标量 I6用户访问

概述

用户特权级别被手动分配给在库中创建的用户帐户。控制对库中的屏幕和操作的访问可以保存库及其数据的完整性。

创建用户后，管理员可以修改用户的设置，如密码、角色等。用户名不能修改。相反，您需要删除用户帐户并创建一个新帐户。

库中定义了三种类型的角色:

可以访问所有的库配置和操作功能，并可以设置用户和管理员帐户。该库附带一个默认管理员帐户。
默认管理员帐户的用户名是管理密码是密码．您无法修改或删除默认管理员帐户的用户名，但您可以修改密码。

可以访问一个或多个分配的分区，并可以在分区内执行操作。用户不能修改配置，只能进行操作。

除了用户访问配置之外，可以访问与管理员相同的功能。每个图书馆只有一个服务帐户。

  • 25用户会话（用户和管理员）一次可以处于活动状态。

  • 在用户未能成功登录5分钟后的5次后，发生15分钟的锁定。

    笔记：在库重新启动或重新启动后，库不会跟踪错误的日志计数和锁定时间。

  • 同一个用户可以从多个位置登录到一个库。
  • 单击WebGui右上角的“关闭”按钮（X）关闭浏览器窗口，但不会记录用户或管理员OUT。
  • 所有用户在一段可配置的不活动时间后自动登出。默认用户会话超时时间为30分钟，管理员可以修改用户会话超时时间为5分钟~ 24小时。
  • 当服务用户登录时，将自动记录所有其他活动用户以防止命令干扰。此外，在登录服务时，不会发送/通过电子邮件发送事件票。
  • 出于安全目的，管理员可以防止服务用户远程登录库，从WebGui或通过服务端口远程登录库。服务用户仍然能够从LUI登录库。

布局

显示为库创建的所有用户的列表。

细节 描述
的名字 用户名。
角色 分配给用户（管理员，用户，服务）的角色。
会话 库会话用户当前已登录。
LDAP登录 LDAP用户（是或否）。

列出北区面板中高亮显示的用户的详细信息。

信息
细节 描述
的名字 用户名。
角色 分配给用户（管理员，用户，服务）的角色。
会话 库会话用户当前已登录。
LDAP登录 LDAP用户（是或否）。

显示用户，管理员和服务用户角色的配置详细信息。

访问配置 - 用户/管理员
细节 描述
他的访问 本地用户界面的登录状态（LUI）。开放式访问，需要密码或需要引脚。
LDAP支持 启用或禁用LDAP。
会话超时 在会话结束之前，用户必须处于非活动的时间量。
多因素身份验证 启用或禁用MFA。
访问限制 用户和管理员帐户仅启用或禁用仅从定义的IP地址访问。
接入配置-业务
细节 描述
执照 服务许可证活动或非活动。
远程访问 服务远程登录访问已启用或禁用。
远程访问 - 访问窗口 时间段服务用户必须在禁用访问前远程登录。
远程访问 - 访问授予 服务远程登录访问窗口开始的时间戳。
本地访问 启用或禁用本地服务端口登录访问。
本地访问-访问窗口 时间段服务用户必须在禁用访问之前登录本地服务端口。
本地访问-访问授权 本地服务端口访问窗口开始的时间戳。
逆转隧道 启用反向隧道访问或禁用。
反向隧道-访问窗口 在不再授予/授权隧道访问权限之前，需要建立反向隧道的时间。
反向隧道-进入许可 当沿着反向隧道接入窗口开始时的时间戳。

提供用户配置和操作的选项。

操作
配置
添加 允许您设置一个用户。
调整 允许修改用户。系统配置的用户不可修改。
删除 允许您删除用户。系统已配置的用户不可用于删除。
LDAP 设置LDAP (Lightweight Directory Access Protocol)协议。LDAP可用于验证用户凭据，并为系统分配访问级别。
权利 允许您设置用户可以访问的分区。
设置 允许您配置全系统的用户详细信息。这包括会话超时、服务访问和对库LUI的用户访问。
MFA. 允许设置多因素身份验证(MFA)。MFA要求用户输入密码和认证码才能访问系统。
限制 允许您在定义的IP地址上限制对用户和管理员帐户的远程登录访问。
行动
结束会议 允许您手动结束用户会话。

任务

操作

可以添加两种类型的用户:用户和管理员。管理员可以访问所有特性和功能，而用户对他们可以配置的内容有一些限制。

  1. 从导航面板中,选择用户访问．

  2. 在里面操作面板中,单击添加．

    项 描述 行动
    用户名

    用户的名字。

    		 输入文本。
    角色

    允许您选择您想要创建的用户类型:

    • 用户
    • 管理员
    		 在下拉菜单中选择需要的角色。
    密码 允许您创建密码。密码长度必须为8-64个字符，可以包含除反勾号(')和波浪号(~)以外的任何可打印字符。 输入文本。
    确认密码 重新输入文本。

  3. 点击应用保存设置。

  4. 点击关退出窗口。

  1. 从导航面板中,选择用户访问．
  2. 在里面北面板，单击要修改的用户旁边的复选框。

  3. 在里面操作面板中,单击调整．

    项 描述 行动
    用户名

    具有Admin角色的用户可以修改“用户名”。

    “User”角色的用户不可编辑。如果要更改此字段，必须删除用户配置文件并创建一个新配置文件。

    		 如果用户角色是管理员，请修改用户名。
    角色

    允许管理员选择角色类型:

    • 用户
    • 管理员
    		 在下拉菜单中选择需要的角色。
    密码

    允许用户或管理员更改密码。密码长度必须为8-64个字符，可以包含除反勾号(')和波浪号(~)以外的任何可打印字符。

    笔记：初始安装库后，初始的Admin用户密码不能修改为默认密码“password”。初始安装后创建的Admin用户没有密码限制。

    		 输入文本。
    确认密码 重新输入文本。

  1. 点击应用保存设置。

  2. 点击关退出窗口。

  1. 从导航面板中,选择用户访问．
  2. 在里面北面板，单击要删除的用户旁边的复选框。

  3. 在里面操作面板中,单击删除．

  4. 点击应用保存设置。用户将从列表中删除北面板．

  5. 点击关退出窗口。

轻量级目录访问协议（LDAP）是提供集中用户帐户管理的行业标准Internet协议。该库基于Microsoft Active Directory和Novell eDirectory支持LDAP目录服务器。您可以在初始库配置后的任何时间配置轻量级目录访问协议（LDAP）设置。启用和配置LDAP后，您可以使用LDAP菜单查看当前的LDAP设置。

笔记：对于Unix 2.5, Active Directory不再需要Windows服务。

LDAP和AD条款

常见的名称(CN)

通常用于标识组织单位名称（OU）的属性。

例子

sysadmin组将有cn =系统管理员．

域组件（DC）

目录的域，它通常标识组织或公司。亚搏官网app登录入口

例子

My亚搏官网app登录入口company.com的域名是dc = 亚搏官网app登录入口mycompany, dc = com．

专有名称（DN）

一个路径，告诉LDAP，其中信息存储在其目录中。LDAP从右向左读取路径，具有最远的权利组件，提供目录的域和最远的左组件，提供LDAP正在寻找的信息。

组织单位（OU）

一种用来将信息组织成层次结构的组件。ou可以在LDAP或AD目录的多个级别上使用，例如充当更大的Group桶，然后保存单个组ou。

图1:示例LDAP配置

启用LDAP允许驻留在LDAP服务器上的现有用户帐户集成到库的当前用户帐户管理子系统中。用户帐户信息由不同的应用程序集中和共享，简化用户帐户管理任务。

远程客户端和操作面板不允许您在LDAP服务器上创建，修改或删除用户帐户信息。这必须由目录服务提供商完成。

对于具有用户权限的LDAP帐户：

  • 对库分区的访问由LDAP服务器上的组分配决定。
  • 必须在LDAP服务器上创建组，其中名称对应于库分区名称。
  • 用户和库组必须位于组上下文中或之下。
  • 没有管理员权限的用户必须是LDAP服务器界面中定义的用户组的成员，以及具有相同名称的组中的一部分作为库上的分区（仅限RDN [相对可分辨名称]）以便访问到库上的相应分区。
  • 具有管理员权限的LDAP帐户可以访问所有分区和管理功能，不需要分配给LDAP服务器上与分区相关的组。

笔记：用户名和组对象必须采用LDAP区分名格式。

OpenLDAP 2.4:

  • 必须安装并运行OpenLDAP 2.4或更高版本。
  • OpenLDAP 2.4及更高版本中支持的对象类型是“Person”或派生对象，组对象必须是“GroupOfNames”类型。
  • OpenLDAP必须使用覆盖支持编译，并需要安装“memberOf”覆盖。更多信息可以在OpenLDAP的手册页中用“man slapo-member of”命令找到。
  1. 从导航面板中,选择用户访问．

  2. 在里面操作面板中,单击LDAP．

    项 描述 行动
    启用LDAP

    激活LDAP设置字段。

    笔记：禁用LDAP不会导致丢失任何输入和保存的设置。如果在重新启用LDAP之前需要更改任何设置，则需要对每个字段输入必要的更改。

    		 选择复选框以启用LDAP。取消选中复选框以禁用LDAP。
    主服务器 允许您将地址输入到用于用户LDAP信息的首次访问的服务器。 输入文本。
    备用服务器 如果主服务器不可用，您可以输入服务器地址来访问用户LDAP信息。 输入文本。
    LDAP港口 基本的连接类型。默认端口为389。 选择单选按钮。
    LDAPS港口 安全连接类型。默认端口为636。 选择单选按钮。
    Starttls港口 默认端口为389。 选择单选按钮。
    主要 具有权限的用户的用户名，用于搜索尝试使用LDAP登录的用户。 输入文本。
    密码 校长的密码。 输入文本。
    确认密码 重新输入文本。
    用户DN 这是一个完全限定的LDAP DN（可分辨名称），用作搜索用户登录凭据的基础。您可以在指定的上下文中搜索用户和它下面的所有上下文。 单击+输入用户DN。
    组DN 使用此字段搜索并发现用户是成员的组。只考虑在组上下文中的组进行库访问。 输入文本。
    用户组 与图书馆关联的组。属于库用户访问组的用户被授予访问库的用户级别权限。对于用户管理分区，该用户还必须是用户组的成员，其名称与有问题的库分区相同。

    输入文本。

    笔记：您只能为此搜索值提供公共名称（CN）值。
    管理组 与库管理员关联的组，相当于本地管理用户权限级别。该组的任何成员都具有管理权限。

    输入文本。

    笔记：您只能为此搜索值提供公共名称（CN）值。

笔记：非管理员库用户还需要成为匹配它们被授予访问权限的分区名称的组的成员。这些组名称不需要在库上的LDAP设置中的任何位置专门列出。在登录期间验证用户登录时，将自动验证其用于分区访问的组成员身份。

  1. 点击应用保存设置。

  2. 选择测试标签和对您的设置运行测试以确保正确配置。

  3. 点击关退出窗口。

由于默认情况下，由于LDAP通信未加密，因此您可以使用LDAPS以获得更大的安全性。您可以使用SSL证书来执行此操作，为任何LDAP数据传输提供安全性。

  1. 从导航面板中,选择用户访问．
  2. 在里面操作面板中,单击LDAP．

  3. 选择证书选项卡。

    项 描述 行动
    证书名称

    显示LDAPS证书名称。

    		 点击浏览导航到LDAPS证书所在的位置。

  4. 点击应用保存设置。

  5. 的证书安装总结包含关于加载的LDAP证书的信息:

    项 描述
    类型

    指定证书类型。类型包括服务器，root和客户端。
    有效性 时间段证书有效。
    状态 有效或无效。
    细节 包含证书颁发者的组织名称、位置、联系方式等信息。

  6. 点击关退出窗口。

在设置LDAP时，您可能希望测试您的设置，以确保它们能够正常工作。在测试选项卡，您可以测试特定用户或您的配置设置。

笔记：的测试选项卡仅在启用LDAP选中单选按钮。

  1. 从导航面板中,选择用户访问．
  2. 在里面操作面板中,单击LDAP．

  3. 选择测试选项卡。

    项 描述 行动
    测试用户

    允许您测试特定用户的登录凭据。

    		 选择单选按钮。
    用户名 允许您输入用户名。 输入文本。
    密码 允许您输入用户的密码。 输入文本。
    测试配置 允许您测试您输入的配置设置LDAP选项卡。 选择单选按钮。

  4. 点击应用保存设置。

  5. 点击关退出窗口。

此窗口允许管理员为每个用户配置特定于分区的访问限制。

  1. 从导航面板中,选择用户访问．
  2. 中选择一个用户北面板

  3. 在里面操作面板中,单击权利．

    项 描述 行动
    分区的访问

    显示可用分区的列表。

    		 选择要启用媒体访问的分区旁边的复选框。取消选择要禁用媒体访问的分区旁边的复选框。
    媒体的限制

    列出分区的五（5）类型的媒体访问：

    • 移动-能够移动媒体从/到选定的分区
    • 进口-能够导入媒体到选定的分区
    • 出口-从选定分区导出媒体的能力
    • 卸载-能够从与选定分区相关联的驱动器中删除媒体
    • 测试-能够在选定分区的驱动器上运行EDLM扫描

    笔记：分区访问的用户限制目前没有激活。

    		 选择要用户拥有的每种类型的媒体访问复选框。

  4. 点击应用保存设置。

  5. 点击关退出窗口。

此窗口允许您为可以访问库的三个不同用户角色设置特定访问属性：用户，管理员和服务。

  1. 从导航面板中,选择用户访问．

  2. 在里面操作面板中,单击设置．

    项 描述 行动
    本地用户界面访问

    允许您决定如何访问库：

    • 开放访问- 无需登录或销钉
    • 要求登录-必须使用登录ID和密码
    • 要求销钉-必须使用密码。密码可以使用数字0-9的任意组合。
    		 选择想要的单选按钮。如果要求销钉，输入您想要使用的号码。
    管理员/用户访问 会话超时—允许设置会话结束前用户必须处于非活动状态的时间。此超时同时适用于管理员帐户和用户帐户。 从下拉菜单中选择所需的值。
    服务访问 - 启用远程和服务端口登录

    服务用户具有不同的功能，可允许它们进行故障排除和修复库函数。此区域允许您设置您希望如何访问库的Quantum维修技术人员。

    启用远程登录-允许服务用户远程访问您的图书馆。您可以将访问窗口从“无限期”设置为“72小时”。服务用户将在4小时不活动后自动登出。

    笔记：默认情况下，禁用启用远程登录250库固件和上面。

    启用本地服务端口登录-只允许服务用户访问您的图书馆，如果他们在现场，并通过图书馆服务端口插入。您可以将访问窗口从“无限期”设置为“72小时”。服务用户将在4小时不活动后自动登出。

    选择一个或两个复选框，然后从下拉菜单中选择所需的访问。
    服务访问-访问窗口

    访问窗口确定服务用户在再次禁用访问之前必须成功使用已启用的远程登录或服务端口的时间段。

    时间段从应用服务启用后开始。

    		 从下拉菜单中选择所需的服务访问时间。
    业务接入-启用反向隧道

    反向隧道允许通过安全连接对库进行量子服务访问。要启用反向隧道，发生以下过​​程：

    1. 库管理员为反向隧道设置访问窗口时间段，并在WebGUI中启用隧道。通过CBA门户向Quantum service发出反向服务隧道请求(参见基于云计算的分析）.

    2. 库或CBA管理员在CBA门户中批准请求。

    3. 一旦被批准，Quantum Service使用CBA基础设施与库进行安全连接。量子服务可以在指定的访问窗口期间连接和断开库。

    4. 当指定的访问窗口到期时，从Quantum Service到库的所有连接都将关闭。必须提出一个新的反向隧道请求。

    选中复选框以启用服务隧道。

    取消选择复选框以禁用服务隧道。
    反向隧道-访问窗口

    访问窗口决定了Quantum Service可以通过反向隧道访问库的时间段。

    一旦应用服务隧道启用，时间段开始。

    一旦反向隧道访问窗口过期，必须提出新的请求和批准以建立反向隧道。

    从下拉菜单中选择所需的反向隧道访问时间。

  3. 点击应用保存设置。

  4. 点击关退出窗口。

多因素身份验证(MFA)是一种身份验证方法，要求用户成功输入密码和身份验证码后才能访问库。

认证码是一个临时的密码，由基于时间的一次性密码(TOTP)算法。用户使用客户端设备上的验证器应用程序生成认证代码。

身份验证客户端设备

MFA要求在客户端设备(如移动电话)上下载身份验证程序。一旦安装，验证器应用程序将使用库生成的共享秘密代码进行验证。身份验证程序应用程序随后将生成身份验证代码，允许用户登录到库中，并允许管理员启用和禁用MFA。

身份验证代码是一次性使用和时间限制为90秒。

附加信息

  • 所有库用户都启用或禁用MFA。个人用户不能启用或禁用MFA。
  • Quantum强烈建议使用网络时间协议（NTP）来确保库和身份验证客户端设备同时共享。库上的时间漂移​​可以防止从工作验证客户端设备生成的身份验证代码。在库上设置NTP，请参阅设置日期和时间．
  • LDAP用户登录不支持MFA。
  • 使用LDAP登录库的管理员无法禁用MFA。必须在本地登录库中的管理员。
  • 保存MFA配置，并可以从库配置恢复(请参阅保存或恢复库配置）.Quantum建议在完成MFA启用后保存库配置。

  • Quantum强烈建议关闭远程服务登录。服务用户从来不需要使用MFA。不启用远程服务登录会带来安全风险。要禁用远程服务登录，请参见用户访问设置．

  1. 从导航面板，选择用户访问．

  2. 在“操作”面板中，单击MFA.．

  3. 选择启用多因素身份验证复选框。的基于时间的一次性密码(TOTP)被选中，库由库生成共享密码。共享秘密出现在共享秘密框，以数字和二维码格式显示。

  4. 如果您还没有这样做，请将验证器应用程序下载到客户端设备。

    • 验证器应用程序的示例将是Microsoft认证器或Google Authenticator。
    • 客户端设备的一个例子是移动电话或平板电脑。

  5. 在客户端设备上打开验证器应用程序。扫描二维码或在第三步输入库生成的共享密码。身份验证器应用程序现在将生成一个每30秒更改一次的6位身份验证代码。

  6. 输入由验证器应用程序生成的6位身份验证代码身份验证码字段。如果代码被接受，MFA将被启用。如果代码不被接受，MFA将不会被启用。

    笔记：验证码必须在验证者应用程序生成后60秒内输入并应用。如果超过90秒，必须生成新的身份验证代码才能成功启用MFA。

  7. 点击应用．MFA现在在库上启用。将需要所有后续的登录请求来配置MFA，并在系统登录尝试期间提供附加的身份验证码。

    要访问库，用户现在除了输入用户名和密码外，还必须输入身份验证码

笔记：只有库管理员可以禁用MFA。

  1. 从导航面板，选择用户访问．

  2. 在“操作”面板中，单击MFA.．

  3. 请取消启用多因素身份验证复选框。

  4. 禁用MFA需要从身份验证应用程序生成身份验证代码。输入由验证器应用程序生成的6位身份验证代码身份验证码字段。

    笔记：必须在验证器应用程序生成后90秒内输入和应用身份验证码。如果已超过90秒传递，则必须生成新的身份验证代码以成功禁用MFA。

  5. 点击应用．MFA现在在库中被禁用。

多因素身份验证指南

  1. 当前用户

    当前用户将使用分配的当前登录库用户名和密码．

    新用户

    如果新用户需要访问库，库管理员将创建一个新用户(参见添加用户）.然后，新用户将使用用户名和默认值密码由管理员创建。

  2. 新用户登录后，将出现一个对话框，其中包含数字和QR码格式的共享密码：

  3. 要完成登录过程，用户必须完成以下操作:

    • 在客户端设备上安装验证器应用程序。
    • 扫描QR码或在验证器应用程序中输入共享密码。Authenticator应用程序现在将生成每90秒更改的6位身份验证码。

  4. 当前用户

    使用验证器应用程序，用户进入身份验证码并单击应用完成登录。

    新用户

    使用验证程序应用程序，新用户输入身份验证码并单击应用．的密码更改请求然后出现对话框，提示新用户更改库管理员创建的默认密码。

用户

如果用户丢失了安装了身份验证应用程序的客户端设备(如移动电话)，那么库管理员将需要删除该用户并创建一个新的用户配置文件。

默认管理员

如果默认管理员(安装系统时创建的初始管理帐户)丢失了安装了身份验证应用程序的客户端设备，则默认管理员可以使用本地用户界面(Local User Interface, LUI)禁用MFA并获得对库的访问权。禁用MFA功能位于管理员>维护>库>禁用MFA在他。

业务用户不需要MFA身份验证。如果启用MFA，服务用户有两个选项来访问库:

  • 服务用户可以通过本地用户界面(LUI)访问库。
  • 对于对库的远程访问，管理员可以在指定的时间段内为服务用户启用远程服务登录(请参阅用户访问设置）.

允许您限制远程登录库访问的用户和管理员帐户上定义的IP地址。

笔记：此功能不适用于服务用户。

  1. 从导航面板中,选择用户访问．

  2. 在里面操作面板中,单击限制．

    笔记：如果要启用IP限制，则不能选择任何用户北控制板。

    项 描述 行动
    Current IP源IP地址 表示您当前的IP地址。启用IP限制时，IP地址必须在IP地址权限列表中。 若要将当前IP地址复制到IP地址权限列表，请单击IP地址。在“IP地址权限”中，单击“+”打开“IP地址”字段。在字段上右键单击鼠标并选择粘贴。
    启用登录限制 启用或禁用IP登录限制。当启用时，只有具有IP地址权限列表中的IP地址的用户和管理员才能对库进行远程登录访问。

    选中该复选框以启用IP地址登录限制。

    取消选中复选框，禁用“IP地址登录限制”。
    IP地址的权限

    允许您从权限列表中添加或删除IPv4和IPv6地址。最多可以将25个IP地址添加到权限列表中。

    点击+添加IP地址到列表中。

    点击垃圾图标从列表中删除一个IP地址。

  3. 点击应用保存设置。的应用如果已启用登录限制且您的IP地址不在IP权限列表中，则该按钮将被禁用。

行动

管理员可以使用此窗口结束用户会话。

  1. 从导航面板中,选择用户访问．
  2. 在里面北面板，单击您要结束的库会话的用户旁边的复选框。
  3. 在里面操作面板中,单击结束会议．
  4. 点击应用保存设置。用户会话结束。在北部面板中，会议列显示一个0(0)表示会话已结束。