ECS: CAS-asiakkaan IP-rajoitus

Johdanto

• Ominaisuutta voidaan käyttää, kun asiakas haluaa rajoittaa asiakkaiden IP-osoitteita käyttämästä CAS-säilöä. Vain rajoitusluettelossa määritetyillä IP-osoitteilla voi olla pääsy kyseiseen käyttäjään. 
• Oletuksena käyttäjälle ei ole asetettu rajoituksia. 
• CAS-käyttäjän IP-rajoitus koskee käyttäjää kaikissa VDC:issä.
• Käyttäjän oletusarvoinen IP-raja on 10 ja se on määritettävissä. 

CAS-asiakkaan IP-osoitteen rajoituksen määritysohjeet:

1. CAS-käyttäjän luominen
2. Luo .xml tiedosto, jossa on IP-luettelo, jonka haluat antaa käyttäjälle käyttöoikeuden. Kaikkien muiden CAS-käyttäjää yrittävien IP-osoitteiden pitäisi epäonnistua FP_AUTHENTICATION_FAILED_ERR
3. Korosta PUT komento IP-rajoituksen asettamiseksi tietylle käyttäjälle
4. Korosta GET käyttäjälle asetetun rajoituksen haku- tai tarkastelukomento
5. muotoon EDIT rajoitus, joka oli aiemmin asetettu käyttäjälle, muokkaa XML-tiedostoa IP-osoitteilla ja tee PUT
6. muotoon DELETE aiemmin asetetun rajoituksen vuoksi, poista <ip_restrictions>127.127.127.127</ip_restrictions> XML-tiedostosta ja tee PUT

Esimerkki xml-tiedostosta, kun IP-rajoitus on määritetty: (vain näillä kahdella IP-osoitteella on pääsy CAS-käyttäjän access_user)

cat new.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions_param>
<ip_restrictions>127.127.127.127</ip_restrictions>
<ip_restrictions>127.128.128.128 </ip_restrictions>
<user_name>access_user</user_name>
</user_ip_restrictions_param>

Alla on REST Komennot, joissa on PUT, GET, LISTja DELETE toiminnot, Pääkäyttäjälle on käytettävä käyttöoikeustietuetta.

Esimerkki:

admin@ecsnode1:~> TOK=$(curl -iks https://localhost:4443/login -u root:*** | grep X-SDS-AUTH-TOKEN); echo $TOK
X-SDS-AUTH-TOKEN: BAAcc1pZcEkxK3MyUU4xZy9ocEdnUXp0MHl2aTk0PQMAjAQASHVybjpzdG9yYWdlb3M6VmlydHVhbERhdGFDZW50ZXJEYXRhOjdlNWQ0YzFkLTkzNjEtNDBkNS1iMWE4LTUwNzE5NDEwODRiZQIADTE2ODQ4MjYzOTk5OTIDAC51cm46VG9rZW46ODYzMzEyZDEtYzA3NC00MWFjLThlMjAtZDUzZmQ3Njk2MjVhAgAC0A8=
admin@ecsnode1:~> 

Käyttäjän IP-rajoitusten asettaminen:

PUT /object/user-cas/ip-restrictions/{namespace_name}/{user_name}

Esimerkki:

curl -ks -H 'Accept:application/xml' -H 'Content-Type:application/xml' -X PUT -d @new.xml -H "$TOK" https://10.245.xx.xx:4443/object/user-cas/ip-restrictions/cas_access/access_user

Vastauksen leipäteksti, esimerkki 1: (oletuksena, kun käyttäjälle ei ole asetettu IP-rajoitusta)

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions>
<user_name>access_user</user_name>
</user_ip_restrictions>

Esimerkki 2: (vain alla annetulla asiakkaan IP-osoitteella on pääsy käyttäjään)

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions_param>
<ip_restrictions>128.128.128.128</ip_restrictions>
<ip_restrictions>127.127.127.127</ip_restrictions>
<user_name>access_user</user_name>
</user_ip_restrictions_param>

Käyttäjän IP-käyttörajoitusten asettaminen:

GET /object/user-cas/ip-restrictions/{namespace_name}/{user_name}

Esimerkki:

curl -ks -H "$TOK" -H "Content-Type: application/json" https://10.245.xx.xx:4443/object/user-cas/ip-restrictions/cas_access/access_user | xmllint -format -

Esimerkki vastauksen tekstiosasta: (vain alla annetulla asiakkaan IP-osoitteella on pääsy käyttäjään)

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions>
<ip_restrictions>127.127.127.127</ip_restrictions>
<user_name>access_user</user_name>
</user_ip_restrictions>

Esimerkki 2: (GET käyttäjälle oletusarvoisesti, kun IP-rajoitusta ei ole asetettu)

curl -ks -H "$TOK" -H "Content-Type: application/json" https://10.245.xx.xx:4443/object/user-cas/ip-restrictions/cas_access/access_user | xmllint -format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions>
<user_name>access_user</user_name>

IP-rajoitusten luetteleminen käyttäjien kanssa:

GET /object/user-cas/ip-restrictions/

Esimerkki: (luettelee kunkin käyttäjän IP-rajoitukset)

curl -ks -H "$TOK" -H "Content-Type: application/json" https://10.245.xx.xx:4443/object/user-cas/ip-restrictions | xmllint -format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions_list>
<userIpRestriction>
<user_name>tsouser</user_name>
</userIpRestriction>
<userIpRestriction>
<user_name>tsouser2</user_name>
</userIpRestriction>
<userIpRestriction>
<ip_restrictions>10.245.xx.xx</ip_restrictions>
<ip_restrictions>10.247.xx.xx</ip_restrictions>
<ip_restrictions>10.245.xx.xx</ip_restrictions>
<ip_restrictions>10.247.xx.xx</ip_restrictions>
<ip_restrictions>10.243.xx.xx</ip_restrictions>
<user_name>clientuser</user_name>                >>>these are the restrictions set for this user
</userIpRestriction>
<userIpRestriction>
<user_name>gctest</user_name>
</userIpRestriction>
<userIpRestriction>
<user_name>casgcuser2</user_name>
</userIpRestriction>
<userIpRestriction>
<user_name>user2</user_name>
</userIpRestriction>
<userIpRestriction>
<user_name>gcu2</user_name>
</userIpRestriction>
<userIpRestriction>
<user_name>casgcuser1</user_name>               >>>all these users doesn't have any restrictions set 
</userIpRestriction>
</user_ip_restrictions_list>

Voit poistaa käyttäjälle asetetut IP-rajoitukset seuraavasti:

Poista IP-rajoitusmerkinnät .xml ja tee PUT

cat new.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions_param>
<user_name>clientuser</user_name>
</user_ip_restrictions_param>

Komento:

curl -ks -H 'Accept:application/xml' -H 'Content-Type:application/xml' -X PUT -d @new.xml -H "$TOK" https://10.245.130.65:4443/object/user-cas/ip-restrictions/clientns/clientuser

Esimerkki vastauksen tekstiosasta:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions>
<user_name>clientuser</user_name>
</user_ip_restrictions>

Alla olevassa esimerkissä esitetään ominaisuuden toiminta PUTja GETja pääsy käyttäjään rajoituksin ja ilman:

cat new.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions_param>
<ip_restrictions>127.127.127.127</ip_restrictions>
<user_name>access_user</user_name>
</user_ip_restrictions_param>

PUT:

curl -ks -H 'Accept:application/xml' -H 'Content-Type:application/xml' -X PUT -d @new.xml -H "$TOK" https://10.245.xx.xx:4443/object/user-cas/ip-restrictions/cas_access/access_user

GET:

curl -ks -H "$TOK" -H "Content-Type: application/json" https://10.245.xx.xx:4443/object/user-cas/ip-restrictions/cas_access/access_user | xmllint -format -
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<user_ip_restrictions>
<ip_restrictions>127.127.127.127</ip_restrictions>
<user_name>access_user</user_name>
</user_ip_restrictions>

JCASS: n avulla yritti päästä uima-altaaseen 127.127.127.127 ja pääsi:

CASScript>po 10.245.xx.xx?name=access_user,secret=centera@1234

Attempting to connect to: 10.245.xx.xx?name=access_user,secret=centera@1234

Connected to: 10.245.xx.xx?name=access_user,secret=centera@1234

CASPool Properties:
Connection String: 10.245.xx.xx?name=access_user,secret=centera@1234
Cluster Time: 2020.07.07 06:32:24 GMT
Buffer Size: 16384
Prefetch Buffer Size: 32768
Connection Timeout: 120000
Multi-Cluster Failover Enabled: True
Collision Avoidance Enabled: False

Yritettiin käyttää varantoa IP-osoitteesta, joka ei ole IP-rajoitusluettelossa (joka on sallittujen osoitteiden luettelo). Varannon käytön pitäisi epäonnistua seuraavan virheen vuoksi:

CASScript>po 10.245.xx.xx?name=access_user,secret=centera@1234

Attempting to connect to: 10.245.xx.xx?name=access_user,secret=centera@1234

SDK Error Occurred:

     Error Number: -10153
     System Error: 0
     Error:        FP_AUTHENTICATION_FAILED_ERR
     Error Class:  null
     Trace:        HPPAuthCRTransaction.run<FPConnection::authenticate<Cluster.authenticate<Cluster::updateClusterInfo()<ClusterCloud::updateClusterInfo(e9f1a3c9-5cb1-3a76-a589-f639de9ad2e4)<ClusterCloud::getClusterInfo(0,ClusterInformation&,2)<FPPool::Open(10.245.130.64?name=access_user,secret=centera@1234)<_FPPool_Open(10.245.130.64?name=access_user,secret=centera@1234)<FPPool_Open8(10.245.130.64?name=access_user,secret=centera@1234)