Users / Groups / ACLs

Permissions

Contrôle d’accès

Group sharing

Exemples

• User group and ACLs
• Device manager group
• Regular user
• Read-only user

Groupe d’utilisateurs et ACL

Groupe gestionnaire d’équipements

Utilisateur ordinaire

Utilisateur en lecture seule

Group sharing

Outils qui acceptent le partage de groupe

• Dashboards
• Custom groups
• Storage groups
• Alerts : Performance, Anomaly, Ping
• Reporter
• Email groups
• Change Tracker filters

Utilisateurs en lecture seule

Partage de groupe, marche à suivre

• Shared dashboard
• Shared custom group
• Shared storage group
• Shared e-mail group
• Shared alert
• Shared report

Tableau de bord partagé

Custom Group partagé

Storage group partagé

Groupe de courriel partagé

Alerte partagée

Rapport partagé

Verrouillage des comptes

• CLI (sous l’utilisateur xormon)

  su - xormon
  cd /home/xormon/xormon-ng
  ./xormon.sh unlock <user name>

  
  
• depuis l’interface
  
  

Politique de mot de passe

AD / LDAP

Serveur d’annuaire

Attributs

• Saisissez le Base DN de toutes les opérations LDAP (par ex. dc=xorux,dc=local).
• Saisissez éventuellement un Group Base pour restreindre la liste des groupes à ce sous-arbre.
• Saisissez éventuellement un User Base pour restreindre l’accès aux utilisateurs de ce sous-arbre.
• Saisissez éventuellement un Required user group pour n’autoriser la connexion qu’aux comptes portant le groupe désigné par ce DN complet.
• Saisissez éventuellement un Readonly user group.
  Les utilisateurs de ce groupe LDAP porteront l’attribut lecture seule dans XorMon.
• Indiquez la valeur User ObjectClass qui identifie les objets utilisateur (par ex. user).
• Indiquez le nom du User Filter Attribute correspondant au nom de connexion (par ex. userPrincipalName pour des noms comme [email protected], ou sAMAccountName pour des noms de connexion Windows NT 4.0 comme ad\user)
• Indiquez la valeur Group ObjectClass qui identifie les objets groupe (par ex. group)
• Réglez le Group Filter Attribute pour indiquer comment vérifier l’appartenance à un groupe
  • sélectionnez Group et donnez le nom de l’attribut de l’objet groupe portant les utilisateurs affectés, par ex. member
    • pour des groupes AD imbriqués, ajoutez l’opérateur de correspondance étendue à l’attribut de filtre, par ex. member:1.2.840.113556.1.4.1941 :
  • ou sélectionnez User et donnez le nom de l’attribut de l’objet utilisateur portant les groupes affectés, par ex. memberOf
    • attribut de l’utilisateur servant à établir l’appartenance, par ex. dn ou uid
    • le filtre appariera alors les groupes avec, par ex., member=dn
• Username prefix/postfix permet d’omettre la partie domaine du nom dans les champs de connexion.

ldapsearch -LLL -H ldap://your.ad.hostname -D 'yourdomain\yourusername' -W -x -b 'dc=your,dc=ad,dc=base' '(&(objectClass=user)(sAMAccountName=yourusername))' userPrincipalName

Mappage de groupes et ACL

• Allez dans Settings -> Users -> Groups
• Sélectionnez le groupe à mapper
• Cliquez sur l’onglet « LDAP groups »
• Sélectionnez le ou les groupes LDAP à mapper sur le groupe XorMon
• Enregistrez la configuration du groupe
  
• Configurez les ACL au besoin et enregistrez
  
• Connectez-vous en utilisateur LDAP et vérifiez vos droits d’accès

Utilisateurs en lecture seule

• Créez un groupe « read-only » dans votre LDAP et affectez-y les utilisateurs
• Ajoutez ce groupe LDAP au champ « Readonly user group » de la configuration LDAP de XorMon.
  

Single Sign On

• Keycloak
• Okta
• Authentik
• PingID
• MS Entra

• Server :
  Saisissez l’URL de base de votre gestionnaire d’identités OpenID Connect (IAM).
  C’est en général le point d’accès de votre serveur Keycloak, Okta ou d’un autre fournisseur OIDC.
  
  
• Client ID :
  L’identifiant enregistré auprès de votre IdP pour XorMon.
  Il permet à l’IdP de reconnaître XorMon comme un client valide.
  
  
• Client Secret :
  Un secret, ou mot de passe, associé au Client ID.
  
  
• User Info Role Property :
  Indique où, dans les claims utilisateur de l’IdP, se trouve l’information de rôle.
  XorMon s’en sert pour affecter rôles et permissions aux utilisateurs authentifiés.
  
  
• Readonly role :
  Indique quel rôle porte l’attribut lecture seule.
  Les utilisateurs qui ont ce rôle seront marqués en lecture seule dans XorMon.
  
  
• Test :
  Une fois la configuration enregistrée, le bouton de test effectue une connexion OIDC et affiche les informations de l’utilisateur.
  
  
• Trusted CA (autorité de certification) :
  Permet de téléverser des certificats d’autorité intermédiaires.
  C’est nécessaire si votre IAM emploie un certificat auto-signé ou une autorité privée.
  
  
• Redirect host :
  La partie nom d’hôte de l’URL de redirection enregistrée auprès du serveur d’autorisation.
  Peut rester vide si votre proxy est configuré pour préserver l’hôte de l’URL externe de XorMon.
  
  

• Dans la console d’administration de votre IdP, enregistrez un nouveau client OIDC pour XorMon
• Fournissez le Redirect URI ou Callback URL, qui doit pointer vers XorMon
  • https://<xormon-server>/api/oidc/v1/* si les jokers sont acceptés
  • Sinon https://<xormon-server>/api/oidc/v1/roles pour le test et https://<xormon-server>/api/oidc/v1/login pour la connexion
• Assurez-vous que l’IdP expose un point d’accès UserInfo
• Définissez les rôles ou groupes transmis à XorMon dans User Info ; ils seront lus dans le JWT par le chemin « User Info Role Property » ci-dessus

Mappage de groupes et ACL

• Allez dans Settings -> Users -> Groups
• Sélectionnez le groupe à mapper
• Cliquez sur l’onglet « SSO roles »
• Saisissez le nom du rôle SSO à mapper sur le groupe choisi
• Cliquez sur « Add »
  
• Configurez les ACL au besoin et enregistrez
  
• Connectez-vous par SSO et vérifiez vos droits d’accès

Utilisateurs en lecture seule

• Créez un rôle « read-only » dans votre SSO et affectez-le aux utilisateurs
• Ajoutez ce rôle SSO au champ « Readonly role » de la configuration SSO de XorMon.