Остерегайтесь разрешения на администрирование пользователей в Drupal | Cocomore - Агентство по маркетингу, IT и дизайну опыта
- Как разрешить пользователю создавать других пользователей? Это довольно распространенный вариант...
- Короче говоря: остерегайтесь предоставления чрезмерных разрешений
- Надежды на будущее Drupal
Как разрешить пользователю создавать других пользователей?
Это довольно распространенный вариант использования, который требует роли пользователя без прав администратора, который может создавать других пользователей для сайта Drupal, и я часто видел вопросы о том, как наилучшим образом реализовать это. Недавно я также увидел предложение просто создать роль с разрешением «Администрирование пользователей». На первый взгляд это может показаться эффективным; если это единственное разрешение на «администрирование», которое у них есть, пользователи с этой ролью могут создавать только базовых пользователей с ролью «Аутентифицированный пользователь», они не могут редактировать пользователя для добавления каких-либо других ролей или напрямую обновлять свою собственную роль. В ограниченных ситуациях это может быть даже уместно.
Однако, что может быть неочевидным, так это то, что пользователь с таким разрешением может редактировать учетную запись любого другого пользователя… и я имею в виду любую . Это означает, что если его намерения не являются чистыми, пользователь с этой ролью может легко изменить пароль (или любые другие поля) для более привилегированного пользователя, даже пользователя / 1, и затем войти в эту учетную запись. После того, как они это сделали, действительно нет предела тому, что они могут сделать с вашим сайтом. Даже если у них нет средств для добавления модулей, которые могут быть использованы для особенно гнусных целей, если у вас есть такой модуль, как Резервное копирование и миграция доступны, они могут загрузить вашу базу данных со всеми конфиденциальными данными пользователя; и даже если этот модуль для них недоступен, скорее всего, у вас есть Просмотры , которые они также могут использовать для сбора всех адресов электронной почты пользователей или других полей личных данных. И тогда они могли бы легко скрыть свои следы. Если они не делают ничего очевидного (например, портят ваш сайт или начинают рассылать спам с него) и меняют только пароль в учетной записи администратора, вы можете быть озадачены тем, почему вы не можете войти в систему со своим обычным паролем, и следовать обычному Процедура сброса забытого пароля, а затем забыть все об этом. Между тем, ваш «пользователь-модератор» собрал много конфиденциальных данных с вашего сайта и все еще имеет возможность сделать это снова однажды.
Для этого есть модуль (или несколько)!
В зависимости от вашего фактического варианта использования, который может включать в себя требования немного более сложные, чем просто создание базового «Прошедшего проверку», существует ряд модулей, которые могут быть полезны для роли «модератор пользователя». Некоторые из этих модулей ничего не делают с фактическим созданием пользователей, в конце концов, вероятно, большинство сайтов Drupal позволяют пользователям просто регистрироваться, но имеют дело с соответствующей необходимостью делегировать ответственность за предоставление некоторым пользователям дополнительных ролей помимо роли «Аутентифицированный пользователь». Но для сайтов, которые не предоставляют самостоятельную регистрацию, есть пара модулей, которые позволяют не-администраторам создавать новых пользователей.
- Ролевая Делегация Это один из самых популярных таких модулей, который используется более чем 8000 сайтов со стабильными выпусками как для Drupal 6, так и для Drupal 7, но он ограничен назначением ролей и не позволяет пользователям без дополнительных разрешений создавать новых пользователей.
- Администрирование пользователей по роли имеет стабильные выпуски для Drupal 5 и Drupal 6 и позволяет пользователям определенной роли создавать, редактировать и удалять других пользователей. Теоретически, оно должно предоставлять ограничения для разрешения «администрировать пользователей», позволяя им администрировать пользователей с выбранными вами ролями. Версии для Drupal 7 пока нет, но порт находится в процессе. Это довольно популярный модуль с около 2500 пользователей.
- RoleAssign является модулем со стабильным релизом для Drupal 6 и «кандидатом на релиз» для Drupal 7 и используется примерно 2800 сайтами. Это позволяет пользователям с соответствующими разрешениями назначать предопределенные роли другим пользователям.
- Subuser это модуль, доступный для Drupal 6 (стабильный) и Drupal 7 (в настоящее время в -alpha2). Это, пожалуй, самый продвинутый и интересный из этих модулей, хотя он не используется большинством сайтов (в настоящее время только 282 сайта). Это позволяет пользователю получить разрешение на создание пользователей, которыми затем он может управлять. Пользователи, не созданные этим «родительским» пользователем, недоступны для управления. «Дочерним» пользователям могут быть назначены любые роли, которые «родительскому» разрешено назначать, а назначение ролей может быть автоматическим. Другими словами, «редактор» может создавать пользователей «автор» или основной «модератор сайта» может создавать пользователей «модератор форума» и т. Д. Я думаю, что этот модуль многообещающий, особенно потому, что он написан и поддерживается очень почитаемый boombatower , настоящая «Drupal rockstar».
- Создатель пользователя это модуль, который не будет портирован на Drupal 7 (они предлагают использовать вышеупомянутый модуль Subuser). Это позволяет пользователям с определенными ролями создавать других пользователей с определенными ограничениями ролей. В качестве примера приводится, что для школьного веб-сайта «Директор» может создавать других пользователей с ролями «Учитель» или «Ученик», а Учитель может создавать только учетные записи «Ученик». Администраторы сайта могут определить, для каких ролей разрешено создавать учетные записи, для каких других ролей.
- Контроль доступа к настройкам пользователя является модулем, который стремится увеличить степень детализации для разрешения «администрировать пользователей», чтобы пользовательские настройки и администрирование пользователей были разделены в соответствии с этим разрешением, и администратор сайта может назначить только часть этого разрешения. Он имеет «стабильный» выпуск для Drupal 6 и снимок разработки для Drupal 7.
Короче говоря: остерегайтесь предоставления чрезмерных разрешений
Будьте очень осторожны (и вообще избегайте) предоставления любых разрешений «администрировать» пользователям без прав администратора. Эта статья должна прояснить, что разрешение «администрировать пользователей» может привести к катастрофическим результатам, если оно предоставлено не тому пользователю. Хотя это может быть даже целесообразным, чтобы дать это разрешение очень доверенному «помощнику администратора» (например, если вы хотите скрыть некоторую сложность администрирования Drupal от вашего партнера - поэтому вы хотите дать ему некоторые разрешения администратора - чтобы избежать их перегрузки полный интерфейс администратора), вы должны абсолютно доверять такому пользователю, чтобы он ничего не делал, чтобы злоупотреблять властью. И затем, вероятно, все же лучше использовать один из соответствующих модулей, на случай, если вы забудете и предоставите ту же роль кому-то, кому доверяете меньше, чем вашему партнеру, просто чтобы этот другой человек мог добавить несколько новых учетных записей пользователей.
Надежды на будущее Drupal
На мой взгляд, что-то вроде модулей Subuser вполне может быть частью ядра Drupal. Почти нет причин для того, чтобы любой пользователь, не являющийся администратором, был наделен всеми правами «администрирования пользователей», но есть много причин, по которым вы можете захотеть разрешить роль, которая может по крайней мере создавать пользователей и обеспечивать ограниченное управление другими пользователями ( с меньшими разрешениями, чем их собственные). Я считаю, что некоторая степень этой функциональности была бы полезна для включения в ядро Drupal, и надеюсь увидеть это в будущем.
Похожие
Как продать выпечку?Является ли интернет-магазин хорошей бизнес-идеей для кондитерской промышленности? Bakery? Примеры магазинов, работающих на платформе Shoper и зарубежные источники вдохновения подтверждают, что это возможно! Вы просто должны сделать первый шаг. Беговые лыжи - как ездить?
Беговые лыжи - все более популярный зимний вид спорта в Польше. Его главное преимущество в том, что мы можем выращивать его в каждом регионе нашей страны. Нам нужны только лыжи, снег и немного энтузиазма. Беговые лыжи предназначены для людей всех возрастов, потому что это безопасный вид спорта, в котором травмы редки. Это может также использоваться пожилыми людьми. Как использовать Tor для приватного просмотра веб-страниц
... наблюдает"> Со всеми новостями о NSA и другие правительственные организации по всему миру, кажется, что за всем, что мы делаем, физическим или виртуальным, кто-то наблюдает. Теперь мы знаем, что наши телефонные звонки, текстовые сообщения, электронные письма и онлайн-действия все записываются и отслеживаются, и кто знает, что еще? Некоторые могут сказать, что если вам нечего скрывать, вам нечего бояться. Конечно, только преступники Феномен рассвета или эффект Сомоги? Какая разница?
Вы просыпаетесь утром и измеряете уровень сахара в крови перед завтраком. И это высоко. Выше, чем обычно утром. Что происходит? Там может быть две причины. Как явление рассвета, так и эффект Сомоги могут поднять уровень глюкозы в крови утром натощак, но по разным причинам. Оба Tor - что это такое и как им пользоваться?
Есть несколько способов обеспечить конфиденциальность и анонимность в Интернете. Одним из них является Tor, основы которого мы обсудим в этой статье - мы объясним, как это работает, и обсудим наиболее важные вопросы, связанные с использованием сети Tor. Что это такое и как работает сеть Tor? Термин «Tor» является аббревиатурой английских слов «Лукового маршрутизатора» , которые определяют основную идею способа работы Как мне защитить свои закрытые ключи?
Вернуться на образовательный портал Безопасное хранение биткойнов очень важно. В отличие от других типов денег, которые контролируются банками, Биткойн предлагает больше возможностей для хранения и контроля ваших денег. Вы помните свой закрытый ключ, который вам нужен для перевода биткойнов? Это буквально ключ к месту, где он хранится. Владелец этого Как играть на YouTube при повторении
В течение нескольких лет у YouTube не было возможности воспроизводить видео при повторении. Это оказалось непростой задачей, когда вы захотели послушать аудио песни при повторении какое-то время, как вы это делали на медиаплеерах. Многие сторонние онлайн-инструменты и расширения для браузеров были разработаны для того, чтобы пользователи могли проигрывать видео YouTube в цикле. Теперь вы можете просто воспроизвести видео на YouTube без повтора стороннего инструмента или расширения. Как вы проверяете производительность жесткого диска?
... на нашем компьютере, в большинстве случаев хранятся на жестком диске. У большинства компьютеров есть только один такой диск, хотя вы можете легко добавить больше. Повреждение жесткого диска приводит к проблемам с запуском компьютера, большой продолжительности некоторых операций, частому зависанию системы и т. Д. Наихудшим случаем является полная потеря всех данных на нем. К счастью, существует механизм, который позволяет пользователям распознавать сбои жесткого диска достаточно рано. Конечно, Как я использую iPad как серьезную систему письма
ZAGG Profolio + - Изображение предоставлено: Джеймс Кендрик / ZDNet IPad революционизировал мой подход к письму, и меня регулярно спрашивают, как я его использую. Я изначально писал об iPad как о солидной системе для написания полтора года назад и планшет все еще хорошо мне служит. С тех пор я использовал Новая страница: новости и изменения
Дамы и господа, Мы очень рады приветствовать вас на нашем новом сайте. На новом веб-сайте появился ряд новых опций, изменился внешний вид купона, он стал понятнее, а работа с подготовкой сложных купонов еще проще. Мы твердо верим, что новый графический дизайн понравится вам, а новые функциональные возможности позволят вам делать ставки приятнее. Все материалы и информация со старого сайта до нескольких Как контролировать состояние батареи вашего Android устройства
Батарея имеет большое значение - возможно, сейчас больше, чем когда-либо, в целом
Комментарии
И как это выглядит с тобой?И как это выглядит с тобой? Вы предпочитаете рекламу или временное копание на посещаемых сайтах? Источник: Adblock Plus Но как заставить пользователей продвинуться дальше и установить более тесные связи?
Но как заставить пользователей продвинуться дальше и установить более тесные связи? Просто; Вы предлагаете им возможность сформировать сообщество вокруг вашего бренда. Благодаря удивительным профилям ваши пользователи могут отслеживать всю свою активность на вашем сайте из единой точки. Вы можете просматривать контент, который вы отправляете, голосуете и собираете. Кроме того, вы можете видеть, кто следует за вами, и следить за другими пользователями на центральной странице. Как использовать это на практике?
Как использовать это на практике? Во время телефонного разговора с владельцем вы можете предложить личный автомобиль для представленной квартиры. Помните, что вы должны делать это совершенно естественно и деликатно, чтобы ваше предложение не было неправильно понято. Во время разговора избегайте слов, таких как слова, которые связаны с неприятными эмоциями или действуют вызывающе для собеседника: жалуйтесь, проблема, беспокойство, вина, беспокойство, обида, Как это возможно?
Как это возможно? Ну, вы можете персонализировать его с точки зрения ваших предпочтений. Начнем с самого начала. Переход на диету часто связан с тем, что мы едим то, что нам не нравится, часами покупаем еду, а потом еще на кухне. И все же не в этом суть, диета должна быть простой и приятной, и помимо потери килограмма приносить побочные эффекты - изменение привычек питания. Кислородная диета было разделено на 5 приемов пищи в день, Как создавать графики?
Как создавать графики? Диаграммы - это еще одна особенность, которая очень похожа на решения, известные из Excel. Во-первых, конечно, мы должны создать таблицу с некоторыми данными - в моем случае это были несколько возрастных диапазонов с процентами. Затем выберите ячейки таблицы и нажмите кнопку «График» на панели инструментов. Здесь мы изменяем диапазон таблицы, выбираем тип графика (столбец, круговая диаграмма и т. Д.), Добавляем заголовок и метки горизонтальной Когда действительно стоит платить больше за домен и как оценить его привлекательность, как с точки зрения полезности для SEO, так и с точки зрения маркетинга?
Когда действительно стоит платить больше за домен и как оценить его привлекательность, как с точки зрения полезности для SEO, так и с точки зрения маркетинга? Есть несколько факторов, на которые мы должны обратить внимание. Возраст домена Возраст домена - это время, прошедшее с момента первой регистрации домена. Где взять такие данные? В этом нет ничего сложного. Сеть полна бесплатных инструментов, которые раскроют нам этот секрет. Чтобы их найти, достаточно воспользоваться Википедия, потому что мы говорим об этом, является для нас чем-то очевидным - но как она возникает, как она работает, из чего она финансируется?
Википедия, потому что мы говорим об этом, является для нас чем-то очевидным - но как она возникает, как она работает, из чего она финансируется? Среди прочего, люди, которые создают этот необычный проект, говорят об этом. Павел Чеховский, Histmag.org: Кто может стать википедистом? Какими должны быть атрибуты такого человека? Кшиштоф Мачоки (Halibutt - псевдонимы интервьюеров приведены в скобках), Что это такое и как работает сеть Tor?
Что это такое и как работает сеть Tor? Термин «Tor» является аббревиатурой английских слов «Лукового маршрутизатора» , которые определяют основную идею способа работы этой технологии. Сеть Tor основана на луковой маршрутизации . Это позволяет анонимный доступ к интернет-ресурсам, избегая цензуры и сетевых блокад. Как с VPN Люди обычно используют жителей стран, в которых Интернет подвергается Вы хотите разрешить это приложение сейчас?
Вы хотите разрешить это приложение сейчас? Предупреждение о безопасности Windows Windows сообщает, что компьютер заражен. Антивирусное программное обеспечение помогает защитить ваш компьютер от вирусов и других угроз безопасности. Нажмите здесь для сканирования вашего компьютера. Ваша система может быть в опасности сейчас. Предупреждение антивирусного программного обеспечения Оповещение о проникновении Ваш компьютер атакован интернет-вирусом. Это может быть Так как же это может выглядеть в реальных условиях с некоторыми реальными данными?
Так как же это может выглядеть в реальных условиях с некоторыми реальными данными? Вы посмотрите на заголовки фильмов, посмотрите, какие слова чаще всего используются в заголовках - какая абсолютная частота - и какие слова связаны с наибольшим доходом или взвешенной частотой. Boxoffice Mojo имеет список из более чем 15 000 фильмов вместе с их валовым доходом и рейтингами. Начните с очистки данных с помощью запросов Как установить это чудо?
Как установить это чудо? В macOS это легко, если вы настроить Homebrew , Просто введите brew install no-more-Secrets в Терминале и нажмите Enter; вы будете «расшифровывать» в кратчайшие сроки. Пользователям Linux придется проделать немного больше работы: Ubuntu не предлагает больше никаких секретов. Вы можете
Как разрешить пользователю создавать других пользователей?
Является ли интернет-магазин хорошей бизнес-идеей для кондитерской промышленности?
Bakery?
Беговые лыжи - как ездить?
Теперь мы знаем, что наши телефонные звонки, текстовые сообщения, электронные письма и онлайн-действия все записываются и отслеживаются, и кто знает, что еще?
Какая разница?
Что происходит?
Что это такое и как работает сеть Tor?
Вы помните свой закрытый ключ, который вам нужен для перевода биткойнов?
Как вы проверяете производительность жесткого диска?