Διαμόρφωση ενός αιτήματος πρόσβασης just-in-time¶
Ένα αίτημα πρόσβασης just-in-time (JIT) θέτει μια εφαρμογή υπό έγκριση: ο χρήστης δεν την εκκινεί πλέον απευθείας, αλλά την αιτείται, και ένας διαχειριστής παραχωρεί την πρόσβαση — προαιρετικά για μία μόνο χρήση, για ένα χρονικό διάστημα ή για περιορισμένη διάρκεια περιόδου λειτουργίας.
Αυτός είναι ο μηχανισμός που πρέπει να χρησιμοποιείται για τους πόρους στους οποίους κάθε πρόσβαση πρέπει να αποφασίζεται, αντί να παραχωρείται μία για πάντα.
Πώς συνδυάζονται τα μέρη του μηχανισμού¶
- Σε μια σύμβαση πρόσβασης, ορισμένες από τις εφαρμογές που παραχωρούνται σε μια ομάδα επισημαίνονται ως περιορισμένες.
- Στην πύλη, αυτές οι εφαρμογές εμφανίζονται αλλά δεν μπορούν να εκκινηθούν: ο χρήστης στέλνει ένα αίτημα.
- Στη λειτουργική μονάδα Workflow, ο διαχειριστής το αποδέχεται ή το απορρίπτει. Η αποδοχή δημιουργεί μια ροή εργασιών, δηλαδή την πραγματική εξουσιοδότηση, με τους περιορισμούς της.
- Ο χρήστης εκκινεί την εφαρμογή εντός των ορίων αυτής της ροής εργασιών.
Ο περιορισμός γίνεται στη σύμβαση πρόσβασης, η παραχώρηση στη λειτουργική μονάδα Workflow
Οι δύο λειτουργικές μονάδες δεν είναι εναλλάξιμες: η μονάδα Access contracts καθορίζει ποιες εφαρμογές υπόκεινται σε αίτημα, η μονάδα Workflows απαντά στα αιτήματα. Μια εφαρμογή που δεν είναι περιορισμένη εκεί δεν παράγει ποτέ κανένα αίτημα.
Βήμα 1 — Τοποθέτηση των εφαρμογών πίσω από μια ροή εργασιών¶
Ανοίξτε τη λειτουργική μονάδα Access contracts και επεξεργαστείτε — ή δημιουργήστε — τη σύμβαση που καλύπτει τους σχετικούς χρήστες. Περάστε από τις καρτέλες της με τη σειρά: τις ομάδες χρηστών, την τοποθεσία που παρέχει πρόσβαση στους πόρους και, στη συνέχεια, τις εφαρμογές που δημοσιεύονται σε αυτούς τους χρήστες.
Στην καρτέλα Applications to restrict, μετακινήστε στη λίστα των περιορισμένων εφαρμογών τις εφαρμογές των οποίων η πρόσβαση πρέπει να εγκρίνεται.
| Επιλογή | Τι κάνει |
|---|---|
| Applications to restrict | Λίστα δύο στηλών. Ό,τι μετακινείτε προς τα δεξιά υπόκειται σε αίτημα. |
| Ask the user to complete a form when requesting access | Ζητά από τον χρήστη να τεκμηριώσει το αίτημά του. Οι απαντήσεις εμφανίζονται στον διαχειριστή κατά τον χειρισμό του αιτήματος. |
Κάντε κλικ στο κουμπί Validate.
Μόνο ό,τι έχει ήδη παραχωρηθεί μπορεί να περιοριστεί
Η λίστα προτείνει τις εφαρμογές που επιλέχθηκαν προηγουμένως στην ίδια σύμβαση: ο περιορισμός στενεύει μια πρόσβαση που έχει ήδη παραχωρηθεί, δεν αποτελεί τρόπο παραχώρησης πρόσβασης.
Βήμα 2 — Τι βλέπει ο χρήστης¶
Στην πύλη, μια περιορισμένη εφαρμογή εμφανίζεται, αλλά είναι κλειδωμένη. Με ένα κλικ σε αυτήν ανοίγει το αίτημα αντί να εκκινηθεί η εφαρμογή — μαζί με τη φόρμα προς συμπλήρωση, εάν στο βήμα 1 επιλέχθηκε η αντίστοιχη επιλογή.
Στη συνέχεια, ο χρήστης περιμένει την απάντηση του διαχειριστή. Μόλις παραχωρηθεί η πρόσβαση, η εφαρμογή μπορεί να εκκινηθεί εντός των ορίων που έχει θέσει η ροή εργασιών.
Βήμα 3 — Απάντηση στο αίτημα¶
Ανοίξτε τη λειτουργική μονάδα Workflow και μεταβείτε στην καρτέλα Users request. Επιλέξτε το αίτημα σε αναμονή και, στη συνέχεια, κάντε κλικ στο Accept the request ή στο Refuse the request.
Η αποδοχή ανοίγει ένα παράθυρο προσυμπληρωμένο με τον χρήστη, τον τομέα του και τον ζητούμενο πόρο.
Πέρα από την ονομασία της ροής εργασιών, εδώ ορίζονται οι περιορισμοί, οι οποίοι αθροίζονται:
| Περιορισμός | Τι περιορίζει |
|---|---|
| Unique usage | Η εφαρμογή μπορεί να εκκινηθεί μόνο μία φορά. Μια νέα πρόσβαση απαιτεί νέο αίτημα. |
| Mandatory comment | Ο χρήστης δηλώνει έναν λόγο πριν από την εκκίνηση. Το σχόλιο εμφανίζεται στη συνέχεια μαζί με την εγγραφή της περιόδου λειτουργίας. |
| Date | Το εύρος ημερομηνιών εντός του οποίου μπορεί να ανοιχτεί η εφαρμογή. |
| Hour | Το χρονικό διάστημα εντός του οποίου μπορεί να ανοιχτεί. |
| Maximum session duration | Πόσο μπορεί να διαρκέσει η περίοδος λειτουργίας πριν κλείσει. |
Η επικύρωση χωρίς κανέναν περιορισμό δημιουργεί μια εξουσιοδότηση χωρίς χρονικό όριο και η κονσόλα ζητά μια επιπλέον επιβεβαίωση πριν από τη δημιουργία της — αυτή είναι η στιγμή να ελέγξετε ότι αυτό είναι πράγματι το επιθυμητό.
Η πλήρης συμπεριφορά των δύο καρτελών, της απόρριψης και των διαγραφών περιγράφεται στη σελίδα Workflows.
Η διαγραφή μιας ροής εργασιών ανακαλεί την πρόσβαση
Η διαγραφή μιας ροής εργασιών καταργεί την εξουσιοδότηση: ο χρήστης πρέπει να υποβάλει νέο αίτημα. Οι παρωχημένες ροές εργασιών — ημερομηνίες που έχουν παρέλθει, μοναδική χρήση που έχει εξαντληθεί, διάρκεια περιόδου λειτουργίας που έχει συμπληρωθεί — διαγράφονται αυτόματα από το σύστημα.
Βήμα 4 — Λήψη γνωστοποιήσεων για τα νέα αιτήματα¶
Από προεπιλογή, κανένα email δεν πληροφορεί τον διαχειριστή ότι υποβλήθηκε ένα αίτημα. Μέχρι να ρυθμιστεί μια γνωστοποίηση, τα αιτήματα πρέπει να αναζητούνται στην κονσόλα.
Για να λαμβάνετε γνωστοποιήσεις:
- Βεβαιωθείτε ότι διατίθεται ένας διακομιστής SMTP στη λειτουργική μονάδα SMTP servers.
- Στη λειτουργική μονάδα Notification profiles, δημιουργήστε ένα προφίλ: τον διακομιστή SMTP, τον αποστολέα και τους παραλήπτες και, στη συνέχεια, στην καρτέλα Settings, επιλέξτε τη δυνατότητα Application access requests.
- Η επιλογή αυτής της δυνατότητας ενεργοποιεί την καρτέλα Applications: ανοίξτε την, επιλέξτε τις σχετικές εφαρμογές και, στη συνέχεια, επικυρώστε.