Konfigurácia požiadavky na prístup just-in-time¶
Požiadavka na prístup just-in-time (JIT) podmieňuje prístup k aplikácii schválením: používateľ ju už nespúšťa priamo, ale o ňu požiada, a prístup mu udelí správca — voliteľne na jedno použitie, na časové okno alebo s obmedzenou dĺžkou relácie.
Tento mechanizmus treba použiť pre prostriedky, pri ktorých sa o každom prístupe musí rozhodnúť osobitne, namiesto toho, aby sa udelil raz a navždy.
Ako mechanizmus funguje¶
- V zmluve o prístupe sú niektoré aplikácie udelené skupine označené ako obmedzené.
- Na portáli sa tieto aplikácie zobrazujú, ale nemožno ich spustiť: používateľ odošle požiadavku.
- V module Workflow ju správca prijme alebo zamietne. Prijatím sa vytvorí workflow, teda samotná autorizácia, spolu s jej obmedzeniami.
- Používateľ spúšťa aplikáciu v medziach tohto workflow.
Obmedzenie sa nastavuje v zmluve o prístupe, udelenie v module Workflow
Tieto dva moduly nie sú zameniteľné: modul Access contracts rozhoduje, na ktoré aplikácie sa vzťahuje požiadavka, modul Workflows na požiadavky odpovedá. Aplikácia, ktorá tam nie je obmedzená, nikdy nevytvorí žiadnu požiadavku.
Krok 1 — Umiestnenie aplikácií za workflow¶
Otvorte modul Access contracts a upravte — alebo vytvorte — zmluvu, ktorá sa vzťahuje na príslušných používateľov. Prejdite postupne jej kartami: skupiny používateľov, site poskytujúci prístup k prostriedkom a potom aplikácie publikované pre týchto používateľov.
Na karte Applications to restrict presuňte do zoznamu obmedzených aplikácií tie aplikácie, prístup ku ktorým sa musí schvaľovať.
| Možnosť | Čo robí |
|---|---|
| Applications to restrict | Zoznam s dvoma stĺpcami. To, čo presuniete doprava, začne podliehať požiadavke. |
| Ask the user to complete a form when requesting access | Požiada používateľa, aby svoju požiadavku zdôvodnil. Odpovede sa správcovi zobrazia pri spracovaní požiadavky. |
Kliknite na Validate.
Obmedziť možno len to, čo už bolo udelené
Zoznam ponúka aplikácie vybraté skôr v tej istej zmluve: obmedzenie zužuje už udelený prístup, nie je to spôsob, ako ho udeliť.
Krok 2 — Čo vidí používateľ¶
Na portáli sa obmedzená aplikácia zobrazuje, ale je uzamknutá. Kliknutím na ňu sa namiesto spustenia aplikácie otvorí požiadavka — spolu s formulárom na vyplnenie, ak bola v kroku 1 začiarknutá príslušná možnosť.
Používateľ potom čaká na odpoveď správcu. Po udelení prístupu možno aplikáciu spustiť v medziach stanovených týmto workflow.
Krok 3 — Odpoveď na požiadavku¶
Otvorte modul Workflow a prejdite na kartu Users request. Vyberte čakajúcu požiadavku a potom kliknite na Accept the request alebo Refuse the request.
Prijatím sa otvorí okno vopred vyplnené používateľom, jeho doménou a požadovaným prostriedkom.
Okrem pomenovania workflow sa tu nastavujú obmedzenia, ktoré sa navzájom kombinujú:
| Obmedzenie | Čo obmedzuje |
|---|---|
| Unique usage | Aplikáciu možno spustiť iba raz. Ďalší prístup znamená ďalšiu požiadavku. |
| Mandatory comment | Používateľ pred spustením uvedie dôvod. Komentár sa potom zobrazí pri zázname relácie. |
| Date | Rozsah dátumov, počas ktorého možno aplikáciu otvoriť. |
| Hour | Časové okno, počas ktorého ju možno otvoriť. |
| Maximum session duration | Ako dlho môže relácia trvať, kým sa zatvorí. |
Potvrdenie bez akéhokoľvek obmedzenia vytvorí autorizáciu bez časového obmedzenia a konzola si pred jej vytvorením vyžiada dodatočné potvrdenie — vtedy je čas overiť, či ste naozaj zamýšľali práve toto.
Úplné správanie oboch kariet, zamietnutia a odstraňovania je opísané v časti Workflows.
Odstránenie workflow odvolá prístup
Odstránením workflow sa odstráni autorizácia: používateľ musí odoslať novú požiadavku. Zastarané workflow — dátumy s uplynutou platnosťou, vyčerpané jednorazové použitie, dosiahnutá dĺžka relácie — systém odstraňuje sám.
Krok 4 — Dostávanie oznámení o prichádzajúcich požiadavkách¶
Predvolene správcu neupozorní žiadny e-mail, že bola odoslaná požiadavka. Kým nenastavíte oznámenie, požiadavky treba hľadať v konzole.
Ak chcete dostávať oznámenia:
- Zabezpečte, aby bol v module SMTP servers k dispozícii server SMTP.
- V module Notification profiles vytvorte profil: server SMTP, odosielateľa a príjemcov, potom na karte Settings začiarknite možnosť Application access requests.
- Začiarknutím tejto možnosti sa aktivuje karta Applications: otvorte ju, začiarknite príslušné aplikácie a potom potvrďte.