用户管理 on DefectDojo Documentation

创建新用户

Mon, 01 Jan 0001 00:00:00 +0000

本页介绍了向 DefectDojo 实例添加新用户时推荐的入职流程。DefectDojo 用户既可以作为标准的、由真人操作的账户，也可以作为服务账户使用。

创建账户的管理员负责将初始凭据（用户名和密码）交付给新用户。

创建新用户

Mon, 01 Jan 0001 00:00:00 +0000

本页介绍了将新用户添加到 DefectDojo 实例的推荐入职工作流程。DefectDojo 用户既可以作为标准的、由人工操作的账户使用,也可以作为服务账户使用。

创建账户的管理员负责将初始凭据(用户名和密码)提供给新用户。

开源版权限

Mon, 01 Jan 0001 00:00:00 +0000

开源版 DefectDojo 通过**已授权用户（Authorized Users）**模型来控制对产品和产品类型的访问。每个产品和产品类型都有一个已授权用户面板，列出可以查看该记录及其下嵌套数据的人员。

如果你使用的是 DefectDojo Pro，本文不适用于你的安装环境——Pro 使用一套更完善的基于角色的系统，详见 DefectDojo 中的权限。

如何授予访问权限

共有两份名单，用户只需出现在其中一份上即可获得访问权限：

产品的已授权用户名单授予对该单个产品的访问权限，以及嵌套在其下的所有内容（其测试活动、测试、发现项和端点）。
产品类型的已授权用户名单授予对该产品类型本身的访问权限，并会级联到其下的每一个产品。已被授权访问某个产品类型的用户，无需再逐一添加到每个子产品中——他们已经被覆盖了。

这里没有角色、没有组，也没有全局角色。用户要么在名单上（或者是超级用户/职员——见下文），要么就无法看到该产品。

超级用户和职员可绕过名单

在 DefectDojo 中被标记为**超级用户（superuser）或职员（staff）**的用户，无论已授权用户名单如何，都可以查看并操作每一个产品和产品类型。这些名单的作用是为非职员用户授予访问权限，而不会限制职员或超级用户。

在全新安装的 DefectDojo 上创建的第一个账户会自动成为超级用户。

审计日志

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo 的审计日志可以通过几种不同的方式访问。

单个对象的日志

DefectDojo 的每个对象都有一份关联的对象历史记录（Object History），可通过 UI 访问。系统会为资产（Assets）、测试活动（Engagements）、测试（Tests）、发现项（Findings）和端点（Endpoints），以及风险接受（Risk Acceptances）记录这些历史。

在经典（开源）用户界面中，可以在对象视图内的 ☰ 汉堡菜单下找到对象日志。

审计日志

Mon, 01 Jan 0001 00:00:00 +0000

审计日志提供了 DefectDojo 内所执行操作的时间顺序记录。它们通过记录哪个用户在何时执行了何种操作,确保问责制和合规性。

审计日志在以下方面很有价值:

安全调查:确定谁执行了敏感操作。
合规性:为 SOC 2、ISO 27001 等标准或内部治理要求提供可审计的历史记录。
故障排查:确定配置或对象何时发生变更。
问责制:跟踪整个平台上的管理和用户活动。

简而言之,审计日志提供了重要事件的集中记录,帮助管理员了解其实例的活动历史,而不仅限于任何单个对象的历史记录。

访问审计日志

审计日志可通过侧边栏中"配置(Configurations)“子菜单访问。

权限

对审计日志的访问权限由用户的全局角色决定。

API 导入者(API Importer)、只读者(Reader)和编写者(Writer)全局角色无权访问审计日志,而维护者(Maintainer)和所有者(Owner)角色则可以访问。无论全局角色如何,超级用户也可以访问审计日志。

DefectDojo 中的权限

Mon, 01 Jan 0001 00:00:00 +0000

**DefectDojo Pro 功能。**本页所述的成员/组/全局角色 RBAC 系统是 DefectDojo Pro 的一部分。开源版 DefectDojo 使用已授权用户模型——有关开源版的访问控制,请参阅该页面;如果您正在版本之间迁移,请参阅 3.0 升级说明。

如果您的团队有多名用户在 DefectDojo 中协作,那么适当地设置基于角色的访问控制(RBAC)非常重要,这样用户才能仅访问特定的数据。安全数据高度敏感,DefectDojo 的访问控制选项让您可以精确控制每位团队成员对信息的访问权限。

本文概述了 DefectDojo 中权限的工作方式。如果您想查看权限可控制的每项操作的详细分类,请参阅我们的**权限图表**文章。

权限类型

DefectDojo 管理四种不同类型的权限:

批量重置用户凭据

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 的用户列表允许您一次性为多个用户轮换 API 令牌并强制重置密码——这在定期进行凭据维护或应对疑似凭据泄露事件时非常有用。

这些批量操作仅对超级用户和拥有全局所有者角色的用户可用。如果您不具备这些身份之一,则不会显示选择复选框和批量操作按钮。

选择用户

在用户列表中,使用复选框选择一个或多个用户。此时会出现一个包含重置按钮的批量操作栏。每个操作在执行前都会弹出对话框要求您确认。

该操作仅适用于您明确勾选的用户。您不能在批量重置中包含自己的账户:如果您的账户位于所选行中,批量操作按钮将被禁用,并显示警告信息。

重置 API 令牌

重置 API 令牌会为每个所选用户轮换 API 令牌:DefectDojo 会删除该用户现有的令牌并签发一个新令牌。该用户当前的令牌会立即失效,因此任何使用旧令牌的脚本或集成都必须更新为新令牌。

新的令牌值不会显示给作为管理员的您。每个受影响的用户都会收到一条**“API 令牌已重置”**通知,告知他们从界面中获取新令牌(通知的送达方式取决于该用户的通知设置)。

强制重置密码

强制重置密码会为每个所选用户设置下次登录时强制重置密码标志。该用户下次发出请求时,DefectDojo 会将其重定向到更改密码页面,并在其设置新密码之前不允许继续操作。一旦用户完成设置,该标志会自动清除。

设置用户的权限

Mon, 01 Jan 0001 00:00:00 +0000

DefectDojo Pro 功能。 本页介绍的成员/组/全局角色 RBAC 系统是 DefectDojo Pro 的一部分。开源版 DefectDojo 使用已授权用户模型——有关开源版访问控制,请参阅该页面;如果您正在版本之间迁移,请参阅3.0 升级说明。

权限类型简介

各个用户可以被分配以下四种不同类型的权限：

用户可以被分配为产品或产品类型的成员。这使他们能够根据在特定产品上被分配的角色,查看并操作 DefectDojo 中的数据类型(产品类型、产品、测试活动、测试和发现项)。用户可以同时拥有多个产品或产品类型的成员身份,并具有不同级别的访问权限。
用户还可以被分配配置权限,从而能够访问 DefectDojo 中的配置页面。配置权限与产品或产品类型无关。
用户可以被分配全局角色,从而对所有产品和产品类型拥有统一级别的访问权限。
用户可以被设置为超级用户：这是一种管理员级别的角色,可让其控制并访问所有 DefectDojo 数据和配置。

如果您想同时为一组用户分配产品成员身份、配置权限或全局角色,也可以创建组。如果您的 DefectDojo 中用户数量较多(例如某个产品的专职测试团队),使用组功能可能会更方便。

为 SSO 用户重新启用登录（开源版）

Mon, 01 Jan 0001 00:00:00 +0000

适用场景

SSO（SAML、OIDC、OAuth）是 DefectDojo Pro 的功能。如果你升级到开源版 DefectDojo 3.x（或以其他方式脱离 Pro 版），SSO 登录选项会被移除，此前通过 SSO 创建的用户将无法再登录。他们的账户从未被设置过本地密码，而 UI 和 API 也不允许你为其设置密码：DefectDojo 会将它们识别为 SSO 账户并阻止这一更改。

你不需要删除并重新创建这些用户（那样会丢失他们的历史记录、权限和对象归属）。相反，只需在后端为每个账户设置一个本地密码，并强制其在下次登录时重置密码。

关于 SSO 仅限 Pro 版这一背景，请参阅 SSO 章节和 3.0 升级说明。

多因素身份验证(MFA)

Mon, 01 Jan 0001 00:00:00 +0000

多因素身份验证在登录时增加了一个额外步骤:在输入密码之后,DefectDojo 会要求您从身份验证器应用中获取一个六位数代码。我们强烈建议在未使用 SSO 的实例上,要求所有用户启用此功能。

DefectDojo Pro 的 MFA 使用基于 TOTP 的身份验证器应用——Google Authenticator、1Password、Authy,或任何其他可以扫描标准二维码的应用。没有电子邮件或短信选项。

在您的账户上设置 MFA

前往 Connect > Authorization > MFA Settings。
在个人多因素身份验证设置(Personal Multi-Factor Authentication Settings) 下,点击设置 MFA(Set Up MFA)。
使用您的身份验证器应用扫描二维码。如果无法扫描,设置界面也会以文本形式显示密钥,您可以手动将其输入到应用中。
输入应用显示的六位数代码,然后点击验证并启用(Verify & enable)。
DefectDojo 会显示您的恢复代码。在继续之前,请将其保存到安全的地方——详见下文。点击复制代码(Copy codes),保存好后再点击我已保存,继续(I’ve saved them. Continue)。

从这一刻起,MFA 即生效。下次登录时,DefectDojo 会在您输入密码后要求提供代码。

用户管理 on DefectDojo Documentation

创建新用户

推荐流程

创建新用户

推荐工作流程

开源版权限

如何授予访问权限

超级用户和职员可绕过名单

审计日志

单个对象的日志

审计日志

访问审计日志

权限

DefectDojo 中的权限

权限类型

批量重置用户凭据

选择用户

重置 API 令牌

强制重置密码

设置用户的权限

权限类型简介

为 SSO 用户重新启用登录（开源版）

适用场景

多因素身份验证(MFA)

在您的账户上设置 MFA