Группы пользователей и права доступа

Доступ к интерфейсу управления группами и правами доступа можно получить через веб-панель администратора, перейдя в раздел «Пользователи» и нажав соответствующую кнопку:

Управление группами

Механизм групп позволяет определять группы пользователей, которые затем могут ограничивать права доступа к приложениям и другим службам (например, почте или XMPP). Обратите внимание, что создание группы не обязательно: вы также можете ограничить доступ к приложению или службе для каждого пользователя отдельно.

Однако использование групп полезно с точки зрения семантики. Например, если на вашем сервере размещено несколько групп друзей, ассоциаций или предприятий, вы можете создать группы, такие как association1 и association2 и добавить участников каждой ассоциации в соответствующую группу.

Также можно определить почтовые псевдонимы для группы, так что письма, отправленные на адрес groupe@domain.tld, будут рассылаться всем участникам группы.

Группы по умолчанию

По умолчанию создаются следующие специальные группы:

• all_users, содержащий всех пользователей, зарегистрированных на YunoHost;
• visitors, относящийся к пользователям, просматривающим сервер, не войдя в систему;
• admins, содержащий администраторов YunoHost, которые будут иметь доступ по SSH, а также к веб-панели администратора.

Содержание этих групп изменить нельзя, можно изменить только предоставленные им права доступа.

Список существующих групп

Из веб-интерфейса

Существующие группы перечислены в верхней части страницы группы и разрешения (groups and permissions).

Из командной строки

Чтобы вывести список существующих групп в командной строке:

yunohost user group list
groups:
  all_users:
    members:
      - alice
      - bob
      - charlie
      - delphine

Создание новой группы

Из веб-интерфейса

Чтобы создать новую группу, просто нажмите кнопку «Новая группа» (New Group) вверху страницы. Вы можете выбрать только название, состоящее из букв (прописных и строчных) и пробелов. Группа будет создана пустой и без каких-либо прав доступа.

Из командной строки

В командной строке для создания новой группы с именем yolo_crew

yunohost user group create yolo_crew

Обновление группы

Из веб-интерфейса

Давайте добавим в эту группу первого пользователя: на панели групп нажмите кнопку «Добавить пользователя», прокрутите список до нужного пользователя и щёлкните по нему.

Чтобы удалить пользователя, нажмите на крестик рядом с его именем на панели групп.

Из командной строки

В командной строке используйте следующую команду, чтобы добавить charlie и delphineв группу yolo_crew:

yunohost user group add yolo_crew charlie delphine

(Аналогично, команда remove может использоваться для удаления участников из группы)

Теперь в списке групп мы должны увидеть:

yunohost user group list
groups:
  all_users:
    members:
      - alice
      - bob
      - charlie
      - delphine
  yolo_crew:
    members:
      - charlie
      - delphine

Удаление групп

Из веб-интерфейса

Чтобы удалить группу, нажмите на красный крестик в правом верхнем углу панели группы. Вам будет предложено подтвердить действие.

Из командной строки

Чтобы удалить группу yolo_crew через CLI, можно выполнить команду

yunohost user group delete yolo_crew

Управление правами доступа

Механизм прав доступа позволяет ограничивать доступ к службам (например, почте, XMPP...) и приложениям или даже к отдельным их частям (например, к интерфейсу администрирования WordPress).

Список разрешений

Из веб-интерфейса

На странице групп перечислены права доступа, предоставленные каждой группе, включая специальные группы all_users и visitors.

Из командной строки

Чтобы вывести список разрешений и соответствующих прав доступа в командной строке:

yunohost user permission list
permissions:
  mail.main:
    allowed: all_users
  wordpress.admin:
    allowed:
  wordpress.main:
    allowed: all_users
  xmpp.main:
    allowed: all_users

В данном случае все зарегистрированные пользователи могут пользоваться электронной почтой и XMPP, а также получать доступ к блогу на WordPress. Однако никто не может получить доступ к панели администратора WordPress.

Более подробную информацию можно получить, добавив опцию --full: она выведет список пользователей, относящихся к разрешенным группам, а также URL-адреса, связанные с тем или иным правом доступа (актуально для веб-приложений).

Предоставить доступ группе или пользователям

Из веб-интерфейса

Чтобы добавить разрешение группе, просто нажмите кнопку «+» на панели группы, прокрутите список до нужного разрешения и нажмите на него.

Обратите внимание, что вы также можете предоставить доступ отдельному пользователю, воспользовавшись специальной панелью в нижней части страницы.

Из командной строки

Чтобы предоставить группе доступ к интерфейсу администрирования WordPress через CLI:

yunohost user permission update wordpress.admin --add yolo_crew

Обратите внимание, что вы также можете предоставить доступ отдельному пользователю, воспользовавшись специальной панелью в нижней части страницы.

yunohost user permission update wordpress.admin --add alice

Теперь мы видим, что и YoloCrew, и Alice имеют доступ к панели администратора WordPress:

yunohost user permission list
  [...]
  wordpress.admin:
    allowed:
      - yolo_crew
      - alice
  [...]

Обратите внимание: если мы хотим ограничить права на отправку электронной почты так, чтобы это мог делать только Боб, нам также следует удалить all_users from the из списка разрешений — либо убрав эту запись на панели группы all_users, либо через интерфейс командной строки (CLI):

yunohost user permission update mail --remove all_users --add bob

Обратите внимание, что некоторые права доступа могут быть «защищёнными»: это означает, что вы не сможете добавить группу посетителей к такому праву или удалить её из него. Как правило, это связано с тем, что подобные действия лишены смысла или создают угрозу безопасности.

Веб-панель администратора выдаст предупреждение, если вы установите разрешение, которое перекрывается более широким разрешением.

Скрыть/отобразить определенные плитки на пользовательском портале

Начиная с версии YunoHost 4.1, можно скрывать или отображать определённые плитки в SSO.

Из веб-интерфейса

В веб-интерфейсе администратора это можно сделать, перейдя к представлению соответствующего приложения, выбрав пункт «Управление метками и плитками» (Manage label and tiles) и установив или сняв флажок «Отображать плитку на пользовательском портале» (Display the tile in the user portal) для соответствующего права доступа.

Из командной строки

В командной строке это можно сделать с помощью:

# Enable the tile for the WordPress admin interface
yunohost user permission update wordpress.admin --show_tile True

Настройка групповых псевдонимов

Для каждой группы можно использовать почтовые псевдонимы, однако их настройка пока доступна только через интерфейс командной строки (CLI). Например, для группы admins настроены такие псевдонимы, как admins@domain.tld, root@domain.tld и т. д.: письма, отправленные на эти адреса, будут пересылаться всем участникам группы admins.

Команда yunohost user group info выведет их список.

yunohost user group info admins
  [...]
  mail-aliases:
    - root@maindomain.tld
    - admin@maindomain.tld
    - admins@maindomain.tld
    - webmaster@maindomain.tld
    - postmaster@maindomain.tld
    - abuse@maindomain.tld
  [...]

Чтобы добавить новое письмо, используйте действие add-mailalias или remove-mailalias, чтобы удалить его.

yunohost user group add-mailalias <group> <address@domaine.tld>