Administrér roller, grupper og ressourcerettigheder
Formål
Sektion kaldt “Formål”Brug vejledningen til at administrere adgangen efter princippet om mindst mulige rettighed. Adgang i Nordiq WebGIS består af flere mekanismer, som skal kontrolleres hver for sig.
Målgruppe og adgang
Sektion kaldt “Målgruppe og adgang”Vejledningen er til MapStore-/GeoStore-administratorer, GIS-administratorer og dataansvarlige. Kun autoriserede administratorer bør kunne vedligeholde brugere, grupper og redigeringsrettigheder.
Overblik
Sektion kaldt “Overblik”- MapStore-roller styrer administrationsfunktioner og kan bruges som grundlag for regler.
- MapStore-grupper styrer synlighed af kort og værktøjer og kan bruges som grundlag for regler.
- Ressourcerettigheder styrer visning og redigering af kort, kontekster og specialressourcer. De beskytter ikke mod direkte adgang til GeoServer data - kun til at styre visningen fra mapstore
disablePluginIfogmonitorStatestyrer, om et plugin indlæses og vises i brugerfladen. De sikrer ikke tjenesten ved direkte kald.- GeoServer/database håndhæver den reelle læse- og skriveadgang til data. Denne kontrol er uafhængig af, om menuen er synlig.
Administrer brugere og grupper
Sektion kaldt “Administrer brugere og grupper”- Overvej arbejdsopgaven og dataene; hvad er er nødvendigt for alle og især hvad er følsomt data.
- Genbrug en passende gruppe eller opret en. Hvis der er AD- eller EntraID-integration, så brug grupper herfra - så bliver brugerne automatisk placeret i de rigtige grupper.
- Tilføj brugerne til gruppen (kun hvis man har oprettet gruppen selv i mapstore - ved ADintegration skal brugerne tilføjes til grupperne via AD’et). Kontrollér medlemskabet fra Administrer menuen.
Brugerens medlemskaber kan kontrolleres og grupper kan tilføjes ved at klikke på svensknøglen ved brugernavnet
og derfer skifte faneblad til “Grupper”
- En bruger kan tilledes Rollen som Administrator fra samme menu
- En administrator kan også skifte passwords herfra (med mindre der er opsat AD- eller EntraID-integration).
OBS ved integration med AD eller EntraID bliver grupper først indlæst, og vist i mapstore, første gang en bruger der er tildelt disse grupper har logget på. Man kan ikke slette en ADbruger eller ADgrupper fra mapstore - selv hvis man sletter dem, vil de dukke op igen når brugeren logger på - tilføj/sletning af brugere skal foregår via AD/EntraID
Administrer Ressourcer
Sektion kaldt “Administrer Ressourcer”Ved Ressourcer forståes alle de elementer der er i spil i platformen; Kort, Dashboards, Kontekster, Konfliktsøgninger, Høringslister, Koblet Kort og Geostories
- Log ind med rettigheder til at redigere den ønskede resource
- Vælg Egenskaber på den relevante ressource og derefter Tilladelser.
- Vælg Redigér egenskaber.
- Vælg Tilføj tilladelse og giv tilladelse til den/de grupper der må kunne se kortet. Hvis “everyone” vælges, er kortet synlig for alle, også uden login.
- Nå en gruppe er tilføjet kan man vælge om gruppem også skal have ret til at redigere (gemme kort) eller om de bare skal kunne se det.
- Gem rettighederne ved at trykke anvend
Indstillingen Annonceret afgør, om en ressource kan ses og søges på forsiden af andre end ejer og administrator. Den er ikke en erstatning for tilladelsesregler.
Rettigheder og sikkerhed
Sektion kaldt “Rettigheder og sikkerhed”- Tildel Redigér til færrest mulige brugere.
- Beskyt følsomme WMS-, WFS- og API-kald via geoserveren.
- Brug ikke fravær af menupunkt eller ressourcekort som dokumentation for sikkerhed.
- Test direkte data-adgang som ikke-autoriseret bruger, når dataklassifikationen kræver det.
Kontrol
Sektion kaldt “Kontrol”Udfør en adgangsmatrix for mindst disse scenarier:
- anonym bruger
- logget ind uden relevant gruppe
- logget ind med visningsgruppe
- logget ind med tilladelse til at redigere
- administrator
Kontrollér for hver profil: ressourcesøgning, direkte ressourcelink, pluginsynlighed, laglæsning og eventuel redigering.
Fejlfinding
Sektion kaldt “Fejlfinding”Problem: En gruppe vises ikke ved tildeling af rettigheder.
Mulig årsag: Gruppen er ikke oprettet eller synkroniseret til MapStore/GeoStore.
Løsning: Kontrollér identitetskilden og gruppesynkroniseringen.
Problem: En bruger har mistet adgang, men ser stadig ressourcen.
Mulig årsag: Brugeren har adgang gennem en anden gruppe, eller sessionen er ikke fornyet.
Løsning: Gennemgå alle gruppemedlemskaber, log ud og ind, og test igen.
Problem: Brugeren kan hente et lag fra tjenestens URL uden at kunne se værktøjet.
Mulig årsag: Der er kun opsat UI-synlighed.
Løsning: Indfør den nødvendige GeoServer-/backendregel.