Benutzerverwaltung

Zur Benutzerverwaltung erfolgt die Anmeldung als Benutzer maint in der Konsole.

Hinweis: Die hier aufgeführten Einstellungen als Administrator maint betreffen einzelne Benutzer oder Benutzergruppen. Globale Einstellungen grundsätzlicher Natur werden durch den Administrator config in den jeweiligen Menüs vorgenommen, dort können auch Vorgaben für bestimmte Einstellungen gemacht werden.

In dieser Sektion können reguläre Benutzer angelegt, gelöscht, Passworte neu vergeben und die benutzerspezifischen Einstellungen geändert werden.

Für das Anlegen eines neuen Benutzers ist zumindest ein Benutzername notwendig. Vor- und Nachname sind optional. Das als maint vergebene Initialpasswort soll der Benutzer möglichst schon nach dem ersten Login ändern. Wenn die entsprechenden Passwort-Optionen voreingestellt sind, wird der Benutzer automatisch vom System aufgefordert, dieses innerhalb einer vorgegebenen Zeitspanne zu ändern. Das Anlegen von neuen Benutzern geschieht in der Benutzerverwaltung, welche im Folgenden erklärt wird.

Bei Cluster-Systemen gelten alle Benutzereinstellungen grundsätzlich für den gesamten Cluster.

Hinweis: Alle Einstellungen werden ohne Neustart sofort wirksam. Sanft Anwenden ist nicht notwendig.

Benutzergruppen rationalisieren die Verwaltung von Benutzern mit gemeinsamen Einstellungen bzw. Berechtigungen. Auf TightGate™-Pro können beliebige Gruppen definiert und anschließend einzelne Benutzer diesen Gruppen zugeordnet werden. Beispiel für eine Gruppe wäre z.B. die Gruppe schleuse, in der alle Benutzer mit speziellen Datei-Transferberechtigungen zusammengefasst werden. Die Arbeit mit Benutzergruppen erfolgt als Administrator maint unter dem Menüpunkt Gruppenverwaltung.

Achtung: Benutzer-Gruppen auf TightGate™-Pro dienen nur der gemeinsamen Behandlung mehrerer Benutzer, darüber vorgenommene Einstellungen werden immer an den einzelnen Benutzern gesetzt!

In folgenden Schritten wird eine neue Gruppe angelegt, ein Benutzer hinzugefügt sowie der Gruppe ein spezielles Recht vergeben.

• Gruppe anlegen und Gruppenname vergeben: Gruppenverwaltung > Neue Gruppe
• Benutzer hinzufügen: Menüpunkt Benutzer in Gruppe - es können beliebig viele Benutzer zu einer Gruppe hinzugefügt werden. Es ist ebenfalls möglich über den Menüpunkt Gruppe zu Benutzer die bestehenden Benutzer in einzelne Gruppen zu sortieren.
• Rechte zuweisen: Sind die Benutzer den Gruppen zugeordnet, können nun der Gruppe (und damit allen ihr zugehörigen Benutzern) spezielle Rechte vergeben werden.

Alle Einstellungen werden ohne Neustart sofort wirksam. Sanft anwenden ist nicht erforderlich.

Die Menüfunktion Passwort-Optionen steht dem Administrator maint im Hauptmenü zu Verfügung. Sie erlaubt Regelungen zum Gebrauch von Passwörtern und Zugangsberechtigungen, sofern die interne Benutzerverwaltung von TightGate™-Pro verwendet wird. Das Initialpasswort eines neuen Benutzers ist nicht an die Mindestvorgaben für Passwörter gebunden, es kann beispielsweise einfacher zusammengesetzt sein.

Warnung: Es sollte im Interesse der allgemeinen Systemsicherheit darauf geachtet werden, dass Benutzer möglichst bereits beim ersten Anmelden zu einer Passwortänderung aufgefordert werden, falls ein einfaches Initialpasswort gesetzt wurde. Der Menüpunkt Initiale Ablaufzeit gestattet die Festlegung des Zeitraums, über den das Initialpasswort höchstens gelten soll.

Achtung: Nachdem alle Änderungen an den Passwort-Optionen vorgenommen wurden, müssen diese über den Menüpunkt Speichern gesichert werden. Damit werden die neuen Einstellungen auf alle bestehenden und zukünftigen Benutzer angewendet. Sanft Anwenden ist nicht erforderlich.

TightGate™-Pro kann Benutzerangaben aus einer vordefinierten Liste importieren. Den Benutzern können dabei verschiedene Merkmale übergeben werden. Die Importfunktion ist nur zur Datenübernahme für neue Benutzerkonten geeignet. Merkmale bestehender Benutzerkonten können über den Listenimport nicht verändert werden.

Vorgehensweise:

• Spezifikationsgerechte Liste mit Benutzerangaben bereitstellen (vgl. folgender Abschnitt)
• Hinterlegung der Liste per WinSCP (oder einem anderen Programm mit SFTP-Protokoll) mit dem Administrator config in das Verzeichnis /home/config/transfer. Bei CC-Systemen erfolgt die Übertragung als Administrator transfer.
• Anmeldung am TightGate™-Pro als Administrator maint,

Auswahl von Benutzerverwaltung > Importiere Benutzer.

• Auswahl einer CSV-Datei, aus der die Benutzerangaben importiert werden sollen.
• Die Benutzerangaben werden importiert. Dabei entstehen neue Benutzerkonten. Nach Abschluss des Imports erfolgt eine Zusammenfassung über importierte Benutzerdaten, nicht importierte Benutzerdaten und aufgetretene Fehler.

Hinweis: Alle Änderungen sind nach dem Import sofort wirksam. Neue Benutzer können sich unmittelbar anmelden. Bei Cluster-Systemen kann eine kurze Wartezeit von ca. 3 Min. erforderlich sein, bis die Benutzerkonten auf alle Knoten verteilt wurden.

Eine Liste für den Benutzerimport in TightGate™-Pro muss folgende Anforderungen erfüllen:

• Die CSV-Datei muss die Endung .csv haben
• Trennzeichen der Felder in der CSV-Datei ist das Semikolon (;)
• Zeichenkette, z.B. Namen, in der CSV-Datei werden durch Anführungszeichen (”) abgegrenzt,

Zahlenwerte werden ohne Anführungszeichen angegeben

• Die CSV-Datei darf keine Tabellenüberschrift enthalten
• Es sind in der CSV-Datei keine Umlaute (öäüß) oder Sonderzeichen (,.-;:_’`´) erlaubt

Die CSV-Datei hat folgenden schematischen Aufbau:

Eine Zeile aus einer CSV-Datei könnte demnach folgendermaßen aussehen:

“eka1”;”Erika Mustermann”;”geheim”;0;0;0;0;1

Hinweis: Es werden nur neue Benutzer anhand des Benutzernamens importiert. Werte bestehender Benutzer werden nicht aktualisiert oder verändert. Nach dem Import wird eine Zusammenfassung mit Ergebnisbilanz auf dem Bildschirm angezeigt.

TightGate™-Pro unterstützt die zertifikatsbasierte Anmeldung ohne Eingabe von Benutzername und Passwort für die Klienten-Betriebssysteme Windows und Linux.

Folgende Voraussetzungen sind zur Nutzung der zertifikatsbasierten Anmeldung zu erfüllen:

• Das TightGate™-Pro-System muss sich auf dem aktuellem Softwarestand befinden.
• Die Nutzung des seitens der m-privacy GmbH bereitgestellten Viewer- und Schleusenprogramms für SSO ist obligatorisch.
• Ein auflösbarer DNS-Name, unter dem TightGate™-Pro aus dem internen Netz angesprochen werden kann, muss vorhanden sein.

• Anmeldung als config
• Eintragung des auflösbaren DNS-Namens für das betreffende System

unter Einstellungen > SSL-Name im Zertifikat

• Speichern und Sanft anwenden durchführen.

Hinweis: Der unter SSL-Name im Zertifikat eingetragene Hostname wird im jeweiligen Zertifikat als Common Name (CN) hinterlegt. Wird der Hostname in der SSL CN geändert, so sind alle Klientenzertifikate neu zu generieren und an die Klienten zu verteilen (oder zumindest auf allen Klienten die Konfigurationsdateien anzupassen). Vor der Erstellung der Klientenzertifikate und deren Verteilung empfiehlt es sich unbedingt, sorgfältig auf Eintragung des richtigen Hostnamens zu achten.

• Anmeldung als maint .
• Unter Benutzerverwaltung > Erzeuge SSL-Schlüssel für einzelne Gruppen oder alle Benutzer (Gruppe Everyone) SSL-Zertifikate erzeugen.
• Über Menüpunkt Export. SSL-Schlüssel die erzeugten Klientenzertifikate in das Transferverzeichnis von config kopieren.

• Aufbau einer SFTP-Verbindung von einem Arbeitsplatzrechner zu TightGate™-Pro (unter Windows wird WinSCP empfohlen).
• Anmeldung als config, Wechsel ins Transfer-Verzeichnis „certs”. Dort befindet sich jeweils ein Ordner mit dem Namen eines jeden angelegten Benutzers mit einer Reihe von Zertifikaten und Konfigurationsdateien. Diese sind im Profil des betreffenden Windows-Benutzers zu hinterlegen. Dazu sind sie nach %APPDATA%/vnc / zu kopieren.

Hinweis: Das Verfahren bezieht sich auf die Anmeldung eines Zugangs pro Benutzer. Falls ein Benutzer mehrere unterschiedliche Zugänge zeitgleich anmelden möchte, sind geringfügige Anpassungen der Konfiguration erforderlich. Der technische Kundendienst der m-privacy GmbH leistet im Bedarfsfall kompetente Unterstützung.

Im Vorfeld des letzten Schritts muss der aktuelle Viewer und das aktuelle Schleusenprogramm der m-privacy GmbH auf dem Klientenrechner installiert sein. Mit einem Doppelklick auf das Icon Internet auf dem Desktop öffnet sich eine Verbindung zum TightGate™-Pro. Sind passende Zertifikate auf dem Klienten hinterlegt, wird der Benutzer automatisch angemeldet. Analog verhält es sich mit dem Schleusenprogramm. Es kann mit einem Doppelklick auf das Icon Schleuse für den betreffenden Benutzer geöffnet werden.

Hinweise:

Die Nutzung der Dateischleuse mit SSO erfordert zwingend eine vorangehende, einmalige SSO-Anmeldung über den Viewer an TightGate™-Pro. In allen folgenden Sitzungen kann die Schleuse wahlweise auch vor dem Viewer oder exklusiv gestartet werden. Bei Clustersystemen ist die Nutzung der Dateischleuse nach einer Wartezeit von ca. 10 Minuten nach der erstmaligen SSO-Anmeldung über den Viewer an TightGate™-Pro möglich. Die Wartezeit entfällt bei allen folgenden Anmeldevorgängen, solange das verwendete Zertifikat dasselbe bleibt. Nach jedem Zertifikatwechsel ist eine erneute initiale Anmeldung (mit Wartezeit in Clustersystemen) erforderlich, bevor die Dateischleuse genutzt werden kann.

Auflösung des Servernamens: Sofern sich im Klientennetzwerk ein DNS-Server befindet, muss dieser den Klientenrechnern zugänglich sein und den Servernamen des TightGate™-Pro-Servers auflösen. Sollte dies nicht der Fall sein, ist ein manueller Eintrag der Verknüpfung des Servernamens mit der zugehörigen IPv4-Adresse in der „hosts”-Datei des Betriebssystems des Klientenrechners unbedingt erforderlich. Diese Konfigurationsdatei befindet sich unter Microsoft Windows in %systemroot% > system32 > divers > etc und in Apple Mac OS X unter /etc/hosts; sie kann mittels eines Texteditors mit erweiterten Systemrechten editiert werden. Ohne eine Auflösung des Servernamens zur expliziten IPv4-Adresse ist die Nutzung von Single Sign-on an TightGate™-Pro nicht möglich.

Der Administrator maint kann unter dem Menüpunkt Einstellungen > Rückruf Zertifikat die Zertifikate einzelner Benutzer widerrufen. Nach einem Widerruf ist eine Anmeldung mit den dann ungültigen Zertifikaten weder über Viewer noch über die Schleuse möglich.

Hinweise: Widerrufene Zertifikate können nicht entsperrt oder reaktiviert werden. Nötigenfalls sind neue Zertifikate zu erzeugen und wie oben angegeben abzurufen und zu verteilen. In Clustersystemen wird die Sperre nach einer Wartezeit von ca. 10 Minuten für die Anmeldung des Viewers und die Nutzung der Dateischleuse wirksam.

Achtung: Bereits aufgebaute Verbindungen bleiben im Fall einer Zertifikatssperre bis zur manuellen oder automatischen Abmeldung vom System bestehen. Dies betrifft den Viewer und die Nutzung der Dateischleuse gleichermaßen.

Alternativ zur Zertifikatserzeugung für bereits vorhandene Benutzerkennungen können Benutzerzertifikate auch in beliebigen Kontingenten im Voraus erzeugt werden. Benutzer können sich damit auch ohne Benutzeraccount an TightGate™-Pro anmelden. Dieser wird im Zuge des ersten Anmeldevorgangs automatisch generiert, was den Administrationsaufwand vermindert.

Vorbereitende Maßnahmen:

• Anmeldung als Administrator config
• Unter Einstellungen > Authentisierungsmethode zusätzlich den Menüpunkt Benutzerverz. automatisch auf „ja” setzen, falls sich die Benutzer mit den neuen Zertifikaten sofort anmelden sollen.
• Speichern und Sanft anwenden.

Die Benutzerzertifikate können als maint unter dem Menüpunkt Einstellungen > Massen-SSL-Schlüssel erzeugt werden. Es startet ein Assistent, der ein Präfix und die Anzahl zu erzeugender Zertifikate abfragt. Der Präfix bildet den konstanten Teil des späteren Benutzernamens, ergänzt um eine laufende Nummer. Diese beginnt bei einem wählbaren Wert und endet bei der Anzahl der zu erzeugenden Zertifikate. Die erzeugten Zertifikate werden automatisch in das Transfer-Verzeichnis von config kopiert und können dort abgeholt und verteilt werden, wie im Abschnitt „Zertifikate auf Klientenverteilen” beschrieben.

Hinweise:

• Die automatisch generierten Benutzernamen legen bei der ersten Anmeldung mit dem erzeugten Zertifikat eine gleichlautende Benutzerkennung (Benutzerkonto, Account) auf TightGate™-Pro an. Diese kann nachträglich nicht verändert werden.
• Es wird keine Benutzerkennung (Account) auf TightGate™-Pro erzeugt, solange ein Zertifikat nur generiert, jedoch noch nicht zur Anmeldung an TightGate™-Pro verwendet wurde. Die Benutzerverwaltung von TightGate™-Pro enthält damit stets nur solche Kennungen, die tatsächlich bereits zur Anmeldung verwendet wurden - unabhängig von der Zahl der im Voraus erzeugten Zertifikate.