访问控制

浏览到主菜单 > 管理员 > Access Control，其中的成员、角色、范围、组和空间选项卡可用于管理 Ivanti Neurons 平台的访问权限。

空间选项卡和相关选项仅适用于统一产品体验租户。 有关详细信息，请参阅统一产品体验。

使用 SCIM 调配协议同步组时，组选项卡和相关选项可用。 有关为 IDP 设置 SCIM 调配的更多信息，请参阅 SCIM 调配。

成员

公司注册 Ivanti Neurons 平台时，首位登录用户将成为成员，并被分配管理员角色。 可以邀请其他人员成为 Neurons 平台成员，从而使用 Neurons 平台所提供的功能。

Neurons 平台成员的用户列表与使用 Active Directory 连接器导入的用户数据之间没有任何关联，例如函数、功能和目录等数据。

  1. 转到主菜单 > 管理员 > 访问控制 > 成员。
  2. 在成员选项卡上，点击 + 邀请新成员。
  3. 输入该人员的电子邮件地址和姓名，然后分配所需的角色。
    要邀请多个用户，请点击再添加一个，直到添加完所有要邀请的用户。
  4. 点击发送邀请。 电子邮件将发送到您所提供的每个地址，并邀请每个人员进行登录。

发送邀请后，该人员的姓名将显示在“成员”列表中，且状态将设置为已发送邀请。 要重新发送邀请，请点击右侧的更多选项 (省略号图标)，然后选择重新发送邀请。

在他们第一次登录后，其状态将设置为已加入。

  1. 转到主菜单 > 管理员 > 访问控制 > 成员。
  2. 在列表中找到该人员。
  3. 点击右侧的更多选项 (省略号)，然后选择停用或删除。
  1. 转到主菜单 > 管理员 > 访问控制 > 成员。
  2. 在列表中找到该人员，然后单击其名称以打开成员详细信息页面。
    页面的角色部分列出了已分配给成员的角色。
  3. 点击分配角色获取可用角色及其关联权限列表。
    选择角色对话框随即显示。
  4. 选择要向成员分配的角色。
  5. 点击选定角色部分的空间可以为特定的角色选择空间。
    为 Custom-MDM-Role 选择空间部分随即显示。
  6. 点击复选框来选择所需的空间。
  7. 点击选定角色部分的 X。
  8. 可以转到有效权限选项卡查看成员对应的访问配置文件。
  9. 前往“空间”并点击移除成员，从空间中移除该成员。
  10. 完成所需的更改后，点击保存并关闭。
    如果角色需要选择空间，请参阅

角色

通过向成员分配一个或多个角色来配置其权限。

Neurons 平台包含一些不能更改的预配置角色。 如果这些角色不能满足您的需求，可以创建自定义角色。

空间感知角色 - 权限由空间决定，因此只能将角色分配给特定空间。 例如，空间中的设备管理、应用程序管理。 要了解更多信息，请参阅 Ivanti Neurons for MDM 管理员指南的角色管理一节。

常规角色 - 从本质上来说，权限适用于所有角色。 例如，租户级别设置，如 MDM 证书、应用程序目录设置。

  1. 转到主菜单 > 管理员 > 访问控制 > 角色。
  2. 点击 +添加自定义角色。
    新增角色页面随即显示。 
    1. 输入名称。
    2. 输入说明。
  3. 点击权限选项卡来指定所选角色的权限设置。
    可以为多个产品设置权限。 例如，在 Neurons 平台租户中创建角色时，可以同时设置与 Neurons 平台和 MDM 相关的权限。
    可以用两种方式添加或删除权限：
    按类别选择：
    1. 从左侧列中选择权限类别，例如 MDM 操作。
    2. 在 MDM 操作下选择所需的权限类别。
    3. 在选择权限列，从 MDM 操作类别中选择所需的权限。 星球图标 表示空间感知权限。
    4. 已选中列将跨类别一览式显示所有选中的权限。
      还可以使用选择权限旁的复选框添加或删除该类别中的所有权限。
      带蓝色背景白色划线符号的复选框 表示选中了该类别中的部分权限。
      带蓝色背景白色勾号的复选框 表示选中了该类别中的所有权限。
      或者，点击选定列中的删除来删除现有权限。
    5. 对需要的其他类别重复此操作。
    按名称选择：
    1. 如果知道权限的（部分）名称，请在“搜索”字段输入名称。
      匹配的权限列表会显示出来，并随着键入的内容更新。 可以使用这些搜索结果中的复选框来添加权限。
    2. 继续执行按类别选择中的步骤 3 (d)。

  4. 使用成员选项卡将角色分配给成员或删除角色。
    1. 点击分配给成员按钮。
      分配给成员对话框随即显示。
    2. 选择要为之分配角色的成员。
    3. 点击分配给选定对象。
    4. 要删除成员，请选择成员并点击删除选定成员。
    5. 选择要分配角色的成员。
    6. 点击角色面板中的分配角色。
      选择角色对话框随即显示。
    7. 选择要向所选成员分配的角色。
      要删除选定的角色，请点击选定角色部分的 X。
    8. 完成更改后，点击 X 关闭选择角色对话框。

  5. 点击保存并关闭。 

  1. 转到主菜单 > 管理员 > 访问控制 > 角色。
  2. 点击权限选项卡。 按照步骤 3 至 6，在创建自定义角色部分进行操作。

范围

使用“范围”来定义成员能够查看和管理的设备。 管理员可以创建包含设备的静态列表的范围，也可以创建根据筛选器动态作用的范围。

可以向成员分配多个范围。 范围创建和分配需要访问控制 > 修改范围权限。

范围目前仅适用于 Ivanti Neurons 平台的以下领域：

  • 设备
  • 人员
  • Smart Advisors
  • 从设备或人员获取数据的仪表板组件
  • 机器人（自定义操作）
    现在可以使用 Neurons Scopes 限制自定义操作的使用，根据触发机器人的用户的范围访问，控制允许机器人针对哪些设备组或人员执行操作，从而提供增强的安全性。 有关立即运行范围的更多信息，请参阅立即运行。
  • 修补程序管理
    在某些情况下，一旦分配了设备范围，范围内找到的设备数量可能会高于修补程序管理中可用的设备数量。 图标 表示该列中的信息不符合指定的范围。 页面顶部的横幅也显示了这一点。
  • 修补程序管理报告
    修补程序管理报告根据分配的设备范围生成。
    深入了解修补程序管理报告。
  • Edge Intelligence（支持的设备范围）
    在某些情况下，一旦分配了设备范围，范围内找到的设备数量可能会高于 Edge Intelligence 中可用的设备数量。
    场景包括：

    1. 配置范围时，使用的筛选条件可能会导致相同的设备。 例如：多个具有相同计算机名称的设备。

    2. 并非所有设备都安装了 Edge Intelligence 引擎或功能。

    3. 设备离线超过 30 天，Edge Intelligence 将对其进行清理。

  1. 转到主菜单 > 管理员 > 访问控制 > 范围。
  2. 点击要修改的范围，或者点击新建 > 创建设备范围，以打开新设备范围页面。
  3. 输入范围名称。
  4. 在范围类型下，选择静态。
  5. 点击添加设备。
  6. 点击添加，或者选中要在范围中包括的每个设备旁的框。 使用搜索字段对列表进行筛选。
  7. 设备添加完成后，点击确定。 选中的设备会出现在范围的设备列表中。
  8. 在页面底部，点击保存并关闭。
  1. 转到主菜单 > 管理员 > 访问控制 > 范围。
  2. 点击要修改的范围，或者点击新建 > 创建设备范围来打开新建设备范围的页面。
  3. 输入范围名称。
  4. 在范围类型下，选择动态。 此为默认设置。
  5. 在范围筛选器下，构建包括所需设备的筛选器。
  6. 在页面底部，点击保存并关闭。
  1. 转到主菜单 > 管理员 > 访问控制 > 成员。
  2. 在列表中找到该人员，然后单击其名称以打开成员详细信息页面。
  3. 点击范围字段。
  4. 点击添加范围 > 设备范围。
  5. 从设备范围列表选择要向成员分配的范围。
  6. 点击分配范围。
  7. 完成所需的更改后，点击保存并关闭。
  1. 转到主菜单 > 管理员 > 访问控制 > 范围。
  2. 在所需范围上，点击 并选择删除成员以从范围中删除成员。

    如果未将范围分配给成员，则将为该特定成员禁用删除成员选项。

  1. 转到主菜单 > 管理员 > 访问控制 > 范围。

  2. 点击新建 > 从设备组复制。
    设备组窗口随即显示。

  3. 选择所需的设备组或使用搜索框来筛选设备。

  4. 点击复制到范围。
    新增设备范围页面随即显示。

  5. 输入范围名称。

  6. 根据需要配置范围。

  7. 点击页面右上方的保存并关闭。

组

组允许您通过 SCIM 从身份提供程序 (IdP) 分配角色。 您可以通过 IdP 中的组成员身份来控制分配的角色。 通过此设置，Neurons 管理员不需要为每个新成员分配相同的默认角色。 相反，新成员将根据其所属组的角色获得访问权限。

组选项卡显示使用来自 IdP 的 SCIM 调配协议同步的组。 有关配置 SCIM 的信息，请参阅 SCIM 配置。

指派角色，请按照以下步骤操作：

  1. 导航到管理员 > 访问控制。
  2. 转到组选项卡。
    显示现有组和新添加组的列表。

    成员列显示已从具有角色的组登录的用户数量，以及该组中直接邀请的成员数量。
    群体列表示该组中的用户数量，无论该组是否已被分配角色。

    确保记下以下信息以解释成员列下的计数：

    • 仅当为组分配了角色且该组中的用户已登录时，组才具有非零成员计数。

    • 当直接邀请的成员（包括未接受的邀请）是具有角色的组的用户时，它们将包含在成员计数中。

  3. 在组选项卡上，您可以执行以下操作：
    • 指派基于角色的访问控制 (RBAC)：选择所需的组，然后单击分配到组选项，选择要分配的角色，然后单击保存。
    • 要通过 Ivanti Neurons 验证成员登录：请启用组的可以进行身份验证列下的复选框，然后单击保存身份验证设置。
    • 拒绝访问组中的所有成员：禁用组可以验证列下的复选框。

    保存更改后，用户可以基于以下条件登录：

    • 来自启用了“可以进行身份验证”选项的组的用户可以通过 Ivanti Neurons 进行身份验证并登录。

    • 如果组已分配角色，则会自动启用“可以验证”选项。 具有角色的组中的用户可以使用这些角色登录和访问 Ivanti Neurons。

    • 如果组启用了“可以验证”选项，但未分配角色，则该组中的用户可以登录，但其对 Ivanti Neurons 内容的访问受到限制。

    • 如果该组禁用了“能够验证”选项，则该组的用户将无法访问 Ivanti Neurons。

    • 用户使用分配的角色登录后，成员页面将列出具有角色的组中用户。

空间

空间选项卡和相关选项仅适用于统一产品体验租户。 有关详细信息，请参阅统一产品体验。

空间允许根据移动设备的特征或所属用户对其进行分类，从而更轻松地进行委派管理。 可以创建空间来反映组织层次结构或地理位置。 Ivanti Neurons for MDM 支持使用称为默认空间的中央管理实体和称为委派空间的多个下属管理实体进行单级委派。

有关“空间”的更多信息，请参阅 Ivanti Neurons MDM 管理员指南。

  1. 转到主菜单 > 管理员 > 访问控制 > 空间选项卡。
  2. 点击 +添加空间。
    添加空间面板随即显示。
  3. 输入空间名称。
  4. 设置优先级。 默认情况下，优先级设为下一个可用级别。
  5. 定义规则。 如果希望将符合任何指定规则的设备都放入此空间，请选择任何。 选择所有时，则设备必须符合所有规则才能放入此空间。
  6. 点击添加空间。
  7. 点击预览变更来查看将要分配到空间的设备数量。
  8. 点击保存以发布空间。
  1. 转到主菜单 > 管理员 > 访问控制 > 空间选项卡。
  2. 点击 以修改空间。
    1. 点击编辑名称以修改空间名称。
    2. 点击编辑规则以修改已定义的规则。
    3. 点击上移将优先级提高一级，并将该空间上方的空间降低一级。
    4. 点击下移将优先级降低一级，并将该空间下方的空间提高一级。
    5. 点击删除空间以删除该空间。