Безопасность учётных записей
Разграничение прав доступа
Параметры и действия, описанные на этой странице, разделены по уровню доступа:
- Пользователь — действия, доступные любой учётной записи после авторизации в Web-интерфейсе
- Администратор — действия, требующие наличия роли Администратор (Administrator) или Администратор с ограниченным доступом (Restricted Administrator)
Note
Уточнить наличие необходимых прав можно в разделе Пользователи, группы и роли.
Персональные настройки (доступны пользователю)
Параметры учётной записи
Меню параметров учётной записи вызывается через нажатие на пиктограмму пользователя в правом верхнем углу главной страницы. Доступно для изменения любой учётной записью.
| Параметр | Описание |
|---|---|
| Язык интерфейса (Language) | Изменение языка интерфейса (Русский / Английский) |
| Тема оформления (Theme) | Цветовая схема Web-интерфейса (Системная / Светлая / Тёмная) |
| Параметры стартовой страницы (Login landing page) | Страница, открывающаяся после авторизации |
| Параметры отображения времени и даты (Display settings) | Формат отображения времени и даты |
| Параметры подтверждения действий (Confirmation Setting) | Отключение модальных окон подтверждения для отдельных действий в кластере |
| Расширенные возможности (Advanced Features) | Активация дополнительных функций интерфейса |
Смена пароля учётной записи
Пользователь может сменить пароль своей учётной записи через Web-интерфейс. Для этого необходимо перейти в персональные настройки и выбрать соответствующий пункт меню.
Управление собственными сессиями
Пользователь может просматривать список активных сессий своей учётной записи и завершать их.
Раздел: Пользователи → Мои сессии (My sessions)
Доступная информация по каждой сессии:
| Колонка | Описание |
|---|---|
| Создано (Created At) | Дата и время создания сессии |
| Истекает (Expiry) | Дата и время истечения сессии |
| IP (IP) | IP-адрес, с которого была создана сессия |
| ОС браузера (Browser OS) | Операционная система браузера |
| Провайдер (Provider) | Провайдер аутентификации сессии |
Доступные действия:
- Завершить (Terminate) — принудительно завершить выбранную сессию
Tip
Регулярно проверяйте список активных сессий и завершайте те, которые не были инициированы вами. Это поможет предотвратить несанкционированный доступ к учётной записи.
Параметры, доступные администратору
Политика учётных записей (Account Policy)
Раздел находится в Глобальные настройки → Политика учетных записей (Account Policy) и доступен только учётным записям с ролью Администратор.
Доступность параметров
Параметры политики учётных записей могут отличаться в зависимости от установленной версии платформы и используемых компонентов аутентификации.
| Параметр (UI) | Описание | Тип значения |
|---|---|---|
passwordLengthMin |
Минимальное количество символов для пароля пользователей | Число |
oldPasswordsCountMin |
Запрет повторного использования ранее установленных паролей (количество предыдущих паролей для проверки) | Число |
passwordExpirationAlarm |
Начало оповещения пользователя об истечении пароля за N дней до окончания срока действия | Число (дни) |
passwordExpiration |
Срок действия установленного пароля до принудительного обновления | Число (дни) |
userInfoRefreshPeriod |
Максимальный возраст токенов аутентификации до выполнения синхронизации членства в группах провайдера аутентификации | Cron-выражение |
uiSessionDuration |
TTL (время жизни) сессии авторизации пользователя | Число (минуты) |
apiTokenMaxDuration |
Максимальный TTL для всех токенов аутентификации (при значении 0 токен никогда не истекает) |
Число (минуты) |
Управление пользователями
Раздел: Пользователи → Пользователи (Users)
Администратор может выполнять следующие действия с учётными записями:
| Действие | Описание |
|---|---|
| Создать (Create) | Создание новой учётной записи пользователя |
| Активировать (Activate) | Активация назначенных ролей и разрешений пользователя |
| Деактивировать (Deactivate) | Временная деактивация ролей и разрешений пользователя |
| Редактировать конфигурацию (Edit config) | Изменение параметров учётной записи |
| Обновить членство в группе (Refresh group memberships) | Синхронизация связей пользователя с внешними провайдерами аутентификации |
| Скачать YAML (Download YAML) | Выгрузка конфигурации учётной записи |
| Удалить (Delete) | Удаление учётной записи |
Параметры создания пользователя
При создании новой учётной записи администратору доступны следующие параметры безопасности:
| Параметр | Описание |
|---|---|
| Имя пользователя (username) | Имя учётной записи для хранения в базе пользователей |
| Отображаемое имя (Display name) | Отображаемое имя в системе |
| Описание (Description) | Дополнительная информация о пользователе |
| Чек-бокс «Ask user to change their password on next login» | При активации при следующей авторизации будет выполнен принудительный сброс пароля и запрос на назначение нового |
| Чек-бокс «Generate a random password» | При активации будет сгенерирован случайный пароль |
| Новый пароль (New password) | Установка пароля вручную |
| Подтверждение пароля (Confirm password) | Подтверждение введённого пароля |
| Группы (Groups) | Назначение групп для пользователя |
| Глобальные права (Global permissions) | Глобальный уровень доступа ко всей платформе |
| Встроенный (Built-in) | Тонкая настройка прав доступа |
| Пользовательский (Custom) | Роли, созданные в сторонних системах |
Принудительный сброс пароля
Администратор может принудительно сбросить пароль существующей учётной записи пользователя. Для этого необходимо:
- Перейти в раздел Пользователи → Пользователи (Users)
- Выбрать нужную учётную запись
- Выбрать Редактировать конфигурацию (Edit config)
- Включить опцию «Ask user to change their password on next login»
- Установить новый пароль (или включить генерацию случайного пароля)
- Сохранить изменения
После этого при следующей авторизации пользователю будет предложено сменить пароль.
Управление сессиями пользователей (администратор)
Администратор может просматривать сессии пользователей через раздел Пользователи → Мои сессии (My sessions).
Warning
Администратор может завершить любую сессию пользователя. Будьте внимательны — завершение сессии приводит к немедленному выходу пользователя из Web-интерфейса.
Политика безопасности паролей
Требования к паролям
Платформа Боцман позволяет администратору задавать следующие требования к паролям через раздел Политика учётных записей (Account Policy):
| Параметр | Рекомендуемое значение | Описание |
|---|---|---|
passwordLengthMin |
не менее 8 | Минимальная длина пароля |
oldPasswordsCountMin |
не менее 3 | Запрет повторного использования последних N паролей |
passwordExpirationAlarm |
7–14 | Начало уведомления об истечении пароля за N дней |
passwordExpiration |
90 | Срок действия пароля (в днях) |
Принудительная смена пароля при первом входе
При создании учётной записи администратор может установить флаг «Ask user to change their password on next login», что обеспечивает:
- При первом входе пользователя в систему отображается запрос на смену пароля
- Старый (временный) пароль перестаёт действовать после установки нового
- До момента смены пароля доступ к функциональным разделам платформы ограничен
Управление токенами и сессиями
Сессии пользователей
Каждая авторизация пользователя в Web-интерфейсе создаёт новую сессию. Сессия характеризуется:
- TTL сессии (
uiSessionDuration) — время жизни сессии. По истечении этого времени пользователь будет автоматически разлогинен. Настраивается администратором. - Максимальный TTL токена (
apiTokenMaxDuration) — максимальное время жизни токенов аутентификации. При значении0токен действует бессрочно.
Bootstrap-токены Control Plane
При использовании контрольной плоскости Bootsman администратор может настроить параметры токенов в конфигурации bootsmanctl:
web:
bootstrapPassword: "<пароль администратора>"
hostname: "<адрес Web-панели>"
idTokens: "3" # Количество одновременно разрешённых токенов
validIfNotUsedFor: "24h" # Время жизни неиспользуемого токена
reuseInterval: "3h" # Минимальный интервал повторного использования токена
| Параметр | Описание | Пример |
|---|---|---|
idTokens |
Количество одновременно разрешённых токенов для одной учётной записи | "3" |
validIfNotUsedFor |
Длительность валидности токена, который не использовался | "24h" |
reuseInterval |
Минимальный интервал времени между повторным использованием одного токена | "3h" |
Ограничения механизмов безопасности
Важно
В текущей версии платформы отсутствует встроенный механизм блокировки учётной записи после определённого количества неудачных попыток авторизации.
Для защиты от атак перебором паролей рекомендуется:
- Настроить минимальную длину пароля через параметр
passwordLengthMin - Настроить срок действия пароля через параметр
passwordExpiration - Использовать внешние провайдеры аутентификации (LDAP, OIDC, Keycloak, Identity Blitz), которые могут предоставлять собственные механизмы защиты от bruteforce
- Применять сетевые политики и ограничения доступа к Web-интерфейсу на уровне инфраструктуры (фаервол, reverse-proxy с rate limiting)
Подробнее о подключении внешних провайдеров аутентификации — в разделе Аутентификация.
Сводная таблица доступности
| Действие / Параметр | Пользователь | Администратор |
|---|---|---|
| Изменение языка и темы интерфейса | ✅ | ✅ |
| Изменение стартовой страницы | ✅ | ✅ |
| Просмотр и завершение своих сессий | ✅ | ✅ |
| Смена собственного пароля | ✅ | ✅ |
| Создание новых учётных записей | ❌ | ✅ |
| Удаление учётных записей | ❌ | ✅ |
| Активация / деактивация пользователей | ❌ | ✅ |
| Принудительный сброс пароля | ❌ | ✅ |
| Настройка политики паролей (Account Policy) | ❌ | ✅ |
| Настройка TTL сессий и токенов | ❌ | ✅ |
Настройка токенов Control Plane (idTokens и др.) |
❌ | ✅ |
| Завершение чужих сессий | ❌ | ✅ |
| Подключение внешних провайдеров аутентификации | ❌ | ✅ |
| Создание и редактирование ролей и шаблонов ролей | ❌ | ✅ |
| Настройка брендинга Web-интерфейса | ❌ | ✅ |
Связанные разделы
- Авторизация и начало работы — вход в Web-интерфейс, SSO
- Глобальные и персональные параметры — настройки интерфейса
- Пользователи, группы и роли — управление пользователями
- Аутентификация — внешние провайдеры