Работа с группами пользователей и системными группами

Обзор

Пользователи в вашей учётной записи включены в два разных типа групп.

Группы пользователей

Группы пользователей - это объекты, используемые в правилах, политиках или для назначения лицензий. Например, если вы добавите группу пользователей в правило в рамках вашей политики межсетевого экрана для Интернета, это правило применяется ко всем пользователям в группе пользователей. Существует три типа групп пользователей:

• Системные группы: Автоматически создаваемые

• Определено SCIM/LDAP: Предоставлено из вашего IdP

• Определено пользователем: Создано вручную

  Заметка:

  Максимальное количество пользователей, которое можно добавить в группу, определённую пользователем, составляет 50 000

Вы можете посмотреть группы пользователей в вашей учетной записи на странице Доступ > Группы пользователей.

Понимание определённых системой групп пользователей

Cato автоматически создаёт системную группу пользователей Все пользователи. Это содержит всех пользователей, созданных в вашей учетной записи. Используйте эту группу пользователей, если вы хотите, чтобы правило, политика или настройки применялись ко всем пользователям.

Если у вас настроен хотя бы один контроллер WMI, также создаются эти системные группы пользователей:

• Все пользователи в ожидании идентификации: Пользователи, которые были синхронизированы, но не вошли в Клиент

• Все неидентифицированные пользователи: Пользователи, которые не могут быть идентифицированы

• Все пользователи без сопоставления: Пользователи, которые могут быть идентифицированы, но не могут быть сопоставлены с информацией (например, организационными данными), которая синхронизирована из LDAP

Системные группы для назначения лицензий

Системные группы - это объекты для назначения лицензий SDP пользователям, они видны только на странице Доступ > Назначение лицензий. Например, вы можете назначить лицензию SDP всем вручную созданным пользователям. Системные группы не могут быть использованы в правилах или политиках. Существует три типа системных групп:

• Все пользователи LDAP: Все пользователи, предоставленные с помощью LDAP

• Все пользователи SCIM: Все пользователи, предоставленные с помощью SCIM

• Все пользователи, созданные вручную: Все пользователи, созданные вручную

Для получения дополнительной информации о назначении лицензий SDP см. Назначение лицензий ZTNA пользователям.

Показать группы пользователей и участников

Чтобы показать участников группы пользователей:

1. В навигационном меню нажмите Доступ > Группы пользователей и выберите группу пользователей.

2. В меню навигации нажмите Участники. Участники группы отображаются.

Добавление групп пользователей

Вы можете определить группы пользователей и их участников. Для групп пользователей, которые создаются как часть настройки пользователей SCIM или LDAP:

• Определения в панели Общие определены Приложением Управления Cato и не могут быть изменены

• Чтобы изменить участников LDAP или SCIM групп пользователей, измените настройки в AD или IdP

• Тип группы пользователей - это Определено SCIM или Определено LDAP

Чтобы добавить группу и определить ее членов:

1. В навигационном меню нажмите Доступ > Группы пользователей и выберите группу пользователей.

2. Нажмите Новый. Откроется панель Создать группу пользователей.

3. Введите Имя группы и нажмите Применить. Группа пользователей добавлена на экран.

4. Щелкните на группе пользователей. Открывается экран Общие для группы пользователей.

5. (Опционально) Введите Описание.

6. Добавьте объекты, которые являются участниками этой группы:

   1. В меню навигации нажмите Участники. Участники группы пользователей отображаются.

   2. Из выпадающего меню Добавить участников выберите тип участника для добавления (Пользователь SDP или Пользователь).

   3. Выберите всех пользователей, которых вы включаете в группу пользователей.

      Пользователи SDP и Пользователи добавлены в список Участников.

7. Нажмите Сохранить.

Удаление групп пользователей

В зависимости от того, как они были созданы, группы пользователей могут быть окончательно удалены или отключены.

• Группы пользователей, созданные вручную, могут быть удалены вручную. После удаления они больше не видны на странице Группы пользователей. Удаленные группы пользователей по-прежнему видны в политиках и помечены как удаленные, и политика не применяется к группе пользователей.

• Группы пользователей, предоставленные в CMA, могут быть удалены, но мы рекомендуем удалять их в вашем IdP. После удаления из вашего IdP они больше не видны на странице Группы пользователей. Удаленные группы пользователей по-прежнему видны в политиках и помечены как удаленные, и политика не применяется к группе пользователей.

  • Группы пользователей, которые были удалены в CMA и предоставлены:

    • Okta - восстанавливаются с полным составом участников

    • Entra - восстанавливаются без состава участников

Заметка:

Примечание: Вы не можете отменить удаление.

Чтобы вручную удалить группу пользователей:

1. В навигационном меню нажмите Доступ > Группы пользователей и выберите группу пользователей.

2. Нажмите (Удалить) рядом с группой пользователей, которую вы хотите удалить.

   Откроется окно подтверждения.

3. Нажмите Удалить

   Группа пользователей удалена.

Просмотр политик, применяемых к группе

Для чёткого централизованного просмотра охвата политик каждой группы вы можете просмотреть все правила политики, которые применяются к группе на странице Применённые политики.

Чтобы просмотреть политики, применяемые к группе:

1. В навигационном меню нажмите Доступ > Группы пользователей и выберите группу пользователей.

2. Перейдите на страницу Применённые политики.

Изменение пути к группе в контроллере доменов

Для предоставленных LDAP групп пользователей, если вы измените путь к группе в вашем контроллере домена, необходимо также обновить Базовый DN в Приложении Управления Cato (CMA).

Если вы не обновите CMA до нового пути, перемещенные группы пользователей больше не включаются в синхронизации и удаляются. Эти группы пользователей больше не видны на странице Группы пользователей. Удаленные группы пользователей по-прежнему видны в политиках и помечены как удаленные, и политика не применяется к группе пользователей. Лицензии SDP удаляются с пользователей в удаленной LDAP предоставленной группе пользователей и они больше не могут подключаться к сети. Если пользователи нуждаются в подключении к сети, необходимо переоформить им лицензии SDP.