Создание локальных групп и настройка правил группы в Workspace ONE Access

В службе Workspace ONE Access можно создавать группы, добавлять в них пользователей и создавать правила группы. Затем на основе заданных правил можно заполнить группы.

С помощью групп можно назначать права на одни и те же ресурсы сразу нескольким пользователям, а не каждому по отдельности. Пользователь может принадлежать к нескольким группам. Например, если создать группу «Продажи» и «Управление», менеджер по продажам может принадлежать к обеим группам.

При этом можно указать, какие параметры политики применяются к участникам группы. Пользователи в группах определяются правилами, установленными для атрибута пользователя. Если значение атрибута пользователя изменяется по сравнению со значением, установленным в правиле группы, пользователь удаляется из группы.

Процедура

В консоли Workspace ONE Access на вкладке «Пользователи и группы» щелкните Группы.
Щелкните Добавить группу.
Введите имя и описание группы. Нажмите кнопку Далее.
Добавьте пользователей в группу. Чтобы добавить пользователей в группу, введите несколько букв имени пользователя. По мере ввода текста отображаются соответствующие имена.
Выберите имя пользователя и щелкните +Добавить пользователя.
Продолжайте добавлять пользователей в группу.
Добавив пользователей в группу, нажмите кнопку Далее.

На странице «Правила группы» выберите способ предоставления членства в группе. В раскрывающемся меню выберите Любое или Все.

Параметр	Действие
Любое	Предоставление членства в группе при выполнении любого из условий для такого членства. Этот вариант дает такой же результат, как условие «ИЛИ». Например, если выбрать параметр Любое для правил Группа является «Продажи» и Группа является «Маркетинг», членство в этой группе предоставляется сотрудникам отдела продаж и отдела маркетинга.
Все	Предоставление членства в группе при выполнении всех условий для такого членства. Вариант «Все» дает такой же результат, как условие «И». Например, если выбрать Все из указанного для правил Группа является «Продажи» и Адрес электронной почты начинается с «западный_регион», членство в этой группе предоставляется только сотрудникам отдела продаж в западном регионе. Сотрудникам отдела продаж в других регионах членство не предоставляется.

Параметр

Действие

Любое

Предоставление членства в группе при выполнении любого из условий для такого членства. Этот вариант дает такой же результат, как условие «ИЛИ». Например, если выбрать параметр Любое для правил Группа является «Продажи» и Группа является «Маркетинг», членство в этой группе предоставляется сотрудникам отдела продаж и отдела маркетинга.

Все

Предоставление членства в группе при выполнении всех условий для такого членства. Вариант «Все» дает такой же результат, как условие «И». Например, если выбрать Все из указанного для правил Группа является «Продажи» и Адрес электронной почты начинается с «западный_регион», членство в этой группе предоставляется только сотрудникам отдела продаж в западном регионе. Сотрудникам отдела продаж в других регионах членство не предоставляется.

Настройте одно или несколько правил для своей группы. Можно создавать вложенные правила.

Параметр	Описание
Атрибут	Выберите один из этих атрибутов в раскрывающемся меню в первом столбце. Выберите атрибут «Группа», чтобы добавить имеющуюся группу в создаваемую. Чтобы определить, какие пользователи в группах будут входить в создаваемую группу, можно добавить другие типы атрибутов.
Правила для атрибутов	Доступность следующих правил зависит от выбранного атрибута. Выберите элемент является, чтобы выбрать группу или каталог, которые необходимо связать с этой группой. Введите имя в текстовом поле. По мере ввода будет отображаться список доступных групп или каталогов. Выберите элемент не является, чтобы выбрать группу или каталог, которые нужно исключить. Введите имя в текстовом поле. По мере ввода будет отображаться список доступных групп или каталогов. Выберите элемент соответствует, чтобы предоставить членство в группе для записей, которые точно соответствуют введенным критериям. Например, в организации может быть отдел командировок, который совместно использует центральный номер телефона. Если нужно предоставить доступ к приложению для бронирования командировок всем сотрудникам, которые совместно используют этот номер, создайте правило, например «Номер телефона соответствует +7 (123) 456–78-90». Выберите не соответствует, чтобы предоставить членство в группе для всех записей сервера каталогов, кроме тех, которые соответствуют введенным критериям. Например, если один из ваших отделов совместно использует центральный номер телефона, можно запретить доступ к приложению социальной сети для его сотрудников, создав соответствующее правило, например «Номер телефона не соответствует +7 (123) 456–78-90». Приложение будет доступно для пользователей, в записях сервера каталогов которых указаны другие номера телефонов. Выберите элемент начинается с, чтобы предоставить членство в группе для записей сервера каталогов, которые начинаются с введенных критериев. Например, адреса электронной почты организации могут начинаться с имени отдела (sales_имя_пользователя@example.com). Если нужно предоставить доступ к приложению для всех сотрудников отдела продаж, можно создать соответствующее правило, например «Адрес электронной почты начинается с sales_». Выберите не начинается с чтобы предоставить членство в группе для всех записей сервера каталогов, кроме тех, которые начинаются с введенного критерия. Например, если адреса электронной почты сотрудников отдела кадров записываются в формате hr_имя_пользователя@example.com, можно запретить доступ к приложению, установив соответствующее правило, например «Адрес электронной почты не начинается с hr_». Приложение будет доступно для пользователей, в записях сервера каталогов которых указаны другие адреса электронной почты.
Использование атрибутов «Любое» и «Все»	(Необязательно.) Чтобы включить атрибуты «Любое» и «Все» в правило группы, добавьте это правило последним. Выберите атрибут Любое, чтобы членство в группе предоставлялось при выполнении любого из условий членства в этом правиле. С помощью атрибута «Любое» можно создавать вложенные правила. Например, можно создать правило со следующими критериями: «Группа является Продажи», «Группа является Краснодарский край». Для критерия «Группа является Краснодарский край» можно установить любой из следующих критериев: «Телефон начинается с 415» или «Телефон начинается с 510». Участник группы должен быть сотрудником отдела продаж в Краснодарском крае с номером телефона, который начинается с 415 или 510. Выберите атрибут Все, чтобы для этого правила выполнялись все условия. Таким образом можно создавать вложенные правила. Например, можно создать правило со следующими критериями: «Группа является Менеджеры», «Группа является Отдел обслуживания». Для критерия «Группа является Отдел обслуживания» можно установить все эти критерии: «Адрес электронной почты начинается с cs_» и «Телефон начинается с 555». Участники группы могут быть менеджерами или сотрудниками отдела обслуживания клиентов, но адрес электронной почты сотрудников отдела обслуживания клиентов при этом должен начинаться с cs, а номер телефона — с 555.

Параметр

Описание

Атрибут

Выберите один из этих атрибутов в раскрывающемся меню в первом столбце. Выберите атрибут «Группа», чтобы добавить имеющуюся группу в создаваемую. Чтобы определить, какие пользователи в группах будут входить в создаваемую группу, можно добавить другие типы атрибутов.

Правила для атрибутов

Доступность следующих правил зависит от выбранного атрибута.

Выберите элемент является, чтобы выбрать группу или каталог, которые необходимо связать с этой группой. Введите имя в текстовом поле. По мере ввода будет отображаться список доступных групп или каталогов.
Выберите элемент не является, чтобы выбрать группу или каталог, которые нужно исключить. Введите имя в текстовом поле. По мере ввода будет отображаться список доступных групп или каталогов.
Выберите элемент соответствует, чтобы предоставить членство в группе для записей, которые точно соответствуют введенным критериям. Например, в организации может быть отдел командировок, который совместно использует центральный номер телефона. Если нужно предоставить доступ к приложению для бронирования командировок всем сотрудникам, которые совместно используют этот номер, создайте правило, например «Номер телефона соответствует +7 (123) 456–78-90».
Выберите не соответствует, чтобы предоставить членство в группе для всех записей сервера каталогов, кроме тех, которые соответствуют введенным критериям. Например, если один из ваших отделов совместно использует центральный номер телефона, можно запретить доступ к приложению социальной сети для его сотрудников, создав соответствующее правило, например «Номер телефона не соответствует +7 (123) 456–78-90». Приложение будет доступно для пользователей, в записях сервера каталогов которых указаны другие номера телефонов.
Выберите элемент начинается с, чтобы предоставить членство в группе для записей сервера каталогов, которые начинаются с введенных критериев. Например, адреса электронной почты организации могут начинаться с имени отдела (sales_имя_пользователя@example.com). Если нужно предоставить доступ к приложению для всех сотрудников отдела продаж, можно создать соответствующее правило, например «Адрес электронной почты начинается с sales_».
Выберите не начинается с чтобы предоставить членство в группе для всех записей сервера каталогов, кроме тех, которые начинаются с введенного критерия. Например, если адреса электронной почты сотрудников отдела кадров записываются в формате hr_имя_пользователя@example.com, можно запретить доступ к приложению, установив соответствующее правило, например «Адрес электронной почты не начинается с hr_». Приложение будет доступно для пользователей, в записях сервера каталогов которых указаны другие адреса электронной почты.

Использование атрибутов «Любое» и «Все»

(Необязательно.) Чтобы включить атрибуты «Любое» и «Все» в правило группы, добавьте это правило последним.

Выберите атрибут Любое, чтобы членство в группе предоставлялось при выполнении любого из условий членства в этом правиле. С помощью атрибута «Любое» можно создавать вложенные правила. Например, можно создать правило со следующими критериями: «Группа является Продажи», «Группа является Краснодарский край». Для критерия «Группа является Краснодарский край» можно установить любой из следующих критериев: «Телефон начинается с 415» или «Телефон начинается с 510». Участник группы должен быть сотрудником отдела продаж в Краснодарском крае с номером телефона, который начинается с 415 или 510.
Выберите атрибут Все, чтобы для этого правила выполнялись все условия. Таким образом можно создавать вложенные правила. Например, можно создать правило со следующими критериями: «Группа является Менеджеры», «Группа является Отдел обслуживания». Для критерия «Группа является Отдел обслуживания» можно установить все эти критерии: «Адрес электронной почты начинается с cs_» и «Телефон начинается с 555». Участники группы могут быть менеджерами или сотрудниками отдела обслуживания клиентов, но адрес электронной почты сотрудников отдела обслуживания клиентов при этом должен начинаться с cs, а номер телефона — с 555.

(Необязательно.) Чтобы исключить определенных пользователей, введите имя пользователя в текстовом поле и щелкните Исключить пользователя.
Нажмите кнопку Далее и просмотрите сведения о группе. Щелкните Создать группу.

Дальнейшие действия

Добавьте ресурсы, на использование которых группе назначены права.