Система Secret Net. Руководство по администрированию. Книга первая

Общие принципы

Назначение и типы задач

Объект "Задача" Объект “Задача” (далее задача) – является объектом управления системы Secret Net верхнего уровня. Задача предназначена для управления ресурсами информационной системы, необходимыми для выполнения определенной работы. Такие ресурсы составляют список ресурсов задачи. Задача определяет для этих ресурсов следующие параметры:

• права доступа сотрудников в зависимости от решаемых ими производственных

• Распределенная (ресурсы на нескольких компьютерах);

• Пакетресурсов (часть распределенной задачи с ресурсами на одном компьютере). Распределение ресурсов влияет на процедуру настройки параметров задачи.

Распределенная задача устанавливает необходимую степень защищенности только тех компьютеров, с которых данная задача запускается. Определение ресурсов, организация контроля их целостности и обеспечение необходимой степени защищенности компьютеров, на которых расположены эти ресурсы, осуществляются с помощью пакета ресурсов для каждого отдельного компьютера.

Пакеты ресурсов не отображаются в общем списке задач, и управление допуском сотрудников к ним осуществляется с помощью настройки свойств объекта "Задача", содержащего данные пакеты ресурсов.

Задачи типа СПО не могут быть распределенными.

СПО

82

Глава 5. Управление с использованием механизма задач

Список ресурсов задачи

Типы ресурсов Типы ресурсов, которые могут быть включены в список ресурсов, представлены в Приложении на стр. 211.

Группы ресурсов Ресурсы для удобства дальнейшего управления можно объединять в группы по любому установленному признаку. В системе Secret Net по умолчанию предлагаются следующие группы:

•Характерные каталоги;

•Важные файлы;

•Файлы конфигурации;

•Особые файлы;

•Важные элементы реестра.

Ресурс может быть включен только в какую-либо одну из имеющихся групп или не включен ни в одну из них. Можно создавать новые группы, а также переименовывать и удалять существующие (см. стр. 94). При удалении группы ресурсы, входящие в нее, сохраняются в списке ресурсов задачи, но уже не принадлежат ни одной группе.

Определение уровня доступа сотрудников к ресурсам задачи

Объект "Роль" Определение уровня доступа сотрудников к ресурсам задачи осуществляется с помощью объекта “Роль”.

Объект “Роль” (далее роль) – объект управления системы Secret Net верхнего уровня, составная часть задачи.

При создании роли автоматически создается соответствующая ей группа пользователей. Данная группа пользователей наделяется правами доступа к ресурсам задачи, определенными для роли.

При связывании сотрудника с ролью пользователь, назначенный сотруднику, включается в эту ролевую группу и получает соответствующие права доступа к ресурсам задачи.

Ролевые группы пользователей не отображаются в окне программы Проводник. Управление этими группами возможно только из программы “Диспетчер пользователей”. Не рекомендуется вносить какие-либо изменения в эти группы.

При создании задач автоматически создается ряд стандартных ролей, связанных с определенными встроенными группами. Перечень и свойства стандартных ролей определяется типом задачи (см. Табл. 2).

Табл. 2. Стандартные роли задач

83

Система Secret Net. Руководство по администрированию. Книга первая

Создание новых и удаление существующих ролей для СПО и ППО запрещено. Для ФЗ стандартные роли также нельзя удалить, но для задач данного типа разрешено создание новых ролей. Если задача используется в пространстве имен Windows 9x или одновременно в пространствах имен Windows 9x и Windows NT, то возможно создание только одной новой роли.

Установка связи сотрудников с ролями “Владелец” и “Остальные” осуществляется только автоматически. Роли “Система” и “Создатель-владелец” используются исключительно Windows NT для системного доступа. Вручную с помощью программы “Проводник” установка связи сотрудников с этими ролями невозможна.

При данном подходе владельцем исполняемых файлов и файлов служебных данных всегда является администратор, а все остальные пользователи имеют единые права доступа к файлам и программам. Кроме того, программа может быть заменена специально назначенными пользователями.

Зависимости Если для выполнения задачи необходимо использовать ресурсы другой задачи, между задачами устанавливают зависимость. В этом случае первая задача является зависимой, а вторая – определяющей. Основное назначение зависимостей – организация автоматического допуска сотрудников к определяющим задачам (в т. ч. к пакетам ресурсов для распределенной задачи). С этой целью роли зависимой задачи связывают с ролями определяющей задачи. Существуют следующие правила связывания ролей:

•связь для стандартной роли устанавливается только автоматически. Вручную связь для такой роли установить невозможно;

•для СПО и ППО стандартная роль зависимой задачи связывается с одноименной стандартной ролью определяющей задачи;

•для зависимой задачи функционального типа все роли по умолчанию связываются с ролью “Остальные” определяющей задачи.

Пример. Для работы с документами в рабочем каталоге пользователь должен иметь права на работу с MS Office, а для успешной работы с MS Office нужны некоторые права на использование ресурсов операционной системы. Используются ресурсы следующих задач: задача типа СПО “Windows NT” — задача типа ППО “MS Office” — задача типа ФЗ “Рабочий каталог на диске”. Установка зависимостей между ролями перечисленных задач позволяет после предоставления доступа к задаче “Рабочий каталог на диске” автоматически передать пользователю все нужные права на использование ресурсов определяющих задач “MS Office” и “Windows NT”.

При установке зависимостей между задачами следует учитывать следующие особенности:

•Нельзя установить зависимость между задачами, определенными для разных пространств имен.

•Задачи типа ППО и ФЗ не могут быть определяющими для задач типа СПО.

•При установке зависимой задачи на компьютер автоматически устанавливаются все определяющие задачи.

•Пока между задачами существует зависимость, удалить определяющую задачу невозможно.

Организация контроля целостности ресурсов

Методы контроля Объект “Метод контроля целостности” (далее метод контроля целостности) — целостности объект системы Secret Net. Метод контроля целостности определяет следующие

параметры процедуры контроля:

•алгоритм проверки целостности;

•расписание выполнения задания;

•приоритет выполнения задания;

•реакцию на результат выполнения задания.

84

Список ресурсов задачи может быть организован таким образом, что контролируемые ресурсы на разных компьютерах будут отличаться. Такую задачу будем называть нетиражируемой. В этом случае контрольные суммы рассчитываются и хранятся на каждом компьютере, на котором установлена эта задача.

Список ресурсов тиражируемой задачи должен быть организован таким образом, чтобы контролируемые ресурсы на всех компьютерах, на которые эта задача устанавливается, были бы идентичны. В этом случае эталонные контрольные суммы вычисляются однократно для некоторой эталонной установки задачи и сохраняются в ЦБД. Полученные таким образом эталонные данные рассылаются на остальные компьютеры, где они используются для проверки целостности ресурсов.

Чтобы устранить конфликты при асинхронном обновлении на компьютерах ресурсов и методов контроля целостности, для тиражируемых задач существует режим “Отложенное обновление контрольных сумм”. При включении этого режима вновь рассчитанные эталонные контрольные суммы используются для проведения контроля целостности ресурсов на компьютерах только после обновления самих ресурсов. До момента обновления используются предыдущие значения контрольных сумм. Данный режим предназначен для обновления программного обеспечения на компьютерах, защищаемых системой Secret Net.

Обеспечение необходимой степени защищенности компьютеров

85