允许角色删除对象和事件的有效权限

适用范围

Splunk SOAR

描述

了解如何设置特定权限以仅允许用户删除对象和事件。

调查

步骤再现：

作为管理员： 

1.进入“管理”(ADMINISTRATION)->“用户管理”(USER MANAGEMENT)->“角色和权限”(ROLES AND PERMISSIONS)->选择“CSOC协调工程师”角色。 
2.在“基本权限”选项卡中，选择/启用事件删除、编辑和查看 
3.在“标签权限”选项卡中，为每个希望用户能够从中删除对象和事件的标签选择/启用“删除”、“编辑”和“查看”。 
4.保存更改 
5.以我的指定帐户用户身份登录，然后创建一个事件，该事件带有我具有删除权限的标签。 
6.添加具有几个值的项目。 
7.现在尝试删除我刚才创建的同一项目，并且DELETE按钮呈灰色显示。 
8.现在尝试删除我刚才创建的同一事件，并且DELETE按钮呈灰色显示。 

角色权限中似乎缺少某些内容。

文档不够详细，因此我们无法解释缺少的内容。 

故障排除：

1.尝试刷新浏览器。

2.尝试使用相同的权限创建新本地帐户，并创建新角色。

• 已创建一个名为TEST1的新本地帐户 
• 然后将CSOC ORCHESTRATOR角色添加到TEST1用户，用户无法删除对象或事件。 
• 创建了一个名为TEST1ROLE的新角色 
• 将TEST1ROLE的权限设置为CSOC ORCHESTRATOR角色完全相同。 
• 用户能够删除对象和事件。 
• 已将TEST1用户角色重新更改为CSOC ORCHESTRATOR，用户无法删除对象或事件。 
• 因此，出于某种原因，此类提示存在现有CSOC ORCHESTRATOR角色的解析/实施问题。 

3.检查两个角色的rest API:
 

https://<phantom_ip>/rest/role/<TEST1ROLE_ID>
https://<phantom_ip>/rest/role/<CSOC_ORCHESTRATOR_ID>

要获取角色ID，最简单的方法是转到该特定角色配置，在URL中，您将在URL路径末尾找到整数。即角色ID。 
否则，您可以使用https://<phantom_ip>/rest/role列出所有角色，您可以在此处找到每个角色的JSON文件中的ID。

查看JSON文件配置是否有任何差异。 

4.看起来CSOC Orchestrator角色JSON输出稍微大一些。 

5.在CSOC协调器角色中有租户nabCERT CSOC拒绝删除的配置。这是不允许用户删除的问题。
 

{
"execute": "deny",
"name": "tenant",
"extra": "nabCERT CSOC",
"edit": "allow",
"object_id": 1,
"role": 8,
"content_type": 20,
"delete": "deny",
"id": 66,
"view": "allow"
}

分辨率

将CSOC协调工程师角色更改为允许deny for nabCERT CSOC角色：
 

{
"execute": "deny",
"name": "tenant",
"extra": "nabCERT CSOC",
"edit": "allow",
"object_id": 1,
"role": 8,
"content_type": 20,
"delete": "allow",
"id": 66,
"view": "allow"
}

 

修订历史记录

版本	发布日期	备注
1.0	28-Sep-2026	初始版本