管理用户和认证

有效利用扫描信息取决于您的企业如何分析和分布信息、谁能看到信息、用于什么目的。管理访问本应用程序中的信息包括创建资产组、分配角色和用户权限。本章节介绍了管理用户、角色和权限的最佳实践和指南。

将角色映射到您的企业

研究角色和权限映射到您的企业结构的方式将很有帮助。

注意: 一项用户认证系统已被加入。但是，如果您的企业已使用包括 Microsoft 活动目录或 Kerberos 的认证服务，最佳实践则是将本应用程序与此服务整合。使用一种服务免去了必须管理两组用户信息集的麻烦。

在小型公司中，一个人可能需处理所有安全任务。此人将成为全局管理员、启动扫描、查阅报告并执行修复。或者，可能是一个小团队共享整个系统的访问特权。无论哪种情况，都没有必要创建多个角色，因为所有网络资产可以被加入一个站点中，只需要一个扫描引擎。

某公司是家大型公司。此公司的网络范围更广、更复杂，跨越多个物理位置和 IP 地址段。每一段都有自己专门管理仅此区段安全的支持团队。

一个或两个全局管理员负责创建用户账户、维护系统和为公司所有资产生成高级别的执行报告。他们为不同的网络段创建站点。他们分配安全管理器、站点管理员和系统管理员，以为这些站点运行扫描和分布报告。

全局管理员亦创建各种资产组。一些集中于小型的资产子集。这些组中的非管理用户负责修复漏洞和在后续扫描运行后生成报告，验证修复是否成功。其他资产组将更全面，但在范围上粒度化更小。这些组中的非管理用户是高级管理员，可以查看执行报告，追踪公司漏洞管理计划中的进度。

配置角色和权限

无论创建自定义角色或分配账户预设角色，均取决于几个问题：您希望账户所有者执行什么任务？用户可以看见什么数据？用户不应看见什么数据？

例如，一个安全团队中支持工作站的管理员可能需要偶尔运行扫描，然后将报告分布到团队成员，以追踪严重漏洞和优先修复任务。对于可访问某一站点的资产拥有者角色，且此站点仅包括工作站而无其他资产（如数据库服务器），这个账户可能是很好的选择。

注意: 请记住，除了全局管理员角色，分配自定义或预设角色是与对站点和资产组的访问相互依靠的。

如果您想分配具有特定权限集的角色，您可以创建自定义角色。以下表格列出并描述了可用的所有权限。一些权限需要授予其他权限才能有用。例如，为了能够创建报告，用户必须能够查看所报告站点或资产组的资产数据，而此用户必须被授予对此站点或资产组的访问权。

这些表格也指出了哪些角色包括了每种权限。您或许会发现某些角色对一已知账户具有足够的粒度或包容性。它们包括的一系列预设角色和权限均遵循以下权限表格。参看 给予用户对资产组的访问权。

权限表格

全局权限

这些权限自动适用于所有站点和资产组，不需要额外、特定的访问权。

站点权限

这些权限仅适用于用户已被授予访问权的站点。

资产组权限

这些权限仅适用于用户已被授予访问权的资产组。

报告权限

创建报告权限只适用于用户已被授予访问权的资产。其他报告权限不受任何种类的访问权限制。

票证权限

这些权限仅适用于用户已被授予访问权的资产。

漏洞例外情况权限

这些权限仅适用于用户已被授予访问权的站点或资产组。

角色列表

全局管理员

全局管理员角色与所有其他预设角色有几点不同。它不受站点或资产组访问权限制。它包括任何其他预设或自定义角色可用的所有权限。它也包括自定义角色不可用的权限：

• 管理与用户账户、角色和权限相关的所有功能。
• 管理 vConnection 和 vAsset 发现。
• 管理安全控制台的配置、维护和诊断例行程序。
• 管理共享扫描凭证。

安全管理器和站点拥有者

安全管理器和站点拥有者角色包括以下权限：

• Manage Report Templates（管理报告模板） 
• Appear on Ticket and Report Lists（出现于票证和报告列表中）
• View Site Asset Data（查看站点资产数据）
• Specify Site Metadata（指定站点元数据）
• Assign Scan Template（分配扫描模板）
• Manage Scan Alerts（管理扫描警报）
• Manage Site Credentials（管理站点凭证）
• Schedule Automatic Scans（预定自动扫描）
• Start Unscheduled Scans（开始未预定扫描）
• View Group Asset Data（查看组资产数据） （仅安全管理器）
• Create Reports（创建报告）
• Create Tickets（创建票证）

这两个角色的唯一区别在于，安全管理器有在可访问的站点和资产组工作的能力。而站点拥有者角色却受限于站点。

资产拥有者

资产拥有者角色包括在可访问的站点和资产组中的以下权限：

• Manage Report Templates（管理报告模板） 
• Appear on Ticket and Report Lists（出现于票证和报告列表中）
• View Site Asset Data（查看站点资产数据）
• Start Unscheduled Scans（开始未预定扫描）
• View Group Asset Data（查看组资产数据）
• Create Reports（创建报告）

用户

“用户”一般可以指一个 InsightVM 账户的任何拥有者，而 U 字母大写的名称用户 (User) 指一项预设角色。 这是不包括扫描权限的唯一角色。用户角色包括在可访问的站点和资产组中的以下权限：

• Manage Report Templates（管理报告模板） 
• Manage Policies（管理政策）
• View Site Asset Data（查看站点资产数据）
• View Group Asset Data（查看组资产数据） （仅安全管理器）
• Create Reports（创建报告）
• Create Tickets（创建票证）

ControlsInsight 用户

此角色提供了对 ControlsInsight 的完全访问权，但不可访问 Nexpose。

管理和创建用户账户

通过管理页面的用户链接，可访问创建和管理用户账户的页面。点击用户旁边的管理可查看用户页面。在此页面，您可以查看企业内的所有账户列表。每个账户的最后登录日期和时间都会显示出来，您能够监控使用情况并删除不再使用的账户。

若要编辑用户账户： 

1. 点击任何所列账户的编辑，更改其属性。

本应用程序将显示用户配置面板。编辑账户的过程与创建新用户账户的过程相同。参看 配置一般用户账户属性。

若要删除账户和重新分配票证或报告：

1. 点击您想删除的账户对应的删除。

将出现一个对话框，询问您是否确认想删除此账户。

2. 点击是，删除此账户。

如果此账户已被用来创建报告，或如果此账户已被分配了一个票证，那么本应用程序将显示一个对话框，提示您重新分配或删除上述报告或票证。您可以选择删除有关闭问题的报告或票证、或含有过期信息的旧报告。

3. 从下拉列表中选择将重新分配票证和报告到达的账户。
4. （可选）点击删除票证和报告，从数据库中移除这些项目。
5. 点击确定，完成重新分配或删除。

配置一般用户账户属性

您可以在用户配置面板指定一般用户账户的属性。

若要配置用户账户属性：

1. 点击用户页面的新用户。
2. （可选）在管理页面，点击用户旁边的创建。安全控制台将显示用户配置面板的一般页面。
3. 在文本字段内输入所有要求的用户信息。
4. （可选）从下拉列表中选择合适的来源，以外部来源认证用户。

在创建外部认证用户账户前，您必须定义外部认证来源。参看 使用外部来源用以用户认证。

5. 选择账户已启用复选框。

您可以稍后再点击复选框，移除复选标记，不删除账户而将其禁用。

6. 点击保存，保存新的用户信息。

分配角色和权限给用户

分配角色和权限给新用户可让您控制此用户对安全控制台功能的访问。

若要分配角色和权限给新用户：

1. 进入角色页面。
2. 在下拉菜单中选择一个角色。

选择一个角色后，安全控制台会显示此角色的简要说明。

如果您选择了五个默认角色之一，则安全控制台会自动选择此角色的相应复选框。

如果您选择自定义角色，则选择您想授予用户的每个权限对应的复选框。

3. 点击保存，保存新的用户信息。

给予用户对特定站点的访问权

全局管理员自动拥有所有站点的访问权。安全管理器、站点管理员、系统管理员或非管理用户只拥有全局管理员授予某些站点的访问权。

若要给予用户对特定站点的访问权：

1. 进入站点访问页面。
2. （可选）点击合适的单选按钮，给予用户所有站点的访问权。
3. （可选）点击创建可访问的站点的自定义列表的单选按钮，给予用户特定站点的访问权。
4. 点击添加站点。
5. 安全控制台将显示列出您企业中所有站点的方框。
6. 点击您想用户可访问的每个站点的复选框。
7. 点击保存。

新站点将出现在站点访问页面。

8. 点击保存，保存新的用户信息。

给予用户对资产组的访问权

全局管理员自动拥有所有资产组的访问权。站点管理员用户不可访问资产组。安全管理器、系统管理员或非管理用户只拥有全局管理员授予某些资产组的访问权。

若要给予用户对资产组的访问权：

1. 进入资产组访问页面。
2. （可选）点击合适的单选按钮，给予用户所有资产组的访问权。
3. （可选）点击创建可访问的资产组的自定义列表的单选按钮，给予用户特定资产组的访问权。
4. 点击添加组。

安全控制台将显示列出您企业中所有资产组的方框。

5. 点击您想用户可访问的每个资产组的复选框。
6. 点击保存。

新资产组将出现在资产组访问页面。

7. 点击保存，保存新的用户信息。

使用外部来源用以用户认证

您可以将 InsightVM 与外部认证来源整合。如果您使用一种此类来源，那么利用现有基础设施将使得管理用户账户更容易。

本应用程序对两种来源提供单点登录外部认证：

• LDAP（包括 Microsoft 活动目录）： 活动目录 (AD) 是 LDAP 支持的 Microsoft 技术，可自动化进行集中安全管理整个网络的用户、服务和资源。
• Kerberos：Kerberos 是一种安全认证方法，使用加密密钥验证用户凭证，通过“票证”系统提供对网络服务的访问。

本应用程序也继续支持其两个内部用户账户存储器：

• XML 文件列出默认的“内置”账户。如果数据库故障或其他问题阻止了其他用户的访问，那么全局管理员可以使用内置账户在维护模式下登录本应用程序，进行故障排除和重启系统。
• 数据存储列出了标准用户账户，此类账户由全局管理员创建。

在创建外部认证用户账户前，您必须定义外部认证来源。

若要定义外部认证来源：

1. 进入安全控制台配置面板的认证页面。
2. 在标记为 LDAP/AD 认证来源的区域点击添加…，添加一个 LDAP/活动目录认证来源

安全控制台将显示标记为 LDAP/AD 配置的方框。

3. 点击标记为启用认证来源的复选框。
4. 输入您想用于认证的名称、地址或完全符合资格的域名和 LDAP 服务器端口。

注意: 建议您对 LDAP 服务器配置输入全部大写字母的完全符合资格的域名。例如：SERVER.DOMAIN.EXAMPLE.COM

默认 LDAP 端口号为 389 或 636，后者用于 SSL。带有全域目录的 Microsoft AD 的默认端口号是 3268 或 3269，后者用于 SSL。

5. （可选）选择要求通过 SSL 安全连接的相应复选框。
6. （可选）指定准许的认证方法，将其输入到相应的文本字段内。使用逗号 (,)、分号 (;) 或空格分开多个方法。

注意:  不建议您将 PLAIN 用于非 SSL LDAP 连接。

在 RFC 2222 (http://www.ietf.org/rfc/rfc2222.txt) 文档中，用于准许 LDAP 用户认证的简单认证与安全层 (SASL) 认证方法系由互联网工程任务小组定义。本应用程序支持使用 GSSAPI、CRAM-MD5、DIGEST-MD5、SIMPLE 和 PLAIN 方法。

7. 按需要点击标记为遵循 LDAP 指示的复选框。

当本应用程序尝试认证用户时，它会询问目标 LDAP 服务器。此服务器中的 LDAP 和 AD 目录可能包含关于其他目录服务器的信息，这些目录服务器能够处理未在目标目录中定义的环境的请求。在这种情况下，目标服务器将向本应用程序返回一条指示消息，而稍后便会联系这些其他的 LDAP 服务器。若需关于 LDAP 指示的信息，请参看文档 LDAPv3 RFC 2251 (http://www.ietf.org/rfc/rfc2251.txt)。

8. 按需要输入执行 LDAP 搜索的基本环境。您可以在目录内的多个不同级别启动 LDAP 搜索。

若要强制本应用程序在树内的特定部分搜索，则指定一个搜索基准，如 CN=sales、DC=acme、DC=com。

9. 点击 LDAP 属性映射的三个按钮之一，这些按钮控制着 LDAP 属性名称等同于或映射至属性名称的方式。

您的属性映射选择将影响那些默认值出现在下方的三个字段内。例如，LDAP 属性登录 ID映射到用户登录 ID。如果您选择 AD 映射，则默认值为 sAMAccountName。如果您选择 AD 全域目录映射，则默认值为 userPrincipalName。如果您选择通用 LDAP 映射，则默认值为 uid。

10. 点击保存。

安全控制台将显示认证页面，列有 LDAP/AD 认证来源。

若要添加一个 Kerberos 认证来源：

1. 在认证页面，点击标记为 Kerberos 认证来源区域的添加…。

安全控制台将显示标记为 Kerberos 域配置的方框。

2. 点击标记为启用认证来源的复选框。
3. 点击合适的复选框以设置您正将其定义为默认 Kerberos 域的新域。

安全控制台将显示默认域无法禁用的警告。

4. 在合适的文本框内输入此域的名称。
5. 在合适的文本框内输入密钥分布中心的名称。
6. 选择您的认证来源支持的每种加密类型对应的复选框。在认证过程中，来源会尝试每种类型以解密客户端的凭证，直至来源使用与客户端使用的相同类型。
7. 点击保存。

安全控制台将显示认证页面，列有新的 Kerberos 分布中心。

当您定义了外部认证来源后，您便可以为通过这些来源认证的用户创建账户。

8. 点击主页中的管理标签。
9. 在管理页面，点击用户旁边的创建，

安全控制台将显示用户配置面板。

在一般页面，认证方法下拉列表含有您在安全控制台配置文件中定义的认证来源。

10. 选择一种认证来源。

注意: 如果您通过外部认证作为用户登录到界面，再点击任何页面右上角的用户名链接，那么安全控制台将显示您的账户信息，包括密码；但即使您在此页面更改密码，本应用程序也不会实施此变更。

内置的用户存储认证由 InsightVM 用户选项表示。

活动目录选项指示了您在安全控制台配置文件中指定的 LDAP 认证来源。

如果您选择了某外部认证来源，则本应用程序会禁用密码字段。本应用程序无法更改由外部来源认证的用户的密码。

11. 填写一般页面的所有其他字段。
12. 点击保存。

手动设置 Kerberos 加密类型

如果您正通过 Kerberos 认证用户，那么您可以指定可用于与 Kerberos 连接的票证加密类型，从而增加这些连接的安全性。按以下步骤实现此目的：

1. 使用一种文本编辑器，创建名为 kerberos.properties 的新文本文件。
2. 添加一行，指定一个或多个可接受的加密类型。如有多种类型，使用一个字符空格分开每种类型：

default_tkt_enctypes=<encryption_type encryption_type>

您可以指定任何以下票证加密类型：

• des-cbc-md5
• des-cbc-crc
• des3-cbc-sha1
• rc4-hmac
• arcfour-hmac
• arcfour-hmac-md5
• aes128-cts-hmac-sha1-96
• aes256-cts-hmac-sha1-96

例如：

default_tkt_enctypes= aes128-cts-hmac-sha1-96 aes256-cts-hmac-sha1-96

3. 将文件保存在 installation_directory/nsc/conf 目录。

更改将在下次启动时应用。

设置密码政策

全局管理员可在安装 InsightVM 时自定义密码政策。这样做的一个原因是使其配置符合您企业的特定密码标准。

注意: 若您更新了密码政策，该政策将对新用户或者在现有用户更改其密码时生效。现有用户不强制更改密码。

若要自定义密码政策：

1. 进入安全控制台的管理页面。
2. 选择密码政策。

导航至密码政策配置

3. 更改政策名称。
4. 选择所需的参数，以满足密码要求。

注意: 如果您不想限制最大长度，则将最大长度设置为 0。

例如：此政策被命名为测试政策，且限制其最小长度为 8 个字符，最大长度为 24 个字符，包含至少一个大写字母、至少一个数字值及至少一个特殊字符。

5. 点击保存。

设置了密码政策后，用户配置页面将执行该政策。

输入新密码时，要求列表中的项目会随着得到满足的密码要求而由红色变为绿色。

用户输入新密码时，列表上的要求会因得到满足而由红色变为绿色。

如果用户试图保存未满足所有要求的密码，系统将显示错误信息。