Upravljanje računima i autorizacijama¶

Upravljanje računima obuhvaća stvaranje, izmjenu i brisanje korisničkih računa za različite aplikacije kojima se upravlja unutar organizacije. To uključuje dodjelu jedinstvenih identifikatora korisnicima (kao što su korisnička imena ili ID-ovi zaposlenika) i upravljanje informacijama povezanima s tim računima.

Upravljanje dozvolama sastoji se od dodjele određenih prava pristupa i autorizacija svakom identitetu na temelju njegove uloge, odgovornosti, organizacije i potreba unutar organizacije. Te autorizacije mogu uključivati pristup aplikacijama, podacima, mrežama, sustavima, fizičkim resursima itd.

Upravljanje ulogama i dozvolama identiteta uključuje izračun i dodjelu dozvola identitetima u različitim aplikacijama kako bi se izgradio teorijski repozitorij identiteta i njihovih dozvola. To znači da se svi izračunati računi, uloge i autorizacije mogu automatski ili ručno dodijeliti u različitim ciljnim aplikacijama.

CyberElements Identity nudi mogućnost upravljanja ulogama i autorizacijama automatski, putem pravila autorizacije, ili diskrecijski, putem ručnog dodavanja prava ili zahtjeva putem obrazaca (workflow).

Upravljanje vrstama računa¶

Vrsta računa sastoji se od nekoliko elemenata:

pravilnika korisničkih imena (obavezno),
pravilnika lozinki (neobavezno),
atributa računa (neobavezno),
statusa računa definiranih prema statusima identiteta

Vrsta računa mora biti povezana s repozitorijem i s ulogom kako bi se mogli generirati računi. Stoga je moguće imati nekoliko računa u istom repozitoriju za isti identitet ako taj identitet ima nekoliko različitih uloga.

Stvaranje/izmjena/brisanje vrste računa za repozitorij¶

Informacije o upravljanju vrstama računa, konfiguraciji različitih obrazaca itd. potražite na stranici Upravljanje vrstama objekata.

Stvaranje/izmjena/brisanje pravilnika korisničkih imena¶

Za pristup upravljanju pravilnicima korisničkih imena otvorite izbornik „Access Management/Account Rules“.

Bit ćete izravno preusmjereni na popis postojećih pravilnika korisničkih imena, unaprijed učitan u tablicu bez primijenjenih filtara.

Straničenje je postavljeno tako da prikazuje samo 10 pravilnika korisničkih imena.

U gornjem desnom kutu tablice nalazi se polje za pretraživanje. Pretraživanje se odnosi na atribute „code“ i „name“ pravilnika korisničkih imena.

Da biste stvorili novi pravilnik korisničkih imena, kliknite gumb „“.

Unesite parametre pravilnika korisničkih imena:

Code: kod pravilnika korisničkih imena. Mora biti jedinstven, bez razmaka i posebnih znakova. Obavezno.
Name: naziv pravilnika korisničkih imena. Natpis koji će se prikazivati u različitim obrascima aplikacije. Obavezno.
Description: polje za unos opisa pravilnika korisničkih imena. Neobavezno.
Formula (primary): formula izračuna za definiranje korisničkog imena
Duplicate policy:
- Automatic increment: korisničko ime izračunava se pomoću primarne formule i dopunjuje indeksom duplikata. Indeks duplikata ima troznamenkasti format.
  - Primjer: Login_Calc002
- Formula (duplicate): prilagođena formula izračuna za slučaj da se pri izračunu korisničkog imena primarnom formulom otkrije duplikat. Ključnu riječ §INDEX_DOUBLON§ možete upotrijebiti za upravljanje automatskim povećanjem, ali je postavite na određeno mjesto. Od verzije Identity 7.0 SP3 ključna riječ §INDEX_DOUBLON§ počinje od 1 i nema ograničenja. U starijim verzijama indeks duplikata ima troznamenkasti format.
  - Primjer: Formula (duplicate) Login2_Calc
Upozorenje: da biste testirali formulu s ovom ključnom riječi, morate zamijeniti §INDEX_DOUBLON§ vrijednošću. Ta se ključna riječ ne može interpretirati u alatu za testiranje formula, ali funkcionira pri izračunu korisničkih imena.
Action to take if a real account exists:
- Use and reconcile with the real account
- Generate a login with duplicate policy
- Do not generate an account
Actions to take if a theoretical account exists:
- Generate a login with duplicate policy
- Do not generate an account

Da biste pregledali i izmijenili pravilnik korisničkih imena, kliknite ikonu „“ koja se nalazi desno u odgovarajućem retku tablice:

U način uređivanja moguće je prijeći izravno sa stranice prikaza pravilnika korisničkih imena.

U načinu uređivanja sva se polja mogu mijenjati.

Radnje gumba u načinu uređivanja ili stvaranja:

Cancel: poništava trenutačni unos i prebacuje stranicu u način prikaza
Save: potvrđuje obrazac i prebacuje stranicu u način prikaza
Save and quit: potvrđuje obrazac i vraća se na stranicu s popisom pravilnika korisničkih imena

Da biste izbrisali pravilnik korisničkih imena, kliknite ikonu „“ koja se nalazi desno u odgovarajućem retku tablice:

Prije brisanja pravilnika korisničkih imena pojavit će se poruka potvrde.

Upozorenje: pravilnik korisničkih imena nije moguće izbrisati dok je povezan s jednim ili više repozitorija.

Stvaranje/izmjena/brisanje pravilnika lozinki¶

Za pristup upravljanju pravilnicima lozinki otvorite izbornik „Access management/Password rules“.

Bit ćete izravno preusmjereni na popis postojećih pravilnika lozinki, unaprijed učitan u tablicu bez primijenjenih filtara.

Straničenje je postavljeno tako da prikazuje samo 10 pravilnika lozinki.

U gornjem desnom kutu tablice nalazi se polje za pretraživanje. Pretraživanje se odnosi na atribute „code“ i „name“ pravilnika lozinki.

Da biste stvorili novi pravilnik lozinki, kliknite gumb „“:

Unesite parametre pravilnika lozinki:

Code: kod pravilnika korisničkih imena. Mora biti jedinstven, bez razmaka i posebnih znakova. Obavezno.
Name: naziv pravilnika korisničkih imena. Natpis koji će se prikazivati u različitim obrascima aplikacije. Obavezno.
Description: polje za unos opisa pravilnika lozinki. Neobavezno.
Formula: formula izračuna za definiranje lozinke

Da biste pregledali i izmijenili pravilnik lozinki, kliknite ikonu „“ koja se nalazi desno u odgovarajućem retku tablice:

U način uređivanja možete prijeći izravno sa stranice prikaza pravilnika lozinki.

U načinu uređivanja sva se polja mogu mijenjati.

Radnje gumba u načinu uređivanja ili stvaranja:

Cancel: poništava trenutačni unos i prebacuje stranicu u način prikaza
Save: potvrđuje obrazac i prebacuje stranicu u način prikaza
Save and quit: potvrđuje obrazac i vraća se na stranicu s popisom pravilnika lozinki

Da biste izbrisali pravilnik lozinki, kliknite ikonu „“ koja se nalazi desno od odgovarajućeg retka tablice:

Prije brisanja pravilnika lozinki pojavit će se poruka potvrde.

Upozorenje: pravilnik lozinki ne možete izbrisati ako je povezan s jednim ili više repozitorija.

Pregled računa u repozitoriju¶

Da biste potražili račun, otvorite izbornik „Accounts“.

Bit ćete izravno preusmjereni na stranicu za pretraživanje računa za odabrani repozitorij (prvi na popisu), unaprijed učitanu bez primijenjenih filtara, ali uz poštovanje dozvola povezanih s profilom prijavljenog korisnika.

Budući da su računi povezani s repozitorijem, za prikaz popisa pridruženih računa morate odabrati željeni repozitorij putem kartica ili padajućeg popisa.

Način prikaza određuje se prema broju repozitorija. Ako ima 10 ili manje repozitorija, prikazuju se na zasebnim karticama; u suprotnom navode se na padajućem popisu.

Straničenje je implementirano tako da prikazuje samo 10 računa.

U gornjem desnom kutu tablice nalazi se polje za pretraživanje. Pretraživanje se odnosi na korisnička imena računa i uzima u obzir odabrani repozitorij.

Konfiguriranje tablice rezultata pretraživanja računa¶

Da biste konfigurirali atribute koji će se uključiti u tablicu rezultata pretraživanja računa, otvorite stranicu konfiguracije atributa, odaberite karticu „Account“, otvorite željeni atribut u načinu uređivanja i potvrdite mogućnost „Display in results table“.

Usklađivanje/poništavanje usklađivanja teorijskog računa sa stvarnim računom¶

Da biste otvorili stranicu za upravljanje usklađivanjem računa, otvorite izbornik „Accounts“ i aktivirajte mogućnost „Reconciliation“:

U prozoru će se pojaviti dvije nove tablice:

Druga tablica navodi osirotjele račune u odabranom repozitoriju. Podsjećamo, osirotjeli računi su računi preuzeti iz ciljnog repozitorija koji nisu povezani ni s jednim identitetom u CyberElements Identity.

Treća tablica navodi identitete koji nisu povezani ni s jednim računom u odabranom repozitoriju.

U ovoj tablici za svaki identitet bez računa možete:

Povezati postojeći teorijski račun. Da biste to učinili, kliknite gumb desno od željenog identiteta, a zatim potražite željeni postojeći teorijski račun.
Stvoriti teorijski račun. Da biste to učinili, kliknite gumb desno od željenog identiteta, a zatim stvorite teorijski račun odabirom željene vrste računa.

Važna napomena

Značajka je uklonjena iz starijih sučelja jer nije moguće zadržati oba načina.

Diskrecijsko upravljanje ulogama i autorizacijama¶

Da biste ručno izmijenili dodjele uloga i autorizacije identiteta, otvorite zapis željenog identiteta u načinu prikaza i idite na karticu „Roles and Authorizations“.

Prikazuje se tablica s ulogama dodijeljenima identitetu. Za svaku ulogu ugniježđena tablica sadrži autorizacije povezane s identitetom i dodijeljene ulozi. Autorizacija mora biti povezana s parom Identity/Role.

Ako je usklađeno nekoliko identiteta, prikazuje se po jedna kartica za svaki identitet, što omogućuje odabir željenog identiteta. Uloge/autorizacije povezane su s identitetom, a ne s lancem usklađivanja. Stoga je prije ručnih ažuriranja potrebno odabrati željeni identitet.

Straničenje je postavljeno tako da prikazuje samo 10 uloga.

U tablici ugniježđenoj ispod uloge straničenje je postavljeno tako da prikazuje samo 5 autorizacija.

U gornjem desnom kutu tablice uloga nalazi se polje za pretraživanje. Pretraživanje se temelji na nazivima uloga.

U tablici ugniježđenoj ispod uloge, na vrhu tablice autorizacija nalazi se polje za pretraživanje. Pretraživanje obuhvaća atribute autorizacija „Category“, „Code“ i „Name“.

U tablici autorizacija pronaći ćete sljedeće informacije:

Njezin status:
- „Valid“: autorizacija je vidljiva bez posebnih oznaka
- „Blocked“: autorizacija je vidljiva, ali precrtana u sučelju
Način dodjele. Moguće vrijednosti su
- : ručna, s UID-om identiteta koji je izvršio dodjelu
- : pravilo autorizacije, s nazivom pravila
- : autorizacija dodijeljena nasljeđivanjem uloge
- : prva ikona označava da je pravo dodano ručno (putem workflowa), a druga omogućuje pristup workflowu (poveznica na sučelje za rad s workflowom).

Da biste dodali jednu ili više uloga ili jednu ili više autorizacija za nekoliko uloga istog identiteta, kliknite gumb „“ koji se nalazi u gornjem desnom kutu tablice uloga.

Odaberite željenu ulogu ili uloge, a zatim kliknite „Confirm“ da biste dodali uloge i prešli na sljedeći korak ili „Cancel“ da biste otkazali operaciju.

Da biste dodali jednu ili više autorizacija ulozi koja je već povezana s identitetom, kliknite gumb „“ koji se nalazi desno u odgovarajućem retku tablice uloga.

Odaberite željenu autorizaciju ili autorizacije, a zatim kliknite gumb „Confirm“ da biste ih povezali s ulogom ili gumb „Cancel“ da biste otkazali operaciju. Moguće je postaviti datum početka i završetka koji će se primijeniti na sve odabrane autorizacije.

Gumbi radnji za autorizacije:
- : omogućuje blokiranje autorizacije.
- : omogućuje deblokiranje autorizacije.
- : omogućuje certificiranje autorizacije.
- : omogućuje brisanje certifikacije autorizacije.
- : omogućuje promjenu datuma primjene. Gumb je dostupan samo za ručna prava.
- : omogućuje brisanje ručnog prava. Prije uklanjanja autorizacije prikazuje se poruka potvrde.

Upozorenje: gumb za brisanje autorizacije prisutan je samo ako je autorizacija dodijeljena isključivo diskrecijski. Autorizacija i dalje može biti vidljiva sa statusom „pending deletion“ ako je njezin status dodjeljivanja „provisioned“.

Da biste odvojili ulogu od identiteta, kliknite ikonu „“ koja se nalazi desno od odgovarajućeg retka u tablici uloga.

Prije brisanja uloge pojavit će se poruka potvrde.

Upozorenje: gumb za brisanje uloge prisutan je samo ako je uloga dodijeljena diskrecijski. Sve autorizacije povezane s parom identitet/uloga također će biti odvojene i, u slučaju automatskog dodjeljivanja, njihovo će se dodjeljivanje ukinuti pri sljedećoj sinkronizaciji.

Upravljanje pravilima autorizacije¶

Pravila autorizacije omogućuju konfiguriranje pravilnika pristupa i automatsku dodjelu prava identitetima koje pravilo obuhvaća.

Pravilo autorizacije sastoji se od povezivanja:

s jedne strane, populacije korisnika definirane filtriranjem prema ulogama (RBAC), organizacijama (OrBAC) i/ili vrijednostima atributa (ABAC),
s druge strane, uloga i prava aplikacija.

Za pristup upravljanju pravilima autorizacije otvorite izbornik „Access Management / Authorization Rules“.

Bit ćete izravno preusmjereni na stranicu s popisom postojećih pravila autorizacije, unaprijed učitanu bez primijenjenih filtara, ali uz poštovanje autorizacija povezanih s profilom prijavljene osobe.

Straničenje je postavljeno tako da prikazuje samo 10 pravila.

U gornjem desnom kutu tablice pravila nalazi se polje za pretraživanje. Pretraživanje se temelji na nazivima pravila.

Da biste stvorili novo pravilo autorizacije, kliknite gumb „“.

Stvaranje pravila sastoji se od tri dijela:

Opće postavke
- Name: naziv pravila autorizacije. Obavezno.
- Description: polje za unos opisa pravila autorizacije. Neobavezno.
- Context: odaberite jedan ili više konteksta s padajućeg popisa koji sadrži prethodno stvorene kontekste.
Popis kriterija: kliknite gumb „ “ ili „ “ da biste dodali pravilo filtriranja za identitete koji će biti uključeni u pravilo autorizacije. Pravilo filtriranja sastoji se od definiranja atributa na koji se primjenjuje filtar, operatora usporedbe i vrijednosti koje se uspoređuju.
- Gumb „“ omogućuje dodavanje novog filtra na istoj razini kao prethodni filtar.
- Gumb „“ omogućuje dodavanje grupe filtara na istoj razini kao prethodni filtar. Filtre ili grupe filtara obavezno je dodati u grupu pomoću gumba „“ ili „“ unutar grupe.
- Na svakoj razini filtra morate navesti operator koji se primjenjuje između pojedinih pravila filtriranja.
- Objekt na kojem želite izvršiti usporedbu. To može biti:
  - uloga
  - atribut osobe
  - atribut strukture
  - atribut resursa
- Operator usporedbe. Popis operatora usporedbe dinamičan je i ovisi o vrsti odabranog objekta.
- Vrijednost za usporedbu: unosi se ili odabire s padajućeg popisa, ovisno o vrsti odabranog objekta i operatoru usporedbe.

Možete dodati onoliko kriterija filtriranja koliko želite. Između pojedinih pravila filtriranja potrebno je odrediti operatore kao što su „AND“ ili „OR“. Mogu se stvarati podgrupe radi povećanja broja mogućnosti.

Primjer: da biste stvorili sljedeće pravilo filtriranja:

(Person type = „Medical agent or External medical agent“ AND atribut „Job“ = „Biological unit manager“) OR (Person type = „Non-medical agent“ AND atribut „Job“ = „Environmental specialist“)

Kriteriji filtriranja konfigurirat će se na sljedeći način:

Uloge i autorizacije koje treba dodijeliti u pravilu autorizacije: postoje dvije kartice za prikaz uloga i autorizacija koje treba uključiti u pravilo autorizacije. Kartica Role prikazuje popis uloga i ukratko navodi povezane autorizacije, ako postoje. S te se kartice također mogu dodavati i uklanjati uloge i autorizacije. Kartica Authorizations prikazuje popis autorizacija dodanih pravilu, uz pripadajuću ulogu ili uloge za svaku od njih. Ta kartica jednostavno nudi drugačiji prikaz.
- Da biste dodali uloge i autorizacije pravilu autorizacije, kliknite gumb „“ na kartici „Roles“. Morate odabrati barem jednu ulogu, a zatim po želji odabrati autorizacije.

Popis autorizacija filtrira se prema odabranim ulogama (uloga je povezana s jednim ili više repozitorija).

Da biste pregledali i izmijenili pravilo autorizacije, kliknite ikonu „“ koja se nalazi desno u odgovarajućem retku tablice:

Način prikaza omogućuje pregled pojedinosti pravila autorizacije, kao i popisa identiteta na koje pravilo utječe.

Osobu možete potražiti pomoću polja za pretraživanje u gornjem desnom kutu tablice.

U način uređivanja možete prijeći klikom na gumb „Edit“.

U načinu uređivanja sva se polja mogu mijenjati.

Napomena: popis osoba na koje pravilo utječe ne ažurira se u stvarnom vremenu pri izmjeni pravila. Ažurira se nakon što se pravilo potvrdi i izračuni dovrše.

Radnje gumba u načinu stvaranja i uređivanja:

Cancel: poništava trenutačni unos i prebacuje stranicu u način prikaza
Save: potvrđuje obrazac i prebacuje stranicu u način prikaza. Izračuni se izvršavaju automatski.
See Impact: prikazuje učinke stvaranja ili ažuriranja pravila. Učinci se prikazuju u dvjema tablicama:
- Prva tablica navodi učinke pravila na prava, uzimajući u obzir samo stvoreno ili izmijenjeno pravilo autorizacije. Prikazuju se svi identiteti koji odgovaraju kriterijima, uključujući one kojima je dozvola već dodijeljena na drugi način. Stoga, ako osoba nakon promjene pravila autorizacije doista izgubi svoja prava, može ih i dalje zadržati na drugi način.
- Druga tablica navodi ukupne učinke pravila na prava. Ovaj odjeljak uzima u obzir sva pravila u CyberElements Identity, diskrecijske dodjele prava i prava blokirana pravilom razdvajanja prava. Ako je identitetu dozvola već dodijeljena na drugi način, račun neće biti uključen u ovaj popis. Prikazuju se prava koja će nakon potvrde promjene stvarno biti izmijenjena/izbrisana.

U ovoj drugoj tablici moguće je primijeniti odgodu prije stvarnog brisanja prava (primjena prijelaznog razdoblja ili razdoblja preklapanja).

Da biste izbrisali pravilo autorizacije, kliknite ikonu „“ koja se nalazi desno u odgovarajućem retku tablice:

Prije brisanja pravila autorizacije prikazuje se poruka potvrde.

Ikona „“ označava pravilo autorizacije koje se trenutačno izračunava. Ako je zasivljena, izračuni su dovršeni.

Upravljanje pravilima razdvajanja dužnosti (SoD)¶

Razdvajanje dužnosti (SoD): ključno je sigurnosno načelo koje podrazumijeva podjelu odgovornosti i povlastica unutar organizacije ili sustava kako bi se smanjili rizici i spriječili sukobi interesa. Provodi se kako bi se osigurala odgovorna i sigurna upotreba informatičkih sustava i resursa tvrtke.

Pravilo razdvajanja dužnosti sastoji se od:

definiranja grupe prioriteta
dodavanja uloga ili autorizacija u grupu prioriteta s težinom prioriteta

Za pristup upravljanju pravilima razdvajanja dužnosti otvorite izbornik „Access Management / SoD Rules“. Počevši od verzije 7.1, ovaj izbornik nudi dva podizbornika: Identities i Accounts.

Počevši od verzije 7.1, modul razdvajanja dužnosti omogućuje stvaranje pravila koja se primjenjuju ili na autorizacije ili na uloge te dodavanje filtara usmjerenih na identitete ili račune radi ograničavanja opsega pravila.

Dva podizbornika odgovaraju dvjema razinama na kojima se pravilo može primijeniti:

Identities: za pojedinačni identitet koji bi imao međusobno nespojiva prava;
Accounts: kada osoba ima nekoliko identiteta koji dijele isti račun (spajanje računa), a kombinirana prava tih identiteta potpadaju pod pravilo razdvajanja dužnosti.

Svaki od ta dva podizbornika sadrži dvije kartice, Roles i Rights. Kartica Roles definira prioritete za uloge grupe, a kartica Rights za autorizacije grupe. Postupak opisan u nastavku jednak je na obje kartice, a objekt koji se dodaje u grupu prioriteta je, ovisno o slučaju, uloga ili autorizacija.

Ispod koda, naziva i opisa zapis pravila prikazuje tri bloka: popis kriterija (filtri usmjereni na identitete ili račune), popis povezanih autorizacija — ili uloga — i popis identiteta obuhvaćenih pravilom.

Kada pravilo zaključa ili otključa ulogu ili autorizaciju za korisnika, operacija se bilježi u revizijskim zapisima s nazivom pravila koje ju je pokrenulo. Ti unosi omogućuju pronalaženje pravila koje treba preispitati u slučaju neželjenog zaključavanja.

Pregled i izmjena pravila uređeni su pravima „220_001 - View a segregation of duties rule“ i „220_002 - Modify a segregation of duties rule“ repozitorija CyberElements Identity.

Bit ćete izravno preusmjereni na stranicu s popisom postojećih pravila razdvajanja dužnosti, unaprijed učitanu bez primijenjenih filtara, ali uz poštovanje autorizacija povezanih s profilom prijavljene osobe.

Straničenje je postavljeno tako da prikazuje samo 10 pravila.

U gornjem desnom kutu tablice pravila nalazi se polje za pretraživanje. Pretraživanje se temelji na nazivu grupa prioriteta (= naziv pravila razdvajanja prava).

Da biste stvorili novo pravilo razdvajanja prava, kliknite gumb „“:

Stvaranje pravila razdvajanja prava odvija se u dva koraka.

Najprije unesite opće parametre:

Code: kod pravila razdvajanja prava. Obavezno.
Name: naziv pravila dozvola. Obavezno.
Description: polje za unos opisa pravila razdvajanja prava. Neobavezno.

Spremite obrazac za stvaranje da biste prešli na drugi korak, dodavanje autorizacija.

Da biste dodali autorizaciju pravilu SoD, kliknite gumb „“ u tablici „List of associated rights“.

Odaberite željenu autorizaciju i unesite težinu za definiranje prioriteta. Što je vrijednost manja, to je prioritet viši.

Da biste izmijenili autorizaciju u pravilu SoD, kliknite gumb „“ koji se nalazi desno u odgovarajućem retku tablice.

Možete izmijeniti autorizaciju i/ili težinu prioriteta.

Da biste izbrisali autorizaciju u pravilu SoD, kliknite gumb „“ koji se nalazi desno u odgovarajućem retku tablice.

Da biste pregledali i izmijenili pravilo razdvajanja dužnosti, kliknite ikonu „“ koja se nalazi desno u odgovarajućem retku tablice.

U način uređivanja možete prijeći klikom na gumb „Edit“.

U načinu uređivanja mogu se izmijeniti samo naziv i opis

Da biste izbrisali pravilo razdvajanja dužnosti, kliknite ikonu „“ koja se nalazi na desnoj strani odgovarajućeg retka tablice.

Prije brisanja pravila autorizacije prikazuje se poruka potvrde.

Podnošenje zahtjeva za prava putem obrazaca¶

Podnošenje zahtjeva za prava¶

Zahtjevi za autorizacije za osobu (ili za sebe) podnose se u staroj operativnoj konzoli putem izbornika „Run an ‘On demand’ workflow“.

Kliknite gumb „Refresh“ da biste prikazali popis dostupnih workflowa.

Kliknite željeni workflow da biste podnijeli zahtjev za autorizaciju.

Odaberite jedan ili više identiteta na koje se zahtjev odnosi.

Odaberite željene autorizacije s dostupnog popisa. Po potrebi navedite datum početka i završetka.

Kliknite gumb „Add“.

Autorizacije možete dodavati ili uklanjati po želji. Ako želite dodati datume primjene autorizaciji koja je već odabrana, morate je izbrisati, a zatim ponovno dodati s prethodno unesenim datumima.

Kliknite gumb „Start“ i potvrdite u skočnom prozoru.

Nakon potvrde izvršavanja workflowa bit ćete automatski preusmjereni na stranicu na kojoj možete pregledati zahtjeve na čekanju.

Podnošenje zahtjeva za ručno dodjeljivanje (ili ukidanje dodjeljivanja) autorizacije¶

Zahtjevi za ručno dodjeljivanje (ili ukidanje dodjeljivanja) podnose se u staroj operativnoj konzoli putem izbornika „Run an ‘On demand’ workflow“.

Kliknite gumb „Refresh“ da biste prikazali popis dostupnih workflowa.

Kliknite željeni workflow da biste podnijeli zahtjev za dodjeljivanje.

Odaberite jedan ili više identiteta na koje se zahtjev odnosi.

Odaberite željene autorizacije s dostupnog popisa. Po potrebi navedite datum početka i završetka.

Kliknite gumb „Add“.

Autorizacije možete dodavati ili uklanjati po želji. Ako želite dodati datume primjene autorizaciji koja je već odabrana, morate je izbrisati, a zatim ponovno dodati s prethodno unesenim datumima.

Kliknite gumb „Start“ i potvrdite u skočnom prozoru.

Nakon potvrde izvršavanja workflowa bit ćete automatski preusmjereni na stranicu na kojoj možete pregledati zahtjeve na čekanju.

Delegiranje autorizacija¶

Delegiranje autorizacija omogućuje dodjelu prava jedne osobe (delegator) drugoj osobi (primatelj delegacije), obično na privremeno razdoblje.

Ova je značajka dostupna delegatorima (ovisno o dozvolama prijavljene osobe), ali od verzije 7.0 i treća strana (ovisno o dozvolama prijavljene osobe) može delegirati prava drugom identitetu (na primjer, administrator).

Za pristup značajci delegiranja autorizacija otvorite zapis željenog identiteta u načinu prikaza i idite na karticu „Delegations“.

Straničenje je postavljeno tako da prikazuje samo 10 pravila delegiranja.

Da biste dodali delegaciju, kliknite gumb „“ koji se nalazi u gornjem desnom kutu tablice delegacija.

Unesite sljedeće informacije da biste stvorili delegaciju:

Primatelj delegacije: osoba koja prima delegirane uloge i/ili autorizacije (obavezno)
Delegirana uloga ili uloge (obavezno)
Delegirana autorizacija ili autorizacije (neobavezno)
Datum početka i završetka delegacije (neobavezno)

Da biste izmijenili delegacije, kliknite ikonu „“ koja se nalazi desno u odgovarajućem retku tablice.

Možete izmijeniti sve parametre.

Da biste izbrisali delegaciju, kliknite ikonu „“ koja se nalazi desno u odgovarajućem retku tablice.

Prije brisanja delegacije pojavit će se poruka potvrde.

Pregled računa i autorizacija identiteta¶

Računi u različitim repozitorijima aplikacija izračunavaju se na temelju definiranih pravila upravljanja te uloga i autorizacija dodijeljenih identitetima.

Pravila upravljanja računima su:

definiranje statusa računa na temelju statusa identiteta,
definiranje pravila spajanja računa u slučaju više identiteta,
definiranje pravila stvaranja računa koja se temelje isključivo na dodjeli uloge.

Da biste pregledali račune i autorizacije povezane s identitetom, otvorite zapis željenog identiteta u načinu prikaza i idite na karticu „Accounts“.

Ova je kartica dostupna samo u načinu prikaza i prikazuje rezultate izračuna računa i autorizacija izvršenih za identitet ili, u slučaju usklađivanja identiteta, za sve identitete. U potonjem slučaju kartica je zajednička svim identitetima u lancu usklađivanja.

Prikazuje se tablica s izračunatim računima. Za svaki račun ugniježđena tablica sadrži autorizacije povezane s računom. Račun se može generirati bez ikakvih povezanih autorizacija.

Ako je usklađeno nekoliko identiteta i račun je zajednički za nekoliko identiteta (omogućena značajka spajanja računa), račun je označen ikonom „“.

Straničenje je implementirano tako da prikazuje samo 10 računa.

U tablici ugniježđenoj ispod računa straničenje je postavljeno tako da prikazuje samo 5 autorizacija.

U gornjem desnom kutu tablice računa nalazi se polje za pretraživanje. Pretraživanje obuhvaća korisnička imena računa ili nazive repozitorija.

Teorijski status i status dodjeljivanja računa vidljivi su u svakom retku tablice.

U tablici ugniježđenoj ispod računa, na vrhu tablice autorizacija nalazi se polje za pretraživanje. Pretraživanje obuhvaća nazive aplikacija ili autorizacija.

Teorijski status i status dodjeljivanja autorizacija vidljivi su u svakom retku tablice.

Legenda koja objašnjava različite teorijske statuse i statuse dodjeljivanja pomaže korisnicima razumjeti različite statuse.

Stanje računa „Archived“¶

Počevši od verzije 7.1, postoji novo teorijsko stanje računa: stanje „Archived“.

U nekim je slučajevima nužno čuvati povijest računa u određenim repozitorijima. Glavni slučaj upotrebe jest da se nikada ne generira korisničko ime koje je možda postojalo u prošlosti.

Ovo se stanje odnosi na račune koji više ne postoje u ciljnom repozitoriju i više nisu povezani ni s jednim identitetom u CyberElements Identity. Ti se računi čuvaju u bazi podataka Identity, ali se nikada ne sinkroniziraju. Također se ne broje u upravljanju licencama.

Stanje „Archived“ ima kod 3, nakon četiri postojeća stanja:

Kod	Teorijski status računa
`-1`	No account
`0`	Theoretical account only
`1`	Account enabled
`2`	Account disabled
`3`	Account archived

Kada je račun povezan s nekoliko identiteta, njegovo se stanje izračunava prema sljedećem redoslijedu prioriteta: Enabled, zatim Disabled, zatim Archived, zatim Theoretical i na kraju No account. Račun je stoga arhiviran samo ako mu nijedan od povezanih identiteta ne daje omogućeno, onemogućeno ili teorijsko stanje. Osoba se broji u licencama samo ako ima barem jedan nearhivirani račun.

Model arhiviranog računa više se ne može mijenjati: izmjena se odbija s porukom o pogrešci.

Postoje dva načina dodjele stanja „Archived“ računu:

putem modula za dodjeljivanje SIP: u uvozu Identity vrste ACCOUNT ili vrste STATUS mogućnost postavlja stanje „Archived“ na račune identificirane u operacijama brisanja. Pogledajte stranicu Stvaranje/izmjena pravila uvoza.
putem sučelja, ručnom promjenom teorijskog stanja, jedan po jedan račun, pod uvjetom da račun ispunjava uvjete i u obrascu za izmjenu i u pravima Identity.

Ispunjavanje uvjeta u obrascu postavlja se na atributu „Theoretical account status“ (account_state), u „Configuration / Attribute templates“, na kartici „Account“: u odjeljku „Display“ polje „Display in edit“ mora atribut učiniti vidljivim. Prema zadanim postavkama postavljeno je na „Hide“ i tada se teorijsko stanje ne pojavljuje u obrascu za izmjenu računa.

Na strani prava Identity izmjena podataka računa uređena je pravom „140_550_002 - Modify account details“ repozitorija CyberElements Identity.

Upozorenje

Budući da modul za dodjeljivanje ne izvozi te račune, vraćanje iz arhiviranog stanja moguće je samo ručno, jedan po jedan račun, u sučelju, pod istim uvjetima.

Ponovno postavljanje lozinke računa¶

Počevši od verzije 7.1, na računima postoji novi logički atribut sustava: account_password_reset.

Ima oblik gumba na stranicama računa. Prema zadanim postavkama vrijednost mu je netočno, a natpis „Reset password“. Kada ga kliknete, vrijednost postaje točno, a natpis se mijenja u „Password reset“.

Gumb se prikazuje na desnoj ploči zapisa računa, ispod naziva računa. U „Configuration / Attribute templates“, na kartici „Account“, atribut se pojavljuje pod natpisom „Password reset state“, vrste „Boolean“. Stvara se automatski pri nadogradnji na verziju 7.1, i na bazi podataka SQL Server i na bazi podataka PostgreSQL.

Upozorenje

Ta je vrijednost samo teorijska. Da bi imala učinak, morate upotrijebiti poveznik za dodjeljivanje ili workflow ručnog dodjeljivanja. Promjenu vrijednosti iz točno u netočno, nakon što je lozinka promijenjena u ciljnoj aplikaciji, također mora obaviti poveznik ili workflow ručnog dodjeljivanja.

Upotreba u povezniku za dodjeljivanje:

Upotreba ovog atributa sustava za upravljanje promjenama lozinki u poveznicima za automatsko dodjeljivanje mora se provoditi s poveznicima namijenjenima toj svrsi. Odredišna aplikacija također mora dopuštati promjene lozinki, što nije uvijek slučaj.

U pravilu sinkronizacije izvršite sljedeće operacije:

operaciju konverzije, radi otkrivanja promjena lozinki;
u pravilu usporedbe za svaku osobu usporedite atribut account_password_reset s vrijednošću netočno (tj. 0) kako biste otkrili promjenu lozinke;
u pravilu izmjene prisilno pošaljite lozinku u odredišni atribut, pomoću atributa sustava password.

Zatim stvorite poveznik za ulazno dodjeljivanje kako biste logičku vrijednost account_password_reset vratili na netočno.

Dodjeljivanje/ukidanje dodjeljivanja računa i autorizacija¶

Postupak prijenosa računa i autorizacija koje izračunava CyberElements Identity u različite repozitorije aplikacija naziva se izlazno dodjeljivanje. CyberElements Identity stoga ima nadležnost nad aplikacijama definiranima za upravljanje računima i autorizacijama.

Postoje dva načina upravljanja dodjeljivanjem:

Ili se može stvoriti automatski poveznik (putem API-ja, baze podataka, imenika ili automatizirane razmjene ravnih datoteka) i tada govorimo o automatskom dodjeljivanju.
Ili nije moguće stvoriti automatski poveznik i tada govorimo o poluautomatskom dodjeljivanju.

Automatsko dodjeljivanje/ukidanje dodjeljivanja¶

Da biste dodijelili račune i autorizacije u repozitorijima aplikacija, morate upotrijebiti modul Systancia Identity Provisioning (SIP) za stvaranje poveznika za izlazno dodjeljivanje: iz CyberElements Identity, koji je mjerodavni izvor, uzimajući u obzir konfigurirana pravila sinkronizacije, računi i autorizacije stvarat će se, ažurirati ili brisati u repozitorijima aplikacija prema pravilima definiranima u pravilima uvoza.

Slijed izlaznog dodjeljivanja mora se sastojati barem od sljedećih elemenata:

izvoza repozitorija Identity (mjerodavnog) vrste „USER + ACCESS“ ili „ACCOUNT + ACCESS“
izvoza ciljnog repozitorija aplikacije
pravila sinkronizacije
pravila uvoza u ciljni repozitorij aplikacije

Da biste stvorili poveznik, pogledajte stranicu „Upravljanje poveznicima za automatsko dodjeljivanje“.

Poluautomatsko dodjeljivanje/ukidanje dodjeljivanja¶

Poveznik za poluautomatsko dodjeljivanje stvara se pomoću workflowa vrste „User request“ ili „Event“ s barem jednim zadatkom ručnog dodjeljivanja ili ukidanja dodjeljivanja.

U zadatku ručnog dodjeljivanja radnje dodjeljivanja koje treba izvršiti navedene su u obavijesti koja se šalje operateru. Nakon što operater dovrši zadatak, može kliknuti gumb „Task validated“ kako bi naznačio da je dodjeljivanje dovršeno. Status dodjeljivanja računa i/ili autorizacija ažurira se u CyberElements Identity. To administratorima omogućuje provjeru statusa prava identiteta.