Arcsight ESM入门系列（七） ESM进阶之管理用户和组

管理用户组

ESM用户组旨在包含具有一组通用角色的用户（请参阅ESM 101中的主题“用户角色”）和权限。 ESM提供以下用户组：

ESM用户组类型

组	描述
管理员	与管理员角色关联, 具有所有权限和权限, 包括更改其他组的权限和权限
自定义用户组	最低权限和权限, 但管理员可以修改。
默认用户组	进一步细分为映射到企业安全操作中心（SOC）角色的子组。 每个子组都有一组预定义的权限，但管理员可以修改。 分析器管理员-与作者角色相关联。 负责创建ESM内容。 操作员-与操作员角色相关联。 使用作者创建的内容来监视与安全相关的活动。 按指定处理和解决个案。 操作员/分析者-与业务用户角色关联。

提示: 如果属于 "管理员" 组, 则可以查看所有组及其关联的权限。右键单击某个组, 然后选择 "编辑 ACL" 打开该组的 acl 编辑器。请参阅99页上的 "管理权限"。

位置: 导航器 > 资源 > 用户

创建用户组:

警告：组中不要超过10,000多个资源。

1. 右键单击一个组，然后选择新建组。

名称文本字段显示在您选择的组下。

1. 在名称文本字段中输入名称。
2. 按Enter键。
3. 可选：要在备注选项卡中添加信息，请参阅第72页的“使用备注”。

重命名用户组：

1. 右键单击一个组，然后选择重命名。
2. 在“名称”文本字段中，重命名该组。
3. 按Enter键。

编辑用户组：

1. 右键单击一个组，然后选择编辑组。
2. 在组编辑器中，编辑名称和描述文本字段。
3. 单击确定。

移动或链接（复制）用户组：

注意：要一次复制多个资源，请使用复制和粘贴。 您一次只能拖放一个资源。

1. 导航到一个组，然后将其拖放到另一个组中。
2. 选择移动移动组或链接以创建链接到原始组的组的副本。

如果选择“链接”，则会创建链接到原始组的组副本。 因此，如果您编辑链接组，则无论是原始链接还是复制链接，都会编辑所有链接。 删除链接组时，您可以删除所选组或所有链接组。

要删除用户组：

如果删除一个组，则该组内的用户也将被删除，除非他们也被其他组包含。

1. 右键单击一个组，然后选择“删除组”。
2. 在对话框中，单击是。

设置控制台启动视图：

您可以定义一组给定的成员的活动频道和控制面板资源组

ArcSight用户组首次登录时会默认显示。这包括ArcSight控制台和Command Center用户。这些频道和控制面板仅是初始默认值：当用户开始更改“查看器”面板的内容时，ArcSight控制台和命令中心将遵循记住最新状态的正常行为。

您为用户组选择的默认活动频道和控制面板在“启动视图”选项卡上的用户组编辑器中列出。

1. 右键单击一个用户组，然后选择编辑组。
2. 在用户组编辑器中，单击启动视图选项卡，然后单击活动频道或控制面板选项卡。
3. 在任一资源选项卡中，单击添加以打开资源选择器对话框。
4. 导航到并选择相应的活动频道或控制面板以设置为用户的启动资源，然后单击确定。重复此步骤以添加更多资源。
5. 单击“刷新”更新当前资源列表，或单击“删除”从列表中选取一个资源。单击编辑可在其自己的编辑器中更改选定的资源。

单击应用进行更改并保持编辑器处于打开状态，或单击确定以应用更改并关闭编辑器。

用户

您可以管理多个用户，方法是根据角色或其他逻辑分组将其组织成组，并设置其权限和密码以及启用或禁用其登录功能。通过编辑这些组的访问控制列表（ACL），可以为特定组授予访问特定资源（例如，创建规则或报表）的权限。

当用户登录时，他们被允许通过一个或多个组的成员身份执行任何被授予权限的操作。

当您创建ESM用户时，该人员会自动接收一组资源组。用户可以在其组中存储，创建，编辑或删除资源，而不会危及其他用户的资源。

注意：某些系统操作（例如审核事件生成）代表名为1ROOTUSER的特殊系统用户完成。在调查活动详情时，您可能会看到具有此值的用户标识。此用户标识有效，仅供内部使用。

创建或编辑用户

位置: 导航器 > 资源 > 用户

1. 找到用户组。
2. 如果要创建用户，请根据用户的角色右键单击此用户的组（请参阅第91页上的“管理用户组”以了解组类型），然后选择新用户。

如果您正在编辑用户，请展开该组，右键单击该用户，然后选择编辑用户。

1. 在用户编辑器中，在登录部分的属性选项卡上设置这些字段：

登录属性

字段	描述
用户ID	登录 ID 的用户名。这是必填字段。
用户类型	从下拉菜单中选择一个用户类型。 这是一个必填字段。 目前支持的用户类型是： 普通用户：具有使用ArcSight控制台和命令中心以及所有工具的完全权限。 仅将此用户类型应用于实际需要访问ArcSight管理器的帐户。 管理工具：只具有运行与网络管理产品配合使用的某些管理工具所需的权限。 转发连接器：仅具有ForwardingConnector所需的权限。 存档实用程序：仅具有运行存档实用程序所需的权限。 通过ACL控制对特定资源的访问。 连接器安装程序：专用标识仅用于将SmartConnector添加到系统。 Web用户：有权使用ArcSight Command Center，但不能使用ArcSight控制台或其他工具。
已启用登陆	选择启用登录复选框以授予用户登录权限（复选标记表示此功能处于打开状态）。 或者将其取消选中并关闭（不显示复选标记）以禁用该用户的登录： 注意：必须启用用户帐户登录才能登录访问控制台。
外部用户ID	或者, 提供一个备用的外部用户 ID。(如果您有来自其他应用程序的用户帐户进入用户数据库, 则外部用户 ID 可能是相关的。
密码	为此用户输入一个密码。 这是一个必填字段。 默认情况下，密码至少需要6个字符，最多可以包含20个字符，并且可以包含数字，字母或组合。 系统管理员可以通过配置文件为其站点设置特殊策略或要求。 有关密码限制的信息，请参阅“管理员指南”第2章“配置”，“管理密码配置”，“密码字符集”。 您可以稍后修改密码。 请参阅下一页的“重置用户密码”。
确认	重新键入密码以确认它。这是必填字段。

1. 在 "用户" 部分的 "属性" 选项卡上设置这些字段:

用户属性

字段	描述
姓	用户的姓氏
名	用户的名字
职务	用户的职位
部门	用户部门
电话	用户的电话号码
传真	用户的传真号码
电子邮件	用户的电子邮件地址。 使用格式user@host.domain。 “@”符号和主机域是必需的。 电子邮件地址不区分大小写。
寻呼机	用户的寻呼机号码（如果适用）。

注意：对于电话，传真或寻呼机号码，允许使用圆括号（），破折号（ - ）和句点（。）。 字母字符是不允许的。

在公共和分配部分输入数据是可选的，具体取决于您的环境配置方式。 有关“公共”和“分配”属性部分以及“父组和创建信息”中的只读属性字段的信息，请参阅第657页上的“公共资源属性字段”。

1. 可选：如果您创建了与其他应用程序集成的命令，请为用户设置集成参数属性（如果适用）。 有关说明，请参阅第601页的“集成命令”和第617页的“设置用户登录参数”。
2. 可选：要在备注选项卡中添加信息。

重置用户密码

目的：

• 如果用户的原始密码已被泄露，管理员可以直接重置用户密码。
• 用户明确要求他们重置自己的密码。

需要权限：管理员权限

操作路径：导航器>资源>用户>用户组>用户

重置密码：

• 要让用户重置自己的密码，请右键单击该用户并选择重置密码。

ArcSight 管理器将分配一个新的随机密码（8个字符，包括数字和字母），并将其发送到选定用户的指定电子邮件地址。或者

• 要自行重置用户密码，请右键单击该用户并选择编辑用户。在用户编辑面板中，输入新密码并重新输入以确认。

注意：通过电子邮件发送密码可能不安全。

或者，在ArcSight 管理器上使用以下命令重置用户的密码：arcsight resetpwd

移动或链接用户

用户可以同时属于不同的用户组。 这些组可以有不同的访问权限集。 用户从他们的父组继承特权，因此请仔细计划您的组分配。

操作路径：导航器>资源>用户

1. 导航到用户并将其拖放到另一个组中。
2. 选择移动移动用户或链接以创建链接到原始用户的用户的副本。

如果您选择移动，则资源或资源组将移至新位置。 如果选择“复制”，则会创建资源或资源组的单独副本，这些资源或资源组在编辑原始资源或资源组时不会受到影响。 如果选择“链接”，则会创建链接到原始资源或资源组的副本。 因此，如果您编辑链接的项目，无论是原始还是复制，所有链接都会被编辑。 删除链接的项目时，您可以删除选定的项目或所有链接的项目。

停用和重新激活用户

由于以下原因，用户被禁用：

• ArcSight管理员手动清除用户的登录已启用复选框。管理员也可以右键单击并选择“删除用户”，然后单击“禁用登录”按钮而不是“删除”。
• 用户尝试登录并失败三次。

默认情况下，用户可以在10分钟后再次登录。但是，您可以将auth.auto.reenable.time设置为-1，以便在达到失败限制后，管理员必须手动重新启用该用户。

请参阅“ESM管理员指南”中的“限制失败登录数量”主题。

• 用户在90天内一直处于非活动状态。

如果您想更改非活动期限，请设置auth.user.account.age属性。请参阅ESM管理员指南中的主题“禁用非活动用户帐户”。

注意：如果您要更改任何属性，请务必参考“在ESM管理员指南中更改属性文件设置”主题。

取消激活的用户被拒绝访问ArcSight控制台和ArcSight Command Center。在控制台上，与停用用户关联的图标显示为灰色，并且已启用登录复选框被清除。

提示：启用或禁用用户登录时，将生成审核事件“用户已更新”。但是，该事件并不指示发生了哪种类型的更新。启用或已禁用的信息存储在DeviceCustomString6字段中。您可以查看此信息的一种方法是将DeviceCustomString6添加为System Events Last Hour频道的列。

操作路径：导航器>资源>用户

重新激活用户：

1. 导航至停用的用户。
2. 右键单击并选择编辑用户。
3. 单击启用登录。
4. 单击应用。用户图标的颜色被恢复。

删除用户

所需权限：

• 管理员权限
• 非授权管理员可以从他们自己的组中删除用户。 请参阅“授予或删除用户组权限“以了解详细信息。

操作路径：导航器>资源>用户

1. 右键单击该用户并选择删除用户。

小心：对话框会确认您是要删除还是禁用用户的登录（取消用户，但将用户定义保留在数据库中）。 删除用户意味着删除用户创建的所有资源：用户的规则，列表，案例等。 单击更多信息以获取这些资源的列表。 如果您需要这些资源，请在删除用户之前将它们复制到其他资源组。 如果您需要更多时间，请先禁用登录以防止未经授权的访问。

1. 在对话框中，单击删除删除用户和列出的用户资源，或者单击禁用登录以禁用用户。