7.1 Burp Suite如何管理團隊和用戶

此頁面描述了直接在Burp Suite 企業版中創建和管理用戶的標準過程。您還可以選擇啟用單點登錄，以便可以通過與Active Directory的LDAP連接集中管理用戶。

您可以從“團隊”頁面管理與用戶和授權相關的所有設置。此頁面包含用于用戶，組和角色的選項卡：

• 用戶是有權訪問應用程序的個人用戶或計算機。
• 角色是執行特定類型的操作的一組權限。
• 組是一組預定義角色的用戶。例如，您可以在組級別上集中設置角色，并相應地將用戶分配到相關組，而不是分別為每個用戶管理每個角色。也可以選擇將組限制為站點樹的一部分。

用戶數

“用戶”選項卡顯示有關已配置用戶的詳細信息，例如其名稱，電子郵件地址及其登錄類型。登錄類型確定用戶是使用密碼登錄的實際用戶還是API用戶。API用戶是使用REST API或GraphQL API 將Burp Suite 企業版與其他軟件集成所需的虛擬實體。

過濾器欄使您可以基于特定功能顯示或隱藏用戶。例如，您可以選擇僅顯示被鎖定或從未登錄的用戶。將鼠標懸停在用戶上方會顯示上下文選項，例如禁用或刪除用戶。

創建一個新用戶

注意：在創建新用戶之前，我們建議先配置您的電子郵件服務器，因為這將使邀請新用戶加入Burp Suite 企業版，重置用戶忘記的密碼等操作變得更加容易。

1. 以管理員身份登錄，然后轉到“團隊”>“添加新用戶”。
2. 輸入新用戶的基本詳細信息，例如他們的姓名，用戶名和電子郵件地址。
3. 選擇登錄類型“密碼”。
4. 使用“已啟用”開關來決定您是否希望用戶能夠立即登錄，還是要先創建用戶，然后才激活帳戶。
5. 選擇此用戶應該屬于的組。
6. 完成后，單擊右上角的“保存”。現在，新用戶應出現在用戶列表中。如果您已經配置了電子郵件服務器，則用戶將自動收到一封電子郵件，邀請他們完成注冊過程并獲取其密碼。否則，將提示您復制鏈接，您必須將其手動發送給相關用戶。

編輯用戶

要編輯現有用戶，請轉到“團隊”>“所有用戶”，然后從列表中選擇用戶。然后，您可以按照創建新用戶時的相同方法來編輯其詳細信息。

您也可以通過將鼠標懸停在列表中的用戶上方，然后單擊屏幕右側的“禁用用戶”開關來暫時禁用該用戶。或者，您可以通過單擊“刪除用戶”圖標來完全刪除用戶。

請注意，您不能更改用戶的登錄類型。

創建API用戶

如果要將Burp Suite企業版與其他軟件（例如Jira或CI系統）集成，則需要創建一個專用的API用戶，其他軟件將使用該用戶來通過REST API或GraphQL驗證與Burp Suite企業版的通信API。

注意： API用戶無法登錄Web UI。

1. 以管理員身份登錄，然后轉到“團隊”>“添加新用戶”。
2. 輸入名稱和用戶名，例如“ Jenkins Build”，以幫助您以后輕松識別用戶。
3. 輸入電子郵件地址，例如，管理員用戶的電子郵件地址。
4. 選擇登錄類型“ API密鑰”。
5. 如果對更改感到滿意，請單擊右上角的保存圖標。
6. 出現提示時，復制API密鑰和URL，并將其保存在安全的地方。您稍后將需要這些。

請注意，您無法檢索現有用戶的API密鑰。如果丟失它，則必須生成一個新密鑰并手動更新使用它的任何文件。

角色

角色是執行特定類型的操作的一組權限。角色將相互關聯或相互依賴的多個單獨權限組合在一起。通常，定義與團隊中人員的實際工作職能相匹配的角色非常有用。這有助于以快速可靠的方式將用戶分為正確的組。

在“團隊”頁面上，角色選項卡顯示所有已配置的角色。有多種內置角色可定義常見的作業功能，例如管理員，掃描啟動器等。這些無法修改。但是，您可以根據需要通過單擊“新角色”按鈕來創建自己的自定義角色。

將鼠標懸停在角色上會顯示該角色的上下文選項，例如刪除它。

您可以單擊一個角色以查看詳細信息。對于自定義角色，您可以編輯角色名稱和分配的權限。

某些權限之間存在依賴關系。從邏輯上講，編輯實體的權限通常取決于擁有查看同一實體的權限。在編輯權限時，這些依賴項會在UI上顯示-尚未選擇其先決條件權限的權限將顯示為灰色，無法選擇。

團體

組是具有一組預定義角色的一組用戶。例如，您可以在組級別上集中設置角色，并相應地將用戶分配到相關組，而不是分別為每個用戶管理每個角色。

也可以選擇將組限制為站點樹的一部分。組中的用戶將繼承在分配的角色中定義的權限，但要受站點上的任何限制。每個用戶可以屬于多個組，并且將繼承他們所屬的所有組所產生的角色和權限。

“團隊”頁面的“組”選項卡顯示已配置的組的詳細信息，包括組名，用戶數以及對站點的任何限制。

將鼠標懸停在組上會顯示該組的上下文選項，例如刪除它。

您可以使用“新建組”按鈕創建一個新組。通過單擊現有組，可以查看和編輯組名稱，為其分配的角色，用戶以及為該組定義的任何站點限制。

限制訪問網站

分配給組的角色允許權限的垂直隔離，以便不同類別的用戶可以執行不同類型的操作；例如，能夠啟動掃描與能夠查看掃描結果。在站點上設置限制的功能允許權限的橫向隔離，以便不同類別的用戶可以對不同數據執行相同類型的操作；例如，能夠啟動對某些站點和其他站點的掃描。

站點限制的主要用例是支持團隊，其中不同的人群需要訪問組織基礎結構的不同部分。例如：

• 不同的人負責運營，財務和薪資申請。
• 不同的人可以訪問開發，暫存和生產系統。
• 不同的人在不同的地理區域處理應用程序。

默認情況下，組對站點沒有任何限制。這意味著組中的用戶將具有與所有站點相關的已定義角色。在組詳細信息的“站點限制”選項卡上，可以將組配置為僅限于某些站點。您可以選擇站點樹中要應用此組角色的部分。這可以是文件夾或單個站點。默認情況下，不允許任何未明確允許的操作。

在允許的任何文件夾中，您可以取消選擇應禁止的特定站點和子文件夾。這使您能夠支持各種情況。例如，您可能想讓組查看“生產”文件夾中所有內容的掃描結果，但不允許其下方的“ HR”文件夾，因為其掃描結果可能包含更敏感的信息。