Группы пользователей

В этом разделе панели администратора создаются группы пользователей, на которые распространяются правила ролевой модели.

Создание группы пользователей

Поле	Описание
Название группы	Укажите уникальное название, которое описывает группу пользователей.
Платформа	Веб-приложение, десктоп-приложение, iOS, Android. Можно выбрать все сразу.
Тип подключения	Выбор контура корпоративной сети передачи данных (КСПД), который настраивается в разделе File Service: Внутренний контур — будут выбраны пользователи внутри контура КСПД: их IP-адрес входит в список масок из раздела Контур; Внешний контур — будут выбраны пользователи снаружи КСПД: их IP-адрес не входит в список масок из раздела Контур. Чтобы настройки КСПД не мешали работе ролевой модели, в разделе File Service включите Контур флажком Включено. Во всех полях настроек правил контура укажите any. Затем укажите IP-маски своей корпоративной сети.
Статус корпоративности устройства	Признак того, что устройство пользователя корпоративное. Чтобы признак работал, заранее сгенерируйте и настройте корпоративные сертификаты на клиентских устройствах и дополнительно настройте серверную часть. Подробности — в поддержке eXpress или в документации для администраторов.

Как «корпоративность устройства» выглядит на стороне пользователя?

Если администратор сервера включил проверку корпоративности, а устройство пользователя ещё не подтверждено как корпоративное, в настройках приложения появляется пункт Подтвердить корпоративное устройство. Когда пользователь нажимает на него и подтверждает:

• если на устройстве установлен действительный корпоративный сертификат — ОС запрашивает пароль от приватной части сертификата и разрешение приложению eXpress использовать сертификат. При успехе пользователь видит уведомление Роль корпоративного устройства подтверждена, а пункт пропадает из настроек;
• если сертификата нет или он недействителен — пользователь видит сообщение Клиентский сертификат недействителен. Данное устройство не может быть подтверждено как корпоративное;

Подтверждённое устройство может потерять корпоративную роль, например если сертификат отозван или тот же сертификат подтвердили на другом устройстве. Тогда пункт Подтвердить корпоративное устройство снова появляется в настройках, а рядом с аватаром пользователя отображается маркер-точка, как у индикатора «Идут работы на сервере».

Добавление пользователей в группу

Операции с группами пользователей — база знаний, откроется в новой вкладке

Описание полей

Поле	Описание
Группа в AD (состоит/не состоит)	Есть поиск только по глобальным группам Active Directory. Можно вручную вставить значения только для универсальных групп через Enter. Наличие пользователя в группе пока не проверяется. Группы пользователей из Active Directory Когда создаёте в Active Directory группу для ролевой модели, задайте параметру Область действия значение Универсальная. Варианты Локальная в домене и Глобальная для ролевой модели не подходят. Пока поддерживаются только универсальные группы AD, а поиск в поле находит только глобальные группы. Поэтому универсальную группу введите вручную и нажмите Enter. Пока нельзя посмотреть, кто попал в группу, и выбрать группу AD из списка. Это планируется. Пока не проверяется, состоит ли пользователь в группе Active Directory. Поэтому проверку правила проще начать с конкретного пользователя в группе: найдите поиском его логин или впишите его HUID и нажмите Enter.
Роли в KeyCloak (состоит/не состоит)	Нет поиска. Можно вручную вставить значения через Enter. Наличие пользователя в группе пока не проверяется. Роли пользователей из OpenID (Keycloak) Роль пользователя из OpenID, как и группа из AD, должна быть указана в профиле пользователя в панели администратора CTS. Роли синхронизируются из OpenID из полей на вкладке Role mapping в разделе Users консоли администратора Keycloak. Если роли в карточке пользователя в админке CTS нет: Запустите стандартную синхронизацию: нажмите Синхронизировать в настройках регистрации. Попросите пользователя перезайти в приложение. Если это не поможет — обратитесь в поддержку eXpress.
Должность	Нет поиска. Наличие пользователя в группе пока не проверяется. Значения этих полей вписываются вручную. Их можно скопировать из карточки пользователя. Чтобы сохранить добавленные значения, нажмите кнопку Сохранить группу.
Компания
Отдел
Домен
Конкретные пользователи	Есть поиск по логину. Можно вручную вставить значения HUID через Enter. Наличие пользователя в группе можно проверить по значению HUID. ⚠️ В поле Конкретные пользователи можно указать не больше 100 пользователей. Чтобы найти конкретных пользователей или пользователей-исключения, начните набирать логин и выберите подходящий вариант в выпадающем меню, либо введите HUID пользователя и нажмите клавишу Enter. Списки пользователей можно загружать из файлов CSV в том же формате, что и для раздела Пользователи.
Пользователи-исключения

Как создать группу со всеми пользователями?

Чтобы правило действовало на всех пользователей сервера, не выбирайте ничего: ни группу AD, ни роль OpenID, ни свойство, ни конкретного пользователя.

Как сочетаются выбор группы AD и роли OpenID?

Отбор работает по принципу логического «И»: пользователь попадет в группу пользователей ролевой модели, только если у него совпадение и по группе AD, и по роли OpenID.