Administration af repositories

Et repository defineres som en centraliseret kilde eller datalokation, der lagrer og administrerer kontooplysninger om brugere, grupper og ressourcer i et system eller en organisation.

I CyberElements Identity kan et repository omfatte flere applikationer, som konti, roller og tilladelser fordeles på.

Opret/ændr/slet et repository

For at få adgang til administration af repositories skal du åbne menuen ”Access Management/Repositories”.

Du føres direkte til listen over eksisterende repositories, der er forudindlæst i en tabel uden anvendte filtre.

Sideinddelingen er sat op til kun at vise 10 repositories.

Der er et søgefelt øverst til højre i tabellen. Søgningen omfatter attributterne ”code” og ”name” for repositories.

For at oprette et nyt repository skal du klikke på knappen ””.

Vælg applikationstypen i konnektorkataloget.

Hvis repository ikke er knyttet til en automatisk konnektor, skal du vælge indstillingen ”Other” i kategorien Other.

Indtast først de generelle parametre for et repository:

• Code: kode for repository. Skal være unik, uden mellemrum og uden specialtegn. Obligatorisk.
• Name: navn på repository. Den betegnelse, der vises i applikationens forskellige formularer. Obligatorisk.
• Description: felt til indtastning af en beskrivelse af repository. Valgfri.
• Default role: vælg den rolle, der bruges af workflows, hvis der stilles autorisationsanmodninger for repository. Valgfri.
• Export type: gør det muligt at bestemme den eksporttype, der bruges i provisioneringskonnektoren. Denne oplysning bruges til at bestemme, hvilken type attribut der bruges til dynamiske autorisationer.

Hvis Account+Access er valgt, knyttes de dynamiske autorisationer til kontoattributter; hvis user+Access er valgt, knyttes de dynamiske autorisationer til personattributter. Denne oplysning er obligatorisk i tilfælde af automatisk provisionering; standardværdien er Account+Access.

Klik på knappen ”SIP Configuration” for at konfigurere en automatisk konnektor. Knappen er ikke tilgængelig, hvis repository-valget er ”Other”.

Bekræft oprettelsesformularen for at konfigurere applikationerne og tilladelserne, kontotyperne og rollerne for repository.

Handlinger for knapperne i oprettelsestilstand:

• Cancel: annullerer den aktuelle indtastning og vender tilbage til listesiden for repositories.
• Save: bekræfter formularen og skifter siden til visningstilstand.
• Save and quit: bekræfter formularen og vender tilbage til listesiden for repositories.

For at se og redigere et repository skal du klikke på ikonet ”” til højre for den tilsvarende tabelrække:

Du kan skifte til redigeringstilstand direkte fra visningssiden for repository.

I redigeringstilstand kan alle felter ændres.

Handlinger for knapperne i redigeringstilstand:

• Cancel: annullerer den aktuelle indtastning og skifter siden til visningstilstand.
• Save: bekræfter formularen og skifter siden til visningstilstand.
• Save and quit: bekræfter formularen og vender tilbage til listesiden for login-politikker.

For at slette et repository skal du klikke på ikonet ”” til højre for den tilsvarende tabelrække:

Der vises en bekræftelsesmeddelelse, før repository slettes.

Advarsel: det er ikke muligt at slette et repository, så længe der findes tilknyttede objekter.

Konfiguration af en automatisk konnektor (via SIP)

Konfigurationen af en automatisk konnektor består i at definere forbindelsesparametrene mellem CyberElements Identity og en tredjepartsapplikation. Forbindelsestilstandene kan være:

• Katalog (AD, LDAP, OpenLDAP, ADLDS osv.)
• Flad fil (csv, xml)
• DB
• API (SCIM)

For hvert repository er det muligt at konfigurere en automatisk konnektor for at udføre provisioneringssekvenser (opstrøms eller nedstrøms). Bemærk, at der fra version 7.0 ikke længere skal konfigureres en ODBC-forbindelse for Identity-repository. Kommunikationen mellem Systancia Identity Provisioning og CyberElements Identity er automatisk og transparent.

Adgangen til konfigurationen af en automatisk konnektor findes på repository-siden, der er åbnet i visningstilstand. Klik på knappen ”SIP Configuration”.

For hver konnektorkonfiguration skal du, uanset forbindelsestilstanden, angive provisioneringsagenten. Provisioneringsagenten er indtastet som standard, når der kun er én.

Bemærk: i version 7.0 kan der kun konfigureres én provisioneringsagent. Den oprettes som standard, både ved en opgradering og ved en førstegangsinstallation.

Ellers varierer konfigurationsformularerne afhængigt af den forbindelsestilstand, der skal konfigureres.

Forbindelse af typen katalog, gammel konnektor

Advarsel

Den gamle katalogkonnektor leveres stadig med version 7.1, men den bliver forældet fra og med version 7.2. Foretræk den nye konnektor, som nu håndterer både eksport og import.

For en forbindelse af typen katalog, gammel konnektor, der giver mulighed for eksport og import (LDAP, AD, OpenLDAP osv.), skal følgende oplysninger indtastes:

• Server: adressen på den server, som kataloget ligger på
• Port: forbindelsesport
• SSL: markér, hvis SSL-forbindelsen skal slås til
• Base: roden af det træ, hvorfra data udtrækkes, eller hvortil de skrives. F.eks.: ”DC=Domain,DC=local”
• Username: forbindelseskonto
• Password: adgangskode til forbindelseskontoen

Forbindelse af typen katalog, ny konnektor

Bemærk

Op til version 7.0 håndterede den nye katalogkonnektor kun læsning fra repositories af typen katalog. Fra og med version 7.1 håndterer den også skrivning til disse repositories.

For en forbindelse af typen katalog med den nye konnektor, der tillader eksport og import (LDAP, AD, OpenLDAP osv.), skal du angive følgende oplysninger:

• Server: adressen på den server, som kataloget ligger på
• Port: forbindelsesport
• SSL: markér, hvis SSL-forbindelsen skal slås til
• Domain: roden af det træ, hvorfra data udtrækkes, eller hvortil de skrives. F.eks.: ”Domain.local”
• Username: forbindelseskonto
• Password: adgangskode til forbindelseskontoen
• Synchronization of groups managed by Identity only: markér afkrydsningsfeltet, så SIP baserer sig på listen over sikkerhedsgrupper, der er oprettet og administreres i CyberElements Identity, i stedet for på en liste, der er indtastet manuelt i eksporten og i importen af det pågældende repository.
• Export code: koden for eksporten af grupper, almindeligvis memberof@. Skal udfyldes, når den foregående indstilling er markeret.

Koden memberof@ angiver grupper ved deres navn (CN) uden deres placering i kataloget — hvorimod standard-LDAP-attributtet memberOf forventer det fulde DN for hver gruppe. Den genkendes uanset store og små bogstaver. For at sammenligne den forventede tilstand med kataloget reducerer konnektoren også objektets aktuelle grupper til deres navn og anvender derefter kun de nødvendige tilføjelser og fjernelser. Når indstillingen ”Synchronization of groups managed by Identity only” er markeret, eksporteres kun medlemskaber af grupper, der administreres af Identity: de andre grupper i kataloget, som brugeren tilhører, ændres ikke.

Tip

Koden memberof@ forudsætter entydige gruppenavne i kataloget. Hvis flere grupper har samme navn i forskellige organisationsenheder, skal du bruge memberOf med de fulde DN'er.

Når en gruppe, der administreres af Identity, endnu ikke findes i kataloget, opretter konnektoren den med objektklasserne top og group. Organisationsenheden for destinationen er indtil videre ikke fastlagt.

Forbindelse af typen database

For en forbindelse til en database (SQL Server, Oracle, PostgreSQL osv.) skal du indtaste følgende oplysninger:

• Forudoprettet forbindelsesstreng (ODBC-forbindelse osv.)
• Username: forbindelseskonto
• Password: adgangskode til forbindelseskontoen

Forbindelse til flad fil (CSV, TXT osv.)

• File name: den fulde sti til filen.
• Skip the first line: markér dette afkrydsningsfelt, hvis filen indeholder en overskriftslinje. Fra og med version 7.1 bevares denne overskriftslinje under importen.
• Format: ASCII eller Unicode
• Separator: tegn, der udgør kolonneseparatoren
• Value separator: tegn, der udgør værdiseparatoren i tilfælde af et flerværdiattribut
• Multi-line for the same user: navn på det attribut, hvis værdi er unik (for eksempel medarbejdernummer, login osv.), og som fungerer som pivotattribut til at administrere flere værdier.

Flere linjer i skrivetilstand, fra og med version 7.1:

Op til version 7.0 blev flere linjer kun håndteret i læsetilstand: flerværdiværdier blev kun skrevet med et skilletegn. Fra og med version 7.1 kan indstillingen ”Multi-line for the same user” også konfigureres i det repository, der svarer til outputtekstfilen (csv, txt eller andet).

Hvis et objekt i synkroniseringsfilen har flere værdier i det angivne attribut, indeholder den producerede fil lige så mange linjer, som der er værdier, og alle objektets andre attributter gentages på hver af disse linjer.

Kun ét flerværdiattribut kan generere linjer på denne måde pr. objekt og pr. repository. De andre flerværdiattributter forbliver samlet på én linje med deres værdier adskilt af det skilletegn, der er defineret i konfigurationen af det pågældende repository.

Opret/ændr/slet applikationer og autorisationer

For at få adgang til administration af applikationer og autorisationer for et repository skal du gå til repository-siden i visningstilstand og derefter åbne fanen ”Applications and Authorizations”.

Listen over eksisterende applikationer er forudindlæst uden anvendte filtre, men i overensstemmelse med de tilladelser, der er knyttet til den tilsluttede persons profil.

Listen over de autorisationer, der er tilknyttet en applikation, vises i en tabel, der er indlejret i applikationen.

Sideinddelingen er sat op til kun at vise 10 applikationer.

I den indlejrede tabel over autorisationer er sideinddelingen sat op til kun at vise 5 autorisationer.

Der er et søgefelt øverst til højre i applikationstabellen. Søgningen omfatter applikationernes kode og navn.

På samme måde er der i den indlejrede tabel over autorisationer et søgefelt øverst i tabellen. Søgningen omfatter attributterne ”Category”, ”Code” og ”Name” for autorisationer.

For at oprette en ny applikation skal du klikke på knappen ”” øverst til højre i applikationstabellen.

Indtast parametrene for en applikation:

• Code: applikationens kode. Skal være unik, uden mellemrum og uden specialtegn. Obligatorisk.
• Name: navn på applikationen. Den betegnelse, der vises i applikationens forskellige formularer. Obligatorisk.
• Description: felt til indtastning af en beskrivelse af applikationen. Valgfri.
• Responsible: vælg en eller flere personer på listen over identiteter. Valgfri.

For at oprette en ny autorisation skal du åbne den indlejrede tabel for den applikation, du vil knytte autorisationen til, og klikke på knappen ”” øverst til højre i autorisationstabellen.

Indtast parametrene for en autorisation:

• Code: autorisationens kode. Skal være unik, uden mellemrum og uden specialtegn. Obligatorisk.
• Name: navn på autorisationen. Den betegnelse, der vises i applikationens forskellige formularer. Obligatorisk.
• Description: felt til indtastning af en beskrivelse af applikationen. Valgfri.
• Category: vælg en kategori på listen, eller opret en ny kategori. For at oprette en ny kategori skal du klikke på knappen ”” til højre for rullelisten. Valgfri.

• Type:
  • Group. Indstilling, der er tilgængelig for at håndtere bagudkompatibilitet ved opgraderinger af version. Denne indstilling er forældet fra 7.0.
  • Attribute
• Mode:
  • Static: værdien af rettigheden, der skal defineres
  • Dynamic: værdi, der kommer fra et attribut
• Export code: navn på det attribut, der eksporteres i eksporterne ”USER+ACCESS” og ”ACCOUNT+ACCESS”
• Export value:
  • Enten et frit felt, hvis Mode = static
  • Eller et felt til valg af et attribut, hvis Mode = dynamic. Attributtet skal være et kontoattribut, hvis konnektoren er oprettet med eksporttypen ”ACCOUNT + ACCESS”, eller et identitetsattribut, hvis konnektoren er oprettet med eksporttypen ”USER + ACCESS”

Bemærk: eksporten ”USER + ACCESS” bevares i version 7.0 for at håndtere bagudkompatibilitet ved en opgradering af version. Den er forældet fra version 7.0.

For at ændre en applikation skal du klikke på ikonet ”” til højre i den tilsvarende tabelrække.

Alle felter kan ændres.

For at ændre en autorisation skal du åbne den indlejrede tabel for den applikation, hvor du vil ændre en autorisation, og klikke på ikonet ”” til højre i den tilsvarende tabelrække.

Alle felter kan ændres.

Handlinger for knapperne i oprettelses- og ændringstilstand (applikationer og autorisationer):

• Cancel: annullerer den aktuelle indtastning og vender tilbage til repository-siden.
• Save: bekræfter formularen og vender tilbage til repository-siden

For at slette en applikation skal du klikke på ikonet ”” til højre for den tilsvarende række i tabellen.

Der vises en bekræftelsesmeddelelse, før applikationen slettes.

Advarsel: det er ikke muligt at slette en applikation, så længe der findes tilknyttede objekter.

For at slette en autorisation skal du åbne den indlejrede tabel for den applikation, hvor du vil slette en autorisation, og klikke på knappen ”” til højre i den tilsvarende tabelrække.

Der vises en bekræftelsesmeddelelse, før autorisationen slettes.

Advarsel: det er ikke muligt at slette en autorisation, så længe der findes tilknyttede objekter.

Administration af roller

Fra version 7.0 tilføjes roller til administrationen af rettighedsmodellen. Roller, der kan sammenlignes med jobprofiler, gør det muligt at foruddefinere et sæt tilladelser, men også at oprette flere konti for en enkelt identitet, hvis det er nødvendigt. En person, der har en administratorrolle og en standardbrugerrolle, kan for eksempel få tildelt to konti, så hun bruger den, der er nødvendig for de handlinger, hun skal udføre.

Fra og med version 7.1 understøtter administrationen af roller også anvendelsesdatoer, låsning og oplåsning af en rolle, certificering — manuel eller via en certificeringskampagne — og administration af funktionsadskillelse (SoD).

Bemærk

Disse fire begreber er beskrevet på autorisationsniveau på siden Administration af konti og autorisationer. Versionsnoten for 7.1 annoncerer, at de understøttes for roller, uden at beskrive skærmene i detaljer.

Låsning og certificering af en rolle sker fra en identitets detaljeside på fanen med teoretiske roller og autorisationer: menuen ⋮ for hver rolle giver mulighed for at tilføje en autorisation, Lock the role og Certify the role. Låsning og oplåsning styres af to forskellige administrationsrettigheder, afhængigt af om rollen er tildelt en identitet eller en konto.

En låst rolle tages ikke længere i betragtning af de afstemningsregler, der er baseret på aktive roller. En konto, der kun var knyttet til sin identitet via denne rolle, bliver derfor forældreløs: det er den forventede adfærd. Kontrollér de konti, der afhænger af rollen, før du låser den.

Opret/ændr/slet en rolle (jobprofil)

For at få adgang til administration af roller skal du åbne menuen ”Access Management/Roles”.

Du føres direkte til listen over eksisterende roller, forudindlæst i en tabel uden anvendte filtre, men under overholdelse af de tilladelser, der er knyttet til den tilsluttede persons profil.

Sideinddelingen er sat op til kun at vise 10 roller.

Der er et søgefelt øverst til højre i tabellen. Søgningen omfatter attributterne ”code” og ”name” for roller.

For at oprette en ny rolle skal du klikke på knappen ””.

Indtast de generelle parametre for en rolle:

• Code: rollens kode. Skal være unik, uden mellemrum og uden specialtegn. Obligatorisk.
• Name: navn på rollen. Den betegnelse, der vises i applikationens forskellige formularer. Obligatorisk.
• Description: felt til indtastning af en beskrivelse af rollen. Valgfri.

Bekræft oprettelsesformularen for at tilføje tilknytninger til repositories og standardautorisationer.

For at se og redigere en rolle skal du klikke på ikonet ”” til højre for den tilsvarende tabelrække.

Det er muligt at skifte til redigeringstilstand direkte fra visningssiden for rollen.

I redigeringstilstand kan alle felter ændres.

Handlinger for knapperne i redigerings- eller oprettelsestilstand:

• Cancel: annullerer den aktuelle indtastning og skifter siden til visningstilstand
• Save: bekræfter formularen og skifter siden til visningstilstand
• Save and quit: bekræfter formularen og vender tilbage til listesiden for roller

For at slette en rolle skal du klikke på ikonet ”” til højre for den tilsvarende tabelrække.

Der vises en bekræftelsesmeddelelse, før rollen slettes.

Advarsel: det er ikke muligt at slette en rolle, så længe der findes tilknyttede objekter.

• Du kan administrere tilknytningerne til repositories fra denne konfigurationsside.
• Du kan administrere standardautorisationerne for en rolle fra denne konfigurationsside.

Administrér tilknytningerne mellem et repository og en rolle

Oprettelsen af en tilknytning mellem en rolle og et repository gør det muligt at generere en konto, når en identitet har en rolle og opfylder betingelserne for at få en konto (identitetens status, om identiteten har rettigheder eller ikke osv.).

En tilknytning mellem et repository og en rolle kan oprettes på to forskellige måder:

• Enten på konfigurationssiden for en rolle
• Eller på konfigurationssiden for et repository

For at tilføje en tilknytning til et repository fra konfigurationssiden for en rolle skal du åbne den ønskede rolle i visningstilstand og åbne fanen ”Repository”. Listen over de repositories, der er tilknyttet rollen, er forudindlæst uden anvendte filtre, men under overholdelse af de tilladelser, der er knyttet til den tilsluttede persons profil.

Sideinddelingen er sat op til kun at vise 10 eksisterende tilknyttede repositories.

Der er et søgefelt øverst til højre i tabellen over tilknyttede repositories. Søgningen er baseret på navnene på repositories.

For at oprette en ny tilknytning til et repository skal du klikke på knappen ”” øverst til højre i tabellen.

Vælg et repository på listen, og vælg derefter den kontotype, der skal bruges. Gem for at registrere tilknytningen.

Gentag denne fremgangsmåde for hver tilknytning, du vil oprette.

For at ændre et repository, der er tilknyttet rollen, skal du klikke på ikonet ”” til højre i den tilsvarende tabelrække.

Kontotypen kan ændres.

For at slette et repository, der er tilknyttet en rolle, skal du klikke på ikonet ”” til højre i den tilsvarende tabelrække.

For at tilføje en tilknytning til et repository fra repository-konfigurationssiden skal du åbne det ønskede repository i visningstilstand og derefter åbne fanen ”Roles”. Listen over de tilknyttede roller er forudindlæst uden anvendte filtre, men under overholdelse af de tilladelser, der er knyttet til den tilsluttede persons profil.

Sideinddelingen er sat op til kun at vise 10 eksisterende tilknytninger rolle/repository.

Der er et søgefelt øverst til højre i tabellen over tilknytninger rolle/repository. Søgningen er baseret på rollernes navne.

For at oprette en ny tilknytning rolle/repository skal du klikke på knappen ”” øverst til højre i tabellen.

Vælg en rolle på listen, og vælg derefter den kontotype, der skal bruges. Gem for at registrere tilknytningen.

For at ændre en tilknytning rolle-repository skal du klikke på ikonet ”” til højre i den tilsvarende tabelrække.

Kontotypen kan ændres.

Handlinger for knapperne i oprettelses- og redigeringstilstand:

• Cancel: annullerer den aktuelle indtastning og vender tilbage til repository-siden.
• Save: bekræfter formularen og vender tilbage til repository-siden

For at slette en tilknytning rolle-repository skal du klikke på ikonet ”” til højre for den tilsvarende tabelrække.

Der vises en bekræftelsesmeddelelse, før tilknytningen rolle-repository slettes.

Advarsel: det er ikke muligt at slette en tilknytning rolle-repository, så længe der findes tilknyttede objekter.

Administration af standardautorisationer for en rolle

Hvis en rolle har standardautorisationer, arver en identitet, der har denne rolle, også rollens standardautorisationer. Denne funktion erstatter de rettighedsgrupper, der fandtes i tidligere versioner af produktet.

For at tilføje standardautorisationer til en rolle skal du åbne den ønskede rolle i visningstilstand og derefter åbne fanen ”Authorizations”. Klik på knappen ””.

Vælg de ønskede rettigheder, og klik på ”Validate” for at tilføje autorisationerne til rollen eller på ”Cancel” for at annullere operationen.

Se de identiteter, der er knyttet til en rolle

Fra og med version 7.1 har visningssiden for en rolle en ekstra fane, ”Identities”, som indeholder listen over de identiteter, der er knyttet til rollen.

Visningssiden for en rolle har således tre faner: ”Repositories”, ”Rights” og ”Identities”. Sidstnævnte viser for hver identitet dens UID, efternavn, fornavn, masteridentitet, persontype og tilstand med en søgefunktion.

Duplikér en rolle

Fra og med version 7.1 er det muligt at oprette en rolle ved at duplikere en eksisterende rolle. De repositories og autorisationer, der er knyttet til den duplikerede rolle, overføres til den nye rolle.

Duplikeringen startes fra listen over roller (”Access Management/Roles”): menuen ⋮ i slutningen af rækken tilbyder duplikeringshandlingen.