Доступ управляется на страницах «Пользователи», «Роли», «Права», «Анонимный доступ» и «Реалмы» раздела «Настройки». На этой странице собраны операции: как завести и отключить пользователя, собрать роль, включить анонимный доступ и изменить цепочку аутентификации. Как устроена сама модель доступа, описано в разделе Управление доступом.
Пользователи
Страница «Настройки» → «Пользователи». Кнопка «+ Новый пользователь» создаёт локальную учётную запись: идентификатор, имя, почта, пароль, статус и стартовая роль.
Статусы: «Активен», «Отключён» и «Требовать смену пароля» — пароль становится одноразовым: до его смены пользователь заблокирован и в веб-интерфейсе, и в клиентах форматов.
Перевод в «Отключён» — штатный способ немедленно отозвать доступ: сессии пользователя отзываются, его токен удаляется, а запросы перестают проходить и в веб-интерфейсе, и в клиентах (если серверов несколько, на остальных — с задержкой до минуты). Возврат в «Активен» доступ восстанавливает, но токен придётся выпустить заново.
Роли назначаются прямо в списке (кнопка «Добавить роль»; крестик рядом с ролью снимает её) или в диалоге «Изменить» (там список ролей задаётся целиком; минимум одна роль).
Смена чужого пароля (кнопка «Сменить пароль») доступна только с привилегией nx-all
(роль admin); привилегий области управления users недостаточно.
Существующие сессии и токен пользователя при смене пароля продолжают действовать —
чтобы прекратить доступ немедленно, переведите учётную запись в «Отключён».
Роли
Страница «Настройки» → «Роли». Роль собирается из привилегий (по именам) и вложенных ролей; привилегии вложенных ролей тоже достаются пользователю. Встроенные роли помечены как «только чтение».
Galleon не даст снять последнего администратора: операция, после которой роль admin не останется ни у одного активного пользователя (напрямую или через вложенные роли), отклоняется. Защита действует только на роль admin: собственная роль с теми же привилегиями под неё не попадает.
Привилегии
Страница «Настройки» → «Права» показывает каталог привилегий инсталляции с фильтром по типу и позволяет создать собственную кнопкой «+ Новое право».
Типы привилегий и их поля, действия над содержимым и над самим репозиторием, устройство имён, ограничения на собственные привилегии и готовые наборы под типовые задачи — в разделе Привилегии.
Анонимный доступ
Страница «Настройки» → «Анонимный доступ» — глобальный переключатель
«Включить анонимный доступ» (по умолчанию выключен).
Что именно доступно анонимно, определяют привилегии,
выданные роли anonymous (через страницы «Роли»/«Пользователи»).
Перед включением на публичной инсталляции проверьте набор привилегий роли anonymous: каждый неаутентифицированный запрос выполняется с этими правами.
Отключается анонимный доступ тем же переключателем. Изменение вступает в силу сразу; если серверов несколько, на остальных — с задержкой до минуты.
Не отключайте анонимный доступ снятием привилегий с роли anonymous: если у роли не останется ни привилегий, ни пользователей, при следующем перезапуске сервер выдаст ей стартовые привилегии заново. Выключайте анонимный доступ только переключателем «Включить анонимный доступ».
Цепочка аутентификации
Страница «Настройки» → «Реалмы» управляет составом и порядком реалмов:
запрос проверяется по цепочке сверху вниз, побеждает первый подходящий.
Реалмы с пометкой stub пока не работают: они отклоняют все запросы.
Не убирайте realm cookie-session из активной цепочки — без него вход в веб-интерфейс станет невозможен. Сохранение такой конфигурации блокируется.