1. Utenti dell'interfaccia web¶
Questa pagina riguarda chi amministra l'apparato, non chi ne usa i dati. Gli utenti che accedono alle condivisioni sono un'altra cosa e si gestiscono in Condivisione → Gestione Utente.
Il percorso è Setup → Gestione utenti web.
La pagina si chiama Gestione utenti appliance e riguarda soltanto chi amministra l'apparato dall'interfaccia web. È divisa in quattro schede: Utenti, Profili, Active Directory e Sicurezza.
Utenti¶
L'elenco riporta per ciascun utente il login, l'indirizzo di posta, lo stato, il profilo assegnato, se ha il secondo fattore attivo e se è un'utenza locale o di dominio. Modifica apre la scheda del singolo utente, Aggiungi nuovo utente ne crea uno.
| Campo | Note |
|---|---|
| Login | Il nome con cui l'utente si autentica. Obbligatorio |
| Indirizzo email | Usato per le comunicazioni di servizio. Obbligatorio |
| Password, Ripeti password | Vanno digitate due volte. Obbligatorie |
| Profilo | Il livello di permessi da assegnare |
Requisiti della password¶
L'appliance impone almeno 12 caratteri, con almeno una lettera minuscola,
una maiuscola, una cifra e un carattere speciale fra .!@#$%^&*. Una password
che non li rispetta viene rifiutata al salvataggio.
Autenticazione a due fattori¶
La casella Abilita 2FA (Google Authenticator) attiva il secondo fattore per il singolo utente. All'attivazione l'appliance invia per posta elettronica il codice QR da inquadrare con l'app Authenticator.
Serve lo smart host configurato
Il codice QR arriva via email: se l'appliance non sa inviare posta, l'utente non riceve nulla e non può completare la registrazione del secondo fattore.
Utenti di Active Directory¶
Spuntando Utente Active Directory la password non viene più gestita dall'appliance: la verifica avviene interrogando il dominio configurato nella scheda omonima. È la scelta da preferire dove un dominio esiste già, perché evita di duplicare le credenziali e fa valere sull'appliance le politiche di password del dominio.
Profili¶
I profili disponibili sono quattro: 1) Base, 2) Intermedio, 3) Elevato e 9) Amministratore. L'ultimo ha accesso a tutto e non è configurabile.
Per gli altri tre la scheda funziona per esclusione: si sceglie il profilo dal menu a tendina e si spuntano i moduli che devono essergli negati. Le caselle sono raggruppate come le voci del menu laterale, quindi il profilo si costruisce guardando l'interfaccia che l'utente vedrà.
Un profilo per il presidio quotidiano
Chi controlla ogni giorno che i backup siano andati a buon fine non ha bisogno di poter riconfigurare i volumi. Un profilo Base con negati i moduli di configurazione, e lasciati quelli di consultazione, permette di distribuire il presidio senza distribuire anche il rischio.
Active Directory¶
La scheda configura il collegamento al dominio usato dagli utenti contrassegnati come Utente Active Directory.
| Campo | Note |
|---|---|
| Protocollo | ldap:// oppure ldaps://, la variante cifrata |
| Host | Indirizzo del controller di dominio |
| Porta | 389 per LDAP, 636 per LDAPS |
| Utente e dominio dell'account di binding | L'utenza con cui l'appliance interroga il dominio |
| Password | La password dell'account di binding |
Il pulsante Testa connessione verifica subito i parametri; l'etichetta accanto a Server AD indica se il collegamento risulta configurato.
Preferisci ldaps://
Con ldap:// le credenziali degli utenti transitano in chiaro sulla rete a
ogni accesso all'interfaccia. Dove il controller di dominio espone LDAPS,
non c'è ragione di usare l'altro.
Sicurezza¶
La scheda contiene due protezioni dell'accesso all'apparato.
Protezione brute force blocca temporaneamente gli indirizzi IP che superano una soglia di tentativi falliti. Si impostano il numero massimo di tentativi, la finestra temporale entro cui vengono conteggiati e la durata del blocco, tutti in minuti.
Console SSH attiva o disattiva l'accesso al terminale di sistema. Va tenuta spenta dove non serve: è la via d'accesso più potente all'apparato e la meno sorvegliata.
Prima cosa da fare su un'appliance nuova
Se l'apparato ti è stato consegnato con le credenziali stampate sull'etichetta, cambia la password al primo accesso: l'etichetta viaggia insieme all'apparato e chiunque l'abbia vista conosce le credenziali iniziali.