Раздел «Группы пользователей» управляет групповыми политиками второго фактора: какие способы аутентификации доступны пользователям, какие обязательны при настройке, к каким ресурсам группа имеет доступ, а также групповыми RADIUS-атрибутами. Пользователь получает политики групп, в которых состоит; членство в группах назначается вручную в карточке пользователя или автоматически — по сопоставлению групп при синхронизации с каталогом.
Список групп
Таблица групп содержит колонки: Название, Доступные способы и Обязательные способы. Для перехода к настройкам группы нажмите на её название. Групповые операции над отмеченными записями выполняются через меню «Действия», кнопка «Фильтры» открывает панель фильтрации. Чтобы создать группу, нажмите кнопку «+ Добавить».
Основные настройки
- Название — имя группы, под которым она отображается в списках и в карточках пользователей;
- Доступные способы — способы второго фактора, которые могут использовать пользователи группы: Telegram, Push, TOTP, Max (мессенджер MAX). Способы, не отмеченные здесь, пользователям группы недоступны;
- Защищённая привязка TOTP — режим привязки TOTP, при котором секрет не отображается ни пользователю, ни администратору; настройка TOTP возможна только через приложение Simple2FA. Пользователи с уже существующей открытой привязкой сохранят доступ до перепривязки фактора;
- Обязательные способы для настройки — способы, которые пользователь обязан подключить: он не сможет завершить настройку второго фактора, пока не привяжет все указанные способы. Выбрать можно только из доступных способов группы;
- Все ресурсы — пользователи группы имеют доступ ко всем ресурсам инстанса. Если флажок снят, появляется поле «Доступ к ресурсам» — в нём выбираются конкретные ресурсы, доступные пользователям группы;
- Запрет смены устройства без администратора — повторная активация 2FA на другом устройстве блокируется до сброса привязки администратором. Опция защищает от перепривязки фактора на постороннее устройство: при замене телефона пользователю потребуется обратиться к администратору (сброс выполняется в карточке пользователя, блок «Привязанное устройство»);
- Отключить второй фактор — отключает проверку второго фактора для всех пользователей группы.
Настройки RADIUS
Блок групповых RADIUS-атрибутов: заданные здесь атрибуты передаются в ответе Access-Accept при входе пользователей группы на указанный ресурс. Типовое применение — назначение пула IP-адресов группе пользователей VPN: атрибут Framed-Pool со значением имени пула, настроенного на шлюзе.
- Приоритет RADIUS-атрибутов — используется при пересечении RADIUS-атрибутов у пользователя, состоящего в нескольких группах: если один и тот же атрибут для одного ресурса задан в разных группах, применяется значение из группы с бо́льшим приоритетом;
- Таблица атрибутов — строки вида «Ресурс — Атрибут — Значение». Ресурс выбирается из подключённых, атрибут указывается по имени (например,
Framed-Pool). Строки добавляются кнопкой + и удаляются кнопкой ×.
Действующий для пользователя итоговый набор атрибутов (групповые плюс подхваченные из каталога) отображается в информационном блоке «RADIUS» в карточке пользователя.