Správa účtů a autorizací¶

Správa účtů zahrnuje vytváření, úpravu a odstraňování uživatelských účtů pro různé aplikace spravované v rámci organizace. Zahrnuje přiřazování jedinečných identifikátorů uživatelům (například uživatelských jmen nebo osobních čísel zaměstnanců) a správu informací spojených s těmito účty.

Správa oprávnění spočívá v udělování konkrétních přístupových práv a autorizací každé identitě na základě její role, odpovědností, organizace a potřeb v rámci organizace. Tyto autorizace mohou zahrnovat přístup k aplikacím, datům, sítím, systémům, fyzickým prostředkům atd.

Správa rolí a oprávnění identity zahrnuje výpočet a přiřazování oprávnění identitám v různých aplikacích s cílem vytvořit teoretické úložiště identit a jejich oprávnění. To znamená, že všechny vypočtené účty, role a autorizace lze zřídit automaticky nebo ručně v různých cílových aplikacích.

CyberElements Identity nabízí možnost spravovat role a autorizace buď automaticky, pomocí autorizačních pravidel, nebo diskrečně, prostřednictvím ručního přidávání práv nebo žádostí přes formuláře (workflow).

Správa typů účtů¶

Typ účtu se skládá z několika prvků:

Zásada přihlašovacích jmen (povinná),
Zásada hesel (volitelná),
Atributy účtu (volitelné),
Stavy účtu definované podle stavů identity

Typ účtu musí být propojen s úložištěm a musí být propojen s rolí, aby bylo možné generovat účty. Pro stejnou identitu je proto možné mít několik účtů ve stejném úložišti, pokud má tato identita několik různých rolí.

Vytvoření/úprava/odstranění typu účtu pro úložiště¶

Informace o správě typů účtů, konfiguraci různých formulářů atd. najdete na stránce Správa typů objektů.

Vytvoření/úprava/odstranění zásady přihlašovacích jmen¶

Ke správě zásad přihlašovacích jmen se dostanete v nabídce „Access Management/Account Rules“.

Budete přesměrováni přímo na seznam existujících zásad přihlašovacích jmen, předem načtený v tabulce bez použitých filtrů.

Stránkování je nastaveno tak, aby se zobrazovalo pouze 10 zásad přihlašovacích jmen.

V pravém horním rohu tabulky je k dispozici pole hledání. Hledání se zaměřuje na atributy „code“ a „name“ zásad přihlašovacích jmen.

Chcete-li vytvořit novou zásadu přihlašovacích jmen, klikněte na tlačítko „“.

Zadejte parametry zásady přihlašovacích jmen:

Code: kód zásady přihlašovacích jmen. Musí být jedinečný, bez mezer a speciálních znaků. Povinné.
Name: název zásady přihlašovacích jmen. Popisek, který se zobrazí v různých formulářích aplikace. Povinné.
Description: pole pro zadání popisu zásady přihlašovacích jmen. Volitelné.
Formula (primary): výpočetní vzorec pro definování přihlašovacího jména
Duplicate policy:
- Automatic increment: přihlašovací jméno se vypočítá pomocí primárního vzorce a doplní se indexem duplicity. Index duplicity má třímístný formát.
  - Příklad: Login_Calc002
- Formula (duplicate): vlastní výpočetní vzorec pro případ, že se při výpočtu přihlašovacího jména primárním vzorcem zjistí duplicita. Pomocí klíčového slova §INDEX_DOUBLON§ můžete řídit automatické navyšování, ale umístit je na konkrétní místo. Od verze Identity 7.0 SP3 začíná klíčové slovo §INDEX_DOUBLON§ od 1 a nemá žádný limit. U starších verzí má index duplicity třímístný formát.
  - Příklad: Formula (duplicate) Login2_Calc
Upozornění: chcete-li vzorec s tímto klíčovým slovem otestovat, musíte §INDEX_DOUBLON§ nahradit hodnotou. Toto klíčové slovo nelze v testeru vzorců interpretovat, při výpočtu přihlašovacích jmen však funguje.
Action to take if a real account exists:
- Use and reconcile with the real account
- Generate a login with duplicate policy
- Do not generate an account
Actions to take if a theoretical account exists:
- Generate a login with duplicate policy
- Do not generate an account

Chcete-li zásadu přihlašovacích jmen zobrazit a upravit, klikněte na ikonu „“ vpravo v příslušném řádku tabulky:

Do režimu úprav lze přepnout přímo ze stránky zobrazení zásady přihlašovacích jmen.

V režimu úprav lze upravit všechna pole.

Akce tlačítek v režimu úprav nebo vytváření:

Cancel: zruší aktuální zadání a přepne stránku do režimu zobrazení
Save: potvrdí formulář a přepne stránku do režimu zobrazení
Save and quit: potvrdí formulář a vrátí se na stránku se seznamem zásad přihlašovacích jmen

Chcete-li zásadu přihlašovacích jmen odstranit, klikněte na ikonu „“ vpravo v příslušném řádku tabulky:

Před odstraněním zásady přihlašovacích jmen se zobrazí potvrzovací zpráva.

Upozornění: zásadu přihlašovacích jmen nelze odstranit, dokud je propojena s jedním nebo více úložišti.

Vytvoření/úprava/odstranění zásady hesel¶

Ke správě zásad hesel se dostanete v nabídce „Access management/Password rules“.

Budete přesměrováni přímo na seznam existujících zásad hesel, předem načtený v tabulce bez použitých filtrů.

Stránkování je nastaveno tak, aby se zobrazovalo pouze 10 zásad hesel.

V pravém horním rohu tabulky je k dispozici pole hledání. Hledání se zaměřuje na atributy „code“ a „name“ zásad hesel.

Chcete-li vytvořit novou zásadu hesel, klikněte na tlačítko „“:

Zadejte parametry zásady hesel:

Code: kód zásady přihlašovacích jmen. Musí být jedinečný, bez mezer a speciálních znaků. Povinné.
Name: název zásady přihlašovacích jmen. Popisek, který se zobrazí v různých formulářích aplikace. Povinné.
Description: pole pro zadání popisu zásady hesel. Volitelné.
Formula: výpočetní vzorec pro definování hesla

Chcete-li zásadu hesel zobrazit a upravit, klikněte na ikonu „“ vpravo v příslušném řádku tabulky:

Do režimu úprav můžete přepnout přímo ze stránky zobrazení zásady hesel.

V režimu úprav lze upravit všechna pole.

Akce tlačítek v režimu úprav nebo vytváření:

Cancel: zruší aktuální zadání a přepne stránku do režimu zobrazení
Save: potvrdí formulář a přepne stránku do režimu zobrazení
Save and quit: potvrdí formulář a vrátí se na stránku se seznamem zásad hesel

Chcete-li zásadu hesel odstranit, klikněte na ikonu „“ vpravo v příslušném řádku tabulky:

Před odstraněním zásady hesel se zobrazí potvrzovací zpráva.

Upozornění: zásadu hesel nelze odstranit, pokud je propojena s jedním nebo více úložišti.

Zobrazení účtů v úložišti¶

Chcete-li vyhledat účet, přejděte do nabídky „Accounts“.

Budete přesměrováni přímo na stránku hledání účtů pro vybrané úložiště (první v seznamu), předem načtenou bez použitých filtrů, avšak s ohledem na oprávnění spojená s profilem přihlášeného uživatele.

Protože jsou účty propojeny s úložištěm, musíte pro zobrazení seznamu přidružených účtů vybrat požadované úložiště, a to buď pomocí karet, nebo pomocí rozevíracího seznamu.

Režim zobrazení se určuje podle počtu úložišť. Pokud je úložišť 10 nebo méně, zobrazí se na samostatných kartách; jinak se zobrazí v rozevíracím seznamu.

Stránkování je implementováno tak, aby se zobrazovalo pouze 10 účtů.

V pravém horním rohu tabulky je k dispozici pole hledání. Hledání se zaměřuje na přihlašovací jména účtů a zohledňuje vybrané úložiště.

Konfigurace tabulky výsledků hledání účtů¶

Chcete-li nakonfigurovat atributy, které se mají zahrnout do tabulky výsledků hledání účtů, přejděte na stránku konfigurace atributů, vyberte kartu „Account“, otevřete požadovaný atribut v režimu úprav a zaškrtněte možnost „Display in results table“.

Sladění/zrušení sladění teoretického účtu se skutečným účtem¶

Chcete-li přejít na stránku správy sladění účtů, přejděte do nabídky „Accounts“ a aktivujte možnost „Reconciliation“:

V okně se zobrazí dvě nové tabulky:

Druhá tabulka obsahuje seznam osiřelých účtů ve vybraném úložišti. Připomínáme, že osiřelé účty jsou účty, které byly načteny z cílového úložiště, ale nejsou propojeny s žádnou identitou v CyberElements Identity.

Třetí tabulka obsahuje seznam identit, které nejsou propojeny s žádným účtem ve vybraném úložišti.

V této tabulce můžete pro každou identitu bez účtu:

Propojit existující teoretický účet. Za tímto účelem klikněte na tlačítko vpravo od požadované identity a poté vyhledejte požadovaný existující teoretický účet.
Vytvořit teoretický účet. Za tímto účelem klikněte na tlačítko vpravo od požadované identity a poté vytvořte teoretický účet výběrem požadovaného typu účtu.

Důležitá poznámka

Tato funkce byla ze starších rozhraní odebrána, protože není možné zachovat oba režimy.

Diskreční správa rolí a autorizací¶

Chcete-li ručně upravit přiřazení rolí a autorizace identity, otevřete záznam požadované identity v režimu zobrazení a přejděte na kartu „Roles and Authorizations“.

Zobrazí se tabulka obsahující role přiřazené identitě. Pro každou roli obsahuje vnořená tabulka autorizace propojené s identitou a přiřazené k roli. Autorizace musí být propojena s dvojicí Identity/Role.

Pokud je sladěno několik identit, zobrazí se pro každou identitu karta, která umožňuje vybrat požadovanou identitu. Role/autorizace jsou propojeny s identitou, nikoli s řetězcem sladění. Před provedením ručních aktualizací je proto nutné vybrat požadovanou identitu.

Stránkování je nastaveno tak, aby se zobrazovalo pouze 10 rolí.

Ve vnořené tabulce pod rolí je stránkování nastaveno tak, aby se zobrazovalo pouze 5 autorizací.

V pravém horním rohu tabulky rolí je k dispozici pole hledání. Hledání vychází z názvů rolí.

Ve vnořené tabulce pod rolí je v horní části tabulky autorizací k dispozici pole hledání. Hledání zahrnuje atributy „Category“, „Code“ a „Name“ autorizací.

V tabulce autorizací najdete následující informace:

Její stav:
- „Valid“: autorizace je zobrazena bez zvláštního označení
- „Blocked“: autorizace je zobrazena, ale v rozhraní je přeškrtnutá
Režim přiřazení. Možné hodnoty jsou
- : ručně, s UID identity, která přiřazení provedla
- : autorizační pravidlo s názvem pravidla (pravidel)
- : autorizace udělená děděním role
- : první ikona označuje, že právo bylo přidáno ručně (prostřednictvím workflow), a druhá umožňuje přístup k workflow (odkaz na rozhraní pro obsluhu workflow).

Chcete-li přidat jednu nebo více rolí nebo přidat jednu nebo více autorizací k několika rolím téže identity, klikněte na tlačítko „“ v pravém horním rohu tabulky rolí.

Vyberte požadovanou roli (role) a poté klikněte na „Confirm“, chcete-li role přidat a přejít k dalšímu kroku, nebo na „Cancel“, chcete-li operaci zrušit.

Chcete-li přidat jednu nebo více autorizací k roli, která je již s identitou propojena, klikněte na tlačítko „“ vpravo v příslušném řádku tabulky rolí.

Vyberte požadovanou autorizaci (autorizace) a poté klikněte na tlačítko „Confirm“, chcete-li je propojit s rolí, nebo na tlačítko „Cancel“, chcete-li operaci zrušit. Je možné nastavit počáteční a koncové datum, které se použije pro všechny vybrané autorizace.

Tlačítka akcí pro autorizace:
- : umožňuje autorizaci zablokovat.
- : umožňuje autorizaci odblokovat.
- : umožňuje autorizaci certifikovat.
- : umožňuje odstranit certifikaci autorizace.
- : umožňuje změnit data platnosti. Tlačítko je k dispozici pouze pro ruční práva.
- : umožňuje odstranit ruční právo. Před odebráním autorizace se zobrazí potvrzovací zpráva.

Upozornění: tlačítko pro odstranění autorizace je k dispozici pouze tehdy, pokud byla autorizace přiřazena výhradně diskrečně. Autorizace může být stále zobrazena ve stavu „pending deletion“, pokud je její stav zřízení „provisioned“.

Chcete-li zrušit propojení role s identitou, klikněte na ikonu „“ vpravo v příslušném řádku tabulky rolí.

Před odstraněním role se zobrazí potvrzovací zpráva.

Upozornění: tlačítko pro odstranění role je k dispozici pouze tehdy, pokud byla role přiřazena diskrečně. Propojení všech autorizací spojených s dvojicí identita/role bude rovněž zrušeno a v případě automatického zřizování bude jejich zřízení při příští synchronizaci zrušeno.

Správa autorizačních pravidel¶

Autorizační pravidla umožňují konfigurovat zásady přístupu a automaticky přiřazovat práva identitám, které pravidlo určí.

Autorizační pravidlo spočívá v přiřazení:

na jedné straně skupiny uživatelů definované filtrováním podle rolí (RBAC), organizací (OrBAC) a/nebo hodnot atributů (ABAC),
na druhé straně rolí a aplikačních práv.

Ke správě autorizačních pravidel se dostanete v nabídce „Access Management / Authorization Rules“.

Budete přesměrováni přímo na stránku se seznamem existujících autorizačních pravidel, předem načtenou bez použitých filtrů, avšak s ohledem na autorizace spojené s profilem přihlášené osoby.

Stránkování je nastaveno tak, aby se zobrazovalo pouze 10 pravidel.

V pravém horním rohu tabulky pravidel je k dispozici pole hledání. Hledání vychází z názvů pravidel.

Chcete-li vytvořit nové autorizační pravidlo, klikněte na tlačítko „“.

Vytvoření pravidla se skládá ze tří částí:

Obecná nastavení
- Name: název autorizačního pravidla. Povinné.
- Description: pole pro zadání popisu autorizačního pravidla. Volitelné.
- Context: vyberte jeden nebo více kontextů z rozevíracího seznamu, který obsahuje dříve vytvořené kontexty.
Seznam kritérií: kliknutím na tlačítka „ “ nebo „ “ přidejte pravidlo filtrování pro identity, které budou do autorizačního pravidla zahrnuty. Pravidlo filtrování spočívá v definování atributu, na který se má filtr použít, operátoru porovnání a hodnot, které se mají porovnat.
- Tlačítko „“ umožňuje přidat nový filtr na stejné úrovni jako předchozí filtr.
- Tlačítko „“ umožňuje přidat skupinu filtrů na stejné úrovni jako předchozí filtr. Do skupiny je povinné přidat filtry nebo skupiny filtrů, a to pomocí tlačítek „“ nebo „“ v této skupině.
- Na každé úrovni filtrování musíte určit operátor, který se použije mezi jednotlivými pravidly filtrování.
- Objekt, pro který chcete provést porovnání. Může to být:
  - Role
  - Atribut osoby
  - Atribut struktury
  - Atribut prostředku
- Operátor porovnání. Seznam operátorů porovnání je dynamický a závisí na typu vybraného objektu.
- Hodnota k porovnání: zadává se nebo vybírá z rozevíracího seznamu podle typu vybraného objektu a operátoru porovnání.

Můžete přidat libovolný počet kritérií filtrování. Mezi jednotlivými pravidly filtrování je nutné určit operátory, například „AND“ nebo „OR“. Pro rozšíření možností lze vytvářet podskupiny.

Příklad: chcete-li vytvořit následující pravidlo filtrování:

(Person type = „Medical agent or External medical agent“ AND atribut „Job“ = „Biological unit manager“) OR (Person type = „Non-medical agent“ AND atribut „Job“ = „Environmental specialist“)

Kritéria filtrování se nakonfigurují takto:

Role a autorizace, které se mají v autorizačním pravidle přiřadit: k zobrazení rolí a autorizací, které se mají do autorizačního pravidla zahrnout, slouží dvě karty. Karta Role zobrazuje seznam rolí a stručně uvádí související autorizace, pokud nějaké existují. Z této karty lze také role a autorizace přidávat nebo odebírat. Karta Authorizations zobrazuje seznam autorizací přidaných do pravidla a u každé z nich přidruženou roli (role). Tato karta jednoduše nabízí jiné zobrazení.
- Chcete-li do autorizačního pravidla přidat role a autorizace, klikněte na tlačítko „“ na kartě „Roles“. Musíte vybrat alespoň jednu roli a poté můžete podle potřeby vybrat autorizace.

Seznam autorizací je filtrován podle vybraných rolí (role je propojena s jedním nebo více úložišti).

Chcete-li autorizační pravidlo zobrazit a upravit, klikněte na ikonu „“ vpravo v příslušném řádku tabulky:

Režim zobrazení umožňuje zobrazit podrobnosti autorizačního pravidla a také seznam identit, na které se pravidlo vztahuje.

Osobu můžete vyhledat pomocí pole hledání v pravém horním rohu tabulky.

Do režimu úprav můžete přepnout kliknutím na tlačítko „Edit“.

V režimu úprav lze upravit všechna pole.

Upozorňujeme: seznam osob, na které se pravidlo vztahuje, se při úpravě pravidla neaktualizuje v reálném čase. Aktualizuje se po potvrzení pravidla a dokončení výpočtů.

Akce tlačítek v režimu vytváření a úprav:

Cancel: zruší aktuální zadání a přepne stránku do režimu zobrazení
Save: potvrdí formulář a přepne stránku do režimu zobrazení. Výpočty se provedou automaticky.
See Impact: zobrazí dopady vytvoření nebo aktualizace pravidla. Dopady se zobrazují ve dvou tabulkách:
- První tabulka uvádí dopady pravidla na práva, přičemž zohledňuje pouze vytvořené nebo upravené autorizační pravidlo. Zobrazí se všechny identity, které splňují kritéria, včetně těch, kterým již bylo oprávnění přiřazeno jinde. Pokud tedy osoba v důsledku změny autorizačního pravidla svá práva skutečně ztrácí, může si je přesto zachovat jiným způsobem.
- Druhá tabulka uvádí celkové dopady pravidla na práva. Tato část zohledňuje všechna pravidla v CyberElements Identity, diskreční přiřazení práv a práva zablokovaná pravidlem oddělení práv. Pokud již bylo identitě oprávnění přiřazeno jinde, účet do tohoto seznamu zahrnut nebude. Zobrazí se práva, která budou po potvrzení změny skutečně dotčena/odstraněna.

V této druhé tabulce lze před skutečným odstraněním práva použít odklad (použití přechodného období neboli období překryvu).

Chcete-li autorizační pravidlo odstranit, klikněte na ikonu „“ vpravo v příslušném řádku tabulky:

Před odstraněním autorizačního pravidla se zobrazí potvrzovací zpráva.

Ikona „“ označuje autorizační pravidlo, které se právě vypočítává. Pokud je zašedlá, znamená to, že výpočty jsou dokončeny.

Správa pravidel oddělení povinností (SoD)¶

Oddělení povinností (SoD): je zásadní bezpečnostní princip, který spočívá v rozdělení odpovědností a oprávnění v rámci organizace nebo systému s cílem minimalizovat rizika a předcházet střetu zájmů. Zavádí se proto, aby bylo zajištěno odpovědné a bezpečné používání IT systémů a podnikových prostředků.

Pravidlo oddělení povinností spočívá v:

definování prioritní skupiny
přidání rolí nebo autorizací do prioritní skupiny s váhou priority

Ke správě pravidel oddělení povinností se dostanete v nabídce „Access Management / SoD Rules“. Od verze 7.1 nabízí tato nabídka dvě podnabídky: Identities a Accounts.

Od verze 7.1 umožňuje modul oddělení povinností vytvářet pravidla, která se vztahují buď na autorizace, nebo na role, a přidávat filtry zaměřené na identity nebo účty, které omezují rozsah pravidla.

Obě podnabídky odpovídají dvěma úrovním, na kterých se pravidlo může uplatnit:

Identities: pro jednu identitu, která by držela vzájemně neslučitelná práva;
Accounts: pokud má osoba několik identit, které sdílejí stejný účet (slučování účtů), a souhrnná práva těchto identit spadají pod pravidlo oddělení povinností.

Každá z těchto dvou podnabídek obsahuje dvě karty, Roles a Rights. Karta Roles definuje priority pro role skupiny, karta Rights pro autorizace skupiny. Níže popsaný postup je na obou kartách stejný; objektem přidávaným do prioritní skupiny je podle okolností buď role, nebo autorizace.

Pod kódem, názvem a popisem zobrazuje záznam pravidla tři bloky: seznam kritérií (filtry zaměřené na identity nebo účty), seznam propojených autorizací — nebo rolí — a seznam identit, na které se pravidlo vztahuje.

Když pravidlo uživateli zamkne nebo odemkne roli či autorizaci, operace se zaznamená do auditů s názvem pravidla, které ji vyvolalo. Tyto záznamy umožňují v případě nežádoucího zamčení najít pravidlo, které je třeba zkontrolovat.

Zobrazení a úpravu pravidel řídí práva „220_001 - View a segregation of duties rule“ a „220_002 - Modify a segregation of duties rule“ úložiště CyberElements Identity.

Budete přesměrováni přímo na stránku se seznamem existujících pravidel oddělení povinností, předem načtenou bez použitých filtrů, avšak s ohledem na autorizace spojené s profilem přihlášené osoby.

Stránkování je nastaveno tak, aby se zobrazovalo pouze 10 pravidel.

V pravém horním rohu tabulky pravidel je k dispozici pole hledání. Hledání vychází z názvu prioritních skupin (= názvu pravidla oddělení práv).

Chcete-li vytvořit nové pravidlo oddělení práv, klikněte na tlačítko „“:

Vytvoření pravidla oddělení práv probíhá ve dvou krocích.

Nejprve zadejte obecné parametry:

Code: kód pravidla oddělení práv. Povinné.
Name: název pravidla oprávnění. Povinné.
Description: pole pro zadání popisu pravidla oddělení práv. Volitelné.

Uložte formulář pro vytvoření, abyste přešli k druhému kroku, tedy k přidání autorizací.

Chcete-li do pravidla SoD přidat autorizaci, klikněte na tlačítko „“ v tabulce „List of associated rights“.

Vyberte požadovanou autorizaci a zadejte váhu, která určuje prioritu. Čím menší hodnota, tím vyšší priorita.

Chcete-li upravit autorizaci v pravidle SoD, klikněte na tlačítko „“ vpravo v příslušném řádku tabulky.

Můžete upravit autorizaci a/nebo váhu priority.

Chcete-li odstranit autorizaci z pravidla SoD, klikněte na tlačítko „“ vpravo v příslušném řádku tabulky.

Chcete-li pravidlo oddělení povinností zobrazit a upravit, klikněte na ikonu „“ vpravo v příslušném řádku tabulky.

Do režimu úprav můžete přepnout kliknutím na tlačítko „Edit“.

V režimu úprav lze upravit pouze název a popis

Chcete-li pravidlo oddělení povinností odstranit, klikněte na ikonu „“ vpravo v příslušném řádku tabulky.

Před odstraněním autorizačního pravidla se zobrazí potvrzovací zpráva.

Podávání žádostí o práva pomocí formulářů¶

Podání žádosti o práva¶

Žádosti o autorizace pro jinou osobu (nebo pro sebe) se podávají ve staré provozní konzole prostřednictvím nabídky „Run an ‘On demand’ workflow“.

Kliknutím na tlačítko „Refresh“ zobrazíte seznam dostupných workflow.

Kliknutím na zvolené workflow podáte žádost o autorizaci.

Vyberte jednu nebo více identit, kterých se žádost týká.

Vyberte požadované autorizace z dostupného seznamu. V případě potřeby zadejte počáteční a koncové datum.

Klikněte na tlačítko „Add“.

Autorizace můžete libovolně přidávat nebo odebírat. Pokud chcete k již vybrané autorizaci přidat data platnosti, musíte ji odstranit a poté ji znovu přidat s předem zadanými daty.

Klikněte na tlačítko „Start“ a potvrďte automaticky otevírané okno.

Po potvrzení spuštění workflow budete automaticky přesměrováni na stránku, kde můžete zobrazit čekající žádosti.

Podání žádosti o ruční zřízení (nebo zrušení zřízení) autorizace¶

Žádosti o ruční zřízení (nebo zrušení zřízení) se podávají ve staré provozní konzole prostřednictvím nabídky „Run an ‘On demand’ workflow“.

Kliknutím na tlačítko „Refresh“ zobrazíte seznam dostupných workflow.

Kliknutím na zvolené workflow podáte žádost o zřízení.

Vyberte jednu nebo více identit, kterých se žádost týká.

Vyberte požadované autorizace z dostupného seznamu. V případě potřeby zadejte počáteční a koncové datum.

Klikněte na tlačítko „Add“.

Autorizace můžete libovolně přidávat nebo odebírat. Pokud chcete k již vybrané autorizaci přidat data platnosti, musíte ji odstranit a poté ji znovu přidat s předem zadanými daty.

Klikněte na tlačítko „Start“ a potvrďte automaticky otevírané okno.

Po potvrzení spuštění workflow budete automaticky přesměrováni na stránku, kde můžete zobrazit čekající žádosti.

Delegování autorizací¶

Delegování autorizací umožňuje přidělit práva jedné osoby (delegující osoba) jiné osobě (delegovaná osoba), obvykle na přechodnou dobu.

Tato funkce je k dispozici delegujícím osobám (v závislosti na oprávněních přihlášené osoby), ale od verze 7.0 může práva jiné identitě delegovat také třetí strana (v závislosti na oprávněních přihlášené osoby), například správce.

Chcete-li přejít k funkci delegování autorizací, otevřete záznam požadované identity v režimu zobrazení a přejděte na kartu „Delegations“.

Stránkování je nastaveno tak, aby se zobrazovalo pouze 10 pravidel delegování.

Chcete-li přidat delegování, klikněte na tlačítko „“ v pravém horním rohu tabulky delegování.

Pro vytvoření delegování zadejte následující informace:

Delegovaná osoba: osoba, která přijímá delegované role a/nebo autorizace (povinné)
Jedna nebo více delegovaných rolí (povinné)
Jedna nebo více delegovaných autorizací (volitelné)
Počáteční a koncové datum delegování (volitelné)

Chcete-li delegování upravit, klikněte na ikonu „“ vpravo v příslušném řádku tabulky.

Upravit můžete všechny parametry.

Chcete-li delegování odstranit, klikněte na ikonu „“ vpravo v příslušném řádku tabulky.

Před odstraněním delegování se zobrazí potvrzovací zpráva.

Zobrazení účtů a autorizací identity¶

Účty v různých aplikačních úložištích se vypočítávají na základě definovaných pravidel správy a rolí a autorizací přiřazených identitám.

Pravidla správy účtů jsou:

Definice stavu účtu na základě stavu identity,
Definice pravidel slučování účtů v případě více identit,
Definice pravidel vytváření účtů založených výhradně na přiřazení role.

Chcete-li zobrazit účty a autorizace propojené s identitou, otevřete záznam požadované identity v režimu zobrazení a přejděte na kartu „Accounts“.

Tato karta je dostupná pouze v režimu zobrazení a zobrazuje výsledky výpočtů účtů a autorizací provedených pro identitu, nebo v případě sladění identit pro všechny identity. V druhém případě je karta společná pro všechny identity v řetězci sladění.

Zobrazí se tabulka obsahující vypočtené účty. Pro každý účet obsahuje vnořená tabulka autorizace propojené s účtem. Účet může být vygenerován i bez jakýchkoli přidružených autorizací.

Pokud je sladěno několik identit a účet je společný pro několik identit (funkce slučování účtů je povolena), je účet označen ikonou „“.

Stránkování je implementováno tak, aby se zobrazovalo pouze 10 účtů.

Ve vnořené tabulce pod účtem je stránkování nastaveno tak, aby se zobrazovalo pouze 5 autorizací.

V pravém horním rohu tabulky účtů je k dispozici pole hledání. Hledání zahrnuje přihlašovací jména účtů nebo názvy úložišť.

Teoretický stav a stav zřízení účtů jsou viditelné na každém řádku tabulky.

Ve vnořené tabulce pod účtem je v horní části tabulky autorizací k dispozici pole hledání. Hledání zahrnuje názvy aplikací nebo autorizací.

Teoretický stav a stav zřízení autorizací jsou viditelné na každém řádku tabulky.

Legenda vysvětlující jednotlivé teoretické stavy a stavy zřízení pomáhá uživatelům těmto stavům porozumět.

Stav účtu „Archived“¶

Od verze 7.1 existuje nový teoretický stav účtu: stav „Archived“.

V některých případech je nezbytné uchovávat historii účtů v konkrétních úložištích. Hlavním případem použití je zajistit, aby se nikdy nevygenerovalo přihlašovací jméno, které již mohlo v minulosti existovat.

Tento stav se týká účtů, které již v cílovém úložišti neexistují a nejsou již propojeny s žádnou identitou v CyberElements Identity. Tyto účty jsou uchovávány v databázi Identity, ale nikdy se nesynchronizují. Nezapočítávají se ani do správy licencí.

Stav „Archived“ má kód 3 a následuje po čtyřech existujících stavech:

Kód	Teoretický stav účtu
`-1`	No account
`0`	Theoretical account only
`1`	Account enabled
`2`	Account disabled
`3`	Account archived

Pokud je účet propojen s několika identitami, vypočítá se jeho stav podle následujícího pořadí priority: Enabled, poté Disabled, poté Archived, poté Theoretical a nakonec No account. Účet je tedy archivován pouze tehdy, pokud mu žádná z propojených identit nepřiděluje stav povoleného, zakázaného nebo teoretického účtu. Osoba se do licencí započítává pouze tehdy, pokud má alespoň jeden nearchivovaný účet.

Model archivovaného účtu již nelze upravit: úprava se odmítne s chybovou zprávou.

Stav „Archived“ lze účtu přiřadit dvěma způsoby:

prostřednictvím modulu zřizování SIP: v importu Identity typu ACCOUNT nebo typu STATUS nastaví jedna z možností stav „Archived“ u účtů identifikovaných v operacích odstranění. Viz stránka Vytvoření/úprava pravidel importu.
prostřednictvím rozhraní, ruční změnou teoretického stavu, a to vždy u jednoho účtu, pokud je to povoleno jak ve formuláři pro úpravu, tak v právech Identity.

Povolení ve formuláři se nastavuje u atributu „Theoretical account status“ (account_state) v nabídce „Configuration / Attribute templates“ na kartě „Account“: v oddílu „Display“ musí pole „Display in edit“ atribut zviditelnit. Ve výchozím nastavení má hodnotu „Hide“ a teoretický stav se pak ve formuláři pro úpravu účtu nezobrazuje.

Na straně práv Identity řídí úpravu údajů účtu právo „140_550_002 - Modify account details“ úložiště CyberElements Identity.

Upozornění

Protože tyto účty modul zřizování neexportuje, lze archivovaný stav vrátit zpět pouze ručně, a to vždy u jednoho účtu v rozhraní, za stejných podmínek povolení.

Resetování hesla účtu¶

Od verze 7.1 existuje u účtů nový logický systémový atribut: account_password_reset.

Má podobu tlačítka na stránkách účtu. Ve výchozím nastavení má hodnotu false a popisek „Reset password“. Když na něj kliknete, hodnota se změní na true a popisek na „Password reset“.

Tlačítko se zobrazuje v pravém panelu záznamu účtu pod názvem účtu. V nabídce „Configuration / Attribute templates“ na kartě „Account“ je atribut uveden pod popiskem „Password reset state“ s typem „Boolean“. Vytvoří se automaticky při upgradu na verzi 7.1, a to v databázi SQL Server i PostgreSQL.

Upozornění

Tato hodnota je pouze teoretická. Aby měla účinek, musíte použít buď konektor zřizování, nebo workflow ručního zřizování. Změnu hodnoty z true na false poté, co bylo heslo v cílové aplikaci změněno, musí rovněž zajistit konektor nebo workflow ručního zřizování.

Použití v konektoru zřizování:

Ke správě změn hesel v konektorech automatického zřizování pomocí tohoto systémového atributu je nutné používat konektory určené k tomuto účelu. Cílová aplikace musí navíc změny hesel umožňovat, což není vždy splněno.

V pravidle synchronizace proveďte následující operace:

operaci převodu, která zjistí změny hesel;
v pravidle porovnání porovnejte pro každou osobu atribut account_password_reset s hodnotou false (tj. 0), aby se zjistila změna hesla;
v pravidle úpravy vynuťte odeslání hesla do cílového atributu pomocí systémového atributu password.

Poté vytvořte konektor vstupního zřizování (upstream), který logickou hodnotu account_password_reset vrátí na false.

Zřizování/rušení zřízení účtů a autorizací¶

Proces přenosu účtů a autorizací vypočtených v CyberElements Identity do různých aplikačních úložišť se označuje jako výstupní zřizování (downstream). CyberElements Identity má tedy pro správu účtů a autorizací nadřazenou autoritu nad definovanými aplikacemi.

Zřizování lze spravovat dvěma způsoby:

Buď lze vytvořit automatický konektor (prostřednictvím API, databáze, adresáře nebo automatizované výměny plochých souborů); v takovém případě hovoříme o automatickém zřizování.
Nebo automatický konektor vytvořit nelze; v takovém případě hovoříme o poloautomatickém zřizování.

Automatické zřizování/rušení zřízení¶

Chcete-li zřídit účty a autorizace v aplikačních úložištích, musíte pomocí modulu Systancia Identity Provisioning (SIP) vytvořit konektor výstupního zřizování: z CyberElements Identity, které je autoritativním zdrojem, se s ohledem na nakonfigurovaná pravidla synchronizace budou účty a autorizace v aplikačních úložištích vytvářet, aktualizovat nebo odstraňovat podle pravidel definovaných v pravidlech importu.

Sekvence výstupního zřizování se musí skládat alespoň z následujících prvků:

Export úložiště Identity (autoritativního) typu „USER + ACCESS“ nebo „ACCOUNT + ACCESS“
Export cílového aplikačního úložiště
Pravidlo synchronizace
Pravidlo importu do cílového aplikačního úložiště

Informace o vytvoření konektoru najdete na stránce „Správa konektorů automatického zřizování“.

Poloautomatické zřizování/rušení zřízení¶

Konektor poloautomatického zřizování se vytváří pomocí workflow typu „User request“ nebo „Event“ s alespoň jedním úkolem ručního zřízení nebo zrušení zřízení.

V úkolu ručního zřízení jsou akce zřizování, které se mají provést, uvedeny v oznámení zaslaném operátorovi. Jakmile operátor úkol dokončí, může kliknutím na tlačítko „Task validated“ označit, že zřízení bylo dokončeno. Stav zřízení účtu a/nebo autorizací se v CyberElements Identity aktualizuje. Správci tak mohou kontrolovat stav práv identit.