Identiteitsconcepten

Gebruikers, groepen, rollen, bevoegdheden en machtigingen op objecten, en hoe Kyvernon bepaalt wat een gebruiker mag doen.

Kyvernon beslist elk verzoek op één plek, of het nu binnenkomt via de console, de CLI, de native API, de gRPC-API of de vSphere-eindpunten. De beslissing gebruikt de gebruiker, de groepen van de gebruiker, het object waarop het verzoek betrekking heeft en de rollen die op dat object of daarboven zijn verleend. Beheerders beheren deze onderdelen in de console onder Beheer, in het gedeelte dat het gebruikersmenu opent.

Gebruikers

Een gebruiker is een lokaal account of een gefedereerd account. Een lokaal account heeft een wachtwoord dat Kyvernon als Argon2id-hash bewaart; het scherm Gebruikers (Gebruikers) maakt ze aan en beheert ze. Een gefedereerd account wordt bij de eerste aanmelding via een identiteitsprovider aangemaakt en heeft geen wachtwoord in Kyvernon. De gebruikersnaam is de voorkeursgebruikersnaam van de provider, in kleine letters, en de kolom Bron toont Lokaal of Single sign-on.

Drie soorten accounts hebben een bijzondere functie:

De eerste beheerder, aangemaakt wanneer de controller voor het eerst start. Die moet bij de eerste aanmelding het wachtwoord wijzigen.
Het noodaccount (break-glass), standaard breakglass genoemd, voor gebruik wanneer de identiteitsprovider niet beschikbaar is. Het draagt de badge Noodtoegang, de sessies duren maximaal een uur en het wachtwoord moet na elk gebruik worden gewijzigd.
Serviceaccounts, gemarkeerd met Serviceaccount. Ze zijn bedoeld voor automatisering en melden zich aan met API-tokens, niet in de console.

Een gebruiker kan worden uitgeschakeld, waardoor de sessies eindigen, en een gebruiker wordt geblokkeerd na herhaalde mislukte aanmeldingen. De blokkering eindigt vanzelf, of een beheerder heft haar op.

Groepen

Een groep is een benoemde verzameling gebruikers en andere groepen. Een lokale gebruiker wordt aan groepen toegevoegd op het scherm Groepen (Groepen), en een gefedereerde gebruiker krijgt bij elke aanmelding de groepen uit de groepsclaim van de identiteitsprovider. Een machtiging kan een groep noemen in plaats van een gebruiker, zodat een rol het lidmaatschap volgt. Lokale groepen, met hun nesting, en het wachtwoord- en blokkeringsbeleid staan in de gerepliceerde store, zodat elke controller ze deelt. Bij de eerste start van deze versie verplaatst een controller het groepsbestand van een eerdere versie naar de store en hernoemt het bestand naar <naam>.migrated. Zij schrijft ook eenmalig de beleidsbestanden van een eerdere versie naar de store.

Rollen en bevoegdheden

Een bevoegdheid is één toegestane bewerking, zoals VirtualMachine.Interact.PowerOn of Network.Config. Een rol is een benoemde set bevoegdheden. Kyvernon heeft negen ingebouwde rollen die u niet kunt wijzigen of verwijderen, en u kunt uw eigen rollen aanmaken op het scherm Rollen (Rollen). De ingebouwde rollen zijn Administrator, Read-only, No access, Virtual machine power user, Virtual machine user, Backup operator, Tenant administrator, Tenant user en Tenant service principal. De pagina's Ingebouwde rollen en Bevoegdheden tonen wat elke rol bevat.

Machtigingen op objecten

Een machtiging koppelt een principal (een gebruiker of groep), een rol en een object van de inventaris. Ze kan doorwerken naar de onderliggende objecten. Het scherm Machtigingen (Machtigingen) en het tabblad Machtigingen van elk object tonen en wijzigen ze.

Om te bepalen of een gebruiker een bevoegdheid op een object heeft, loopt Kyvernon van het object omhoog naar de root:

Een machtiging die niet doorwerkt, telt alleen op het object zelf.
Op het dichtstbijzijnde object dat een machtiging voor de gebruiker heeft, beslist die machtiging. Een machtiging voor de gebruiker zelf wint van machtigingen voor de groepen van de gebruiker. Meerdere groepsmachtigingen op hetzelfde object worden gecombineerd.
Wat boven dat object ligt, wordt niet geraadpleegd. Een machtiging met de rol No access op een onderliggend object blokkeert dus een rol die hoger is verleend.
De bevoegdheid wordt verleend wanneer een van de geldende rollen die bevat.

Tenantgebruikers zijn verder beperkt: hun bevoegdheden gelden alleen binnen de mappen en resourcegroepen van hun tenant. Een rol met een firewallbevoegdheid die alleen voor de provider bedoeld is, kan niet binnen een tenant worden verleend.

Sessies, tokens en het auditlogboek

Een sessie begint bij het aanmelden en eindigt door afmelden, door een time-out bij inactiviteit, door de absolute levensduur of wanneer een beheerder haar beëindigt op het scherm Sessies (Sessies). Een API-token (API-tokens) is een langlopende referentie voor automatisering die geen verificatiecode kan beantwoorden. Elke wijziging van gebruikers, rollen, machtigingen, tokens en sessies wordt vastgelegd in het auditlogboek (Auditlogboek), samen met mislukte en geweigerde aanmeldingen.