SISTEMA DE CONTROLO DE ACESSOS

Transcrição

1 SISTEMA DE CONTROLO DE ACESSOS Versão Manual de Utilização Portugal Telecom Inovação, S.A.

2 Versão Data Responsabilidades Justificação Edição: Revisão: Aprovação: Copyright (c) 2011 PT Inovação, S.A. Todos os direitos são reservados. Este manual não pode ser total ou parcialmente copiado, fotocopiado, reproduzido, traduzido ou convertido em formato electrónico, sem prévia autorização escrita da PT Inovação, S.A. SCA SISTEMA DE CONTROLO DE ACESSOS é uma marca registada da PT Inovação, SA. Manual de Utilização V.4.6.0: Dezembro 2012 Portugal Telecom Inovação, S.A. Rua Eng. José Ferreira Pinto Basto Aveiro Portugal Tel: Fax: Portugal Telecom Inovação, S.A. ii

3 Manual de Utilização Este Manual descreve a interface de administração do SCA onde se configuram utilizadores, perfis, sistemas de gestão, domínios geridos e outras entidades necessárias o gestão controlo de acessos e segurança 1 das aplicações PTIN. O acesso a esta interface é feito via qualquer WEB browser, invocando o URL do servidor onde se encontra a aplicação web do SCA. 1 O termo controlo de acessos pode ser bastante lato. No âmbito do SCA, ele diz respeito aos processos de autenticação, autorização e auditoria. Portugal Telecom Inovação, S.A. iii

4 Glossário de termos e abreviaturas CG Centro de Gestão DG Domínio Gerido DR Domínio de Rede DS Domínio de Segurança FDG Família de Domínios Geridos GDG Grupo de Domínios Geridos LDAP Lightweight Directory Access Protocol M/O/A Mandatório/Opcional/Automático PI Ponto Intermédio SCA Sistema de Controlo de Acessos SG Sistema de Gestão SS Subsistema URL Uniform Resource Locator Portugal Telecom Inovação, S.A. iv

5 Índice de conteúdos 1 Introdução 1 2 Objectivos do Sistema 2 3 Sistema SCA Conceitos Gerais Visão Funcional Implementação Ligar Interface Multilingue Single Sign On Desligar 14 Portugal Telecom Inovação, S.A. v

6 Índice de figuras Figura 1 Sistemas de Gestão, Subsistemas e Pontos Intermédios... 3 Figura 2 Tipos de Acesso e a sua relação de ordem... 4 Figura 3 Exemplos de Famílias de Domínios Geridos... 4 Figura 4 Exemplos de Grupos de Domínios Geridos... 5 Figura 5 Exemplos de uma hierarquia de Centros de Gestão... 5 Figura 6 Perfis de um Sistema de Gestão... 6 Figura 7 Informação associada ao registo de um Utilizador... 7 Figura 8 Componentes funcionais do SCA... 8 Figura 9 Principais elementos de software do SCA Figura 10 Janela de Login Figura 11 Cenários de integração do SCA com repositórios LDAP Índice de tabelas No table of figures entries found. Portugal Telecom Inovação, S.A. vi

7 1 Introdução O Sistema de Controlo de Acessos (SCA) é um sistema independente que visa assegurar o controlo de acessos em simultâneo sobre um conjunto de aplicações co-existentes numa mesma plataforma ou portal. Tem como objectivo administrar os utilizadores e perfis de acesso numa ou mais aplicações, de forma centralizada, bem como disponibilizar métodos para controlar os acessos em cada uma dessas aplicações. Estes métodos permitem autenticar um utilizador num dado portal ou numa dada aplicação desse portal, como também verificar as permissões de acesso nos pontos de controlo internos da aplicação. O presente manual de utilizador destina-se às pessoas que têm a função de administrar os acessos dos utilizadores às várias aplicações disponibilizadas na mesma plataforma e que para isso irão aceder, via Web, à interface de administração do SCA. Esta interface, sendo a parte visível do sistema de gestão SCA, é ela própria sujeita ao controlo de acessos, pelo que também têm de ser geridos os respetivos utilizadores e permissões. No capítulo seguinte apresentam-se alguns conceitos básicos sobre os quais assenta a política de controlo de acessos do SCA, as suas grandes funcionalidades, os elementos de software que o implementam e a forma como são utilizados. O capítulo 3 descreve detalhadamente a interface de utilizador, subdividida nas várias opções de menu disponibilizadas, apresentando caso a caso as respectivas janelas gráficas e a forma de interação. Os capítulos finais contêm informação útil para o registo do sistema SCA no próprio sistema, nomeadamente a lista dos seus subsistemas e pontos intermédios, os perfis básicos essenciais para a sua operacionalização bem como a apresentação do primeiro utilizador do sistema, o fabricante, que tem privilégios especiais para utilizar algumas opções que ficarão inibidas aos utilizadores operacionais do SCA. Portugal Telecom Inovação, S.A. 1

8 2 Objectivos do Sistema O sistema tem como objectivo configurar a plataforma de controlo de acessos de aplicações clientes, tratando essencialmente de aspetos de autenticação e autorização. Permite a configuração der os utilizadores, dos seus perfis, tipos de acesso e permissões para cada zona das aplicações clientes. Portugal Telecom Inovação, S.A. 2

9 3 Sistema SCA A gestão de acessos no SCA baseia-se num conjunto de entidades tipo que é necessário configurar e administrar, tendo em vista as características e requisitos de acesso a cada sistema de gestão. 3.1 Conceitos Gerais Definem-se em seguida as principais entidades. Aplicação O mesmo que sistema de gestão ou sistema (ex: Customer Care, NGIN Manager, Altaia, CadRede). Sistema de Gestão Aplicação para a qual se requer uma política de controlo de acessos. Subsistema Componente funcional de um sistema, que pode operar isoladamente e que, em conjunto com outros subsistemas formam um sistema de gestão. O mesmo que módulo. Ponto Intermédio de Acesso Ponto interno dum subsistema que requer verificação de privilégios. Neste ponto são comparados os privilégios atribuídos ao utilizador para o subsistema em causa com o privilégio mínimo definido para este ponto intermédio de acesso. Se o utilizador não possuir privilégios iguais ou superiores ao mínimo requerido é-lhe negado o acesso a este ponto. Figura 1 Sistemas de Gestão, Subsistemas e Pontos Intermédios Portugal Telecom Inovação, S.A. 3

10 Tipo de Acesso Privilégio de acesso conferido a um utilizador para um determinado subsistema (mediante a atribuição de um perfil) ou, quando referente a um ponto intermédio de acesso o privilégio mínimo que um utilizador deve possuir para ter acesso a este ponto. Por exemplo: Consulta, Operação, Configuração, Administração; ou simplesmente; 1, 2, 3,..., n. Deve existir uma relação de ordem natural entre os tipos de acesso, por exemplo, o tipo Consulta está contido em Operação, Operação está contido em Configuração e Configuração está contido em Administração. Essa relação de ordem é determinada por um código numérico associado. Figura 2 Tipos de Acesso e a sua relação de ordem Domínio Gerido Partição ou visão de interesse sobre um conjunto de entidades geridas. Essa partição pode ser de âmbito geográfico, tecnológico ou outro. Pode ser um qualquer atributo numa aplicação, relacionado com o próprio negócio dessa aplicação, que determina o particionamento do universo gerido e no qual se pretenda controlar o acesso aos utilizadores dessa aplicação. Regiões Geográficas Tecnologias Figura 3 Exemplos de Famílias de Domínios Geridos Portugal Telecom Inovação, S.A. 4

11 Família de Domínios Geridos Conjunto de domínios geridos de um mesmo tipo ou âmbito. Por exemplo: família das Tecnologias ou família de regiões geográficas. Grupo de Domínios Geridos Conjunto de domínios geridos que reúne domínios geridos de diferentes âmbitos, ou seja, de diferentes famílias de domínios geridos. Figura 4 Exemplos de Grupos de Domínios Geridos Centro de Gestão Entidade organizacional responsável pela gestão de uma parte da rede gerida. Pode ser um departamento, um centro de supervisão ou qualquer outra subdivisão da hierarquia organizacional da empresa operadora. Cada utilizador do sistema de gestão pertence a um e um só centro de gestão. Um centro de gestão pode ter responsabilidades em vários domínios geridos e, por outro lado, um domínio gerido pode ser partilhado por vários centros de gestão. Raiz Departamento de Compras Setor de Produção Gerência Administrativa Hardware Software Figura 5 Exemplos de uma hierarquia de Centros de Gestão Matriz de Possibilidades Matriz que cruza centros de gestão com domínios geridos. Restringe o universo de domínios geridos que podem ser atribuídos a um utilizador pertencente a determinado centro de gestão. Portugal Telecom Inovação, S.A. 5

12 Perfil Agregação de um ou mais subsistemas de gestão que podem ser acedidos sob um determinado tipo de acesso. Um perfil pode ser concedido a vários utilizadores. A definição de perfis de forma independente dos utilizadores é vantajosa pois permite a reutilização e combinação de perfis e maior simplicidade na configuração de utilizadores de um determinado sistema de gestão. Por exemplo, um conjunto de perfis tipo pode ser definido a priori no SCA, sendo depois atribuídos aos utilizadores à medida que estes são criados. Se existirem, por exemplo, dez utilizadores com os mesmos privilégios nos mesmos subsistemas, define-se apenas um único perfil que é atribuído aos dez utilizadores. Um utilizador pode ter vários perfis se a diversidade dos seus papéis no sistema assim o determinar. Ao ser atribuído um perfil a um utilizador, dependendo do seu centro de gestão, são extraídos da matriz de possibilidades os domínios geridos a que o utilizador pode ter acesso, para dessa lista se selecionarem aqueles a que neste perfil irá ter acesso. Um subsistema pode ser incluído em mais do que um perfil, com o mesmo ou diferente tipo de acesso. Figura 6 Perfis de um Sistema de Gestão Domínio de Rede Domínio de Rede 2 ou domínio de segurança é um conceito que surge no SCA para responder à necessidade de o repositório de utilizadores SCA poder ser complementado com informação de utilizadores de domínios de rede, por exemplo, para efeitos de Single Sign On 3. Na perspectiva do SCA, um domínio de rede identifica um servidor onde se localiza um repositório de utilizadores que estão autorizados a aceder aos recursos físicos ou lógicos pertencentes a uma dada rede cujo âmbito pode abarcar uma organização, empresa, zona geográfica, etc. 2 Este conceito surgiu na geração V3 do SCA. 3 Single Sign On (SSO) é uma propriedade que permite que um utilizador se autentique apenas uma vez e (no caso de ser autenticado com sucesso), ganhe acesso a todos os sistemas configurados para trabalharem desta forma. Portugal Telecom Inovação, S.A. 6

13 No contexto deste manual será frequente a identificação de domínio de rede ou de segurança com a denominação de repositório externo e em particular repositório LDAP 4, dada ser esta a tecnologia que suporta a autenticação de utilizadores deste tipo de domínios. Utilizador Pessoa registada no SCA com o objectivo de requerer credenciais de acesso a um ou mais sistemas de gestão. Os principais campos que compõem o seu registo no SCA são: Nome (username); Senha de acesso (password); Centro de Gestão; Língua preferencial de acesso; Domínio de Rede; Sistema(s) de Gestão autorizados; Lista de perfis que determinam quais os subsistemas que o utilizador pode aceder, o respetivo tipo de acesso e a lista de domínios geridos autorizados; Outros atributos como: máximo tentativas de login e de sessões simultâneas, tempo máximo de sessão e de inactividade, dados pessoais; Conjunto de atributos extra opcionais e caso estejam definidos. Figura 7 Informação associada ao registo de um Utilizador 4 O SCA apenas suporta comunicação com directórios Active Directory via protocolo LDAP. Portugal Telecom Inovação, S.A. 7

14 3.2 Visão Funcional O SCA subdivide-se nos seguintes componentes funcionais: A interface gráfica para administração de utilizadores, perfis, aplicações, domínios geridos e outra informação. É suportada em tecnologia Web e disponibilizada via Internet/Intranet a partir de um servidor aplicacional (por exemplo: Tomcat, Weblogic, etc.); A API funcional, invocada em tempo real pelas aplicações para a autenticação e validação das permissões dos seus utilizadores. Esta API é disponibilizada em versão Java e PL/SQL, sendo a versão Java linkada na origem com as aplicações que pretendem interrogar a base de dados do SCA para efeitos de controlo de acessos; As TagLibs que facilitam a integração do SCA com as aplicações clientes para tarefas como: autenticação e autorização. A figura seguinte ilustra a interação entre a componente Web e a API funcional do SCA. Figura 8 Componentes funcionais do SCA Através da sua interface de administração o SCA disponibiliza funções tais como: Configurar as aplicações geridas (sistemas de gestão), os seus módulos (subsistemas) e pontos de controlo (pontos intermédios); Configurar as unidades organizacionais (centros de gestão ou supervisão) a que pertencem os utilizadores das aplicações; Configurar domínios geridos segundo variados critérios, possibilitando dessa forma uma partição natural do universo gerido e a capacidade de Portugal Telecom Inovação, S.A. 8

15 restringir a visibilidade que os utilizadores têm sobre os objectos desse mesmo universo; Mapear domínios geridos com centros de gestão e supervisão, através de uma matriz de possibilidades, permitindo definir janelas mais restritas sobre o universo gerido; Configurar utilizadores para qualquer aplicação ou sistema de gestão; Configurar domínios de rede (repositórios externos de utilizadores); Integrar utilizadores de repositórios externos, para possibilitar o Single Sign On nas aplicações a partir da autenticação nesses domínios; Configurar perfis básicos de funcionalidades que se atribuem a um ou mais utilizadores; Relacionar utilizadores com objectos geridos (por exemplo: domínios geridos), funções aplicacionais (por exemplo: perfis) e tipos de operação permitidos; Obter relatórios de utilizadores e perfis, segundo diversos critérios; Consultar as sessões abertas nas várias aplicações geridas pelo SCA; Efectuar ações de criação, alteração ou remoção massiva de utilizadores, a partir de ficheiros externos previamente configurados. Através da sua API com as aplicações o SCA disponibiliza funções tais como: Autenticar e autorizar um utilizador num portal de aplicações ou numa dada aplicação; Alterar a password de um utilizador; Obter as aplicações a que o utilizador tem permissões de acesso; Obter os pontos de controlo que o utilizador pode executar; Validar a permissão de manipular um objecto de acordo com os domínios geridos atribuídos; Gerir informação de logging de sessões. Portugal Telecom Inovação, S.A. 9

16 3.3 Implementação Os principais elementos de software que constituem o SCA são os seguintes: Servidor Web pode considerar-se subdividido em cinco principais blocos de software: Aplicação WEB conjunto de páginas JSP e classes Java responsáveis pela interface que o administrador vê no seu browser; API JAVA código Java que implementa o controlo dos utilizadores e das respetivas permissões nas aplicações; TagLibs facilitam a integração do SCA com aplicações clientes para tarefas como: autenticação e autorização. ibatis framework de persistência de dados que permite a interação entre a aplicação Web e a base de dados (open source); Jasper Reports framework para elaboração de relatórios (open source). Base de Dados contém o repositório dos dados do SCA bem como packages de PL/SQL utilizadas quer pela API Java do SCA quer pela aplicação Web: Tabelas SCA e outros objetos tabelas que contêm dados configurados via interface de administração, isto é, informação sobre as aplicações, utilizadores, perfis, etc. Objetos como vistas ou jobs; Package SCA_ADMIN_API conjunto de procedimentos PL/SQL usados pela aplicação Web; Package SCA_PCK conjunto de procedimentos PL/SQL usados pela API de controlo de acessos. A figura seguinte ilustra os elementos descritos. Figura 9 Principais elementos de software do SCA Portugal Telecom Inovação, S.A. 10

17 3.4 Ligar Ligar o sistema consiste na invocação da aplicação de administração, via um Web browser 5. Aparece ao utilizador a página de entrada, onde lhe são pedidas as suas credenciais de acesso: username e password. Figura 10 Janela de Login Na página de entrada no sistema, importa perceber dois conceitos disponibilizados no SCA: interface multilingue e Single Sign On. As secções seguintes introduzem estes conceitos Interface Multilingue Esta funcionalidade traduz-se no suporte de várias línguas no interface de utilizador. O SCA suporta o Inglês do Reino Unido, o Português de Portugal, o Francês de França e o Português do Brasil. A disponibilização de uma interface de utilizador multilingue justifica-se em ambientes onde existam utilizadores de várias línguas ou idiomas. Para tal o SCA disponibiliza mecanismos para comutação automática e manual da língua apresentada na interface do utilizador. Os pontos de decisão da língua são os seguintes: Na primeira invocação do SCA, após a instalação, numa dada plataforma, é apresentada a linguagem que estiver configurada no browser; 5 O SCA não garante suporte com todos os Web browser e define como preferencial o Internet Explorer versões 6 e 7. Para utilizar a versão 8 poderá ser necessário a visualização em Modo de compatibilidade com versões anteriores. Portugal Telecom Inovação, S.A. 11

18 Na janela de login, a escolha de uma das bandeiras disponíveis, representativas das línguas dos países respetivos, permitirá a comutação temporária (da página de entrada) para outro dicionário; Após a autenticação de um dado utilizador, a língua comutará automaticamente para a que estiver definida na sua ficha de registo no SCA (desde que o SCA suporte um dicionário para essa língua); Cada autenticação com sucesso atualizará um cookie residente na máquina cliente com a língua preferencial do utilizador no último acesso. Será esta que vigorará na próxima instanciação da aplicação. Em qualquer outra aplicação gerida pelo SCA, a interface de utilizador poderá funcionar da mesma forma, caso essa aplicação implemente os mecanismos descritos. O SCA fornece à aplicação cliente a língua preferencial do utilizador corrente, pois é um dos atributos que ficam acessíveis logo após o login com sucesso Single Sign On A utilização do conceito SSO permite a um utilizador autenticar-se apenas uma vez e ter acesso a múltiplos sistemas através dessa autenticação. Esta funcionalidade pode ser bastante útil em sistemas que apesar de serem independentes se encontram interligados e coexistem num mesmo ambiente. Este conceito é reforçado no SCA com a possibilidade deste se interligar a domínios externos LDAP ou Active Directory. Assim, um utilizador pode ser autenticado num domínio de rede e mais tarde ser autorizado numa dada aplicação sem ter necessidade de repetir o processo de autenticação. Neste contexto o SCA possibilita vários cenários: Cenário 1 Acesso a uma aplicação com as credenciais do utilizador correntemente autenticado no domínio de rede Silent Login O utilizador autenticou-se previamente no domínio de rede, por exemplo quando iniciou a sessão no seu computador. Esta autenticação será reutilizada quando o utilizador tentar aceder a uma determinada aplicação/portal que necessita de autenticação. O SCA designa esta forma de login como Silent Login. Cenário 2 Acesso a uma aplicação com as credenciais do utilizador correntemente autenticado no domínio de rede, mas permitindo autenticar-se com um outro par de credenciais Em qualquer momento, um utilizador autenticado numa aplicação/portal pelo cenário anterior poderá terminar a sua sessão e autenticar-se com outra conta de utilizador, i.e., com outro par username e password. Cenário 3 Acesso a uma aplicação sem credenciais prévias O utilizador não se autenticou previamente em nenhum domínio de rede e ao tentar aceder à aplicação é-lhe solicitada a autenticação. Ele introduz o seu username e password e se correctamente autenticado, tem acesso à aplicação. De notar, que as credenciais podem ser as de domínio de rede. Cenário 4 Acesso a uma aplicação dentro de uma sessão portal Neste cenário, mostra-se o conceito de Single Sign On, ou seja, qualquer que tenha sido a forma como o utilizador se autenticou numa primeira aplicação, vamos supor que no portal Web, ele terá acesso a todas as aplicações debaixo deste sem ter que repetir o processo de autenticação. Portugal Telecom Inovação, S.A. 12

19 Figura 11 Cenários de integração do SCA com repositórios LDAP Para além dos capítulos deste manual onde se detalham determinadas ações de administração relacionadas com esta funcionalidade, recomenda-se a consulta do Manual de Administração LDAP, sobretudo a quem tem de configurar o ambiente de instalação do SCA integrado com domínios LDAP. Portugal Telecom Inovação, S.A. 13

20 3.5 Desligar Desligar o sistema consiste na invocação do logout da aplicação de administração. Portugal Telecom Inovação, S.A. 14

21 Portugal Telecom Inovação, S.A. Rua Engº José Ferreira Pinto Basto Aveiro - Portugal Tel: Fax: ISO LABORATÓRIOS ACREDITADOS CETLAB - Laboratório de Redes Privadas e Terminais CETLCE - Laboratório de Calibração e Ensaio