Sécurité des activités d'audit
Les activités sur ThingWorx Platform s'effectuent dans le contexte d'un utilisateur, en particulier le contexte de sécurité d'un utilisateur. Un utilisateur peut être une personne qui appelle un service sur un objet ou il peut s'agir d'un serveur de connexion ThingWorx qui accède à la plateforme pour livrer des messages entrants de périphériques Edge. Ces deux utilisateurs opèrent dans un contexte de sécurité défini, déterminé par les permissions attribuées à l'utilisateur. Il existe des permissions pour les phases de conception et d'exécution.
 |
Pour plus d'informations sur l'audit d'un commutateur dans un contexte de sécurité, consultez la section
Audit du changement de contexte de sécurité .
|
Définition des permissions
Dans ThingWorx, il existe deux ensembles de permissions, l'un dédié à la conception et l'autre à l'exécution. Les permissions de conception permettent de gérer les utilisateurs habilités à modifier les entités (création, lecture, mise à jour et suppression). Les permissions d'exécution déterminent qui peut accéder aux données, exécuter des services et déclencher des événements sur un objet (ce qui inclut les tables de données, les flux et les utilisateurs).
Les administrateurs peuvent définir des permissions explicites pour un groupe d'utilisateurs mais aussi des exceptions qui remplacent ces permissions. Vous pouvez par exemple limiter la permission d'exécuter des services, puis définir un remplacement de service autorisant un utilisateur à exécuter un service spécifique. Vous disposez notamment d'un contrôle plus précis sur les propriétés, événements et services d'objet auxquels un groupe d'utilisateurs est autorisé à accéder. Par défaut, seuls les utilisateurs du groupe Administrateurs disposent de permissions complètes pour les composants du sous-système d'audit. Ainsi, les administrateurs doivent accorder aux utilisateurs non administrateurs le droit d'appeler, par l'intermédiaire de remplacements de service, les services du sous-système d'audit.
Par défaut, les utilisateurs du groupe Administrateurs disposent de permissions pour les composants d'audit suivants :
• Sous-système d'audit : objet système qui expose les services QueryAuditHistory, ArchiveAuditHistory, ExportAuditData et PurgeAuditData.
• AuditArchiveFileRepository : référentiel de fichiers du sous-système d'audit utilisé pour les archives d'audit.
• AuditArchiveScheduler : objet Scheduler qui contrôle l'archivage automatisé des entrées d'audit.
• AuditPurgeScheduler : objet Scheduler qui contrôle la purge automatisée des entrées d'audit.
• AuditArchiveCleanupScheduler : planifie le nettoyage des fichiers archivés.
• AuditArchiveCleanupNotificationScheduler : envoie des notifications de rappel de nettoyage.
Le tableau ci-dessous présente les permissions pouvant être accordées aux utilisateurs non administrateurs d'un groupe d'utilisateurs pour leur donner accès à ces composants. Pour en savoir plus sur les permissions requises par les groupes d'utilisateurs non administrateurs pour exécuter les services du sous-système d'audit, consultez la section
Permissions requises par un non-administrateur pour l'exécution des services d'audit ci-dessous.
 |
Veillez à ne pas autoriser les utilisateurs non administrateurs à modifier des objets au moment de la conception. Les administrateurs ne doivent pas modifier les objets système au moment de la conception. En procédant ainsi, vous risquez de perdre les modifications apportées lors d'une mise à niveau.
|
|
Composant
|
Permissions pour un groupe d'utilisateurs non administrateurs
|
|---|---|
|
Sous-système d'audit
|
Pour autoriser les utilisateurs et groupes d'utilisateurs non administrateurs à appeler les services QueryAuditHistory, ArchiveAuditHistory, ExportAuditData et PurgeAuditData :
• Sous-système d'audit : > .
• Sous-système d'audit : > . Définissez un remplacement de service pour chaque service dont vous souhaitez autoriser l'appel par les utilisateurs du groupe, et ajoutez une Exécution de services pour chaque service.
|
|
AuditArchiveFileRepository
|
Permissions liées au AuditArchiveFileRepository du sous-système d'audit. Elles NE doivent PAS être accordées aux utilisateurs ou groupes d'utilisateurs non-administrateurs.
|
|
AuditArchiveScheduler
|
Les utilisateurs du groupe Administrateurs doivent avoir accès à cet objet planificateur. Cet objet dispose d'une propriété appelée lastArchivedTime, qui est mise à jour après chaque exécution réussie d'une opération d'archivage. Bien que cela soit possible, cette propriété ne doit JAMAIS être mise à jour par un utilisateur, qu'il soit ou non-administrateur. Pour cette raison (et d'autres motifs propres à votre organisation), il est recommandé que les utilisateurs non-administrateurs n'aient PAS accès au planificateur.
|
|
AuditPurgeScheduler
|
Seuls les utilisateurs du groupe Administrateurs doivent avoir accès à cet objet planificateur. Il est recommandé de NE PAS autoriser les utilisateurs non administrateurs à accéder à ce planificateur.
|
|
AuditArchiveCleanupScheduler
|
Pour autoriser les utilisateurs non-administrateurs à exécuter le service de nettoyage :
• AuditArchiveCleanupScheduler : >
• AuditArchiveCleanupScheduler : > . Définissez un remplacement de service pour ce service (Exécution de services).
|
|
AuditArchiveCleanupNotificationScheduler
|
Pour autoriser les utilisateurs non-administrateurs à exécuter la notification du service de nettoyage :
• AuditArchiveCleanupNotificationScheduler : >
• AuditArchiveCleanupNotificationScheduler : > . Définissez un remplacement de service pour ce service (Exécution de services).
|
Permissions requises par un non-administrateur pour l'exécution des services d'audit
En général, pour autoriser les non-administrateurs d'un groupe d'utilisateurs à appeler les services du sous-système d'audit, un groupe d'utilisateurs doit être créé et les permissions suivantes doivent lui être accordées :
• Sous-système d'audit : permissions de visibilité
• Sous-système d'audit : permissions de conception : autoriser la lecture
• Sous-système d'audit : permissions d'exécution : définissez un remplacement de service pour chaque service dont vous souhaitez autoriser l'appel par les utilisateurs du groupe, et autorisez l'Exécution de services.
Le tableau suivant répertorie les permissions qui doivent être accordées aux entités pour autoriser l'appel d'un service sur celles-ci dans le sous-système d'audit :
|
Service
|
Type d'entité
|
Nom de l'entité
|
Visibilité
|
Conception
|
Exécution
|
|---|---|---|---|---|---|
|
QueryAuditHistory
|
Sous-système
|
AuditSubsystem
|
Oui
|
Lire
|
Service QueryAuditHistory - Exécution de services
|
|
Forme de données
|
AuditHistory
|
Oui
|
Lire
|
||
|
ArchiveAuditHistory
|
Sous-système
|
AuditSubsystem
|
Oui
|
Lire
|
Service ArchiveAuditHistory - Exécution de services
|
|
Objet
|
AuditArchiveScheduler
|
Oui
|
Aucune
|
Propriété LastArchiveTime : lecture de propriétés et écriture de propriétés
|
|
|
ExportAuditData
|
Sous-système
|
AuditSubsystem
|
Oui
|
Lire
|
Service ExportAuditData - Exécution de services
|
|
Objet
|
AuditArchiveScheduler
|
Oui
|
Aucune
|
Propriété LastArchivedTime : lecture de propriétés et écriture de propriétés
|
|
|
Objet
|
<Référentiel de fichiers utilisateur>
|
Oui
|
Aucune
|
Tous les services - Exécution de services
|
|
|
PurgeAuditData
|
Sous-système
|
AuditSubsystem
|
Oui
|
Lire
|
Service PurgeAuditData - Exécution de services
|
|
Objet
|
AuditPurgeScheduler
|
Oui
|
Aucune
|
Lecture de propriétés et écriture de propriétés
|