Just-in-time juurdepääsutaotluse konfigureerimine¶
Just-in-time (JIT) juurdepääsutaotlus muudab rakenduse kasutamise heakskiidust sõltuvaks: kasutaja ei käivita seda enam otse, vaid taotleb seda, ja administraator annab juurdepääsu — soovi korral ühekordseks kasutuseks, ajavahemikuks või piiratud seansikestuseks.
Seda mehhanismi tuleb kasutada ressurssidel, mille iga juurdepääsu üle tuleb otsustada, selle asemel et anda juurdepääs üks kord ja lõplikult.
Kuidas mehhanism tervikuna toimib¶
- Juurdepääsulepingus märgitakse osa rühmale antud rakendustest piiratuks.
- Portaalis on need rakendused nähtavad, kuid neid ei saa käivitada: kasutaja saadab taotluse.
- Moodulis Workflow administraator aktsepteerib taotluse või lükkab selle tagasi. Aktsepteerimine loob workflow', mis ongi tegelik autoriseerimine koos piirangutega.
- Kasutaja käivitab rakenduse selle workflow' piires.
Piiramine toimub juurdepääsulepingus, andmine moodulis Workflow
Need kaks moodulit ei ole omavahel asendatavad: Access contracts otsustab, millised rakendused nõuavad taotlust, Workflows vastab taotlustele. Rakendus, mida seal pole piiratud, ei tekita kunagi ühtegi taotlust.
Samm 1 — Paigutage rakendused workflow' taha¶
Avage moodul Access contracts ja redigeerige asjaomaseid kasutajaid hõlmavat lepingut — või looge see. Läbige selle vahekaardid järjest: kasutajarühmad, ressurssidele juurdepääsu andev site, seejärel neile kasutajatele avaldatud rakendused.
Teisaldage vahekaardil Applications to restrict piiratud rakenduste loendisse need rakendused, millele juurdepääs tuleb heaks kiita.
| Suvand | Mida see teeb |
|---|---|
| Applications to restrict | Kaheveeruline loend. See, mille paremale teisaldate, nõuab taotlust. |
| Ask the user to complete a form when requesting access | Palub kasutajal oma taotlust dokumenteerida. Vastused kuvatakse administraatorile taotluse käsitlemisel. |
Klõpsake nuppu Validate.
Piirata saab ainult seda, mis on juba antud
Loend pakub rakendusi, mis on samas lepingus varem valitud: piiramine on juba antud juurdepääsu kitsendamine, mitte viis seda anda.
Samm 2 — Mida kasutaja näeb¶
Portaalis kuvatakse piiratud rakendus, kuid see on lukus. Sellel klõpsamine avab rakenduse käivitamise asemel taotluse — koos täidetava vormiga, kui suvand oli 1. sammus märgitud.
Seejärel ootab kasutaja administraatori vastust. Kui juurdepääs on antud, saab rakendust käivitada workflow'ga seatud piirides.
Samm 3 — Vastake taotlusele¶
Avage moodul Workflow ja minge vahekaardile Users request. Valige ootel taotlus ja klõpsake seejärel nuppu Accept the request või Refuse the request.
Aktsepteerimisel avaneb aken, kuhu on eeltäidetud kasutaja, tema domeen ja taotletud ressurss.
Lisaks workflow' nimetamisele seatakse siin piirangud ja need kehtivad koos:
| Piirang | Mida see piirab |
|---|---|
| Unique usage | Rakendust saab käivitada ainult üks kord. Uus juurdepääs tähendab uut taotlust. |
| Mandatory comment | Kasutaja märgib enne käivitamist põhjuse. Kommentaar kuvatakse seejärel koos seansi salvestisega. |
| Date | Kuupäevavahemik, mille jooksul saab rakendust avada. |
| Hour | Ajavahemik, mille jooksul saab seda avada. |
| Maximum session duration | Kui kaua seanss võib kesta, enne kui see suletakse. |
Ilma ühegi piiranguta kinnitamine loob ajapiiranguta autoriseerimise ja konsool küsib enne selle loomist täiendavat kinnitust — see on õige hetk kontrollida, et just seda ka sooviti.
Kahe vahekaardi, tagasilükkamise ja kustutamiste ammendav käitumine on kirjeldatud lehel Workflows.
Workflow' kustutamine tühistab juurdepääsu
Workflow' kustutamine eemaldab autoriseerimise: kasutaja peab esitama uue taotluse. Aegunud workflow'd — möödunud kuupäevad, ärakasutatud ühekordne kasutus, täis saanud seansikestus — kustutab süsteem ise.
Samm 4 — Teatiste saamine sissetulevate taotluste kohta¶
Vaikimisi ei teavita ükski meil administraatorit taotluse esitamisest. Kuni teatist pole häälestatud, tuleb taotlusi konsoolist otsida.
Teatiste saamiseks:
- Veenduge, et moodulis SMTP servers oleks saadaval SMTP-server.
- Looge moodulis Notification profiles profiil: SMTP-server, saatja ja adressaadid, ning märkige seejärel vahekaardil Settings suvand Application access requests.
- Selle suvandi märkimine aktiveerib vahekaardi Applications: avage see, märkige asjaomased rakendused ja kinnitage.