3. Полномочия пользователей на администрирование системы защиты

В системе защиты Dallas Lock 8.0 полномочия на эксплуатацию и администрирование системы защиты определяются статусом пользователя. В зависимости от предоставленных полномочий, каждый пользователь может быть отнесен к одной из трех категорий:

• Администратор безопасности (администратор) - пользователь, наделенный всеми полномочиями на администрирование системы защиты. Администраторов безопасности может быть несколько.

• Привилегированный пользователь - наделенный некоторыми полномочиями на администрирование системы защиты.

• Рядовой пользователь - не имеющий полномочий на администрирование системы защиты, но в соответствии с политиками безопасности имеющий возможность выполнения некоторых операций (осуществление входа/выхода, преобразования объектов ФС и прочие).

Отдельно выделяется учетная запись пользователя, выполнившего установку системы Dallas Lock 8.0. Этот пользователь условно называется суперадминистратором, имеет неограниченные административные права и возможности в настройке системы.

Суперадминистратор регистрирует в системе защиты других пользователей. При этом он может делегировать зарегистрированному пользователю все или часть своих полномочий на администрирование.

Полномочия администратора по управлению работой системы защиты могут быть следующими:

1. управление регистрацией субъектов доступа:

   1. создание, регистрация и удаление учетных записей,

   2. создание и управление составом групп пользователей,

   3. управление списком сессий-исключений;

2. Изменение свойств пользователей:

1. первичные учетные данные (логин, имя, описание);

2. параметры загрузки;

3. назначение аппаратного идентификатора;

4. порядок изменения пароля;

1. управление аудитом (доступом к журналам, к теневым копиям распечатываемых документов, к теневым копиям файлов);

2. управление параметрами безопасности;

3. управление работой пользователей (изменение его прав);

4. управление ресурсами дискреционного, мандатного доступов и контролем целостности;

5. Удаление системы защиты.

4. Порядок предоставления полномочий

Для того чтобы некоторый пользователь N имел возможность предоставлять другим пользователям полномочия на администрирование системы защиты, необходимо соблюдение двух условий:

1. Пользователь N должен быть наделен полномочием на изменение параметров безопасности.

2. Пользователь N должен сам обладать тем полномочием, которое хочет предоставить другим пользователям.

В системе защиты реализован механизм контроля за распространением полномочий. Осуществление этого контроля позволяет пользователю предоставлять другим пользователям только те полномочия, которыми он наделен сам. Например, если пользователь не наделен полномочием на управление аудитом, то и никакому другому пользователю он не сумеет предоставить это полномочие.

При попытке предоставить другому пользователю полномочие, которым данный пользователь сам не обладает, система защиты выведет предупреждение.

П

!Назначать параметры и права следует очень внимательно. Если при предоставлении любого полномочия выбрать группу «Все», то данным полномочием будут обладать все пользователи, в том числе и тот пользователь, который установил данный параметр. Так, например, если администратор при запрете локального (интерактивного) входа в ОС выберет группу «Все», то сам он также не сможет больше осуществить вход в ОС. Исключение будет составлять только учетная запись суперадминистратора. Также следует учесть, что пользователь, обладающий полномочием на редактирование параметров безопасности, может лишить любых пользователей любых полномочий, даже тех, которыми он сам не обладает. Если пользователь сам себя лишил какого-либо полномочия, то восстановить это полномочие он не сможет.

ользователь не сможет назначить сам себе дополнительное полномочие, повысить уровень доступа, включить себя в группу, обладающую расширенными по сравнению с данным пользователем правами.

Для предоставления пользователю какого-либо полномочия на администрирование необходимо в оболочке администратора на основной вкладке «Параметры безопасности» выделить категорию «Права пользователей». Главное окно программы будет иметь следующий вид:

В основном окне данной категории перечислены все полномочия, которые могут быть предоставлены пользователям. Чтобы предоставить пользователю необходимое право, нужно дважды щелкнуть на строке с полномочием, либо выделить строку и нажать кнопку «Свойства» на панели «Действия». Откроется окно добавления учетных записей пользователей и групп.

В списке учетных записей выбрать группы/пользователей, которым следует предоставить данное полномочие по администрированию. На панели главного окна программы в строке редактируемого параметра появятся имена выбранных пользователей и групп.

Примечание. Пользователь, установивший систему защиты (суперадминистратор) имеет полные полномочия на все действия. Ограничить их нельзя. Поэтому, даже если строчка в параметрах безопасности, соответствующая определенному полномочию, пуста, суперадминистратор имеет данное полномочие.