Konfigurace žádosti o přístup just-in-time¶
Žádost o přístup just-in-time (JIT) zpřístupní aplikaci až po schválení: uživatel ji již nespouští přímo, ale požádá o ni a přístup mu udělí správce — volitelně pro jedno použití, pro časové okno nebo s omezenou dobou trvání relace.
Tento mechanismus je určen pro prostředky, u kterých je třeba o každém přístupu rozhodnout, místo aby byl udělen jednou provždy.
Jak mechanismus funguje¶
- Ve smlouvě o přístupu jsou některé aplikace udělené skupině označeny jako omezené.
- Na portálu se tyto aplikace zobrazují, ale nelze je spustit: uživatel odešle žádost.
- V modulu Workflow ji správce přijme nebo zamítne. Přijetím se vytvoří workflow, tedy vlastní autorizace s jejími omezeními.
- Uživatel spouští aplikaci v mezích tohoto workflow.
Omezení se nastavuje ve smlouvě o přístupu, udělení v modulu Workflow
Tyto dva moduly nejsou zaměnitelné: modul Access contracts určuje, které aplikace podléhají žádosti, modul Workflows na žádosti odpovídá. Aplikace, která tam není omezena, nikdy žádnou žádost nevyvolá.
Krok 1 — Zařazení aplikací pod workflow¶
Otevřete modul Access contracts a upravte — nebo vytvořte — smlouvu, která pokrývá dotčené uživatele. Projděte postupně její karty: skupiny uživatelů, site poskytující přístup k prostředkům a poté aplikace publikované těmto uživatelům.
Na kartě Applications to restrict přesuňte do seznamu omezených aplikací ty aplikace, jejichž přístup musí být schválen.
| Možnost | Co dělá |
|---|---|
| Applications to restrict | Seznam se dvěma sloupci. Co přesunete doprava, bude podléhat žádosti. |
| Ask the user to complete a form when requesting access | Vyzve uživatele, aby svou žádost zdůvodnil. Odpovědi se správci zobrazí při vyřizování žádosti. |
Klikněte na Validate.
Omezit lze jen to, co již bylo uděleno
Seznam nabízí aplikace vybrané dříve v téže smlouvě: omezení zužuje již udělený přístup, není to způsob, jak jej udělit.
Krok 2 — Co vidí uživatel¶
Na portálu se omezená aplikace zobrazuje, ale je zamčená. Kliknutím na ni se místo spuštění aplikace otevře žádost — s formulářem k vyplnění, pokud byla v kroku 1 zaškrtnuta příslušná možnost.
Uživatel poté čeká na odpověď správce. Jakmile je přístup udělen, lze aplikaci spustit v mezích stanovených workflow.
Krok 3 — Odpověď na žádost¶
Otevřete modul Workflow a přejděte na kartu Users request. Vyberte čekající žádost a poté klikněte na Accept the request nebo Refuse the request.
Přijetím se otevře okno předvyplněné uživatelem, jeho doménou a požadovaným prostředkem.
Kromě pojmenování workflow se zde nastavují omezení, která se sčítají:
| Omezení | Co omezuje |
|---|---|
| Unique usage | Aplikaci lze spustit pouze jednou. Další přístup znamená další žádost. |
| Mandatory comment | Uživatel před spuštěním uvede důvod. Komentář se poté zobrazí u záznamu relace. |
| Date | Rozsah dat, ve kterém lze aplikaci otevřít. |
| Hour | Časové okno, ve kterém ji lze otevřít. |
| Maximum session duration | Jak dlouho může relace trvat, než bude ukončena. |
Potvrzení bez jakéhokoli omezení vytvoří autorizaci bez časového omezení a konzola si před jejím vytvořením vyžádá dodatečné potvrzení — to je chvíle ověřit, že jste skutečně zamýšleli právě to.
Úplné chování obou karet, zamítnutí a odstraňování je popsáno na stránce Workflows.
Odstranění workflow odebere přístup
Odstraněním workflow se odebere autorizace: uživatel musí odeslat novou žádost. Zastaralá workflow — prošlá data, vyčerpané jednorázové použití, dosažená doba trvání relace — systém odstraňuje sám.
Krok 4 — Dostávání oznámení o příchozích žádostech¶
Ve výchozím nastavení správce o odeslání žádosti neinformuje žádný e-mail. Dokud nenastavíte oznámení, je nutné žádosti vyhledávat v konzole.
Chcete-li dostávat oznámení:
- Zajistěte, aby byl v modulu SMTP servers k dispozici server SMTP.
- V modulu Notification profiles vytvořte profil: server SMTP, odesílatele a příjemce, a poté na kartě Settings zaškrtněte možnost Application access requests.
- Zaškrtnutím této možnosti se aktivuje karta Applications: otevřete ji, zaškrtněte příslušné aplikace a potvrďte.