Tilgangar i bofh

Tilgangskontrollen i bofh styrer kva kommandoar du har lov til å køyre, og kva endringar du har lov til å gjere. Dersom du får informasjon om ein kommando frå bofh, så har du òg lov til å bruke den – men det kan vere begrensningar på korleis du kan bruke den.

Ei kort oppsummering av korleis tilgangar er satt opp:

• Alle vanlege brukarar kan sjå og endre på noko av informasjonen om seg sjølv, som er det du kan gjere i Brukerinfo og litt til.
• Leiarar/ansvarlege for enheter har tilgangar til sin enhet.
• Lokale IT-ansvarlege kan endre på informasjonen til brukarane, grupper og anna som er tilknytta deira eining. Dette gjerast vanlegvis gjennom eigne driftsbrukarar.
• Houston/USIT kan endre på informasjonen til dei fleste brukarar.

Tildeling av rettigheter skjer i hovudsak med grupper. Lokale IT-ansvarlege har eigne driftsbrukarar, som er medlem av spesielle driftsgrupper per enhet.

For å få utvida tilgangar i bofh, må din linjeleiar sende e-post til Houston med kva tilgangar som trengs og oppgitt årsak.

Sjå tilgangar

Dersom du ikkje har tilgang til å endre på ein entitet kan du slå opp kva grupper som har tilgang til entiteten:

• access user brukarnavn - Tilgang til brukarkonto
• access disk disken - Tilgangar til ein disk. I praksis betyr dette som oftast tilgang til alle brukarkontoane med heimeområdet sitt på denne disken.
• access host host - Tilgangar til ein host. I praksis betyr dette som oftast tligang til alle brukarkontoane med heimeområdet sitt på denne hosten.
• access group gruppe -  Tilgangar til ei gruppe. Merk at moderatortilgangar har blitt flytta. Sjå kommandoane "group info" og "group list_roles".

Desse returnerer ei liste over driftsgruppene som har tilgang til den spesifikke brukarkontoen, disken, gruppa eller maskina. Det er då medlemma i desse gruppene som kan gjere endringar på entiteten. Døme:

jbofh> access user olano
Operation set  TType Target               Attr    Type      Name
Lita1          host  arkimedes            s.*     group     studit
Studit         host  arkimedes            s.*     group     studit
Termvakter     host  arkimedes            s.*     group     hf-brukeradm
Termvakter     host  arkimedes            s.*     group     hf-imv-drift
Termvakter     host  arkimedes            s.*     group     imk-drift
Termvakter     host  arkimedes            s.*     group     jus-drift-supervakt
Termvakter     host  arkimedes            s.*     group     mntv
Termvakter     host  arkimedes            s.*     group     studit-forstelinje-fak
Termvakter     host  arkimedes            s.*     group     svit-supervakt
Termvakter     host  arkimedes            s.*     group     uv-drift-supervakt 

I dømet over har ulike grupper tilgang til brukarkontoen olano, bl.a. hf-brukeradm, mntv og uv-drift-supervakt, som er lokal IT-ansvarlig-grupper. For å sjå kva desse gruppene kan gjere på oppgitt brukarkonto må du sjå på handlingssetta som står under Operation set. Bruk kommandoen access show_opset for å liste ut handlingane til handlingssettet. Døme:

jbofh> access show_opset Lita1
Operation        Attribute        Description
disk_quota_show                   View disk quota information
email_info_det                    View detailed information about e-mail account
qua_add                           Set quarantine on entity
qua_disable                       Temporarily disable quarantine on entity
qua_remove                        Remove quarantine on entity
set_password                      Set password

I dette tilfellet har dei med Lita1-tilgang til brukarkontoen mulighet til å blant anna få ut meir detaljert informasjon om diskkvota og e-postkontoen til brukarkontoen, kunne sette og fjerne karantener, og sette nytt passord.

For å sjå alle Operation set kan du bruke kommandoen access list_opset.

Tildele tilgangar

Alle skal i utgangspunktet ha så få rettigheter som mogeleg i bofh - du skal berre ha tilgang til det som er nødvendig for å få gjort påkrevd arbeid og få gjort dette effektivt, men minst mogeleg anna.

For å gje nokon tilgang til å utføre operasjonar bruker du bofh-kommandoen access grant. Døme:

jbofh> access grant Group-owner teo-drift group teo
OK, granted teo-drift access Group-owner to group teo

Gruppa teo-drift har no moderator-tilgang til gruppa teo, og alle medlem av gruppa teo-drfit kan no fritt melde folk inn og ut av gruppa teo.

Du kan også knytte rettigheter mot anna enn grupper, til dømes kva disk brukarkontoar ligg på. Døme:

jbofh> access grant Lita2 teo-drift disk /uio/teo-u1
OK, granted teo-drift access Lita2 to disk /uio/teo-u1

Denne kommandoen gir alle i gruppa teo-drift tilgang til å utføre alle operasjonar i OpSet Lita2 (du ser kva med access show_opset) mot alle brukarkontoar som har heimeområdet sitt på disken /uio/teo-u1.

Merk: Brukarkontoar som får tildelt nye rettigheter må logge av og på bofh att dersom dei ikkje har hatt samme type rettighet før. Dette kjem av at kva kommandoar du får sett i bofh berre sjekkast ved pålogging - tilgangskontroll køyrast for kvar kommando.

For å sjå kva OpSet som kan tildelast, køyr acces list_opsets. Du ser ikkje nødvendigvis kva du sjølv har tilgang til å sette av OpSets. Då må du sjå på kva grupper du er medlem av har tilgang til.

Det er berre enkeltgrupper som har tilgang til å tildele rettigheter, og det er også begrensa kva du får lov til å tildele, og kva som er mogeleg å tildele.

Vil du fjerne ein rettighet, gjer du det med kommandoen access revoke. Kommandoen bruker samme parametera som access grant.

jbofh> access revoke Group-owner teo-drift group teo
OK, revoked Group-owner access for teo-drift from group teo

Gruppetilgangar

Tilgangar til grupper har eit eige opplegg. Sjå meir detaljar under Administrasjon av manuelle grupper: Administratorer og moderatorer.

Du får oversikt over kven som har admin- og moderatortilgang til ei gruppe med kommandoen group info. Du kan liste ut kva ein entitet har av admin- og moderatortilgangar for grupper, både direkte og via andre grupper, med kommandoen "group list_roles".