Permissions付与および回収

Overview

管理者はユーザーまたはユーザーグループにサーバーまたはサーバーグループに対するアクセス権限（Permission）を直接付与または回収できます。 一度付与されたPermissionは修正が不可能で、削除のみ可能です。

Permissions付与

1. 権限を付与する対象を選択します。

1. Administrator > Servers > Server Access Control > Access Controlメニューに移動します。
2. 権限を付与するユーザーまたはユーザーグループを選択します。

2. Step 1: 権限を付与するサーバーまたはサーバーグループのアカウントを選択します。

1. まず左側リストでアクセス権限を付与するサーバーグループを選択します。
2. 選択したサーバーグループに属するサーバーおよびアカウントが右側に表示されます。リストで権限を付与するサーバーとアカウントを選択します。
   1. 右側でServersで権限を付与するサーバーを選択します。
   2. 右下Accountsで選択されたサーバーに接続できるAccountを選択します。
3. Nextボタンをクリックします。

3. Step 2: 選択したサーバーに対するアクセス可能ポリシーを設定します。

1. Step 1 で選択していた全体アカウントを最終確認して間違って付与されたアカウントがないかを確認します。 もし修正を望む場合 Previous ボタンをクリックして以前の段階に移動できます。
2. ポリシーの各項目は以下の通りです。
   1. {n} Server(s) selected: 項目は Step 1 で選択していたServer数 x Accountの数が表示されます。 クリックすると各項目をリスト形態で確認できます。
   2. Set Permissions by Minute: このオプションを選択するとサーバーアクセス権限を分単位で設定できます。チェックボックスを選択すると下記設定項目が有効化されます。
      1. Start Trigger : 権限付与開始条件を選択します
         1. Access to the Server : ユーザーがサーバーにアクセスする時、即座に権限が有効化されます。サーバーセッション維持可否と関係なく、有効化時点から指定された期間の間サーバーに接続できます。
         2. Grant : 権限付与即座にタイマーが開始され、ユーザーの実際接続可否と関係なく指定された期間の間のみ権限が有効です。
      2. Duration(Minutes): 権限が有効な分単位時間を入力します。
   3. Expiration Date: 接続権限有効期限を設定します。最大1年まで設定できます。（Default = 1年後）
   4. Protocols: サーバー接続に使用するプロトコルを使用します。
   5. Command Template: サーバーに接続後使用不可能なコマンドセットを設定できます。下段のCommand Template Detailsをクリックして設定された詳細条件を確認できます。
      *制約事項: (10.2.1) Grant PermissionsではDenyに設定されたCommand Templateのみ使用が可能です。
   6. Configure Server Privilege : Permissionに適用するServer Privilege設定を追加します。選択すると、Server Privilegeで使用するコマンドとPrivilege Expiration Dateを設定できます。権限を分単位で設定する場合は、Privilege Start TriggerおよびPrivilege Duration(Minutes)も設定できます。
   7. Access Start Time: 接続可能開始時間を設定します。
   8. Access End Time: 接続可能終了時間を設定します。
   9. Access Weekday: 接続を許可する曜日を設定します。
   10. IP Addresses: 接続を許可するIPアドレスを設定します。
   11. Command Audit: このPermissionを通じて接続されたセッションで使用されたcommandのログ可否を設定します。
   12. Command Detection: ScriptおよびAliasが呼び出される時、内部の禁止コマンド検出可否を設定します。
       *制約事項: (10.2.1) Bash Shellでのみ動作、Scriptで他のScriptを呼び出すコマンドは実行ブロック
   13. Session Recording: このPermissionのSSH、SFTP、TELNET、FTPセッションレコーディングオプションを設定します。デフォルト値はOnです。実際のセッションレコーディングは、接続時点で適用されるすべてのポリシーの結果に従います。（11.5.8、11.6.6からサポート）
   14. Session Recording Max Size (MB) : セッションレコーディングファイルの最大チャンクサイズをMB単位で設定します。デフォルト値は100MBで、10MBから1024MBまで入力できます。Session RecordingがOffの場合、この項目は無効化されます。（11.5.8、11.6.6からサポート）
   15. Proxy Usage: QueryPie AgentでこのPermissionを通じてサーバー接続可能可否を設定します。
   16. Require Privilege: このオプションを有効化すると、ユーザーが該当アカウントでサーバーに接続するためにServer Privilege Requestワークフローを通じた承認手順を必須で経ることになります。これはWindowsサーバーの管理者（Admin）アカウントのように高い権限のアカウントに対するアクセスを一時的に許可し管理する時に有用です。
   • このオプションが有効化されたアカウントで接続を試行するとユーザーダッシュボードでサーバー接続時、Connectボタンが無効化され、アクセス権限要求を提出しなければならないという案内メッセージが表示されます。
   • Require PrivilegeオプションはサーバーのOS種類と関係なくすべてのアカウントに適用できます。
   17. Allow Local Port Forwarding: このPermissionで接続したクライアントからリモートサーバーへのローカルポートフォワーディングを許可します。VS Code Remote SSHなど、ローカルポートフォワーディングを使用するクライアントで必要です。（10.3.0からサポート）
   18. Allow RDP Clipboard: このPermissionで接続したRDPセッションのクリップボードリダイレクト許可有無を設定します。Disableに設定すると、RDPセッションでクリップボードリダイレクトを使用できません。（11.5.8、11.6.6からサポート）
   19. Max Sessions: 一ユーザーが一サーバーに同時接続可能なセッション数を制限します。
   20. Session Timeout (minutes): 入力された時間（分）だけ活動しないとセッションは終了されます。
3. 右下のGrantボタンをクリックすると権限付与が完了します。

Access Control権限回収

1. Server Settings > Server Access Control > Access Controlメニューに移動します。
2. 権限を付与するユーザーまたはユーザーグループを選択します。
3. 接続可能サーバーリストで回収するサーバー/アカウントを選択します。（複数選択可能）
4. リスト左上に表示されるRevokeボタンをクリックします。
5. 確認ポップアップでRevoke入力後Revokeボタンを押すとRoleが正常に回収されます。