Administrér roller, grupper og ressourcerettigheder
Formål
Sektion kaldt “Formål”Brug vejledningen til at administrere adgangen efter princippet om mindst mulige rettighed. Adgang i Nordiq WebGIS består af flere mekanismer, som skal kontrolleres hver for sig.
Målgruppe og adgang
Sektion kaldt “Målgruppe og adgang”Vejledningen er til MapStore-/GeoStore-administratorer, GIS-administratorer og dataansvarlige. Kun autoriserede administratorer bør kunne vedligeholde brugere, grupper og redigeringsrettigheder.
Overblik
Sektion kaldt “Overblik”- MapStore-roller styrer administrationsfunktioner og kan bruges som grundlag for regler.
- MapStore-grupper styrer synlighed af kort og værktøjer og kan bruges som grundlag for regler.
- Ressourcerettigheder styrer visning og redigering af kort, kontekster og specialressourcer. De beskytter ikke mod direkte adgang til GeoServer-data - kun til at styre visningen fra MapStore.
disablePluginIfogmonitorStatestyrer, om et plugin indlæses og vises i brugerfladen. De sikrer ikke tjenesten ved direkte kald.- GeoServer/database håndhæver den reelle læse- og skriveadgang til data. Denne kontrol er uafhængig af, om menuen er synlig.
Administrer brugere og grupper
Sektion kaldt “Administrer brugere og grupper”- Overvej arbejdsopgaven og dataene: hvad er nødvendigt for alle, og hvad er særligt følsomt data.
- Genbrug en passende gruppe eller opret en. Hvis der er AD- eller EntraID-integration, så brug grupper herfra - så bliver brugerne automatisk placeret i de rigtige grupper.
- Tilføj brugerne til gruppen (kun hvis man har oprettet gruppen selv i MapStore - ved AD-integration skal brugerne tilføjes til grupperne via AD’et). Kontrollér medlemskabet fra Administrer-menuen.
Brugerens medlemskaber kan kontrolleres, og grupper kan tilføjes ved at klikke på svensknøglen ved brugernavnet,
og derefter skifte faneblad til “Grupper”.
- En bruger kan tildeles rollen som administrator fra samme menu.
- En administrator kan også skifte password herfra (med mindre der er opsat AD- eller EntraID-integration).
OBS: ved integration med AD eller EntraID bliver grupper først indlæst og vist i MapStore, første gang en bruger med disse grupper har logget på. Man kan ikke slette en AD-bruger eller AD-gruppe fra MapStore - selv hvis man sletter dem, dukker de op igen, når brugeren logger på. Tilføjelse/sletning af brugere skal foregå via AD/EntraID.
Administrer ressourcer
Sektion kaldt “Administrer ressourcer”Ved ressourcer forstås alle de elementer, der er i spil i platformen: kort, dashboards, kontekster, konfliktsøgninger, høringslister, koblet kort og geostories.
- Log ind med rettigheder til at redigere den ønskede ressource.
- Vælg Egenskaber på den relevante ressource og derefter Tilladelser.
- Vælg Redigér egenskaber.
- Vælg Tilføj tilladelse, og giv tilladelse til den/de grupper, der må kunne se kortet. Hvis “everyone” vælges, er kortet synligt for alle, også uden login.
- Når en gruppe er tilføjet, kan man vælge, om gruppen også skal have ret til at redigere (gemme kort), eller om den bare skal kunne se det.
- Gem rettighederne ved at trykke Anvend.
Indstillingen Annonceret afgør, om en ressource kan ses og søges på forsiden af andre end ejer og administrator. Den er ikke en erstatning for tilladelsesregler.
Rettigheder og sikkerhed
Sektion kaldt “Rettigheder og sikkerhed”- Tildel Redigér til færrest mulige brugere.
- Beskyt følsomme WMS-, WFS- og API-kald via geoserveren.
- Brug ikke fravær af menupunkt eller ressourcekort som dokumentation for sikkerhed.
- Test direkte data-adgang som ikke-autoriseret bruger, når dataklassifikationen kræver det.
Kontrol
Sektion kaldt “Kontrol”Udfør en adgangsmatrix for mindst disse scenarier:
- anonym bruger
- logget ind uden relevant gruppe
- logget ind med visningsgruppe
- logget ind med tilladelse til at redigere
- administrator
Kontrollér for hver profil: ressourcesøgning, direkte ressourcelink, pluginsynlighed, laglæsning og eventuel redigering.
Fejlfinding
Sektion kaldt “Fejlfinding”Problem: En gruppe vises ikke ved tildeling af rettigheder.
Mulig årsag: Gruppen er ikke oprettet eller synkroniseret til MapStore/GeoStore.
Løsning: Kontrollér identitetskilden og gruppesynkroniseringen.
Problem: En bruger har mistet adgang, men ser stadig ressourcen.
Mulig årsag: Brugeren har adgang gennem en anden gruppe, eller sessionen er ikke fornyet.
Løsning: Gennemgå alle gruppemedlemskaber, log ud og ind, og test igen.
Problem: Brugeren kan hente et lag fra tjenestens URL uden at kunne se værktøjet.
Mulig årsag: Der er kun opsat UI-synlighed.
Løsning: Indfør den nødvendige GeoServer-/backendregel.