שיתוף הרשאת הניהול עם אחרים

ככל ששירות Outline יתרחב, יכול להיות שתצטרכו להאציל סמכויות ניהול לאנשים מהימנים אחרים. במסמך הזה מפורטות השיטות השונות לשיתוף גישת ניהול עם מנהלי חשבונות אחרים.

השיטה לשיתוף הרשאת ניהול משתנה בהתאם לאופן שבו שרת Outline פורס בהתחלה.

פריסות של ספקי שירותי ענן

בשרתים של Outline שנפרסים בפלטפורמות ענן כמו DigitalOcean,‏ AWS או Google Cloud, הרשאת הגישה לניהול מטופלת בדרך כלל באמצעות יכולות ה-IAM (ניהול זהויות והרשאות גישה) המשולבות של הספק. הגישה הזו מאובטחת ומבוקרת יותר בהשוואה לשיתוף ידני של ההגדרות.

DigitalOcean

ב-DigitalOcean יש תכונה חזקה בשם Teams שמאפשרת לכם להזמין משתמשים אחרים ב-DigitalOcean לשתף פעולה בפרויקטים שלכם. זוהי הדרך המומלצת להעניק הרשאת ניהול לשרת Outline שמתארח בפלטפורמה שלהם.

1. הענקת גישה לצוות

הדרך היעילה ביותר לשתף את הניהול של שרת Outline שמתארח ב-DigitalOcean היא להשתמש בתכונה Teams של DigitalOcean.

• נכנסים לחשבון DigitalOcean.
• עוברים לקטע צוותים.
• יוצרים צוות חדש (אם עדיין לא עשיתם זאת) או מזמינים משתמשים קיימים ב-DigitalOcean לצוות.
• כשאתם מזמינים חברים, אתם יכולים להקצות להם תפקידים ספציפיים ולהעניק להם גישה למשאבים ספציפיים, כולל Droplets עם Outline.

2. בקרה על הרשאות

חשוב לשקול היטב את ההרשאות שאתם מעניקים לחברי הצוות. כדי לנהל את שרת Outline, תוכלו להעניק לו הרשאות קריאה וכתיבה ב-Droplet הספציפי. כך הם יוכלו:

• הצגת הפרטים של ה-Droplet (כתובת IP, סטטוס וכו').
• ניגשים למסוף של Droplet (אם צריך לפתרון בעיות).
• יכול להיות שתוכלו לבצע פעולות כמו הפעלה מחדש של ה-Droplet (בהתאם להרשאות שהוענקו).

משתמשים שמקשרים את Outline Manager לחשבון DigitalOcean שלהם יוכלו עכשיו להציג ולנהל את כל שרתי Outline שמקושרים לחשבון הזה.

טיפ: מומלץ לעודד את המנהלים החדשים להפעיל אימות רב-גורמי (MFA) בחשבונות שלהם אצל ספק הענן כדי לשפר את האבטחה.

התקנות ידניות

זהירות: שיתוף הרשאות ניהול להתקנות ידניות מקשה על ביטול הגישה. השיטה הישירה ביותר היא התקנה מחדש מלאה של השרת, שמאפשרת ליצור תצורה חדשה, אבל גם לאפס את כל מפתחות הגישה של המשתמשים.

אם התקנתם את Outline באופן ידני בשרתים שלכם באמצעות סקריפט ההתקנה, הדרך העיקרית להעניק גישה לניהול היא לשתף את הגדרת הגישה.

אפליקציית Outline Manager זקוקה למחרוזת תצורה ספציפית כדי להתחבר לשרת Outline ולנהל אותו. מחרוזת התצורה הזו מכילה את כל המידע הנדרש, כולל כתובת השרת, היציאה ומפתח סודי לאימות.

1. איתור הקובץ access.txt

עוברים לספרייה של Outline בשרת שבו Outline מותקן. המיקום המדויק עשוי להשתנות מעט בהתאם לשיטת ההתקנה, אבל המיקומים הנפוצים כוללים:

• /opt/outline/access.txt
• /etc/outline/access.txt
• בתוך נפח האחסון ב-Docker שבו משתמש קונטיינר השרת של Outline.

2. אחזור של הגדרות הגישה

אחרי שמוצאים את הקובץ access.txt, ממירים אותו ל-JSON, שהוא הפורמט שמערכת Outline Manager מצפה לו בשלב הבא.

sed -n '2s/^apiUrl://p; 1s/^certSha256://p' /opt/outline/access.txt | paste -d'\n' -s | sed 'H;1h;$!d;x;s/\n/", \"apiUrl\": \"/g; s/^/{"certSha256": \"/; s/$/\"}/'

הפלט יכיל את טביעת האצבע של האישור בחתימה עצמית (certSha256) ואת נקודת הקצה של ממשק ה-API לניהול בשרת (apiUrl):

{"certSha256": "1DCC18CC9F6C34EBBB639255F4D1BC6984C2F6A47B15F7A49AA8AFB69B7E4DDE", "apiUrl": "https://1.1.1.1:12345/Fw-CkWFNSN7Ml8LLM8Pduw"}

חשוב: השורה הזו מכילה מידע רגיש. כדאי לשתף אותו רק עם אנשים מהימנים שזקוקים לגישה לניהול.

3. שיתוף הגדרות הגישה בצורה מאובטחת

מעתיקים את הפלט ומשתפים אותו באופן מאובטח עם Outline Manager החדש. להימנע משימוש בערוצים ללא הצפנה, כמו אימייל רגיל או הודעות מיידיות. כדאי להשתמש בתכונה של שיתוף מאובטח במנהל הסיסמאות או בשיטת תקשורת מוצפנת אחרת.

הדבקת הגדרת הגישה שסופקה ב-Outline Manager מאפשרת למנהל החדש להוסיף את שרת Outline ולנהל אותו דרך ממשק האפליקציה. תמיכה נוספת בשימוש במנהל Outline זמינה במרכז העזרה של Outline.