Hoidlate haldus

Hoidla on määratletud kui tsentraliseeritud allikas või andmete asukoht, mis talletab ja haldab süsteemi või organisatsiooni kasutajate, rühmade ja ressursside kontoteavet.

Lahenduses CyberElements Identity võib hoidlal olla mitu rakendust, mille vahel kontod, rollid ja load jaotuvad.

Hoidla loomine/muutmine/kustutamine

Hoidlate haldusse pääsemiseks avage menüü „Access Management/Repositories“.

Teid suunatakse otse olemasolevate hoidlate loendisse, mis on tabelisse eellaaditud ilma ühegi filtrita.

Lehekülgedeks jaotamine on seadistatud nii, et kuvatakse ainult 10 hoidlat.

Tabeli paremas ülanurgas on otsinguväli. Otsing hõlmab hoidlate atribuute „code“ ja „name“.

Uue hoidla loomiseks klõpsake nuppu „“.

Valige konnektorikataloogist rakenduse tüüp.

Kui hoidla pole seotud automaatse konnektoriga, valige kategoorias Other suvand „Other“.

Esmalt sisestage hoidla üldparameetrid:

• Code: hoidla kood. Peab olema kordumatu, ilma tühikute ja erimärkideta. Kohustuslik.
• Name: hoidla nimi. Silt, mis kuvatakse rakenduse eri vormides. Kohustuslik.
• Description: väli hoidla kirjelduse sisestamiseks. Valikuline.
• Default role: valige roll, mida workflow'd kasutavad, kui hoidlas esitatakse autoriseerimistaotlusi. Valikuline.
• Export type: võimaldab määrata ekspordi tüübi, mida kasutatakse ettevalmistuse konnektoris. Selle teabe põhjal määratakse, millist tüüpi atribuuti kasutatakse dünaamiliste autoriseerimiste jaoks.

Kui valitud on Account+Access, seotakse dünaamilised autoriseerimised konto atribuutidega; kui valitud on user+Access, seotakse dünaamilised autoriseerimised isiku atribuutidega. See teave on automaatse ettevalmistuse korral kohustuslik; vaikeväärtus on Account+Access.

Automaatse konnektori konfigureerimiseks klõpsake nuppu „SIP Configuration“. Nupp pole saadaval, kui hoidla valikuks on „Other“.

Kinnitage loomisvorm, et konfigureerida rakendused ja load, kontotüübid ning hoidla rollid.

Nuppude toimingud loomisrežiimis:

• Cancel: tühistab praeguse sisestuse ja naaseb hoidlate loendilehele.
• Save: kinnitab vormi ja lülitab lehe vaatamisrežiimi.
• Save and quit: kinnitab vormi ja naaseb hoidlate loendilehele.

Hoidla vaatamiseks ja redigeerimiseks klõpsake vastava tabelirea paremas servas asuvat ikooni „“:

Hoidla vaatamislehelt saate lülituda otse redigeerimisrežiimi.

Redigeerimisrežiimis saab muuta kõiki välju.

Nuppude toimingud redigeerimisrežiimis:

• Cancel: tühistab praeguse sisestuse ja lülitab lehe vaatamisrežiimi.
• Save: kinnitab vormi ja lülitab lehe vaatamisrežiimi.
• Save and quit: kinnitab vormi ja naaseb sisselogimispoliitikate loendilehele.

Hoidla kustutamiseks klõpsake vastava tabelirea paremas servas asuvat ikooni „“:

Enne hoidla kustutamist kuvatakse kinnitusteade.

Hoiatus: hoidlat ei saa kustutada, kuni sellega on seotud objekte.

Automaatse konnektori konfigureerimine (SIP-i kaudu)

Automaatse konnektori konfigureerimine tähendab toote CyberElements Identity ja kolmanda osapoole rakenduse vaheliste ühendusparameetrite määratlemist. Ühendusviisid võivad olla järgmised:

• Kataloog (AD, LDAP, OpenLDAP, ADLDS jne)
• Lamefail (csv, xml)
• DB
• API (SCIM)

Iga hoidla jaoks saab konfigureerida automaatse konnektori, et käivitada ettevalmistusjadasid (sisend- või väljundsuunas). Pange tähele, et alates versioonist 7.0 ei ole Identity hoidla jaoks enam vaja ODBC-seost konfigureerida. Toodete Systancia Identity Provisioning ja CyberElements Identity vaheline suhtlus on automaatne ja läbipaistev.

Automaatse konnektori konfiguratsioonile pääseb juurde vaatamisrežiimis avatud hoidla lehelt. Klõpsake nuppu „SIP Configuration“.

Iga konnektori konfiguratsiooni puhul tuleb ühendusviisist olenemata määrata ettevalmistusagent. Kui agente on ainult üks, sisestatakse ettevalmistusagent vaikimisi.

Märkus: versioonis 7.0 saab konfigureerida ainult ühe ettevalmistusagendi. See luuakse vaikimisi nii versiooniuuenduse kui ka esmakordse installimise korral.

Muul juhul erinevad konfiguratsioonivormid olenevalt konfigureeritavast ühendusviisist.

Kataloogitüüpi ühendus, vana konnektor

Hoiatus

Vana kataloogikonnektor tarnitakse veel koos versiooniga 7.1, kuid alates versioonist 7.2 märgitakse see iganenuks. Eelistage uut konnektorit, mis toetab nüüd nii eksporti kui ka importi.

Kataloogitüüpi ühenduse (vana konnektor) puhul, mis võimaldab eksporti ja importi (LDAP, AD, OpenLDAP jne), tuleb sisestada järgmine teave:

• Server: selle serveri aadress, millel kataloog asub
• Port: ühenduse port
• SSL: märkige, kui SSL-ühendus tuleb sisse lülitada
• Base: puu juur, kust andmed ekstraktitakse või kuhu need kirjutatakse. Nt: „DC=Domain,DC=local“
• Username: sisselogimiskonto
• Password: sisselogimiskonto parool

Kataloogitüüpi ühendus, uus konnektor

Märkus

Kuni versioonini 7.0 toetas uus kataloogikonnektor ainult kataloogitüüpi hoidlatest lugemist. Alates versioonist 7.1 toetab see ka nendesse hoidlatesse kirjutamist.

Kataloogitüüpi ühenduse (uus konnektor) puhul, mis võimaldab eksporti ja importi (LDAP, AD, OpenLDAP jne), tuleb sisestada järgmine teave:

• Server: selle serveri aadress, millel kataloog asub
• Port: ühenduse port
• SSL: märkige, kui SSL-ühendus tuleb sisse lülitada
• Domain: puu juur, kust andmed ekstraktitakse või kuhu need kirjutatakse. Nt: „Domain.local“
• Username: sisselogimiskonto
• Password: sisselogimiskonto parool
• Synchronization of groups managed by Identity only: märkige see ruut, et SIP tugineks tootes CyberElements Identity loodud ja hallatavate turberühmade loendile, mitte hoidla ekspordis ja impordis käsitsi sisestatud loendile.
• Export code: rühmaekspordi kood, tavaliselt memberof@. Täitke, kui eelmine suvand on märgitud.

Kood memberof@ tähistab rühmi nende nime (CN) järgi, ilma nende asukohata kataloogis – samas kui LDAP-i standardatribuut memberOf eeldab iga rühma täielikku DN-i. See tuvastatakse tähesuurusest olenemata. Oodatud oleku võrdlemiseks kataloogiga taandab konnektor ka objekti praegused rühmad nende nimeks ja rakendab seejärel ainult vajalikud lisamised ja eemaldamised. Kui suvand „Synchronization of groups managed by Identity only“ on märgitud, eksporditakse ainult tootes Identity hallatavate rühmade liikmesused: teisi kataloogirühmi, kuhu kasutaja kuulub, ei muudeta.

Näpunäide

Kood memberof@ eeldab, et rühmanimed on kataloogis kordumatud. Kui mitmel rühmal on eri organisatsiooniüksustes sama nimi, kasutage atribuuti memberOf koos täielike DN-idega.

Kui tootes Identity hallatavat rühma kataloogis veel pole, loob konnektor selle objektiklassidega top ja group. Sihtorganisatsiooniüksust pole seni kindlaks määratud.

Andmebaasitüüpi ühendus

Andmebaasiühenduse (SQL Server, Oracle, PostgreSQL jne) puhul tuleb sisestada järgmine teave:

• Eelnevalt loodud ühendusstring (ODBC-seos jne)
• Username: sisselogimiskonto
• Password: sisselogimiskonto parool

Lamefaili ühendus (CSV, TXT jne)

• File name: faili täielik tee.
• Skip the first line: märkige see ruut, kui fail sisaldab päist. Alates versioonist 7.1 säilitatakse see päis importimisel.
• Format: ASCII või Unicode
• Separator: veergude eraldajat tähistav märk
• Value separator: väärtuste eraldajat tähistav märk mitmeväärtuselise atribuudi korral
• Multi-line for the same user: selle atribuudi nimi, mille väärtus on kordumatu (nt töötaja number, sisselogimisnimi jne) ja mis toimib mitmeväärtuseliste väärtuste haldamisel pivot-atribuudina.

Mitmerealisus kirjutusrežiimis alates versioonist 7.1:

Kuni versioonini 7.0 toetati mitmerealisust ainult lugemisrežiimis: mitmeväärtuselised väärtused kirjutati ainult eraldajaga. Alates versioonist 7.1 saab suvandit „Multi-line for the same user“ konfigureerida ka väljundtekstifaili (csv, txt vm) hoidlas.

Kui sünkroonimisfaili objektil on määratud atribuudis mitu väärtust, sisaldab loodud fail nii mitu rida, kui on väärtusi, ja igal neist ridadest korratakse kõiki objekti ülejäänud atribuute.

Sel viisil saab ridu luua ainult üks mitmeväärtuseline atribuut objekti ja hoidla kohta. Ülejäänud mitmeväärtuselised atribuudid jäävad ühele reale koondatuks ning nende väärtused eraldatakse hoidla konfiguratsioonis määratud eraldajaga.

Rakenduste ja autoriseerimiste loomine/muutmine/kustutamine

Hoidla rakenduste ja autoriseerimiste haldusele juurdepääsemiseks avage hoidla leht vaatamisrežiimis ja seejärel vahekaart „Applications and Authorizations“.

Olemasolevate rakenduste loend laaditakse eelnevalt ilma filtriteta, kuid vastavalt sisselogitud isiku profiiliga seotud lubadele.

Rakendusega seotud autoriseerimiste loend kuvatakse rakendusse manustatud tabelis.

Lehekülgedeks jaotamine on seadistatud nii, et kuvatakse ainult 10 rakendust.

Autoriseerimiste manustatud tabelis on lehekülgedeks jaotamine seadistatud nii, et kuvatakse ainult 5 autoriseerimist.

Rakenduste tabeli paremas ülanurgas on otsinguväli. Otsing hõlmab rakenduste koodi ja nime.

Samamoodi on autoriseerimiste manustatud tabeli ülaosas otsinguväli. Otsing hõlmab autoriseerimiste atribuute „Category“, „Code“ ja „Name“.

Uue rakenduse loomiseks klõpsake rakenduste tabeli paremas ülanurgas nuppu „“.

Sisestage rakenduse parameetrid:

• Code: rakenduse kood. Peab olema kordumatu, tühikute ja erimärkideta. Kohustuslik.
• Name: rakenduse nimi. Nimetus, mida kuvatakse rakenduse eri vormides. Kohustuslik.
• Description: väli rakenduse kirjelduse sisestamiseks. Valikuline.
• Responsible: valige identiteetide loendist üks või mitu isikut. Valikuline.

Uue autoriseerimise loomiseks avage selle rakenduse manustatud tabel, millele soovite autoriseerimise lisada, ja klõpsake autoriseerimiste tabeli paremas ülanurgas asuvat nuppu „“.

Sisestage autoriseerimise parameetrid:

• Code: autoriseerimise kood. Peab olema kordumatu, tühikute ja erimärkideta. Kohustuslik.
• Name: autoriseerimise nimi. Nimetus, mida kuvatakse rakenduse eri vormides. Kohustuslik.
• Description: väli rakenduse kirjelduse sisestamiseks. Valikuline.
• Category: valige loendist kategooria või looge uus kategooria. Uue kategooria loomiseks klõpsake ripploendist paremal asuvat nuppu „“. Valikuline.

• Type:
  • Group. Suvand, mis on saadaval tagasiühilduvuse tagamiseks versiooniuuenduste korral. See suvand on alates versioonist 7.0 iganenud.
  • Attribute
• Mode:
  • Static: määratletava õiguse väärtus
  • Dynamic: atribuudist pärinev väärtus
• Export code: atribuudi nimi, mis eksporditakse eksportides „USER+ACCESS“ ja „ACCOUNT+ACCESS“
• Export value:
  • Kas vaba väli, kui Mode = static
  • Või atribuudi valimise väli, kui Mode = dynamic. Atribuut peab olema kontoatribuut, kui konnektor on loodud eksporditüübiga „ACCOUNT + ACCESS“, või identiteediatribuut, kui konnektor on loodud eksporditüübiga „USER + ACCESS“

Märkus: eksport „USER + ACCESS“ säilitatakse versioonis 7.0 tagasiühilduvuse tagamiseks versiooniuuenduse korral. See on alates versioonist 7.0 iganenud.

Rakenduse muutmiseks klõpsake vastava tabelirea paremas servas asuvat ikooni „“.

Kõiki välju saab muuta.

Autoriseerimise muutmiseks avage selle rakenduse manustatud tabel, milles soovite autoriseerimist muuta, ja klõpsake vastava tabelirea paremas servas asuvat ikooni „“.

Kõiki välju saab muuta.

Nuppude toimingud loomis- ja muutmisrežiimis (rakendused ja autoriseerimised):

• Cancel: tühistab praeguse sisestuse ja naaseb hoidla lehele.
• Save: kinnitab vormi ja naaseb hoidla lehele

Rakenduse kustutamiseks klõpsake tabeli vastava rea paremas servas asuvat ikooni „“.

Enne rakenduse kustutamist kuvatakse kinnitusteade.

Hoiatus: rakendust ei saa kustutada, kuni sellega on seotud objekte.

Autoriseerimise kustutamiseks avage selle rakenduse manustatud tabel, milles soovite autoriseerimist kustutada, ja klõpsake vastava tabelirea paremas servas asuvat nuppu „“.

Enne autoriseerimise kustutamist kuvatakse kinnitusteade.

Hoiatus: autoriseerimist ei saa kustutada, kuni sellega on seotud objekte.

Rollihaldus

Alates versioonist 7.0 lisatakse õiguste mallide haldusele rollid. Rollid, mida saab siduda ametiprofiilidega, võimaldavad eelnevalt määratleda lubade kogumi, aga vajaduse korral ka luua ühele identiteedile mitu kontot. Näiteks isikule, kellel on administraatori ja tavakasutaja roll, saab määrata kaks kontot, et ta kasutaks seda, mida on vaja tehtavate toimingute jaoks.

Alates versioonist 7.1 toetab rollihaldus ka kehtivuskuupäevi, rolli lukustamist ja lukust vabastamist, sertifitseerimist – käsitsi või sertifitseerimiskampaania kaudu – ning kohustuste lahususe (SoD) haldust.

Märkus

Neid nelja mõistet kirjeldatakse autoriseerimise tasemel lehel Kontode ja autoriseerimiste haldus. Versiooni 7.1 väljalaskemärkus teatab nende toest rollide puhul, kirjeldamata kuvasid üksikasjalikult.

Rolli lukustamine ja sertifitseerimine toimub identiteedi kirjest teoreetiliste rollide ja autoriseerimiste vahekaardil: iga rolli menüü ⋮ võimaldab lisada autoriseerimise ning valida Lock the role ja Certify the role. Lukustamist ja lukust vabastamist reguleerivad kaks eraldi haldusõigust olenevalt sellest, kas roll on määratud identiteedile või kontole.

Lukustatud rolli ei võeta enam arvesse aktiivsetel rollidel põhinevates kooskõlastamisreeglites. Konto, mis oli oma identiteediga seotud ainult selle rolli kaudu, muutub seega orvuks: see on oodatav käitumine. Enne rolli lukustamist kontrollige sellest sõltuvaid kontosid.

Rolli (ametiprofiili) loomine/muutmine/kustutamine

Rollihaldusele juurdepääsemiseks avage menüü „Access Management/Roles“.

Teid suunatakse otse olemasolevate rollide loendisse, mis on eelnevalt laaditud tabelisse ilma filtriteta, kuid sisselogitud isiku profiiliga seotud lubade kohaselt.

Lehekülgedeks jaotamine on seadistatud nii, et kuvatakse ainult 10 rolli.

Tabeli paremas ülanurgas on otsinguväli. Otsing hõlmab rollide atribuute „code“ ja „name“.

Uue rolli loomiseks klõpsake nuppu „“.

Sisestage rolli üldparameetrid:

• Code: rolli kood. Peab olema kordumatu, tühikute ja erimärkideta. Kohustuslik.
• Name: rolli nimi. Nimetus, mida kuvatakse rakenduse eri vormides. Kohustuslik.
• Description: väli rolli kirjelduse sisestamiseks. Valikuline.

Kinnitage loomisvorm, et lisada seosed hoidlatega ja vaikeautoriseerimised.

Rolli vaatamiseks ja redigeerimiseks klõpsake vastava tabelirea paremas servas asuvat ikooni „“.

Rolli vaatamislehelt saab lülituda otse redigeerimisrežiimi.

Redigeerimisrežiimis saab muuta kõiki välju.

Nuppude toimingud redigeerimis- või loomisrežiimis:

• Cancel: tühistab praeguse sisestuse ja lülitab lehe vaaterežiimi
• Save: kinnitab vormi ja lülitab lehe vaaterežiimi
• Save and quit: kinnitab vormi ja naaseb rollide loendilehele

Rolli kustutamiseks klõpsake vastava tabelirea paremas servas asuvat ikooni „“.

Enne rolli kustutamist kuvatakse kinnitusteade.

Hoiatus: rolli ei saa kustutada, kuni sellega on seotud objekte.

• Sellel konfiguratsioonilehel saate hallata seoseid hoidlatega.
• Sellel konfiguratsioonilehel saate hallata rolli vaikeautoriseerimisi.

Hoidla ja rolli vaheliste seoste haldamine

Rolli ja hoidla vahelise seose loomine võimaldab genereerida konto, kui identiteedil on roll ja see vastab konto saamise tingimustele (identiteedi olek, kas identiteedil on õigusi või mitte jne).

Hoidla ja rolli vahelise seose saab luua kahel eri viisil:

• Kas rolli konfiguratsioonilehel
• Või hoidla konfiguratsioonilehel

Hoidlaga seose lisamiseks rolli konfiguratsioonilehelt avage soovitud roll vaatamisrežiimis ja avage vahekaart „Repository“. Rolliga seotud hoidlate loend laaditakse eelnevalt ilma filtriteta, kuid sisselogitud isiku profiiliga seotud lubade kohaselt.

Lehekülgedeks jaotamine on seadistatud nii, et kuvatakse ainult 10 olemasolevat seotud hoidlat.

Seotud hoidlate tabeli paremas ülanurgas on otsinguväli. Otsing põhineb hoidlate nimedel.

Hoidlaga uue seose loomiseks klõpsake tabeli paremas ülanurgas nuppu „“.

Valige loendist hoidla ja seejärel kasutatav kontotüüp. Seose registreerimiseks salvestage.

Korrake seda toimingut iga loodava seose puhul.

Rolliga seotud hoidla muutmiseks klõpsake vastava tabelirea paremas servas asuvat ikooni „“.

Kontotüüpi saab muuta.

Rolliga seotud hoidla kustutamiseks klõpsake vastava tabelirea paremas servas asuvat ikooni „“.

Hoidlaga seose lisamiseks hoidla konfiguratsioonilehelt avage soovitud hoidla vaatamisrežiimis ja seejärel vahekaart „Roles“. Seotud rollide loend laaditakse eelnevalt ilma filtriteta, kuid sisselogitud isiku profiiliga seotud lubade kohaselt.

Lehekülgedeks jaotamine on seadistatud nii, et kuvatakse ainult 10 olemasolevat rolli ja hoidla seost.

Rolli ja hoidla seoste tabeli paremas ülanurgas on otsinguväli. Otsing põhineb rollide nimedel.

Uue rolli ja hoidla seose loomiseks klõpsake tabeli paremas ülanurgas nuppu „“.

Valige loendist roll ja seejärel kasutatav kontotüüp. Seose registreerimiseks salvestage.

Rolli ja hoidla seose muutmiseks klõpsake vastava tabelirea paremas servas asuvat ikooni „“.

Kontotüüpi saab muuta.

Nuppude toimingud loomis- ja redigeerimisrežiimis:

• Cancel: tühistab praeguse sisestuse ja naaseb hoidla lehele.
• Save: kinnitab vormi ja naaseb hoidla lehele

Rolli ja hoidla seose kustutamiseks klõpsake vastava tabelirea paremas servas asuvat ikooni „“.

Enne rolli ja hoidla seose kustutamist kuvatakse kinnitusteade.

Hoiatus: rolli ja hoidla seost ei saa kustutada, kuni sellega on seotud objekte.

Rolli vaikeautoriseerimiste haldamine

Kui rollil on vaikeautoriseerimisi, pärib selle rolliga identiteet ka rolli vaikeautoriseerimised. See funktsioon asendab toote varasemates versioonides olnud õiguste rühmi.

Rollile vaikeautoriseerimiste lisamiseks avage soovitud roll vaatamisrežiimis ja seejärel vahekaart „Authorizations“. Klõpsake nuppu „“.

Valige soovitud õigused ja klõpsake „Validate“, et lisada autoriseerimised rollile, või „Cancel“, et toiming tühistada.

Rolliga seotud identiteetide vaatamine

Alates versioonist 7.1 on rolli vaatamislehel täiendav vahekaart „Identities“, mis sisaldab rolliga seotud identiteetide loendit.

Rolli vaatamislehel on seega kolm vahekaarti: „Repositories“, „Rights“ ja „Identities“. Viimane näitab iga identiteedi kohta selle UID-d, perekonnanime, eesnime, põhiidentiteeti, isikutüüpi ja olekut ning võimaldab otsingut.

Rolli dubleerimine

Alates versioonist 7.1 saab rolli luua olemasolevat rolli dubleerides. Dubleeritud rolliga seotud hoidlad ja autoriseerimised kantakse üle uuele rollile.

Dubleerimine käivitatakse rollide loendist („Access Management/Roles“): rea lõpus olev menüü ⋮ pakub dubleerimistoimingut.