Дискреционный принцип контроля доступа позволяет осуществлять настройку разрешенных операций для любого пользователя или группы пользователей. При попытке доступа происходит проверка списков контроля доступа, по результатам которой запрос разрешается или отклоняется. Настройка правил контроля доступа может производиться как для отдельных пользователей, так и для групп пользователей.
Раздел Списки контроля имеет следующее окно интерфейса (рисунок 56).
Рисунок 56 – Окно интерфейса раздела Списки контроля доступа
Интерфейс данного раздела представляет некую таблицу, которая содержит следующую информацию:
- ID – идентификатор списка;
- Применено к – к кому применен список, к пользователю, группе или ко всем сущностям;
- Затрагиваемые ресурсы – перечень ресурсов, разрешенных операций с ресурсами;
- № ресурса/Принадлежит – кому принадлежит ресурс;
- Разрешенные действия.
В данном разделе имеется кнопка , позволяющая создать правило контроля (рисунок 57).
Рисунок 57 – Окно интерфейса создания нового правила контроля доступа
Окно создания списка контроля содержит несколько областей:
- Область применения можно указать, для кого будут назначаться права (Все, Пользователь или Группа). При выборе Пользователь или Группа появится раскрывающийся список существующих пользователей/групп.
- Затрагиваемые ресурсы можно установить ресурсы, к которым будет представлен доступ.
- Подмножество ресурсов:
- Все – правило будет распространено все ресурсы системы, отмеченные в Затрагиваемых ресурсах.
- ID – позволяет применить правило для конкретного ID ресурса, применимо только к «Затрагиваемым ресурсам» - Группы, Зоны и Пользователи.
- Группа – представляет собой выпадающий список с перечнем групп и применяет правило только к тем ресурсам, которые относятся к данной группе.
- Кластер - представляет собой выпадающий список с перечнем кластеров и применяет правило только к тем ресурсам, которые относятся к данному кластеру.
- Разрешенные действия позволяет определить доступные операции для выбранных ресурсов:
- Представление – отвечает за отображение ресурсов, т.е. их видимость для пользователя.
- Пользование – позволяет использовать ресурс, без внесения в него изменений (например, использование ВМ, образа или виртуальной сети).
- Управление – позволяет вносить изменения в ресурс (например, остановка ВМ, изменение ее ресурсов, изменение атрибута образа виртуального диска на «постоянный» и т.д.).
- Администрирование – специальные операции (например, создание/удаление ролей, изменение параметров узлов и кластеров). Данные операции должны назначаться только пользователям с ролью администратора.
- Создать – операции создания нового ресурса.