Как управлять пользователями

Учётная запись в vStack Center появляется пустой: создание заводит запись с именем, но без пароля и без единой роли. Работать такой пользователь не сможет — войти ему нечем, а если и войдёт, то ни одного объекта не увидит. Полный ввод в строй занимает три действия: создать запись, задать пароль, назначить роль в нужном ВЦОД (виртуальном центре обработки данных).

Второй практический момент — управление пользователями закреплено за одной ролью. Cluster master делает всё, остальным приходит отказ -403 «Access denied». Исключений два: свой пароль пользователь меняет сам, свои параметры интерфейса — тоже сам.

Что нужно заранее

• Роль Cluster master для всех операций, кроме смены собственного пароля и своих параметров интерфейса.
• Имя будущей учётной записи: от 4 до 41 символа, только латинские буквы, _ и -. Цифр в имени нет.
• Пароль, проходящий парольную политику кластера. Действующие требования показаны в разделе Settings, блок Security policy — см. «Как настроить вход и управлять сессиями».
• ВЦОД, в котором пользователю нужна роль, и сама роль — из списка на табе Roles.

Шаг 1. Посмотрите, кто уже есть

1. Откройте Provider Data Center → Users & Roles.

2. Перейдите на таб Users. В таблице стоят колонки Name, Status, Full Name, Created и Changed; состояние записи показывает Status.

   

3. Длинный список сузит поле Search in table, весь список выгружает кнопка CSV, остальные страницы открывает постраничная навигация под таблицей.

Список показывает только активные учётные записи: деактивированной записи в нём нет.

Шаг 2. Создайте учётную запись

1. На табе Users нажмите Actions и выберите Create user.

2. Укажите имя учётной записи — от 4 до 41 символа, латинские буквы, _ и -. Имя уникально в кластере.

3. Укажите полное имя, если оно нужно: это подпись для человека, поле необязательное.

4. Подтвердите создание и убедитесь, что запись появилась в таблице Users.

Пароля у новой записи нет — его задают отдельно, на следующем шаге. Вместе с записью включается требование сменить пароль при первом входе, поэтому первый пароль будет временным.

Шаг 3. Задайте пароль

Свой пароль меняет сам пользователь, прав администратора кластера для этого не нужно. Пароль другой учётной записи задаёт Cluster master: в разделе Users & Roles откройте нужную запись и задайте новый пароль.

Пароль проверяется дважды. Сначала на состав символов: пробелов в пароле быть не может. Затем на парольную политику кластера — минимальная длина, заглавные и строчные буквы, цифра, спецсимвол. Ещё одно требование включено всегда: пароль не совпадает с именем учётной записи. Когда пользователь меняет свой пароль, новый пароль должен отличаться от текущего. Пароли разных учётных записей не сравниваются.

Смена пароля гасит прежний доступ: все ранее выданные сессии пользователя признаются недействительными. Пользователя, который в этот момент работает в интерфейсе, выкинет на форму входа.

Пароль, который администратор задал чужой записи, работает как временный. При следующем входе пользователь попадает на форму смены пароля, и до смены остальные разделы ему закрыты. На смену даётся 5 минут. Предупредите пользователя заранее. Что он увидит при входе, разобрано в разделе «Принудительная смена пароля при первом входе».

Шаг 4. Назначьте роль

Права появляются только вместе с назначением роли, и роль выдаётся не «вообще», а в границах ВЦОД. Откройте учётную запись в разделе Users & Roles, добавьте роль и укажите ВЦОД, в котором она действует.

Проверьте результат там же: у записи перечислены её роли вместе с ВЦОД. Подробный разбор ролей, областей видимости и снятия роли — в инструкции «Как настроить роли и привилегии».

Как разблокировать учётную запись

Кластер блокирует запись сам, когда неудачные попытки входа исчерпали лимит политики. Признак блокировки — состояние записи в списке Users. Если срок блокировки в политике равен нулю, он не истечёт никогда, и снимать блокировку придётся руками.

Откройте заблокированную запись в разделе Users & Roles и снимите блокировку. Вместе с ней сбрасываются счётчик неудачных попыток и время первой из них. Пароль при этом не меняется: если пользователь забыл пароль, разблокировки недостаточно — нужен шаг 3.

Как ограничить, откуда пользователь входит

Для учётной записи можно объявить белый список сетей в формате CIDR — тогда вход разрешён только с адресов перечисленных сетей. Список ведётся в самой учётной записи: сети добавляют и удаляют по одной.

Принимаются подсети IPv4 с маской от 8 до 32 (192.0.2.0/24) и IPv6 с префиксом от 16 до 128 (2001:db8::/32). Сеть, которая в списке уже есть, повторно не добавляется.

Так же устроен список разрешённых vhost: имя vhost — строка от 5 до 512 символов.

Как деактивировать учётную запись

Деактивация убирает запись из списка Users и вычищает связанные с ней данные. Откройте учётную запись в разделе Users & Roles и выполните удаление.

Встроенные учётные записи кластера — с идентификаторами меньше 10 — деактивировать нельзя: платформа отвечает отказом «Build-it users removal prohibited». То же правило действует и на назначения ролей встроенных записей.

Персональные параметры интерфейса

Часть настроек интерфейса — например выбранная тема — хранится не в браузере, а у самой учётной записи. Поэтому они переезжают вместе с пользователем: настройка, сделанная на одном рабочем месте, применится и при входе с другого. Наборы настроек разных пользователей не пересекаются.

Если операция отклонена

Код	Причина	Что делать
-403 «Access denied»	у роли нет прав на управление пользователями	выполните операцию от имени Cluster master; свои роли посмотрите в разделе Users & Roles
-22505 «Bad name param value»	в имени есть цифры, пробелы или прочие недопустимые символы либо длина вне 4–41 символа	оставьте латинские буквы, _ и -, уложитесь в 4–41 символ
-22516 «User with name '<name>' exists already»	имя уже занято другой учётной записью	выберите другое имя
-22515 «Failed to add an user»	запись не создалась на стороне базы	повторите; если повтор не помог, проверьте состояние кластера
-22803, -22804, -22805	учётная запись не опознана: обращение ушло без идентификатора	вернитесь на таб Users и откройте запись заново
-22606, -22720, -22906 «Specified user was not found»	записи больше нет либо она уже деактивирована	обновите список Users
-22610 «Build-it users removal prohibited»	попытка деактивировать встроенную запись с идентификатором меньше 10	встроенные записи не удаляются, создайте отдельного пользователя
-22320	назначение роли встроенной записи либо роль уже назначена	возьмите обычную учётную запись; текущие назначения посмотрите в самой записи
-22712 «Bad password»	в пароле есть пробел	уберите пробельные символы
-22730…-22735, -22737	пароль не проходит парольную политику	посмотрите действующие требования в Settings → Security policy
-24713 «remote param has mask out of range 8..32»	маска IPv4 вне диапазона 8–32 либо префикс IPv6 вне диапазона 16–128	приведите маску к допустимой
-24712, -24715	значение не читается как подсеть CIDR	укажите подсеть вида 192.0.2.0/24 или 2001:db8::/32
-24714	такая сеть у пользователя уже есть	сверьтесь со списком сетей учётной записи
-24812 «vhost param has bad length»	имя vhost короче 5 или длиннее 512 символов	приведите длину к допустимой
-29030, -39030 «No user with ID==<uid>»	сессия ссылается на удалённую учётную запись	войдите заново под существующим пользователем

См. также

• Как устроены роли, привилегии и области видимости — «Модель доступа vStack Center».
• Как собрать кастомную роль и назначить её в ВЦОД — «Как настроить роли и привилегии».
• Парольная политика, блокировка и завершение сессий — «Как настроить вход и управлять сессиями».
• Полные наборы полей и сводка кодов — «Поля и коды ошибок методов доступа».

Методы API

Операции этой страницы в API: user-list, user-get, user-create, user-set-password, user-unlock, user-role-assign, user-roles-map, user-remote-list, user-remote-add, user-remote-delete, user-vhost-list, user-vhost-add, user-vhost-delete, user-delete, user-params-get, user-params-set — см. Справочник API.