Как управлять пользователями

Инструкция для администратора Zentro: завести человека, выдать доступ, помочь, когда он не может войти, и удалить. Всё — в разделе Пользователи.

Прежде чем начать

• Нужна роль IDENTITY_ADMIN или отдельные права:

  Действие	Право
  Видеть список и карточки	IDENTITY:USER:VIEW
  Создать	IDENTITY:USER:CREATE
  Заблокировать / разблокировать	IDENTITY:USER:BLOCK
  Видеть сессии	IDENTITY:SESSION:VIEW
  Отозвать сессии	IDENTITY:SESSION:REVOKE
  Сбросить пароль	IDENTITY:CREDENTIAL:RESET
  Сбросить второй фактор	IDENTITY:USER:MFA_RESET
  Видеть и выдавать роли	IDENTITY:ROLE:VIEW, IDENTITY:ROLE:ASSIGN
  Привязать внешний аккаунт	IDENTITY:CREDENTIAL:LINK (без подтверждения — …:LINK_FORCE)
  Удалить и вернуть удалённого / удалить безвозвратно	IDENTITY:USER:DELETE / IDENTITY:USER:HARD_DELETE

  Чего нельзя — панель не показывает; решает всё равно сервер.

• Нужен второй фактор. Без него раздел закрыт. Сброс пароля, сброс второго фактора, привязки и безвозвратное удаление — привилегированные: панель попросит подтвердить себя (ключом, кодом или паролем) и продолжит сама. Возврат удалённого — тоже.

Найти пользователя

Пользователи — таблица с поиском по логину или почте и фильтром по статусу. Щелчок по строке открывает карточку сбоку; «Открыть страницей» — во всю ширину (ссылку можно переслать).

• Если в Identity включено шифрование персональных данных, поиск по части слова изредка находит лишнее, короче трёх символов ищется только точное совпадение, а сортировки по логину и почте нет.
• Галочки у строк — массово заблокировать / разблокировать. Записи обрабатываются по одной; если часть не прошла, панель скажет, сколько.

Статус	Что значит
Активен	Может входить
Заблокирован	Администратор закрыл вход
Не подтверждён	Зарегистрировался сам и ещё не подтвердил почту — войти не может, пока не перейдёт по ссылке из письма
Заперт	Вход закрыт на стороне Identity; в обычной работе не встречается

Флаги в строке: «email не подтверждён» (вход не мешает) и «смена пароля» (при следующем входе попросят новый пароль).

Завести пользователя

Пользователи → Создать пользователя.

Поле	Что вписать
Логин	Имя для входа: ivanov или адрес почты. Занятый логин не примется
Email (необязательно)	Нужен, чтобы человек мог сам сбросить пароль и получать письма (подтверждение привязок). Без почты сброс пароля — только через администратора
Временный пароль	Не короче, чем требует политика Identity (панель подскажет минимум)

Пользователь создаётся активным, пароль — временный: при первом входе Identity попросит сменить его. Передайте логин и пароль человеку лично или защищённым каналом.

Затем — выдать роли (ниже). Без ролей человек войдёт только в личный кабинет.

Второй фактор пользователь заводит сам, в кабинете (Безопасность). Администратор завести его за человека не может.

Выдать и снять роли

Карточка → Роли → Назначить роль.

• Роль — из списка ролей Identity и подключённых сервисов (RHM_OPERATOR, IDENTITY_ADMIN…).
• JIT: истечение через N минут — если доступ нужен на время (дежурство, разбор инцидента). Пусто — бессрочно. В списке у такой роли видно «до …».
• Отозвать — в строке активного назначения.

Права человека — объединение всех его активных ролей. Выданная или снятая роль действует в Identity сразу; сервисы, которые проверяют токены у себя, увидят изменение не позже чем через 15 минут (столько живёт выданный токен). Одну роль дважды не выдать — сначала отзовите.

Последний администратор защищён. Заблокировать, удалить его или снять с него IDENTITY_ADMIN Identity не даст («нельзя … последнего администратора»). Администратор с ролью «на время» в счёт не идёт: должен остаться хотя бы один с бессрочной. Сначала выдайте роль другому.

Сменить логин

Карточка → Логин → Новый логин → «Сменить логин». Меняется сразу, пароль человека не нужен, открытые сессии не прерываются. Identity приводит логин к нижнему регистру; пробелы и служебные символы не принимаются. Логин не может совпадать с чужим логином или чужой подтверждённой почтой.

Человек входит новым логином или своей подтверждённой почтой. Сменить логин он может и сам — в кабинете (Профиль → Сменить логин), если это не выключено настройкой security.self_login_change_enabled.

Когда человек не может войти

Что видит пользователь	Причина	Что сделать
«Аккаунт временно заблокирован. Попробуйте позже»	Пять неверных паролей подряд — вход заперт на 15 минут. В панели статус при этом «Активен»	Подождать 15 минут — или Сброс пароля → Выдать временный пароль: сброс снимает и эту блокировку
«Пользователь заблокирован»	Заблокирован администратором	Карточка → Доступ → Разблокировать
Забыл пароль	—	Сам: «Забыли пароль?» на экране входа — логином или почтой; письмо уйдёт на подтверждённую почту. Или администратор: Сброс пароля
Не помнит логин	Входить можно и подтверждённой почтой	Подсказать войти почтой; логин виден в карточке
Потерял телефон с аутентификатором, резервных кодов нет	Без второго фактора Identity не пускает	Второй фактор → Сбросить MFA (ниже)
Письмо с подтверждением почты не пришло	Самостоятельная регистрация, статус «Не подтверждён»	Пусть запросит письмо снова на экране входа; проверить почтовые настройки Identity

Сброс пароля

Карточка → Сброс пароля:

• «Выдать временный пароль» — пароль появится на экране один раз. Передайте человеку; при входе он сменит его на свой. Заодно снимается блокировка за неверные пароли.
• «Отправить ссылку на email» — человек задаст пароль сам по ссылке. Письмо уходит только на подтверждённую почту; почта, вписанная администратором при создании, подтверждённой не считается. Некуда отправить — панель так и скажет («Отправить письмо некуда…»): выдайте временный пароль.

Сброс второго фактора

Карточка → Второй фактор → Сбросить MFA — снимает все факторы (приложение-аутентификатор, ключи, коды по SMS/почте, резервные коды) и доверенные устройства. Человек войдёт по паролю и заведёт фактор заново.

Это обход второго фактора — убедитесь, что просит именно владелец аккаунта (позвоните, спросите лично). Самостоятельного сброса у пользователя нет намеренно: знание пароля или доступ к почте не должны снимать второй фактор.

После сброса напомните: сразу сохранить резервные коды (кабинет → Безопасность) — это единственный способ войти самому, если аутентификатор снова потеряется.

Заблокировать и отозвать сессии

Карточка → Доступ:

• «Заблокировать» — вход закрывается, все активные сессии отзываются сразу. Роли и данные остаются; «Разблокировать» возвращает вход (сессии — нет, человек войдёт заново).
• «Отозвать все сессии» — выход на всех устройствах без блокировки: например, после утечки пароля (вместе со сбросом пароля).

Ниже — Сессии: входы пользователя и под каждым — приложения, открытые из него. Когда гасить всё слишком грубо, «Завершить» у одной строки:

• у входа — выход на этом устройстве вместе с его приложениями (потерянный ноутбук);
• у приложения — только оно (подозрительное приложение, остальное не трогаем).

Список видно с правом IDENTITY:SESSION:VIEW, завершать — с IDENTITY:SESSION:REVOKE. Без права просмотра секция так и скажет, а «Отозвать все сессии» работает.

Во всех случаях сервисы, которые проверяют токены у себя, перестанут пускать не позже чем через 15 минут. Последнего администратора заблокировать нельзя.

Внешние аккаунты

Если в Identity подключены внешние провайдеры входа (корпоративный OIDC, LDAP, AD), человеку можно привязать его аккаунт у провайдера — тогда он входит через провайдера в эту же учётную запись.

Карточка → Внешняя привязка → Привязать аккаунт:

Поле	Что вписать
Провайдер	Из подключённых (Внешние IdP)
Идентификатор у провайдера	sub / DN / логин человека у провайдера
Причина	Обязательна, попадает в журнал аудита

Привязка не заработает, пока человек её не подтвердит: ему придёт письмо с кодом (действует 24 часа), код он вводит в кабинете — Связанные аккаунты → Код подтверждения. Письмо не дошло — «Отправить письмо заново» в строке привязки: новый код гасит старый. Поэтому у человека должна быть почта.

«Привязать без подтверждения пользователем…» — когда спросить владельца нельзя. Заявку подаёт один администратор, одобряют двое других (Согласования), после этого — «Исполнить привязку»; привязка активна сразу.

Сам пользователь видит и отвязывает свои привязки в кабинете (Связанные аккаунты).

Удалить

Карточка → Удаление. Есть два способа, и выбирать нужно сразу.

• «Удалить пользователя» — аккаунт отключается, сессии отзываются, логин и почта освобождаются (можно завести нового человека с тем же логином). Данные остаются: удалённого видно в списке с фильтром «Удалённые», и его можно вернуть (см. ниже).

• «Необратимое удаление» — аккаунт и всё, что с ним связано, стираются из базы. Это операция «двух пар глаз»:

  1. вы подаёте заявку с основанием;
  2. другой администратор одобряет её в Согласованиях (себе одобрить нельзя);
  3. вы или он исполняете: в карточке появится одобренная заявка — «Подставить», ввести логин для подтверждения, «Удалить безвозвратно».

  Если в настройках Identity одобрение не требуется, заявка сразу готова к исполнению.

Нужно стереть человека окончательно — не удаляйте его сначала обычным способом. Заявку на безвозвратное удаление подают из карточки живого пользователя.

Удалить себя безвозвратно и удалить последнего администратора Identity не даст.

Если человек сам просит стереть его данные (GDPR), он делает это из кабинета: Приватность.

Вернуть удалённого

Так возвращают и удалённого администратором, и того, кто сам отключил аккаунт в кабинете (Приватность → «Отключить аккаунт»).

1. Пользователи → фильтр «Удалённые» → карточка.
2. «Восстановить» — панель попросит подтвердить себя.

Человек снова активен и входит прежним паролем; второй фактор, роли и привязки — те же. Сессии, закрытые при удалении, не возвращаются: войти нужно заново. Восстановленный снова считается в лимите учётных записей тарифа.

Когда восстановление невозможно

Что видно	Причина	Что сделать
«Логин занят другим пользователем»	После удаления этот логин получил новый человек	Сменить логин ему (или удалить его), затем восстановить
«Почта занята другим пользователем»	Почту удалённого теперь использует другой — как почту или как логин	То же: сменить почту или логин тому, затем восстановить
«Идёт стирание данных»	Человек сам выбрал в кабинете «Удалить полностью»	Вернуть нельзя: его решение администратор не отменяет. Нужен доступ — завести заново
Удалённого нет в списке	Данные уже стёрты (по запросу человека или безвозвратным удалением)	Вернуть нечего; завести заново с тем же логином можно
Лимит учётных записей	Тариф исчерпан	Освободить место или расширить тариф

Частые ошибки

Что видно	Причина	Что сделать
Раздел не открывается, просит подтвердить вход	Вход без второго фактора	Подтвердить ключом или кодом; нет фактора — завести в кабинете
«Нельзя заблокировать, удалить или снять роль с последнего администратора»	Это единственный администратор с бессрочной ролью	Сначала выдать IDENTITY_ADMIN другому (без срока)
«Такой логин уже занят — или это чей-то адрес почты»	Логин совпадает с чужим логином или чужой подтверждённой почтой	Другой логин
«Отправить письмо некуда…»	У человека нет подтверждённой почты	Выдать временный пароль
«Пароль не соответствует политике» при создании	Короче минимума Identity	Длиннее; минимум подсказан под полем
Роль «уже назначена»	Такая роль у человека уже есть (может быть, на время)	Отозвать и выдать заново с нужным сроком
Статус «Активен», а человек не может войти	Пять неверных паролей — вход заперт на 15 минут	Подождать или выдать временный пароль
Привязка висит «ожидает подтверждения»	Человек не ввёл код из письма в кабинете	«Отправить письмо заново»; проверить почту в профиле
Кнопки безвозвратного удаления нет или заявку не одобрить	Не хватает прав или заявку подали вы сами	Одобряет другой администратор с правом согласования
Пользователя не найти после удаления	Удалённые скрыты из обычного списка	Фильтр «Удалённые»; вернуть — «Вернуть удалённого»
В Сессиях пусто, а человек говорит, что вошёл	Сессия истекла или он вошёл под другим логином	Обновить карточку; проверить логин
Вместо списка сессий — «нужно право IDENTITY:SESSION:VIEW»	У вас нет права смотреть сессии	Выдать право или роль IDENTITY_ADMIN; «Отозвать все сессии» работает и так