Как управлять пользователями

Инструкция для администратора Zentro: завести человека, выдать доступ, помочь, когда он не может войти, и удалить. Всё — в разделе Пользователи.

Прежде чем начать

Нужна роль IDENTITY_ADMIN или отдельные права:

Действие	Право
Видеть список и карточки	`IDENTITY:USER:VIEW`
Создать	`IDENTITY:USER:CREATE`
Заблокировать / разблокировать	`IDENTITY:USER:BLOCK`
Видеть сессии	`IDENTITY:SESSION:VIEW`
Отозвать сессии	`IDENTITY:SESSION:REVOKE`
Сбросить пароль	`IDENTITY:CREDENTIAL:RESET`
Сбросить второй фактор	`IDENTITY:USER:MFA_RESET`
Видеть и выдавать роли	`IDENTITY:ROLE:VIEW`, `IDENTITY:ROLE:ASSIGN`
Привязать внешний аккаунт	`IDENTITY:CREDENTIAL:LINK` (без подтверждения — `…:LINK_FORCE`)
Удалить / удалить безвозвратно	`IDENTITY:USER:DELETE` / `IDENTITY:USER:HARD_DELETE`

Чего нельзя — панель не показывает; решает всё равно сервер.

Нужен второй фактор. Без него раздел закрыт. Сброс пароля, сброс второго фактора, привязки и безвозвратное удаление — привилегированные: панель попросит подтвердить себя (ключом, кодом или паролем) и продолжит сама.

Найти пользователя

Пользователи — таблица с поиском по логину или почте и фильтром по статусу. Щелчок по строке открывает карточку сбоку; «Открыть страницей» — во всю ширину (ссылку можно переслать).

Если в Identity включено шифрование персональных данных, поиск по части слова изредка находит лишнее, короче трёх символов ищется только точное совпадение, а сортировки по логину и почте нет.
Галочки у строк — массово заблокировать / разблокировать. Записи обрабатываются по одной; если часть не прошла, панель скажет, сколько.

Статус	Что значит
Активен	Может входить
Заблокирован	Администратор закрыл вход
Не подтверждён	Зарегистрировался сам и ещё не подтвердил почту — войти не может, пока не перейдёт по ссылке из письма
Заперт	Вход закрыт на стороне Identity; в обычной работе не встречается

Флаги в строке: «email не подтверждён» (вход не мешает) и «смена пароля» (при следующем входе попросят новый пароль).

Завести пользователя

Пользователи → Создать пользователя.

Поле	Что вписать
Логин	Имя для входа: `ivanov` или адрес почты. Занятый логин не примется
Email (необязательно)	Нужен, чтобы человек мог сам сбросить пароль и получать письма (подтверждение привязок). Без почты сброс пароля — только через администратора
Временный пароль	Не короче, чем требует политика Identity (панель подскажет минимум)

Пользователь создаётся активным, пароль — временный: при первом входе Identity попросит сменить его. Передайте логин и пароль человеку лично или защищённым каналом.

Затем — выдать роли (ниже). Без ролей человек войдёт только в личный кабинет.

Второй фактор пользователь заводит сам, в кабинете (Безопасность). Администратор завести его за человека не может.

Выдать и снять роли

Карточка → Роли → Назначить роль.

Роль — из списка ролей Identity и подключённых сервисов (RHM_OPERATOR, IDENTITY_ADMIN…).
JIT: истечение через N минут — если доступ нужен на время (дежурство, разбор инцидента). Пусто — бессрочно. В списке у такой роли видно «до …».
Отозвать — в строке активного назначения.

Права человека — объединение всех его активных ролей. Выданная или снятая роль действует в Identity сразу; сервисы, которые проверяют токены у себя, увидят изменение не позже чем через 15 минут (столько живёт выданный токен). Одну роль дважды не выдать — сначала отзовите.

Последний администратор защищён. Заблокировать, удалить его или снять с него IDENTITY_ADMIN Identity не даст («нельзя … последнего администратора»). Администратор с ролью «на время» в счёт не идёт: должен остаться хотя бы один с бессрочной. Сначала выдайте роль другому.

Сменить логин

Карточка → Логин → Новый логин → «Сменить логин». Меняется сразу, пароль человека не нужен, открытые сессии не прерываются. Identity приводит логин к нижнему регистру; пробелы и служебные символы не принимаются. Логин не может совпадать с чужим логином или чужой подтверждённой почтой.

Человек входит новым логином или своей подтверждённой почтой. Сменить логин он может и сам — в кабинете (Профиль → Сменить логин), если это не выключено настройкой security.self_login_change_enabled.

Когда человек не может войти

Что видит пользователь	Причина	Что сделать
«Аккаунт временно заблокирован. Попробуйте позже»	Пять неверных паролей подряд — вход заперт на 15 минут. В панели статус при этом «Активен»	Подождать 15 минут — или Сброс пароля → Выдать временный пароль: сброс снимает и эту блокировку
«Пользователь заблокирован»	Заблокирован администратором	Карточка → Доступ → Разблокировать
Забыл пароль	—	Сам: «Забыли пароль?» на экране входа — логином или почтой; письмо уйдёт на подтверждённую почту. Или администратор: Сброс пароля
Не помнит логин	Входить можно и подтверждённой почтой	Подсказать войти почтой; логин виден в карточке
Потерял телефон с аутентификатором, резервных кодов нет	Без второго фактора Identity не пускает	Второй фактор → Сбросить MFA (ниже)
Письмо с подтверждением почты не пришло	Самостоятельная регистрация, статус «Не подтверждён»	Пусть запросит письмо снова на экране входа; проверить почтовые настройки Identity

Сброс пароля

Карточка → Сброс пароля:

«Выдать временный пароль» — пароль появится на экране один раз. Передайте человеку; при входе он сменит его на свой. Заодно снимается блокировка за неверные пароли.
«Отправить ссылку на email» — человек задаст пароль сам по ссылке. Письмо уходит только на подтверждённую почту; почта, вписанная администратором при создании, подтверждённой не считается. Некуда отправить — панель так и скажет («Отправить письмо некуда…»): выдайте временный пароль.

Сброс второго фактора

Карточка → Второй фактор → Сбросить MFA — снимает все факторы (приложение-аутентификатор, ключи, коды по SMS/почте, резервные коды) и доверенные устройства. Человек войдёт по паролю и заведёт фактор заново.

Это обход второго фактора — убедитесь, что просит именно владелец аккаунта (позвоните, спросите лично). Самостоятельного сброса у пользователя нет намеренно: знание пароля или доступ к почте не должны снимать второй фактор.

После сброса напомните: сразу сохранить резервные коды (кабинет → Безопасность) — это единственный способ войти самому, если аутентификатор снова потеряется.

Заблокировать и отозвать сессии

Карточка → Доступ:

«Заблокировать» — вход закрывается, все активные сессии отзываются сразу. Роли и данные остаются; «Разблокировать» возвращает вход (сессии — нет, человек войдёт заново).
«Отозвать все сессии» — выход на всех устройствах без блокировки: например, после утечки пароля (вместе со сбросом пароля).

Ниже — Сессии: входы пользователя и под каждым — приложения, открытые из него. Когда гасить всё слишком грубо, «Завершить» у одной строки:

у входа — выход на этом устройстве вместе с его приложениями (потерянный ноутбук);
у приложения — только оно (подозрительное приложение, остальное не трогаем).

Список видно с правом IDENTITY:SESSION:VIEW, завершать — с IDENTITY:SESSION:REVOKE. Без права просмотра секция так и скажет, а «Отозвать все сессии» работает.

Во всех случаях сервисы, которые проверяют токены у себя, перестанут пускать не позже чем через 15 минут. Последнего администратора заблокировать нельзя.

Внешние аккаунты

Если в Identity подключены внешние провайдеры входа (корпоративный OIDC, LDAP, AD), человеку можно привязать его аккаунт у провайдера — тогда он входит через провайдера в эту же учётную запись.

Карточка → Внешняя привязка → Привязать аккаунт:

Поле	Что вписать
Провайдер	Из подключённых (Внешние IdP)
Идентификатор у провайдера	`sub` / DN / логин человека у провайдера
Причина	Обязательна, попадает в журнал аудита

Привязка не заработает, пока человек её не подтвердит: ему придёт письмо с кодом (действует 24 часа), код он вводит в кабинете — Связанные аккаунты → Код подтверждения. Письмо не дошло — «Отправить письмо заново» в строке привязки: новый код гасит старый. Поэтому у человека должна быть почта.

«Привязать без подтверждения пользователем…» — когда спросить владельца нельзя. Заявку подаёт один администратор, одобряют двое других (Согласования), после этого — «Исполнить привязку»; привязка активна сразу.

Сам пользователь видит и отвязывает свои привязки в кабинете (Связанные аккаунты).

Удалить

Карточка → Удаление. Есть два способа, и выбирать нужно сразу.

«Удалить пользователя» — аккаунт отключается, сессии отзываются, логин и почта освобождаются (можно завести нового человека с тем же логином). Из панели удалённый пропадает целиком: в списке и по ссылке на карточку его больше нет, и вернуть его из панели нельзя.
«Необратимое удаление» — аккаунт и всё, что с ним связано, стираются из базы. Это операция «двух пар глаз»:
1. вы подаёте заявку с основанием;
2. другой администратор одобряет её в Согласованиях (себе одобрить нельзя);
3. вы или он исполняете: в карточке появится одобренная заявка — «Подставить», ввести логин для подтверждения, «Удалить безвозвратно».
Если в настройках Identity одобрение не требуется, заявка сразу готова к исполнению.

Нужно стереть человека окончательно — не удаляйте его сначала обычным способом. После обычного удаления карточка пропадает, и заявку на безвозвратное удаление подать уже негде.

Удалить себя безвозвратно и удалить последнего администратора Identity не даст.

Если человек сам просит стереть его данные (GDPR), он делает это из кабинета: Приватность.

Частые ошибки

Что видно	Причина	Что сделать
Раздел не открывается, просит подтвердить вход	Вход без второго фактора	Подтвердить ключом или кодом; нет фактора — завести в кабинете
«Нельзя заблокировать, удалить или снять роль с последнего администратора»	Это единственный администратор с бессрочной ролью	Сначала выдать `IDENTITY_ADMIN` другому (без срока)
«Такой логин уже занят — или это чей-то адрес почты»	Логин совпадает с чужим логином или чужой подтверждённой почтой	Другой логин
«Отправить письмо некуда…»	У человека нет подтверждённой почты	Выдать временный пароль
«Пароль не соответствует политике» при создании	Короче минимума Identity	Длиннее; минимум подсказан под полем
Роль «уже назначена»	Такая роль у человека уже есть (может быть, на время)	Отозвать и выдать заново с нужным сроком
Статус «Активен», а человек не может войти	Пять неверных паролей — вход заперт на 15 минут	Подождать или выдать временный пароль
Привязка висит «ожидает подтверждения»	Человек не ввёл код из письма в кабинете	«Отправить письмо заново»; проверить почту в профиле
Кнопки безвозвратного удаления нет или заявку не одобрить	Не хватает прав или заявку подали вы сами	Одобряет другой администратор с правом согласования
Пользователя не найти после удаления	Обычное удаление убирает его из панели	Это ожидаемо; завести заново с тем же логином можно
В Сессиях пусто, а человек говорит, что вошёл	Сессия истекла или он вошёл под другим логином	Обновить карточку; проверить логин
Вместо списка сессий — «нужно право IDENTITY:SESSION:VIEW»	У вас нет права смотреть сессии	Выдать право или роль `IDENTITY_ADMIN`; «Отозвать все сессии» работает и так