identité apparaissent à leur première connexion ; voir Authentification unique. Sans le privilège Kyvernon.Identity.ManageUsers sur la racine, les écrans de cette page ne sont pas proposés.

Dans la console

Créer un utilisateur

Ouvrez le Menu utilisateur en haut à droite et sélectionnez Administration. Dans la liste de gauche, sélectionnez Utilisateurs.

(Agrandir)
Fermer la vue agrandie
Sélectionnez Créer un utilisateur.
Saisissez le Nom d’utilisateur : deux à 64 lettres, chiffres, points, traits d'union ou tirets bas. Il ne peut plus être modifié ensuite. Nom affiché et Adresse e-mail sont facultatifs.
Saisissez le Mot de passe et répétez-le sous Répétez le mot de passe. La longueur doit respecter la politique de mots de passe, 12 à 256 caractères sauf modification par un administrateur, et les mots de passe courants sont refusés.
Laissez Exiger un nouveau mot de passe à la première connexion coché pour que l'utilisateur choisisse son propre mot de passe avant toute autre action. Cochez Compte de service pour un compte utilisé par un programme, non par une personne. Sous Groupes, cochez les groupes auxquels l'utilisateur appartient.

(Agrandir)
Fermer la vue agrandie
Sélectionnez Créer.

Le nouvel utilisateur apparaît dans le tableau avec les colonnes Source, Groupes, État, Validation en deux étapes et Dernière connexion. Donnez ensuite un accès à l'utilisateur ; voir Rôles et autorisations.

Modifier un compte

Sélectionnez Actions dans la ligne de l'utilisateur. Le menu propose :

Modifier modifie le nom affiché, l'adresse e-mail, l'option de compte de service et les groupes.
Réinitialiser le mot de passe définit un nouveau mot de passe et met fin à toutes les sessions du compte. Transmettez le mot de passe à l'utilisateur par un canal sûr.
Pour un compte verrouillé, le menu propose aussi une action qui lève le verrouillage, afin que l'utilisateur puisse réessayer immédiatement au lieu d'attendre la fin du verrou.
Réinitialiser la validation en deux étapes apparaît lorsque l'utilisateur a la validation en deux étapes. L'utilisateur la configure à nouveau à la prochaine connexion. Utilisez cette action quand le téléphone et les codes de récupération sont perdus.
Terminer toutes les sessions déconnecte l'utilisateur partout.
Jetons d’API ouvre les jetons d'API de l'utilisateur ; voir Jetons d'API.
Désactiver empêche l'utilisateur de se connecter et met fin aux sessions. Le compte et ses autorisations restent, et Activer le rétablit.
Supprimer supprime le compte, ses sessions et ses jetons d'API. La boîte de dialogue vous demande de saisir le nom d'utilisateur. Les autorisations accordées au nom restent jusqu'à ce que vous les retiriez.

Vous ne pouvez pas désactiver ni supprimer votre propre compte. Pour conserver un compte devenu inutile mais qui peut revenir, désactivez-le.

Créer un groupe et ajouter des membres

Un groupe donne le même accès à de nombreuses personnes : accordez un rôle au groupe et tous ses membres l'ont. Un groupe peut contenir des utilisateurs et d'autres groupes, et les membres d'un groupe imbriqué héritent de ce que possède le groupe extérieur.

Dans la liste de gauche de la zone Administration, sélectionnez Groupes.

(Agrandir)
Fermer la vue agrandie
Sélectionnez Créer un groupe. Saisissez le Nom du groupe, avec des lettres, chiffres, espaces, points, traits d'union et tirets bas jusqu'à 64 caractères, et une Description.

(Agrandir)
Fermer la vue agrandie
Sélectionnez Enregistrer.
Dans la ligne du groupe, sélectionnez Membres. Cochez les utilisateurs et les groupes imbriqués qui en font partie, puis sélectionnez Enregistrer. Un groupe qui contient le groupe courant n'est pas proposé, car il formerait une boucle.

(Agrandir)
Fermer la vue agrandie

Modifier dans la ligne renomme le groupe, et les membres et les autorisations restent. Supprimer supprime le groupe : ses membres perdent ce qu'ils avaient par son intermédiaire, et les utilisateurs restent.

Résultat

Les utilisateurs et les groupes sont listés sur leurs écrans, et chaque modification est consignée dans le journal d'audit. Un utilisateur que vous désactivez ne peut plus se connecter à partir de cet instant.

Automatisation

Avec la CLI

Le mot de passe d'un nouvel utilisateur provient de la variable d'environnement KYVERNON_PASSWORD ou de l'entrée standard, jamais de la ligne de commande :

Shell

read -r -s KYVERNON_PASSWORD
export KYVERNON_PASSWORD
kyvernon users create j.smith --display-name "J Smith" --email j.smith@example.com \
  --group operations --rotation-required
kyvernon users update j.smith --group operations --group auditors
kyvernon users unlock j.smith
kyvernon users groups create operations --description "Daily operations"
kyvernon users groups add operations --user j.smith

--group peut être répété. users update remplace le nom affiché, l'adresse e-mail et les groupes d'un utilisateur, et users groups liste, crée, renomme, remplit et supprime des groupes ; users list et users groups list montrent le résultat.

Avec l'API

GET /v1/identity/users liste les utilisateurs et POST /v1/identity/users en crée un. PUT /v1/identity/users/{username} modifie le nom affiché, l'adresse e-mail et les groupes. Les groupes sont GET et POST /v1/identity/groups, PUT et DELETE /v1/identity/groups/{name}, et .../members sous un groupe. Les autres tâches sur les utilisateurs sont des appels sous /v1/identity/users/{username} : PUT .../enabled, POST .../password, POST .../unlock, DELETE .../mfa, DELETE .../sessions, PUT .../service-account et DELETE sur l'utilisateur lui-même. Tous nécessitent Kyvernon.Identity.ManageUsers, sauf la fin des sessions, qui nécessite Sessions.TerminateSession.

Rôles et autorisations donne un accès aux utilisateurs et aux groupes.
Sécurité de la connexion traite des mots de passe, du verrouillage et de la validation en deux étapes.
Concepts d'identité explique comment les groupes et les rôles se combinent.