Gruppen

Eine Gruppe ist eine benannte Menge von Geräten und kann auch Netzwerkressourcen enthalten. Zugriffsregeln verweisen auf beiden Seiten - Quellen und Ziele - auf Gruppen. Wird eine Maschine einer Gruppe hinzugefügt, erhält sie dadurch Zugriff; wird sie entfernt, verliert sie ihn wieder. Eine Zugriffsregel nennt nie ein einzelnes Gerät.

Diese Indirektion hält das System beherrschbar. Das Notebook einer neuen Entwicklerin kommt in die Gruppe Engineering und hat sofort genau den Zugriff, den alle anderen Entwickler haben - ohne dass jemand eine Regel bearbeitet.

Öffnen Sie People → Groups und wählen Sie Create group. Oder tippen Sie in einen beliebigen Gruppenwähler - bei einem Gerät, einer Zugriffsregel, einem Registrierungsschlüssel oder einem Mitglied - einen neuen Namen ein und drücken Sie die Eingabetaste; die Gruppe wird beim Speichern angelegt. Gruppennamen sind eindeutig: SXAccess legt keine zweite Gruppe mit einem bereits vorhandenen Namen an.

Eine Gruppe enthält Geräte und, wenn Sie welche hinzufügen, Netzwerkressourcen. Eine Ressource wird über ihr Feld Destination Groups einer Gruppe zugeordnet, damit eine Zugriffsregel die Gruppe als Ziel nennen kann. Siehe Netzwerke und Ressourcen.

Die Gruppenweitergabe entscheidet, ob eine Änderung an den automatischen Gruppen eines Mitglieds auch die Geräte erreicht, die es bereits hat. Sie ist standardmäßig eingeschaltet. Der Schalter heißt Enable user group propagation und liegt unter People → Groups → Settings; wählen Sie nach einer Änderung Save group settings.

Solange sie eingeschaltet ist, wirkt eine Änderung an den automatischen Gruppen eines Mitglieds sofort auf jedes Gerät, das dieses Mitglied per Anmeldung registriert hat. Hinzugefügte Gruppen erhalten diese Geräte, entfernte verlieren sie, und die Geräte bekommen ihren neuen Zugriff, ohne sich erneut anzumelden.

Solange sie ausgeschaltet ist, betrifft die Änderung nur Geräte, die das Mitglied danach registriert; vorhandene Geräte behalten ihre Gruppen. Wird sie wieder eingeschaltet, kommen die Geräte jedes Mitglieds in dessen aktuelle automatische Gruppen; entfernt wird dabei nichts. Mit Schlüssel registrierte Geräte haben keinen Eigentümer, die Weitergabe verschiebt sie daher nie.

Zwei Dimensionen decken nahezu jede Umgebung ab, und wer sie vermischt, erzeugt Unordnung:

• Wer - Engineering, Support, Externe. Gruppen mit den Geräten von Personen, als automatische Gruppen der Mitglieder gesetzt.
• Was - Produktionsdatenbanken, Build-Server, Bürodrucker. Gruppen von Servern und Ressourcen, zugewiesen über den Schlüssel, der sie registriert hat, oder über die Destination Groups einer Ressource.

Schreiben Sie Zugriffsregeln von einer Wer-Gruppe zu einer Was-Gruppe. Eine Gruppe, die sowohl das Notebook eines externen Dienstleisters als auch eine Produktionsdatenbank enthält, zeigt an, dass das Schema aus dem Ruder gelaufen ist.

Jedes Gerät gehört ab seiner Registrierung zu All und kann die Gruppe nicht verlassen. All lässt sich weder umbenennen noch bearbeiten noch löschen und kann keine automatische Gruppe eines Mitglieds oder eines Registrierungsschlüssels sein; deshalb bieten die dortigen Gruppenwähler sie nicht an.

All ist die Gruppe für eine Zugriffsregel, die wirklich für jedes Gerät gilt - und ein Grund, kurz innezuhalten: Eine Regel, die All nennt, erfasst jedes Gerät, das Sie je registrieren werden, auch solche, die es noch gar nicht gibt. Nichts erreicht irgendetwas, bis eine Zugriffsregel es erlaubt; All gewährt also für sich genommen nichts. Haben Sie die Gruppe für einen ersten Test verwendet, wie der Schnellstart es tut, ersetzen Sie diese Regel durch eine mit engeren Gruppen, bevor Sie echte Maschinen hinzufügen. Legen Sie dazu die Ersatzregel an, prüfen Sie sie auf einem Client mit sxaccess info -d und löschen Sie dann die Testregel.