+
+
+
*Limitation: (10.2.1) Only Command Templates set to Deny can be used in Grant Permissions. - 6. **Configure Whitelist**: Supports exception handling for specific commands in the process of controlling commands through Command Template. When the Configure Whitelist checkbox is checked, the following settings appear: - 1. **Commands**: Enter commands that need to be allowed. - 1. **Keyword**: Enter as keyword (ls, cat, etc.) - 2. **RegEx**: Enter as regular expression (^sudo\b[^&|;\n]*$, etc.) - 2. **Whitelist Expiration Date**: Specify a separate exception handling expiration date for the above commands. - 7. **Require Privilege**: When this option is activated, users must go through an approval process through Server Privilege Request workflow to access servers with that account. This is useful when temporarily allowing and managing access to high-privilege accounts such as administrator (Admin) accounts on Windows servers. + 6. **Configure Server Privilege**: Adds Server Privilege settings to apply to the Permission. When selected, you can configure the commands available through Server Privilege and the Privilege Expiration Date. For minute-based Permissions, you can also configure Privilege Start Trigger and Privilege Duration (Minutes). + 7. **Access Start Time**: Set the allowed access start time. + 8. **Access End Time**: Set the allowed access end time. + 9. **Access Weekday**: Set the days of the week when access is allowed. + 10. **IP Addresses**: Set the IP addresses allowed for access. + 11. **Command Audit**: Set whether to log commands used in sessions connected through this Permission. + 12. **Command Detection**: Set whether to detect prohibited commands within Script/Alias when they are called.
*Limitation: (10.2.1) Only works in Bash Shell, commands that call other Scripts from Script are blocked + 13. **Session Recording**: Sets the session recording option for SSH, SFTP, TELNET, and FTP sessions associated with this Permission. The default is `On`. Actual session recording follows the combined result of all policies applied at connection time. (Supported from 11.5.8 and 11.6.6) + 14. **Session Recording Max Size (MB)**: Sets the maximum chunk size of session recording files in MB. The default is 100 MB, and you can enter a value from 10 MB to 1024 MB. This item is disabled when Session Recording is Off. (Supported from 11.5.8 and 11.6.6) + 15. **Proxy Usage**: Set whether to allow server access through QueryPie Agent with this Permission. + 16. **Require Privilege**: When this option is activated, users must go through an approval process through Server Privilege Request workflow to access servers with that account. This is useful when temporarily allowing and managing access to high-privilege accounts such as administrator (Admin) accounts on Windows servers. * When attempting to access with an account where this option is activated, the `Connect` button is disabled when accessing the server from the user dashboard, and a message is displayed indicating that an access permission request must be submitted. * The Require Privilege option can be applied to all accounts regardless of the server's OS type. - 8. **Access Start Time**: Set the allowed access start time. - 9. **Access End Time**: Set the allowed access end time. - 10. **Access Weekday**: Set the days of the week when access is allowed. - 11. **IP Addresses**: Set the IP addresses allowed for access. - 12. **Command Audit**: Set whether to log commands used in sessions connected through this Permission. - 13. **Command Detection**: Set whether to detect prohibited commands within Script/Alias when they are called.
*Limitation: (10.2.1) Only works in Bash Shell, commands that call other Scripts from Script are blocked - 14. **Proxy Usage**: Set whether to allow server access through QueryPie Agent with this Permission. - 15. **Max Sessions**: Limit the number of concurrent sessions a user can have on a single server. - 16. **Session Timeout (minutes)**: Sessions are terminated if inactive for the entered time (minutes). + 17. **Allow Local Port Forwarding**: Allows clients connected through this Permission to forward local ports to the remote server. This is required for clients that use local port forwarding, such as VS Code Remote SSH. (Supported from 10.3.0) + 18. **Allow RDP Clipboard**: Sets whether clipboard redirection is allowed for RDP sessions connected through this Permission. When set to Disable, clipboard redirection is unavailable in the RDP session. (Supported from 11.5.8 and 11.6.6) + 19. **Max Sessions**: Limit the number of concurrent sessions a user can have on a single server. + 20. **Session Timeout (minutes)**: Sessions are terminated if inactive for the entered time (minutes). 3. Click the `Grant` button in the bottom right to complete permission grant. diff --git a/src/content/en/administrator-manual/servers/server-access-control/policies/setting-server-access-policy.mdx b/src/content/en/administrator-manual/servers/server-access-control/policies/setting-server-access-policy.mdx index 8a61e0ad3..00843db66 100644 --- a/src/content/en/administrator-manual/servers/server-access-control/policies/setting-server-access-policy.mdx +++ b/src/content/en/administrator-manual/servers/server-access-control/policies/setting-server-access-policy.mdx @@ -3,6 +3,8 @@ title: 'Setting Server Access Policies' confluenceUrl: 'https://querypie.atlassian.net/wiki/spaces/QM/pages/544381039' --- +import { Callout } from 'nextra/components' + # Setting Server Access Policies ### Overview @@ -18,25 +20,32 @@ In addition, you can set the number of allowed sessions per user. * **serverGroup**: Server group to allow access to * **account**: Account registered in the server group * **protocols**: Allowed protocols (as of 10.2, supports SSH, SFTP, TELNET, FTP, RDP) -* **commandRef**: Command template to apply when accessing +* **commandsRef**: Command template to apply when accessing * You can check the content of the selected Command Template by expanding the `Command Policy Detail` accordion * For creating and managing command templates, refer to [Command Templates](../command-templates) * When both Allow / Deny command templates are applied, Deny takes priority * **accessTime**: Access allowed time * **accessWeekday**: Access allowed days of the week -* **ipAddress**: Access allowed IP settings
*When corresponding to Security > Resource IP Access Control Configuration settings, only IPs within the allowed range are permitted access +* **ipAddresses**: Access allowed IP settings
*When corresponding to Security > Resource IP Access Control Configuration settings, only IPs within the allowed range are permitted access * **commandAudit**: Whether to apply command auditing when accessing * **commandDetection**: Whether to detect prohibited commands within Script and Alias when they are called
*Limitation: (10.2.1) Only works in Bash Shell, commands that call other Scripts from Script are blocked -* **proxyUsage**: Whether to allow proxy access through Agent +* **sessionRecording**: Sets whether session recording is enabled. The default is `On(true)`. When multiple policies apply, session recording is enabled if any policy has this option set to `On(true)`. To disable session recording, set it to `Off(false)` in all matching policies. (Supported from 11.5.8 and 11.6.6) +* **sessionRecordingMaxSizeMb**: Sets the maximum chunk size of session recording files in MB. The default is `100`, and you can enter a value from 10 to 1024. When multiple policies apply, the smallest value is used. (Supported from 11.5.8 and 11.6.6) +* **useProxy**: Whether to allow proxy access through Agent * **maxSessions**: Maximum concurrent connections per server * **sessionTimeout**: Server session timeout criteria time (minutes) -* **requirePrivilege**: Whether privilege approval is required for server access
*When this option is activated (Enable), the account must receive approval through the server privilege request (Server Privilege Request) workflow to access the server. +* **requirePrivilege**: Whether privilege approval is required for server access
*When this option is activated (`Enable`), the account must receive approval through the server privilege request (Server Privilege Request) workflow to access the server. +* **allowLocalPortForwarding**: Allows clients to forward local ports to the remote server. The default is `Disable(false)`. Set it to `Enable(true)` for clients that use local port forwarding, such as VS Code Remote SSH. +* **allowClipboard** (**Allow RDP Clipboard**): Sets whether clipboard redirection is allowed for RDP sessions. The default is `true`; setting it to `false` blocks clipboard redirection in the RDP session. (Supported from 11.5.8 and 11.6.6) +
Clipboard Redirection is a Remote Desktop Protocol (RDP) feature that shares the clipboard between a local device and a remote Windows desktop session, allowing copied text or files to be pasted between them. +
+
+
+
+
+
+
+
+
+
+
For instructions on submitting requests in Workflow, refer to the following pages. + +* [Requesting Unmasking (Mask Removal)](../workflow/requesting-unmasking-mask-removal-request) +* [Requesting Restricted Data Access](../workflow/requesting-restricted-data-access) +* [Requesting a DB Policy Exception](../workflow/requesting-db-policy-exception)
diff --git a/src/content/ja/administrator-manual/audit/server-logs/access-control-logs.mdx b/src/content/ja/administrator-manual/audit/server-logs/access-control-logs.mdx index 7d42e5bb9..e9a8013a2 100644 --- a/src/content/ja/administrator-manual/audit/server-logs/access-control-logs.mdx +++ b/src/content/ja/administrator-manual/audit/server-logs/access-control-logs.mdx @@ -80,19 +80,24 @@ Administrator > Audit > Servers > Access Control Logs > Access Contr 9. **Expiration Date** : 権限付与期限日（回収予定日） 10. **Account** : サーバーAccount 11. **Action By** : Permission付与/回収を進行した管理者名またはSystem - 1. Workflowを通じて権限を付与された場合Access Requestリンクが表示され、該当Requestページを新窓で開きます。 2. 下部には付与/回収されたPermissionに適用された政策を列挙します: 1. Access Control関連ログ - Policy 1. **Access Time** : 接続許可時間 2. **Weekday Access Allow** : 接続許可曜日 3. **IP Addresses** : 接続許可IP 4. **Command Audit** : コマンド記録の有無 - 5. **Proxy Usage** : Proxy（Agent）を通じた接続可能の有無 - 6. **Max Sessions** : 最大接続セッション数 - 7. **Session Timeout (minutes)** : セッションタイムアウト時間設定 - 8. **Protocols** : 接続プロトコル - 9. **Command Template** : 適用された禁止コマンドセット + 5. **Session Recording**: 権限が付与された時点で適用されたセッションレコーディングの使用有無です。（11.5.8、11.6.6からサポート） + 6. **Session Recording Max Size (MB)**: 権限が付与された時点で適用されたセッションレコーディングファイルの最大チャンクサイズです。（11.5.8、11.6.6からサポート） + 7. **Proxy Usage** : Proxy（Agent）を通じた接続可能の有無 + 8. **Require Privilege** : 権限昇格の使用有無 + 9. **Allow Local Port Forwarding** : ローカルポートフォワーディングの許可有無（10.3.0からサポート） + 10. **Allow RDP Clipboard** : RDPクリップボードの使用許可有無（11.5.8、11.6.6からサポート） + 11. **Max Sessions** : 最大接続セッション数 + 12. **Session Timeout (minutes)** : セッションタイムアウト時間設定 + 13. **Protocols** : 接続プロトコル + 14. **Command Template** : 適用された禁止コマンドセット 2. Whitelist関連ログ - Whitelisted Commands 1. **Keyword** : 例外処理キーワード 2. **RegEx** : 例外処理正規表現 3. **Whitelist Expiration Date** : 例外処理期限日 + diff --git a/src/content/ja/administrator-manual/audit/server-logs/session-logs.mdx b/src/content/ja/administrator-manual/audit/server-logs/session-logs.mdx index 66d704436..61f53069f 100644 --- a/src/content/ja/administrator-manual/audit/server-logs/session-logs.mdx +++ b/src/content/ja/administrator-manual/audit/server-logs/session-logs.mdx @@ -3,6 +3,8 @@ title: 'Session Logs' confluenceUrl: 'https://querypie.atlassian.net/wiki/spaces/QM/pages/544014927/Session+Logs' --- +import { Callout } from 'nextra/components' + # Session Logs ### Overview @@ -10,6 +12,10 @@ confluenceUrl: 'https://querypie.atlassian.net/wiki/spaces/QM/pages/544014927/Se 組織で管理するサーバー接続セッションをレコーディングします。 管理者は映像再生を通じてサーバー内でユーザーの作業実行履歴をモニタリングできます。 +
+
+
+
*制約事項: (10.2.1) Grant PermissionsではDenyに設定されたCommand Templateのみ使用が可能です。 - 6. **Configure Whitelist**: Command Templateを通じてコマンドを制御する過程で特定のコマンドに対する例外処理許可をサポートします。Configure Whitelistチェックボックスにチェックすると以下の設定が表示されます： - 1. **Commands**: 許可が必要なコマンドを記入します。 - 1. **Keyword**: キーワードで入力（ls、catなど） - 2. **RegEx**: 正規表現で入力（^sudo\b[^&|;\n]*$など） - 2. **Whitelist Expiration Date**: 上記コマンドに対する別途例外処理有効期限日を指定します。 - 7. **Require Privilege**: このオプションを有効化すると、ユーザーが該当アカウントでサーバーに接続するためにServer Privilege Requestワークフローを通じた承認手順を必須で経ることになります。これはWindowsサーバーの管理者（Admin）アカウントのように高い権限のアカウントに対するアクセスを一時的に許可し管理する時に有用です。 + 6. **Configure Server Privilege** : Permissionに適用するServer Privilege設定を追加します。選択すると、Server Privilegeで使用するコマンドとPrivilege Expiration Dateを設定できます。権限を分単位で設定する場合は、Privilege Start TriggerおよびPrivilege Duration(Minutes)も設定できます。 + 7. **Access Start Time**: 接続可能開始時間を設定します。 + 8. **Access End Time**: 接続可能終了時間を設定します。 + 9. **Access Weekday**: 接続を許可する曜日を設定します。 + 10. **IP Addresses**: 接続を許可するIPアドレスを設定します。 + 11. **Command Audit**: このPermissionを通じて接続されたセッションで使用されたcommandのログ可否を設定します。 + 12. **Command Detection**: ScriptおよびAliasが呼び出される時、内部の禁止コマンド検出可否を設定します。
*制約事項: (10.2.1) Bash Shellでのみ動作、Scriptで他のScriptを呼び出すコマンドは実行ブロック + 13. **Session Recording**: このPermissionのSSH、SFTP、TELNET、FTPセッションレコーディングオプションを設定します。デフォルト値は`On`です。実際のセッションレコーディングは、接続時点で適用されるすべてのポリシーの結果に従います。（11.5.8、11.6.6からサポート） + 14. **Session Recording Max Size (MB)** : セッションレコーディングファイルの最大チャンクサイズをMB単位で設定します。デフォルト値は100MBで、10MBから1024MBまで入力できます。Session RecordingがOffの場合、この項目は無効化されます。（11.5.8、11.6.6からサポート） + 15. **Proxy Usage**: QueryPie AgentでこのPermissionを通じてサーバー接続可能可否を設定します。 + 16. **Require Privilege**: このオプションを有効化すると、ユーザーが該当アカウントでサーバーに接続するためにServer Privilege Requestワークフローを通じた承認手順を必須で経ることになります。これはWindowsサーバーの管理者（Admin）アカウントのように高い権限のアカウントに対するアクセスを一時的に許可し管理する時に有用です。 * このオプションが有効化されたアカウントで接続を試行するとユーザーダッシュボードでサーバー接続時、`Connect`ボタンが無効化され、アクセス権限要求を提出しなければならないという案内メッセージが表示されます。 * Require PrivilegeオプションはサーバーのOS種類と関係なくすべてのアカウントに適用できます。 - 8. **Access Start Time**: 接続可能開始時間を設定します。 - 9. **Access End Time**: 接続可能終了時間を設定します。 - 10. **Access Weekday**: 接続を許可する曜日を設定します。 - 11. **IP Addresses**: 接続を許可するIPアドレスを設定します。 - 12. **Command Audit**: このPermissionを通じて接続されたセッションで使用されたcommandのログ可否を設定します。 - 13. **Command Detection**: ScriptおよびAliasが呼び出される時、内部の禁止コマンド検出可否を設定します。
*制約事項: (10.2.1) Bash Shellでのみ動作、Scriptで他のScriptを呼び出すコマンドは実行ブロック - 14. **Proxy Usage**: QueryPie AgentでこのPermissionを通じてサーバー接続可能可否を設定します。 - 15. **Max Sessions**: 一ユーザーが一サーバーに同時接続可能なセッション数を制限します。 - 16. **Session Timeout (minutes)**: 入力された時間（分）だけ活動しないとセッションは終了されます。 + 17. **Allow Local Port Forwarding**: このPermissionで接続したクライアントからリモートサーバーへのローカルポートフォワーディングを許可します。VS Code Remote SSHなど、ローカルポートフォワーディングを使用するクライアントで必要です。（10.3.0からサポート） + 18. **Allow RDP Clipboard**: このPermissionで接続したRDPセッションのクリップボードリダイレクト許可有無を設定します。Disableに設定すると、RDPセッションでクリップボードリダイレクトを使用できません。（11.5.8、11.6.6からサポート） + 19. **Max Sessions**: 一ユーザーが一サーバーに同時接続可能なセッション数を制限します。 + 20. **Session Timeout (minutes)**: 入力された時間（分）だけ活動しないとセッションは終了されます。 3. 右下の`Grant`ボタンをクリックすると権限付与が完了します。 diff --git a/src/content/ja/administrator-manual/servers/server-access-control/policies/setting-server-access-policy.mdx b/src/content/ja/administrator-manual/servers/server-access-control/policies/setting-server-access-policy.mdx index 8e2d27a79..b0d354edd 100644 --- a/src/content/ja/administrator-manual/servers/server-access-control/policies/setting-server-access-policy.mdx +++ b/src/content/ja/administrator-manual/servers/server-access-control/policies/setting-server-access-policy.mdx @@ -3,6 +3,8 @@ title: 'サーバーアクセスポリシー設定' confluenceUrl: 'https://querypie.atlassian.net/wiki/spaces/QM/pages/544381039' --- +import { Callout } from 'nextra/components' + # サーバーアクセスポリシー設定 ### Overview @@ -18,25 +20,32 @@ PolicyはIaCのような形態でYAML Codeを基盤に動作します。 * **serverGroup**: 接続を許可するサーバーグループ * **account**: サーバーグループに登録されたAccount * **protocols**: 許可プロトコル（10.2基準、SSH、SFTP、TELNET、FTP、RDPサポート） -* **commandRef**: 接続時適用するコマンドテンプレート +* **commandsRef**: 接続時適用するコマンドテンプレート * 選択したCommand Templateの内容は`Command Policy Detail`アコーディオンを展開して確認可能 * コマンドテンプレートの生成と管理方法は[Command Templates](../command-templates)参照 * Allow / Denyコマンドテンプレートをすべて適用した場合、Deny優先適用 * **accessTime**: 接続許可時間 * **accessWeekday**: 接続可能曜日 -* **ipAddress**: 接続可能IP設定
*Security > Resource IP Access Control Configuration設定に該当する場合、許可した範囲内のIPのみアクセス許可 +* **ipAddresses**: 接続可能IP設定
*Security > Resource IP Access Control Configuration設定に該当する場合、許可した範囲内のIPのみアクセス許可 * **commandAudit**: 接続時のコマンド監査適用の有無 * **commandDetection**: ScriptとAliasが呼び出される時、内部の禁止コマンド検出の有無設定
*制約事項: (10.2.1) Bash Shellでのみ動作、Scriptで他のScriptを呼び出すコマンドは実行ブロック -* **proxyUsage**: Agentを通じたプロキシ接続許可の有無 +* **sessionRecording**: セッションレコーディングの使用有無を設定します。デフォルト値は`On(true)`です。複数のポリシーが同時に適用される場合、いずれか一つでも`On(true)`であればセッションレコーディングが有効化されます。そのため、セッションレコーディングを無効化するには、一致するすべてのポリシーで`Off(false)`に設定する必要があります。（11.5.8、11.6.6からサポート） +* **sessionRecordingMaxSizeMb**: セッションレコーディングファイルの最大チャンクサイズをMB単位で設定します。デフォルト値は`100`で、10から1024まで入力できます。複数のポリシーが同時に適用される場合は、最も小さい値が適用されます。（11.5.8、11.6.6からサポート） +* **useProxy**: Agentを通じたプロキシ接続許可の有無 * **maxSessions**: サーバー当たり最大同時接続数 * **sessionTimeout**: サーバーセッションタイムアウト基準時間（分） -* **requirePrivilege**: サーバー接続時の権限承認必要の有無
*このオプションを有効化（Enable）すると、該当アカウントはサーバー権限要求（Server Privilege Request）ワークフローを通じた承認を受けなければサーバーに接続できません。 +* **requirePrivilege**: サーバー接続時の権限承認必要の有無
*このオプションを有効化（`Enable`）すると、該当アカウントはサーバー権限要求（Server Privilege Request）ワークフローを通じた承認を受けなければサーバーに接続できません。 +* **allowLocalPortForwarding** : クライアントからリモートサーバーへのローカルポートフォワーディングを許可します。デフォルト値は`Disable(false)`です。VS Code Remote SSHなど、ローカルポートフォワーディングを使用するクライアントでは`Enable(true)`に設定する必要があります。 +* **allowClipboard** (**Allow RDP Clipboard**): RDPセッションのクリップボードリダイレクト許可有無を設定します。デフォルト値は`true`で、`false`に設定するとRDPセッションでclipboard redirectionをブロックできます。（11.5.8、11.6.6からサポート） +
ローカルデバイスとリモートWindowsデスクトップセッション間でクリップボードを共有し、コピーしたテキストやファイルなどを相互に貼り付けられるようにするRemote Desktop Protocol（RDP）の機能です。 +
+
+
+
+
+
+
+
+
+
+
Workflowで申請する方法については、以下のページを参照してください。 + +* [Unmasking Requestの申請（マスキング解除申請）](../workflow/requesting-unmasking-mask-removal-request) +* [Restricted Data Accessの申請（制限データアクセス申請）](../workflow/requesting-restricted-data-access) +* [DBポリシー例外の申請（DB Policy Exception Request）](../workflow/requesting-db-policy-exception)
diff --git a/src/content/ko/administrator-manual/audit/general-logs/activity-logs.mdx b/src/content/ko/administrator-manual/audit/general-logs/activity-logs.mdx index 7f318e32f..9f26662ff 100644 --- a/src/content/ko/administrator-manual/audit/general-logs/activity-logs.mdx +++ b/src/content/ko/administrator-manual/audit/general-logs/activity-logs.mdx @@ -9,7 +9,7 @@ import { Callout } from 'nextra/components' ### Overview -Activity Logs에서는 **관리자**에 의해 수행되는 리소스 등록 및 설정 변경 이력을 조회할 수 있습니다. +Activity logs에서는 **관리자**에 의하여 수행되는 리소스 등록 및 설정 변경 이력을 조회할 수 있습니다. ### Activity Logs 조회하기 @@ -23,7 +23,7 @@ Administrator > Audit > General > Activity Logs 1. Administrator > Audit > General > Activity Logs 메뉴로 접근합니다. 2. **조회 기간** : 기본적으로 이번 달의 로그 목록이 최신 순으로 조회됩니다. - 1. 조회 기간을 변경하려면 필터 패널을 열고 **Action At** 에서 조회 기준일을 변경합니다. + 1. 조회 기간 변경을 위해서는 필터 패널을 열고, **Action At** 에서 조회 기준일을 변경하시기 바랍니다. 3. **Action Type** : 리소스 변경 내용을 간략하게 확인할 수 있습니다. 형식은 다음과 같습니다. 1. `{변경이 가해진 리소스 타입}` `{Created | Updated | Deleted…}` : 특정 리소스가 생성, 변경, 또는 삭제된 경우 * 예: `DB Connection Created`, `Server Updated`, `Kubernetes Policy Deleted` @@ -43,15 +43,15 @@ Administrator > Audit > General > Activity Logs > Activity Logs Deta
+
+
+
*제약사항: (10.2.1) Grant Permissions에서는 Deny로 설정된 Command Template만 사용이 가능합니다. - 6. **Configure Whitelist**: Command Template을 통해 명령어를 제어하는 과정에서 특정 명령어에 대한 예외처리 허용을 지원합니다. Configure Whitelist 체크 박스를 체크하면 이하의 설정이 나타납니다: - 1. **Commands**: 허용이 필요한 명령어를 기입합니다. - 1. **Keyword**: 키워드로 입력 (ls, cat 등) - 2. **RegEx**: 정규표현식으로 입력 (^sudo\b[^&|;\n]*$ 등) - 2. **Whitelist Expiration Date**: 위 명령에 대한 별도 예외처리 만료일자를 지정합니다. - 7. **Require Privilege**: 이 옵션을 활성화하면, 사용자가 해당 계정으로 서버에 접속하기 위해 Server Privilege Request 워크플로우를 통한 승인 절차를 필수로 거치게 됩니다. 이는 Windows 서버의 관리자(Admin) 계정과 같이 높은 권한의 계정에 대한 접근을 임시로 허용하고 관리할 때 유용합니다. + 6. **Configure Server Privilege** : Permission에 적용할 Server Privilege 설정을 추가합니다. 선택하면 Server Privilege에서 사용할 명령어와 Privilege Expiration Date를 설정할 수 있습니다. 권한을 분 단위로 설정하는 경우 Privilege Start Trigger 및 Privilege Duration(Minutes)도 설정할 수 있습니다. + 7. **Access Start Time**: 접속 가능 시작 시간을 설정합니다. + 8. **Access End Time**: 접속 가능 종료 시간을 설정합니다. + 9. **Access Weekday**: 접속을 허용하는 요일을 설정합니다. + 10. **IP Addresses**: 접속을 허용하는 IP 주소를 설정합니다. + 11. **Command Audit**: 이 Permission을 통해 연결된 세션에서 사용된 command의 로깅 여부를 설정합니다. + 12. **Command Detection**: Script 및 Alias가 호출될 때, 내부의 금지 명령어 탐지 여부를 설정합니다.
*제약사항: (10.2.1) Bash Shell에서만 동작, Script에서 다른 Script를 호출하는 명령어는 수행 차단 + 13. **Session Recording**: 이 Permission의 SSH, SFTP, TELNET, FTP 세션 레코딩 옵션을 설정합니다. 기본값은 `On`입니다. 실제 세션 레코딩은 접속 시점에 적용되는 전체 정책의 결과를 따릅니다. (11.5.8, 11.6.6부터 지원) + 14. **Session Recording Max Size (MB)** : 세션 레코딩 파일의 최대 청크 크기를 MB 단위로 설정합니다. 기본값은 100MB이며, 10MB부터 1024MB까지 입력할 수 있습니다. Session Recording이 Off이면 이 항목은 비활성화됩니다. (11.5.8, 11.6.6부터 지원) + 15. **Proxy Usage**: QueryPie Agent에서 이 Permission을 통해 서버 접속 가능 여부를 설정합니다. + 16. **Require Privilege**: 이 옵션을 활성화하면, 사용자가 해당 계정으로 서버에 접속하기 위해 Server Privilege Request 워크플로우를 통한 승인 절차를 필수로 거치게 됩니다. 이는 Windows 서버의 관리자(Admin) 계정과 같이 높은 권한의 계정에 대한 접근을 임시로 허용하고 관리할 때 유용합니다. * 이 옵션이 활성화된 계정으로 접속을 시도하면 사용자 대시보드에서 서버 접속 시, `Connect` 버튼이 비활성화되며, 접근 권한 요청을 제출해야 한다는 안내 메시지가 표시됩니다. * Require Privilege 옵션은 서버의 OS 종류와 상관없이 모든 계정에 적용할 수 있습니다. - 8. **Access Start Time**: 접속 가능 시작 시간을 설정합니다. - 9. **Access End Time**: 접속 가능 종료 시간을 설정합니다. - 10. **Access Weekday**: 접속을 허용하는 요일을 설정합니다. - 11. **IP Addresses**: 접속을 허용하는 IP 주소를 설정합니다. - 12. **Command Audit**: 이 Permission을 통해 연결된 세션에서 사용된 command의 로깅 여부를 설정합니다. - 13. **Command Detection**: Script 및 Alias가 호출될 때, 내부의 금지 명령어 탐지 여부를 설정합니다.
*제약사항: (10.2.1) Bash Shell에서만 동작, Script에서 다른 Script를 호출하는 명령어는 수행 차단 - 14. **Proxy Usage**: QueryPie Agent에서 이 Permission을 통해 서버 접속 가능 여부를 설정합니다. - 15. **Max Sessions**: 한 유저가 한 서버에 동시 연결 가능한 세션 수를 제한합니다. - 16. **Session Timeout (minutes)**: 입력된 시간(분) 만큼 활동하지 않으면 세션은 종료됩니다. + 17. **Allow Local Port Forwarding**: 이 Permission으로 접속한 클라이언트에서 원격 서버로 로컬 포트를 포워딩할 수 있도록 허용합니다. VS Code Remote SSH 등 로컬 포트 포워딩을 사용하는 클라이언트에서 필요합니다. (10.3.0부터 지원) + 18. **Allow RDP Clipboard**: 이 Permission으로 접속한 RDP 세션의 클립보드 리디렉션 허용 여부를 설정합니다. Disable로 설정하면 RDP 세션에서 클립보드 리디렉션을 사용할 수 없습니다. (11.5.8, 11.6.6부터 지원) + 19. **Max Sessions**: 한 유저가 한 서버에 동시 연결 가능한 세션 수를 제한합니다. + 20. **Session Timeout (minutes)**: 입력된 시간(분) 만큼 활동하지 않으면 세션은 종료됩니다. 3. 우측 하단의 `Grant` 버튼을 클릭하면 권한 부여가 완료됩니다. diff --git a/src/content/ko/administrator-manual/servers/server-access-control/policies/setting-server-access-policy.mdx b/src/content/ko/administrator-manual/servers/server-access-control/policies/setting-server-access-policy.mdx index 5bd68229f..e53838bea 100644 --- a/src/content/ko/administrator-manual/servers/server-access-control/policies/setting-server-access-policy.mdx +++ b/src/content/ko/administrator-manual/servers/server-access-control/policies/setting-server-access-policy.mdx @@ -3,6 +3,8 @@ title: '서버 접근 정책 설정하기' confluenceUrl: 'https://querypie.atlassian.net/wiki/spaces/QM/pages/544381039' --- +import { Callout } from 'nextra/components' + # 서버 접근 정책 설정하기 ### Overview @@ -18,25 +20,32 @@ Policy는 IaC와 같은 형태로 YAML Code를 기반으로 동작합니다. * **serverGroup**: 접속을 허용할 서버 그룹 * **account**: 서버그룹에 등록된 Account * **protocols**: 허용 프로토콜 (10.2 기준, SSH, SFTP, TELNET, FTP, RDP 지원) -* **commandRef**: 접속 시 적용할 명령어 템플릿 +* **commandsRef**: 접속 시 적용할 명령어 템플릿 * 선택한 Command Template의 내용은 `Command Policy Detail` 아코디언을 펼쳐서 확인 가능 * 명령어 템플릿의 생성 및 관리 방법은 [Command Templates](../command-templates) 참고 * Allow / Deny 명령어 템플릿을 모두 적용한 경우, Deny 우선 적용 * **accessTime**: 접속 허용 시간 * **accessWeekday**: 접속 가능 요일 -* **ipAddress**: 접속 가능 IP 설정
*Security > Resource IP Access Control Configuration 설정에 해당하는 경우, 허용한 범위 내의 IP만 접근 허용 +* **ipAddresses**: 접속 가능 IP 설정
*Security > Resource IP Access Control Configuration 설정에 해당하는 경우, 허용한 범위 내의 IP만 접근 허용 * **commandAudit**: 접속 시 명령어 감사 적용 여부 * **commandDetection**: Script 및 Alias가 호출될 때, 내부의 금지 명령어 탐지 여부 설정
*제약사항: (10.2.1) Bash Shell에서만 동작, Script에서 다른 Script를 호출하는 명령어는 수행 차단 -* **proxyUsage**: Agent를 통한 프록시 접속 허용 여부 +* **sessionRecording**: 세션 레코딩 사용 여부를 설정합니다. 기본값은 `On(true)`입니다. 여러 정책이 동시에 적용되는 경우, 하나라도 `On(true)`이면 세션 레코딩이 활성화됩니다. 따라서 세션 레코딩을 비활성화하려면 일치하는 모든 정책에서 `Off(false)`로 설정해야 합니다. (11.5.8, 11.6.6부터 지원) +* **sessionRecordingMaxSizeMb**: 세션 레코딩 파일의 최대 청크 크기를 MB 단위로 설정합니다. 기본값은 `100`이며, 10부터 1024까지 입력할 수 있습니다. 여러 정책이 동시에 적용되는 경우 가장 작은 값이 적용됩니다. (11.5.8, 11.6.6부터 지원) +* **useProxy**: Agent를 통한 프록시 접속 허용 여부 * **maxSessions**: 서버 당 최대 동시 접속수 * **sessionTimeout**: 서버 세션 타임아웃 기준 시간(분) -* **requirePrivilege**: 서버 접속 시 권한 승인 필요 여부
*이 옵션을 활성화(Enable)하면, 해당 계정은 서버 권한 요청(Server Privilege Request) 워크플로우를 통한 승인을 받아야만 서버에 접속할 수 있습니다. +* **requirePrivilege**: 서버 접속 시 권한 승인 필요 여부
*이 옵션을 활성화(`Enable`)하면, 해당 계정은 서버 권한 요청(Server Privilege Request) 워크플로우를 통한 승인을 받아야만 서버에 접속할 수 있습니다. +* **allowLocalPortForwarding** : 클라이언트에서 원격 서버로 로컬 포트를 포워딩할 수 있도록 허용합니다. 기본값은 `Disable(false)`입니다. VS Code Remote SSH 등 로컬 포트 포워딩을 사용하는 클라이언트에서는 `Enable(true)`로 설정해야 합니다. +* **allowClipboard** (**Allow RDP Clipboard**): RDP 세션의 클립보드 리디렉션 허용 여부를 설정합니다. 기본값은 `true`이며, `false`로 설정하면 RDP 세션에서 clipboard redirection을 차단 할 수 있습니다. (11.5.8, 11.6.6부터 지원) +
로컬 장치와 원격 Windows 데스크톱 세션 간에 클립보드를 공유하여, 복사한 텍스트나 파일 등을 서로 붙여넣을 수 있도록 하는 Remote Desktop Protocol(RDP)의 기능입니다. +
+
+
+
+
+
+
+
+
+
+
Workflow에서 요청을 수행하는 것은 아래 내용 참고 부탁드립니다. + +* [Unmasking Request 요청하기 (마스킹 해제 요청)](../workflow/requesting-unmasking-mask-removal-request) +* [Restricted Data Access 요청하기 (제한된 데이터 접근 요청)](../workflow/requesting-restricted-data-access) +* [DB 정책 예외 요청하기 (DB Policy Exception Request)](../workflow/requesting-db-policy-exception)