Configurazione dei diritti di accesso alle funzionalità dell'applicazione. Controllo dell'accesso basato sui ruoli

Kaspersky Security Center offre l'accesso in base al ruolo alle funzionalità di Kaspersky Security Center e delle applicazioni Kaspersky gestite.

È possibile configurare i diritti di accesso alle funzionalità dell'applicazione per gli utenti di Kaspersky Security Center in uno dei seguenti modi:

• Attraverso la configurazione dei diritti per ciascun utente o gruppo di utenti singolarmente.
• Attraverso la creazione di ruoli utente standard con un set di diritti predefinito e l'assegnazione di tali ruoli agli utenti sulla base dell'ambito delle relative mansioni lavorative.

Il ruolo utente (definito anche ruolo) è un insieme predefinito di diritti di accesso alle funzionalità di Kaspersky Security Center o delle applicazioni Kaspersky gestite. Un ruolo può essere assegnato a un utente o a un gruppo di utenti.

L'applicazione dei ruoli utente ha lo scopo di semplificare e abbreviare le procedure di routine per la configurazione dei diritti di accesso degli utenti alle funzionalità dell'applicazione. I diritti di accesso all'interno di un ruolo vengono configurati in base alle attività standard e all'ambito delle mansioni lavorative degli utenti.

Ai ruoli utente possono essere assegnati nomi corrispondenti ai rispettivi scopi. È possibile creare un numero illimitato di ruoli nell'applicazione.

È possibile utilizzare i ruoli utente predefiniti con un set di diritti già configurato oppure creare nuovi ruoli e configurare autonomamente i diritti richiesti.

Diritti di accesso ad Administration Server e ai relativi oggetti

Durante l'installazione di Kaspersky Security Center vengono creati automaticamente i gruppi KLAdmins e KLOperators. A questi gruppi vengono concesse le autorizzazioni per la connessione ad Administration Server e per l'elaborazione dei relativi oggetti.

A seconda del tipo di account utilizzato per l'installazione di Kaspersky Security Center, i gruppi KLAdmins e KLOperators vengono creati come segue:

• Se l'applicazione è installata tramite un account utente incluso in un dominio, i gruppi vengono creati sia nel dominio che include l'Administration Server che nell'Administration Server stesso.
• Se l'applicazione è installata tramite un account di sistema, i gruppi vengono creati soltanto nell'Administration Server.

È possibile visualizzare i gruppi KLAdmins e KLOperators e modificare i privilegi di accesso degli utenti che appartengono ai gruppi KLAdmins e KLOperators utilizzando gli strumenti di amministrazione standard del sistema operativo.

Al gruppo KLAdmins sono concessi tutti i diritti di accesso, mentre al gruppo KLOperators vengono concessi soltanto i diritti di lettura ed esecuzione. I diritti concessi al gruppo KLAdmins sono bloccati.

Gli utenti appartenenti al gruppo KLAdmins sono denominati Amministratori di Kaspersky Security Center; gli utenti del gruppo KLOperators sono denominati Operatori di Kaspersky Security Center.

Oltre che agli utenti inclusi nel gruppo KLAdmins, i diritti di amministratore di Kaspersky Security Center vengono concessi agli amministratori locali dei dispositivi in cui è installato Administration Server.

Gli amministratori locali possono essere esclusi dall'elenco degli utenti che dispongono di diritti di amministratore di Kaspersky Security Center.

Tutte le operazioni avviate dagli amministratori di Kaspersky Security Center verranno eseguite utilizzando i diritti dell'account di Administration Server.

Per ciascun Administration Server della rete è possibile creare uno specifico gruppo KLAdmins, che disporrà dei diritti necessari solo per tale Administration Server.

Se si includono dispositivi appartenenti allo stesso dominio in gruppi di amministrazione di differenti Administration Server, l'amministratore del dominio sarà un amministratore di Kaspersky Security Center per tutti i gruppi. Il gruppo KLAdmins è lo stesso per questi gruppi di amministrazione e viene creato durante l'installazione del primo Administration Server. Tutte le operazioni avviate dall'amministratore di Kaspersky Security Center vengono eseguite utilizzando i diritti dell'account dell'Administration Server per cui sono state avviate tali operazioni.

In seguito all'installazione dell'applicazione, un amministratore di Kaspersky Security Center può eseguire le seguenti operazioni:

• Modificare i diritti concessi ai gruppi KLOperators.
• Concedere i diritti di accesso alle funzionalità di Kaspersky Security Center ad altri utenti e gruppi di sicurezza registrati sulla workstation dell'amministratore.
• Assegnare diritti di accesso utente in ogni gruppo di amministrazione.

L'amministratore di Kaspersky Security Center può assegnare diritti di accesso a ogni gruppo di amministrazione o ad altri oggetti di Administration Server nella sezione Protezione della finestra delle proprietà dell'oggetto selezionato.

È possibile tracciare l'attività dell'utente utilizzando i record sugli eventi durante l'esecuzione di Administration Server. I record degli eventi sono visualizzati nel nodo Administration Server della scheda Eventi. Questi eventi hanno livello di importanza Eventi informativi e i tipi di eventi iniziano con "Controllo".

Diritti di accesso alle funzionalità dell'applicazione

La tabella seguente mostra le funzionalità di Kaspersky Security Center con i diritti di accesso per gestire le attività, i rapporti e le impostazioni associati e per eseguire le azioni utente associate.

Per eseguire le azioni utente elencate nella tabella, un utente deve disporre del diritto specificato accanto all'azione.

I diritti Lettura, Scrittura ed Esecuzione sono applicabili a qualsiasi attività, rapporto o impostazione. Oltre a questi diritti, un utente deve disporre del diritto Esegui operazioni per le selezioni di dispositivi per gestire attività, rapporti o impostazioni relativi alle selezioni dispositivi.

Tutte le attività, i rapporti, le impostazioni e i pacchetti di installazione mancanti nella tabella appartengono all'area funzionale Caratteristiche generali: Funzionalità di base.

Diritti di accesso alle funzionalità dell'applicazione

Ruoli utente predefiniti

I ruoli utente assegnati agli utenti di Kaspersky Security Center forniscono set di diritti di accesso alle funzionalità dell'applicazione.

Agli utenti creati in un server virtuale non può essere assegnato un ruolo in Administration Server.

È possibile utilizzare i ruoli utente predefiniti con un set di diritti già configurato oppure creare nuovi ruoli. Quando si crea un nuovo ruolo, è necessario impostare l'ambito del ruolo e assegnare autonomamente i diritti di accesso alle funzionalità di Kaspersky Security Center. Alcuni dei ruoli utente predefiniti disponibili in Kaspersky Security Center possono essere associati a posizioni lavorative specifiche, ad esempio Auditor, Security Officer e Supervisore (questi ruoli sono presenti in Kaspersky Security Center a partire dalla versione 11). I diritti di accesso di questi ruoli sono preconfigurati in base alle attività standard e all'ambito delle mansioni lavorative delle posizioni associate. La tabella seguente illustra il modo in cui è possibile associare i ruoli a posizioni specifiche.

Esempi di ruoli per posizioni specifiche

La tabella seguente illustra i diritti di accesso assegnati a ciascun ruolo utente predefinito.

Diritti di accesso dei ruoli utente predefiniti

Aggiunta di un ruolo utente

Per aggiungere un ruolo utente:

1. Nella struttura della console selezionare il nodo con il nome dell'Administration Server desiderato.
2. Dal menu di scelta rapida di Administration Server selezionare Proprietà.
3. Nella finestra delle proprietà di Administration Server, nel riquadro Sezioni, selezionare Ruoli utente e fare clic sul pulsante Aggiungi.

   La sezione Ruoli utente è disponibile se l'opzione Visualizza le sezioni delle impostazioni di protezione è abilitata.

4. Nella finestra delle proprietà Nuovo ruolo configurare il ruolo:
   • In Sezioni selezionare Generale e specificare il nome del ruolo.

     Il nome di un ruolo non può superare i 100 caratteri.

   • Selezionare la sezione Diritti e configurare il set di diritti selezionando le caselle di controllo Consenti e Nega accanto alle funzionalità dell'applicazione.

   Se si utilizza l'Administration Server primario, è possibile abilitare l'opzione Trasferisci elenco dei ruoli agli Administration Server secondari.

5. Fare clic su OK.

Il ruolo viene aggiunto.

I ruoli utente creati per Administration Server vengono visualizzati nella finestra delle proprietà di Administration Server nella sezione Ruoli utente. È possibile modificare ed eliminare ruoli utente, nonché assegnare ruoli a gruppi di utenti o utenti selezionati.

Assegnazione di un ruolo a un utente o un gruppo di protezione

Per assegnare un ruolo a un utente o a un gruppo di utenti:

1. Nella struttura della console selezionare il nodo con il nome dell'Administration Server desiderato.
2. Dal menu di scelta rapida di Administration Server selezionare Proprietà.
3. Nella finestra delle proprietà di Administration Server selezionare la sezione Protezione.

   La sezione Sicurezza è disponibile se la casella di controllo Visualizza le sezioni delle impostazioni di protezione è selezionata nella finestra delle impostazioni dell'interfaccia.

4. Nel campo Nomi di gruppi o utenti selezionare un utente o un gruppo di utenti a cui si desidera assegnare un ruolo.

   Se l'utente o il gruppo non è contenuto nel campo, è possibile aggiungerlo facendo clic sul pulsante Aggiungi.

   Quando si aggiunge un utente facendo clic sul pulsante Aggiungi, è possibile selezionare il tipo di autenticazione utente (Microsoft Windows o Kaspersky Security Center). L'autenticazione Kaspersky Security Center viene utilizzata per selezionare gli account degli utenti interni impiegati per l'utilizzo degli Administration Server virtuali.

5. Selezionare la scheda Ruoli e fare clic sul pulsante Aggiungi.

   Verrà visualizzata la finestra Ruoli utente. In questa finestra sono visualizzati i ruoli utente che sono stati creati.

6. Nella finestra Ruoli utente selezionare un ruolo per il gruppo di sicurezza.
7. Fare clic su OK.

Il ruolo con un set di diritti per l'utilizzo di Administration Server viene assegnato all'utente o al gruppo di sicurezza. I ruoli assegnati sono visualizzati nella scheda Ruoli nella sezione Protezione della finestra delle proprietà di Administration Server.

Assegnazione delle autorizzazioni a utenti e gruppi

È possibile concedere a utenti e gruppi autorizzazioni per l'utilizzo delle diverse funzionalità dell'Administration Server e delle applicazioni Kaspersky per cui sono disponibili plug-in di gestione, ad esempio Kaspersky Endpoint Security for Windows.

Per assegnare le autorizzazioni a un utente o un gruppo di utenti:

1. Nella struttura della console eseguire una delle seguenti operazioni:
   • Espandere il nodo Administration Server, quindi selezionare la sottocartella con il nome dell'Administration Server desiderato.
   • Selezionare il gruppo di amministrazione.
2. Dal menu di scelta rapida di Administration Server o del gruppo di amministrazione selezionare Proprietà.
3. Nella finestra delle proprietà di Administration Server (o nella finestra delle proprietà del gruppo di amministrazione) visualizzata, nel riquadro sinistro Sezioni, selezionare Protezione.

   La sezione Sicurezza è disponibile se la casella di controllo Visualizza le sezioni delle impostazioni di protezione è selezionata nella finestra delle impostazioni dell'interfaccia.

4. Nella sezione Sicurezza, nell'elenco Nomi di gruppi o utenti, selezionare un utente o un gruppo.
5. Nell'elenco delle autorizzazioni nella parte inferiore dell'area di lavoro, nella scheda Diritti configurare il set di diritti per l'utente o il gruppo:
   1. Fare clic sul segno più (+) per espandere i nodi nell'elenco e ottenere l'accesso alle autorizzazioni.
   2. Selezionare le caselle di controllo Consenti e Nega accanto alle autorizzazioni desiderate.

      Esempio 1: espandere il nodo Accesso agli oggetti indipendentemente dagli elenchi di controllo degli accessi o Oggetti eliminati, quindi selezionare Lettura.

      Esempio 2: espandere il nodo Funzionalità di base, quindi selezionare Scrittura.

6. Al termine della configurazione del set di diritti, fare clic su Applica.

Verrà configurato il set di diritti per l'utente o il gruppo di utenti.

Le autorizzazioni dell'Administration Server (o del gruppo di amministrazione) sono suddivise nelle seguenti aree:

• Caratteristiche generali:
  • Gestione dei gruppi di amministrazione
  • Accesso agli oggetti indipendentemente dagli elenchi di controllo degli accessi
  • Funzionalità di base
  • Oggetti eliminati
  • Elaborazione degli eventi
  • Operazioni in Administration Server (solo nella finestra delle proprietà di Administration Server)
  • Distribuisci applicazioni Kaspersky
  • Gestione delle chiavi di licenza
  • Gestione dei rapporti forzata
  • Gerarchia di server
  • Diritti utente
  • Administration Server virtuali
• Mobile Device Management:
  • Generale
• Gestione sistema:
  • Connettività
  • Inventario hardware
  • Controllo accesso alla rete (NAC)
  • Distribuisci sistema operativo
  • Gestisci vulnerabilità e patch
  • Installazione remota
  • Inventario software

Se non si seleziona Consenti o Nega per un'autorizzazione, l'autorizzazione viene considerata non definita: è negata finché non viene negata o consentita in modo esplicito per l'utente.

I diritti di un utente sono la somma di quanto segue:

• I diritti propri dell'utente
• I diritti di tutti i ruoli assegnati all'utente
• I diritti di tutto il gruppo di protezione a cui appartiene l'utente
• I diritti di tutti i ruoli assegnati ai gruppi di protezione a cui appartiene l'utente

Se almeno uno di questi set di diritti ha l'autorizzazione Nega, l'autorizzazione viene negata all'utente, anche se altri set la consentono o la lasciano non definita.

Propagazione dei ruoli utente agli Administration Server secondari

Per impostazione predefinita, gli elenchi dei ruoli utente degli Administration Server primari e secondari sono indipendenti. È possibile configurare l'applicazione in modo da propagare automaticamente i ruoli utente creati nell'Administration Server primario a tutti gli Administration Server secondari. I ruoli utente possono inoltre essere propagati da un Administration Server secondario ai relativi Administration Server secondari.

Per propagare i ruoli utente dall'Administration Server primario agli Administration Server secondari:

1. Aprire la finestra principale dell'applicazione.
2. Eseguire una delle seguenti operazioni:
   • Nella struttura della console fare clic con il pulsante destro del mouse sul nome di Administration Server, quindi selezionare Proprietà.
   • Se è presente un criterio di Administration Server attivo, nell'area di lavoro della cartella Criteri fare clic con il pulsante destro del mouse su questo criterio, quindi selezionare Proprietà dal menu di scelta rapida.
3. Nella finestra delle proprietà di Administration Server o nella finestra delle impostazioni del criterio, nel riquadro Sezioni, selezionare Ruoli utente.

   La sezione Ruoli utente è disponibile se l'opzione Visualizza le sezioni delle impostazioni di protezione è abilitata.

4. Abilitare l'opzione Trasferisci elenco dei ruoli agli Administration Server secondari.
5. Fare clic su OK.

L'applicazione copierà i ruoli utente dell'Administration Server primario negli Administration Server secondari.

Quando l'opzione Trasferisci elenco dei ruoli agli Administration Server secondari è abilitata e vengono propagati i ruoli utente, questi non possono essere modificati o eliminati negli Administration Server secondari. Quando si crea un nuovo ruolo o si modifica un ruolo esistente nell'Administration Server primario, le modifiche vengono copiate automaticamente negli Administration Server secondari. Quando si elimina un ruolo utente nell'Administration Server primario, questo ruolo rimane negli Administration Server secondari, ma può essere modificato o eliminato.

I ruoli propagati all'Administration Server secondario dal server primario sono visualizzati con l'icona del lucchetto (). Non è possibile modificare tali ruoli nell'Administration Server secondario.

Se si crea un ruolo nell'Administration Server primario ed è presente un ruolo con lo stesso nome nell'Administration Server secondario, il nuovo ruolo viene copiato nell'Administration Server secondario con l'aggiunta di un indice al nome, ad esempio ~~1, ~~2 (l'indice può essere casuale).

Se si disabilita l'opzione Trasferisci elenco dei ruoli agli Administration Server secondari, tutti i ruoli utente restano negli Administration Server secondari, ma diventano indipendenti da quelli nell'Administration Server primario. Dopo essere diventati indipendenti, i ruoli utente negli Administration Server secondari possono essere modificati o eliminati.