Перейти до змісту

Безпека та вхід➧

Огляд

Налаштування входу та захисту системи зібрані на окремій вкладці Конфігурація > Конфігурація системи → «Безпека» (потрібне право «Читання/зміна системних налаштувань»). Тут же можна переглянути IP-адреси, заблоковані захистом від перебору паролів, і розблокувати їх.

Вкладка «Безпека»➧

Картка Що налаштовується
Заблоковані IP-адреси список заблокованих адрес та розблокування, див. нижче
Вхід час життя ключа (сесії), способи входу (логін/пароль, SSO), параметри SSO (OIDC)
Безпека захист від перебору паролів, вимоги до складності пароля
Проксі роботу за проксі та довірені мережі

Опис кожного параметра — у розділі Налаштування системи (.env).

Після натискання «Зберегти» налаштування застосовуються одразу, перезапуск не потрібен. Зберігаються лише параметри цієї вкладки — параметри вкладки «Конфігурація системи» не змінюються.

Client secret

Client secret SSO-провайдера в інтерфейсі не показується — у полі видно лише, що він заданий. Якщо залишити поле порожнім, збережеться поточний secret; щоб замінити його, введіть нове значення.

Захист від перебору паролів➧

Захист вмикається параметром «Увімкнути захист від брутфорсу» і діє для входу за логіном та паролем (вхід через SSO не обмежується).

  • Кожна невдала спроба входу рахується для IP-адреси, з якої вона зроблена. Лічильник скидається, якщо протягом 10 хвилин нових помилок не було.
  • Після «Кількість спроб входу» невдалих спроб IP блокується на «Таймаут блокування IP» секунд. Поки IP заблокований, вхід з нього неможливий навіть з правильним паролем — користувач бачить повідомлення про блокування.
  • WildcoreDMS запам'ятовує, з якими логінами намагались увійти з цього IP. Це допомагає зрозуміти, чи це користувач помилився паролем, чи хтось перебирає облікові записи.
  • Блокування записується в журнал дій системи (подія про блокування IP з кількістю спроб, логінами та часом розблокування).
  • Успішний вхід скидає лічильник для цього IP.

Користувач за NAT

Блокується IP-адреса, а не користувач. Якщо кілька співробітників виходять в інтернет через одну адресу, помилки одного з них можуть заблокувати вхід усім. Для таких випадків збільшіть «Кількість спроб входу» або розблокуйте адресу вручну.

Якщо WildcoreDMS працює за проксі, увімкніть «Проксі ввімкнутий», інакше всі запити будуть виглядати як запити з адреси проксі і блокування зачепить усіх користувачів — див. Використання проксі.

Розблокування➧

У веб-інтерфейсі➧

Картка «Заблоковані IP-адреси» показує для кожної адреси логіни, з якими намагались увійти, кількість спроб, час блокування та час автоматичного розблокування.

Дія Як
Розблокувати одну адресу кнопка «Розблокувати» у рядку адреси
Розблокувати всі адреси, з яких входили під певним логіном введіть логін у поле «Логін» і натисніть «Розблокувати за логіном», або натисніть на логін у таблиці
Розблокувати все «Розблокувати всі»
Оновити список кнопка оновлення праворуч

Типова ситуація

Користувач кілька разів помилився паролем і не може увійти. Не потрібно шукати його IP — введіть його логін і натисніть «Розблокувати за логіном».

На сервері➧

sudo wca security:reset:ipblock                  # розблокувати всі адреси
sudo wca security:reset:ipblock 192.0.2.15       # одну адресу
sudo wca security:reset:ipblock --login=admin    # усі адреси, з яких входили під логіном admin

Note

Блокування зберігаються в кеші. Очищення кешу (wca cache:memcache:flush) або перезапуск контейнерів також знімає всі блокування.

Вимоги до пароля➧

Якщо увімкнено «Перевірка складності пароля», при створенні користувача та зміні пароля у веб-інтерфейсі (адміністратором у картці користувача або самим користувачем у параметрах аккаунту) WildcoreDMS вимагає пароль:

  • не коротший за 8 символів;
  • з великими та малими літерами;
  • з цифрою;
  • зі спецсимволом (!@#$%^&*(),.?":{}|<>).

Вимога не діє для вже встановлених паролів — вона перевіряється лише при їх зміні. Команда wca user:reset-password складність пароля не перевіряє.