Kontu un autorizāciju pārvaldība¶

Kontu pārvaldība ietver lietotāju kontu izveidi, modificēšanu un dzēšanu dažādām organizācijā pārvaldītajām lietojumprogrammām. Tas nozīmē piešķirt lietotājiem unikālus identifikatorus (piemēram, lietotājvārdus vai darbinieku ID) un pārvaldīt ar šiem kontiem saistīto informāciju.

Atļauju pārvaldība ietver konkrētu piekļuves tiesību un autorizāciju piešķiršanu katrai identitātei, pamatojoties uz tās lomu, pienākumiem, struktūrvienību un vajadzībām organizācijā. Šīs autorizācijas var ietvert piekļuvi lietojumprogrammām, datiem, tīkliem, sistēmām, fiziskiem resursiem utt.

Identitātes lomu un atļauju pārvaldība ietver atļauju aprēķināšanu un piešķiršanu identitātēm dažādās lietojumprogrammās, lai izveidotu teorētisku identitāšu un to atļauju krātuvi. Tas nozīmē, ka visus aprēķinātos kontus, lomas un autorizācijas var automātiski vai manuāli nodrošināt dažādās mērķa lietojumprogrammās.

CyberElements Identity piedāvā iespēju pārvaldīt lomas un autorizācijas vai nu automātiski, izmantojot autorizācijas kārtulas, vai pēc saviem ieskatiem, izmantojot manuālu tiesību pievienošanu vai veidlapu pieprasījumus (workflow).

Kontu tipu pārvaldība¶

Konta tips sastāv no vairākiem elementiem:

Pieteikšanās politika (obligāta),
Paroļu politika (neobligāta),
Konta atribūti (neobligāti),
Konta statusi, kas definēti atbilstoši identitātes statusiem

Lai ģenerētu kontus, konta tipam jābūt saistītam ar krātuvi un ar lomu. Tāpēc vienai identitātei vienā krātuvē var būt vairāki konti, ja šai identitātei ir vairākas dažādas lomas.

Konta tipa izveide/modificēšana/dzēšana krātuvei¶

Informāciju par kontu tipu pārvaldību, dažādu veidlapu konfigurāciju u. c. skatiet lapā Objektu tipu pārvaldība.

Pieteikšanās politikas izveide/modificēšana/dzēšana¶

Lai piekļūtu pieteikšanās politiku pārvaldībai, atveriet izvēlni „Access Management/Account Rules“.

Tiek atvērts esošo pieteikšanās politiku saraksts, kas iepriekš ielādēts tabulā bez lietotiem filtriem.

Lappušu dalījums ir iestatīts tā, lai tiktu parādītas tikai 10 pieteikšanās politikas.

Tabulas augšējā labajā stūrī ir pieejams meklēšanas lauks. Meklēšana tiek veikta pieteikšanās politiku atribūtos „code“ un „name“.

Lai izveidotu jaunu pieteikšanās politiku, noklikšķiniet uz pogas „“.

Ievadiet pieteikšanās politikas parametrus:

Code: pieteikšanās politikas kods. Tam jābūt unikālam, bez atstarpēm vai speciālajām rakstzīmēm. Obligāts.
Name: pieteikšanās politikas nosaukums. Etiķete, kas tiks parādīta dažādās lietojumprogrammas veidlapās. Obligāts.
Description: lauks pieteikšanās politikas apraksta ievadīšanai. Neobligāts.
Formula (primary): aprēķina formula pieteikšanās vārda definēšanai
Duplicate policy:
- Automatic increment: pieteikšanās vārds tiek aprēķināts, izmantojot primāro formulu, un papildināts ar dublikāta indeksu. Dublikāta indeksam ir 3 ciparu formāts.
  - Piemērs: Login_Calc002
- Formula (duplicate): pielāgota aprēķina formula gadījumam, ja, aprēķinot pieteikšanās vārdu ar primāro formulu, tiek konstatēts dublikāts. Varat izmantot atslēgvārdu §INDEX_DOUBLON§, lai pārvaldītu automātisko palielināšanu, bet novietotu to konkrētā vietā. Kopš Identity 7.0 SP3 atslēgvārds §INDEX_DOUBLON§ sākas ar 1 un tam nav ierobežojuma. Iepriekšējās versijās dublikāta indeksam ir 3 ciparu formāts.
  - Piemērs: Formula (duplicate) Login2_Calc
Brīdinājums: lai pārbaudītu formulu ar šo atslēgvārdu, §INDEX_DOUBLON§ jāaizstāj ar vērtību. Formulu testētājs šo atslēgvārdu nevar interpretēt, taču pieteikšanās vārdu aprēķinos tas darbojas.
Action to take if a real account exists:
- Use and reconcile with the real account
- Generate a login with duplicate policy
- Do not generate an account
Actions to take if a theoretical account exists:
- Generate a login with duplicate policy
- Do not generate an account

Lai skatītu un modificētu pieteikšanās politiku, noklikšķiniet uz ikonas „“, kas atrodas attiecīgās tabulas rindas labajā pusē:

Rediģēšanas režīmā var pārslēgties tieši no pieteikšanās politikas skata lapas.

Rediģēšanas režīmā var modificēt visus laukus.

Pogu darbības rediģēšanas vai izveides režīmā:

Cancel: atceļ pašreizējo ievadi un pārslēdz lapu skata režīmā
Save: validē veidlapu un pārslēdz lapu skata režīmā
Save and quit: validē veidlapu un atgriežas pieteikšanās politiku saraksta lapā

Lai dzēstu pieteikšanās politiku, noklikšķiniet uz ikonas „“, kas atrodas attiecīgās tabulas rindas labajā pusē:

Pirms pieteikšanās politikas dzēšanas tiks parādīts apstiprinājuma ziņojums.

Brīdinājums: pieteikšanās politiku nevar dzēst, kamēr tā ir saistīta ar vienu vai vairākām krātuvēm.

Paroļu politikas izveide/modificēšana/dzēšana¶

Lai piekļūtu paroļu politiku pārvaldībai, atveriet izvēlni „Access management/Password rules“.

Tiek atvērts esošo paroļu politiku saraksts, kas iepriekš ielādēts tabulā bez lietotiem filtriem.

Lappušu dalījums ir iestatīts tā, lai tiktu parādītas tikai 10 paroļu politikas.

Tabulas augšējā labajā stūrī ir pieejams meklēšanas lauks. Meklēšana tiek veikta paroļu politiku atribūtos „code“ un „name“.

Lai izveidotu jaunu paroļu politiku, noklikšķiniet uz pogas „“:

Ievadiet paroļu politikas parametrus:

Code: pieteikšanās politikas kods. Tam jābūt unikālam, bez atstarpēm vai speciālajām rakstzīmēm. Obligāts.
Name: pieteikšanās politikas nosaukums. Etiķete, kas tiks parādīta dažādās lietojumprogrammas veidlapās. Obligāts.
Description: lauks paroļu politikas apraksta ievadīšanai. Neobligāts.
Formula: aprēķina formula paroles definēšanai

Lai skatītu un modificētu paroļu politiku, noklikšķiniet uz ikonas „“, kas atrodas attiecīgās tabulas rindas labajā pusē:

Rediģēšanas režīmā varat pārslēgties tieši no paroļu politikas skata lapas.

Rediģēšanas režīmā var modificēt visus laukus.

Pogu darbības rediģēšanas vai izveides režīmā:

Cancel: atceļ pašreizējo ievadi un pārslēdz lapu skata režīmā
Save: validē veidlapu un pārslēdz lapu skata režīmā
Save and quit: validē veidlapu un atgriežas paroļu politiku saraksta lapā

Lai dzēstu paroļu politiku, noklikšķiniet uz ikonas „“, kas atrodas attiecīgās tabulas rindas labajā pusē:

Pirms paroļu politikas dzēšanas tiks parādīts apstiprinājuma ziņojums.

Brīdinājums: paroļu politiku nevar dzēst, ja tā ir saistīta ar vienu vai vairākām krātuvēm.

Krātuves kontu skatīšana¶

Lai meklētu kontu, atveriet izvēlni „Accounts“.

Tiek atvērta atlasītās krātuves (pirmās sarakstā) kontu meklēšanas lapa, kas iepriekš ielādēta bez lietotiem filtriem, taču ievērojot atļaujas, kas saistītas ar pieteikušā lietotāja profilu.

Tā kā konti ir saistīti ar krātuvi, lai parādītu saistīto kontu sarakstu, vajadzīgā krātuve jāatlasa, izmantojot cilnes vai nolaižamo sarakstu.

Attēlošanas režīms tiek noteikts atkarībā no krātuvju skaita. Ja krātuvju ir 10 vai mazāk, tās tiek parādītas atsevišķās cilnēs; pretējā gadījumā tās ir uzskaitītas nolaižamajā sarakstā.

Lappušu dalījums ir ieviests tā, lai tiktu parādīti tikai 10 konti.

Tabulas augšējā labajā stūrī ir pieejams meklēšanas lauks. Meklēšana tiek veikta kontu pieteikšanās vārdos un ņem vērā atlasīto krātuvi.

Kontu meklēšanas rezultātu tabulas konfigurēšana¶

Lai konfigurētu atribūtus, kas jāiekļauj kontu meklēšanas rezultātu tabulā, atveriet atribūtu konfigurācijas lapu, atlasiet cilni „Account“, atveriet vajadzīgo atribūtu rediģēšanas režīmā un atzīmējiet opciju „Display in results table“.

Teorētiskā konta saskaņošana ar reālo kontu un saskaņošanas atcelšana¶

Lai pārietu uz kontu saskaņošanas pārvaldības lapu, atveriet izvēlni „Accounts“ un aktivizējiet opciju „Reconciliation“:

Logā tiks parādītas divas jaunas tabulas:

Otrajā tabulā ir uzskaitīti atlasītās krātuves bāreņkonti. Atgādinām, ka bāreņkonti ir konti, kas iegūti no mērķa krātuves, bet nav saistīti ne ar vienu identitāti risinājumā CyberElements Identity.

Trešajā tabulā ir uzskaitītas identitātes, kas nav saistītas ne ar vienu atlasītās krātuves kontu.

Šajā tabulā katrai identitātei bez konta varat:

Saistīt esošu teorētisko kontu. Lai to izdarītu, noklikšķiniet uz pogas pa labi no vajadzīgās identitātes un pēc tam meklējiet vajadzīgo esošo teorētisko kontu.
Izveidot teorētisko kontu. Lai to izdarītu, noklikšķiniet uz pogas pa labi no vajadzīgās identitātes un pēc tam izveidojiet teorētisko kontu, atlasot vajadzīgo konta tipu.

Svarīga piezīme

Šī funkcija ir noņemta no vecākajām saskarnēm, jo abus režīmus nav iespējams saglabāt.

Lomu un autorizāciju diskrecionāra pārvaldība¶

Lai manuāli modificētu identitātei piešķirtās lomas un autorizācijas, atveriet vajadzīgās identitātes ierakstu skata režīmā un pārejiet uz cilni „Roles and Authorizations“.

Tiek parādīta tabula ar identitātei piešķirtajām lomām. Katrai lomai ligzdotā tabulā ir autorizācijas, kas saistītas ar identitāti un piešķirtas lomai. Autorizācijai jābūt saistītai ar pāri Identity/Role.

Ja ir saskaņotas vairākas identitātes, katrai identitātei tiek parādīta cilne, kas ļauj atlasīt vajadzīgo identitāti. Lomas/autorizācijas ir saistītas ar identitāti, nevis ar saskaņošanas ķēdi. Tāpēc pirms manuālu atjauninājumu veikšanas jāatlasa vajadzīgā identitāte.

Lappušu dalījums ir iestatīts tā, lai tiktu parādītas tikai 10 lomas.

Tabulā, kas iegulta zem lomas, lappušu dalījums ir iestatīts tā, lai tiktu parādītas tikai 5 autorizācijas.

Lomu tabulas augšējā labajā stūrī ir pieejams meklēšanas lauks. Meklēšana tiek veikta pēc lomu nosaukumiem.

Tabulā, kas iegulta zem lomas, autorizāciju tabulas augšdaļā ir pieejams meklēšanas lauks. Meklēšana aptver autorizāciju atribūtus „Category“, „Code“ un „Name“.

Autorizāciju tabulā ir atrodama šāda informācija:

Tās statuss:
- „Valid“: autorizācija ir redzama bez īpašiem apzīmējumiem
- „Blocked“: autorizācija ir redzama, bet saskarnē pārsvītrota
Piešķiršanas režīms. Iespējamās vērtības ir šādas
- : manuāli, ar tās identitātes UID, kura veica piešķiršanu
- : autorizācijas kārtula ar kārtulas vai kārtulu nosaukumu
- : autorizācija, kas piešķirta lomu mantošanas ceļā
- : pirmā ikona norāda, ka tiesības ir pievienotas manuāli (izmantojot workflow), bet otrā ļauj piekļūt workflow (saite uz workflow darbības saskarni).

Lai pievienotu vienu vai vairākas lomas vai pievienotu vienu vai vairākas autorizācijas vairākām vienas identitātes lomām, noklikšķiniet uz pogas „“, kas atrodas lomu tabulas augšējā labajā stūrī.

Atlasiet vajadzīgo lomu vai lomas un pēc tam noklikšķiniet uz „Confirm“, lai pievienotu lomas un pārietu uz nākamo darbību, vai uz „Cancel“, lai atceltu operāciju.

Lai lomai, kas jau ir saistīta ar identitāti, pievienotu vienu vai vairākas autorizācijas, noklikšķiniet uz pogas „“, kas atrodas lomu tabulas attiecīgās rindas labajā pusē.

Atlasiet vajadzīgo autorizāciju vai autorizācijas un pēc tam noklikšķiniet uz pogas „Confirm“, lai tās saistītu ar lomu, vai uz pogas „Cancel“, lai atceltu operāciju. Var iestatīt sākuma un beigu datumu, kas tiks lietots visām atlasītajām autorizācijām.

Autorizāciju darbību pogas:
- : ļauj bloķēt autorizāciju.
- : ļauj atbloķēt autorizāciju.
- : ļauj sertificēt autorizāciju.
- : ļauj dzēst autorizācijas sertifikāciju.
- : ļauj mainīt spēkā esamības datumus. Poga ir pieejama tikai manuālām tiesībām.
- : ļauj dzēst manuālās tiesības. Pirms autorizācijas noņemšanas tiek parādīts apstiprinājuma ziņojums.

Brīdinājums: autorizācijas dzēšanas poga ir pieejama tikai tad, ja autorizācija ir piešķirta tikai diskrecionāri. Autorizācija joprojām var būt redzama ar statusu „pending deletion“, ja tās nodrošināšanas statuss ir „provisioned“.

Lai atsaistītu lomu no identitātes, noklikšķiniet uz ikonas „“, kas atrodas lomu tabulas attiecīgās rindas labajā pusē.

Pirms lomas dzēšanas tiks parādīts apstiprinājuma ziņojums.

Brīdinājums: lomas dzēšanas poga ir pieejama tikai tad, ja loma ir piešķirta diskrecionāri. Arī visas ar pāri identitāte/loma saistītās autorizācijas tiks atsaistītas, un automātiskas nodrošināšanas gadījumā nākamās sinhronizācijas laikā to nodrošināšana tiks atcelta.

Autorizācijas kārtulu pārvaldība¶

Autorizācijas kārtulas ļauj konfigurēt piekļuves politikas un automātiski piešķirt tiesības identitātēm, kuras nosaka kārtula.

Autorizācijas kārtula sasaista:

no vienas puses, lietotāju kopu, kas definēta, filtrējot pēc lomām (RBAC), organizācijām (OrBAC) un/vai atribūtu vērtībām (ABAC),
no otras puses, lomas un lietojumprogrammu tiesības.

Lai piekļūtu autorizācijas kārtulu pārvaldībai, atveriet izvēlni „Access Management / Authorization Rules“.

Tiek atvērta lapa ar esošo autorizācijas kārtulu sarakstu, kas iepriekš ielādēts bez lietotiem filtriem, taču ievērojot autorizācijas, kas saistītas ar pieteikušās personas profilu.

Lappušu dalījums ir iestatīts tā, lai tiktu parādītas tikai 10 kārtulas.

Kārtulu tabulas augšējā labajā stūrī ir pieejams meklēšanas lauks. Meklēšana tiek veikta pēc kārtulu nosaukumiem.

Lai izveidotu jaunu autorizācijas kārtulu, noklikšķiniet uz pogas „“.

Kārtulas izveide sastāv no trim daļām:

Vispārīgie iestatījumi
- Name: autorizācijas kārtulas nosaukums. Obligāts.
- Description: lauks autorizācijas kārtulas apraksta ievadīšanai. Neobligāts.
- Context: atlasiet vienu vai vairākus kontekstus nolaižamajā sarakstā, kurā ir iepriekš izveidotie konteksti.
Kritēriju saraksts: noklikšķiniet uz pogām „ “ vai „ “, lai pievienotu filtrēšanas kārtulu identitātēm, kas tiks iekļautas autorizācijas kārtulā. Filtrēšanas kārtula nosaka atribūtu, kuram jālieto filtrs, salīdzināšanas operatoru un salīdzināmās vērtības.
- Poga „“ ļauj pievienot jaunu filtru tajā pašā līmenī, kurā ir iepriekšējais filtrs.
- Poga „“ ļauj pievienot filtru grupu tajā pašā līmenī, kurā ir iepriekšējais filtrs. Filtri vai filtru grupas grupai obligāti jāpievieno, izmantojot grupas pogas „“ vai „“.
- Katrā filtru līmenī jānorāda operators, kas jālieto starp katru filtrēšanas kārtulu.
- Objekts, kuram vēlaties veikt salīdzināšanu. Tas var būt:
  - Loma
  - Personas atribūts
  - Struktūras atribūts
  - Resursa atribūts
- Salīdzināšanas operators. Salīdzināšanas operatoru saraksts ir dinamisks un ir atkarīgs no atlasītā objekta tipa.
- Salīdzināmā vērtība: jāievada vai jāatlasa nolaižamajā sarakstā atkarībā no atlasītā objekta tipa un salīdzināšanas operatora.

Varat pievienot tik daudz filtrēšanas kritēriju, cik vēlaties. Starp katru filtrēšanas kārtulu jānosaka tādi operatori kā „AND“ vai „OR“. Lai palielinātu iespēju skaitu, var izveidot apakšgrupas.

Piemērs: lai izveidotu šādu filtrēšanas kārtulu:

(Person type = „Medical agent or External medical agent“ AND atribūts „Job“ = „Biological unit manager“) OR (Person type = „Non-medical agent“ AND atribūts „Job“ = „Environmental specialist“)

Filtrēšanas kritēriji tiks konfigurēti šādi:

Autorizācijas kārtulā piešķiramās lomas un autorizācijas: lomu un autorizāciju, kas jāiekļauj autorizācijas kārtulā, attēlošanai ir divas cilnes. Cilnē „Role“ ir parādīts lomu saraksts un īsi norādītas saistītās autorizācijas, ja tādas ir. Šajā cilnē var arī pievienot vai noņemt lomas un autorizācijas. Cilnē „Authorizations“ ir parādīts kārtulai pievienoto autorizāciju saraksts ar katrai no tām saistīto lomu vai lomām. Šī cilne vienkārši piedāvā citu skatu.
- Lai autorizācijas kārtulai pievienotu lomas un autorizācijas, cilnē „Roles“ noklikšķiniet uz pogas „“. Jāatlasa vismaz viena loma; pēc tam, ja vēlaties, varat atlasīt autorizācijas.

Autorizāciju saraksts tiek filtrēts atbilstoši atlasītajām lomām (loma ir saistīta ar vienu vai vairākām krātuvēm).

Lai skatītu un modificētu autorizācijas kārtulu, noklikšķiniet uz ikonas „“, kas atrodas attiecīgās tabulas rindas labajā pusē:

Skata režīmā var skatīt autorizācijas kārtulas detalizēto informāciju, kā arī to identitāšu sarakstu, uz kurām attiecas kārtula.

Personu var meklēt, izmantojot meklēšanas lauku tabulas augšējā labajā stūrī.

Rediģēšanas režīmā varat pārslēgties, noklikšķinot uz pogas „Edit“.

Rediģēšanas režīmā var modificēt visus laukus.

Ievērībai: to personu saraksts, uz kurām attiecas kārtula, netiek atjaunināts reāllaikā, kad kārtula tiek modificēta. Tas tiek atjaunināts, tiklīdz kārtula ir validēta un aprēķini ir pabeigti.

Pogu darbības izveides un rediģēšanas režīmā:

Cancel: atceļ pašreizējo ievadi un pārslēdz lapu skata režīmā
Save: validē veidlapu un pārslēdz lapu skata režīmā. Aprēķini tiek veikti automātiski.
See Impact: parāda kārtulas izveides vai atjaunināšanas ietekmi. Ietekme tiek parādīta divās tabulās:
- Pirmajā tabulā ir uzskaitīta kārtulas ietekme uz tiesībām, ņemot vērā tikai izveidoto vai modificēto autorizācijas kārtulu. Tiek parādītas visas identitātes, kas atbilst kritērijiem, tostarp tās, kurām atļauja jau ir piešķirta citur. Tādējādi, pat ja persona pēc autorizācijas kārtulas izmaiņām šīs tiesības zaudē, tā tās joprojām var saglabāt citā veidā.
- Otrajā tabulā ir uzskaitīta kārtulas kopējā ietekme uz tiesībām. Šajā sadaļā ir ņemtas vērā visas kārtulas risinājumā CyberElements Identity, diskrecionāri piešķirtās tiesības un tiesības, kuras bloķējusi pienākumu nošķiršanas kārtula. Ja identitātei atļauja jau ir piešķirta citur, konts šajā sarakstā netiks iekļauts. Tiek parādītas tiesības, kuras, validējot izmaiņas, faktiski tiks ietekmētas/dzēstas.

Šajā otrajā tabulā pirms tiesību faktiskas dzēšanas var piemērot aizturi (pārejas vai pārklāšanās perioda piemērošana).

Lai dzēstu autorizācijas kārtulu, noklikšķiniet uz ikonas „“, kas atrodas attiecīgās tabulas rindas labajā pusē:

Pirms autorizācijas kārtulas dzēšanas tiek parādīts apstiprinājuma ziņojums.

Ikona „“ apzīmē autorizācijas kārtulu, kas pašlaik tiek aprēķināta. Ja ikona ir pelēkota, aprēķini ir pabeigti.

Pienākumu nošķiršanas (SoD) kārtulu pārvaldība¶

Pienākumu nošķiršana (SoD) ir būtisks drošības princips, kas paredz sadalīt pienākumus un privilēģijas organizācijā vai sistēmā, lai mazinātu riskus un novērstu interešu konfliktus. To ievieš, lai nodrošinātu atbildīgu un drošu IT sistēmu un uzņēmuma resursu izmantošanu.

Pienākumu nošķiršanas kārtula ietver:

Prioritātes grupas definēšanu
Lomu vai autorizāciju pievienošanu prioritātes grupai ar prioritātes svaru

Lai piekļūtu pienākumu nošķiršanas kārtulu pārvaldībai, atveriet izvēlni „Access Management / SoD Rules“. Sākot ar versiju 7.1, šajā izvēlnē ir divas apakšizvēlnes: Identities un Accounts.

Sākot ar versiju 7.1, pienākumu nošķiršanas modulis ļauj izveidot kārtulas, kas attiecas vai nu uz autorizācijām, vai uz lomām, un pievienot filtrus, kas atlasa identitātes vai kontus, lai ierobežotu kārtulas darbības jomu.

Abas apakšizvēlnes atbilst diviem līmeņiem, kuros kārtula var darboties:

Identities: vienai identitātei, kurai būtu savstarpēji nesavienojamas tiesības;
Accounts: ja personai ir vairākas identitātes, kurām ir kopīgs konts (kontu apvienošana), un šo identitāšu apvienotās tiesības ir pakļautas pienākumu nošķiršanas kārtulai.

Katrā no šīm divām apakšizvēlnēm ir divas cilnes: Roles un Rights. Cilnē Roles tiek definētas grupas lomu prioritātes, cilnē Rights — grupas autorizāciju prioritātes. Tālāk aprakstītā procedūra abās cilnēs ir vienāda; prioritātes grupai pievienotais objekts atkarībā no gadījuma ir vai nu loma, vai autorizācija.

Zem koda, nosaukuma un apraksta kārtulas ierakstā ir trīs bloki: kritēriju saraksts (filtri, kas atlasa identitātes vai kontus), saistīto autorizāciju — vai lomu — saraksts un to identitāšu saraksts, uz kurām attiecas kārtula.

Kad kārtula bloķē vai atbloķē lomu vai autorizāciju lietotājam, operācija tiek reģistrēta audita ierakstos ar tās kārtulas nosaukumu, kas to aktivizēja. Šie ieraksti ļauj nevēlamas bloķēšanas gadījumā atrast pārskatāmo kārtulu.

Kārtulu skatīšanu un modificēšanu regulē tiesības „220_001 - View a segregation of duties rule“ un „220_002 - Modify a segregation of duties rule“, kas ir krātuvē CyberElements Identity.

Tiek atvērta lapa ar esošo pienākumu nošķiršanas kārtulu sarakstu, kas iepriekš ielādēts bez lietotiem filtriem, taču ievērojot autorizācijas, kas saistītas ar pieteikušās personas profilu.

Lappušu dalījums ir iestatīts tā, lai tiktu parādītas tikai 10 kārtulas.

Kārtulu tabulas augšējā labajā stūrī ir pieejams meklēšanas lauks. Meklēšana tiek veikta pēc prioritātes grupu nosaukuma (= pienākumu nošķiršanas kārtulas nosaukums).

Lai izveidotu jaunu pienākumu nošķiršanas kārtulu, noklikšķiniet uz pogas „“:

Pienākumu nošķiršanas kārtulas izveide notiek divās darbībās.

Vispirms ievadiet vispārīgos parametrus:

Code: pienākumu nošķiršanas kārtulas kods. Obligāts.
Name: atļauju kārtulas nosaukums. Obligāts.
Description: lauks pienākumu nošķiršanas kārtulas apraksta ievadīšanai. Neobligāts.

Saglabājiet izveides veidlapu, lai pārietu uz otro darbību — autorizāciju pievienošanu.

Lai SoD kārtulai pievienotu autorizāciju, tabulā „List of associated rights“ noklikšķiniet uz pogas „“.

Atlasiet vajadzīgo autorizāciju un ievadiet svaru, lai definētu prioritāti. Jo mazāka vērtība, jo augstāka prioritāte.

Lai modificētu SoD kārtulas autorizāciju, noklikšķiniet uz pogas „“, kas atrodas attiecīgās tabulas rindas labajā pusē.

Varat modificēt autorizāciju un/vai prioritātes svaru.

Lai dzēstu SoD kārtulas autorizāciju, noklikšķiniet uz pogas „“, kas atrodas attiecīgās tabulas rindas labajā pusē.

Lai skatītu un modificētu pienākumu nošķiršanas kārtulu, noklikšķiniet uz ikonas „“, kas atrodas attiecīgās tabulas rindas labajā pusē.

Rediģēšanas režīmā varat pārslēgties, noklikšķinot uz pogas „Edit“.

Rediģēšanas režīmā var modificēt tikai nosaukumu un aprakstu

Lai dzēstu pienākumu nošķiršanas kārtulu, noklikšķiniet uz ikonas „“, kas atrodas attiecīgās tabulas rindas labajā pusē.

Pirms autorizācijas kārtulas dzēšanas tiek parādīts apstiprinājuma ziņojums.

Tiesību pieprasījumu iesniegšana, izmantojot veidlapas¶

Tiesību pieprasījuma iesniegšana¶

Autorizāciju pieprasījumi kādai personai (vai sev) tiek iesniegti vecajā darbības konsolē, izmantojot izvēlni „Run an ‘On demand’ workflow“.

Noklikšķiniet uz pogas „Refresh“, lai parādītu pieejamo workflow sarakstu.

Noklikšķiniet uz izvēlētā workflow, lai iesniegtu autorizācijas pieprasījumu.

Atlasiet vienu vai vairākas identitātes, uz kurām attiecas pieprasījums.

Pieejamajā sarakstā atlasiet vajadzīgās autorizācijas. Ja nepieciešams, norādiet sākuma un beigu datumu.

Noklikšķiniet uz pogas „Add“.

Varat pēc vajadzības pievienot vai noņemt autorizācijas. Ja jau atlasītai autorizācijai vēlaties pievienot spēkā esamības datumus, tā jādzēš un pēc tam jāpievieno vēlreiz, iepriekš ievadot datumus.

Noklikšķiniet uz pogas „Start“ un apstipriniet uznirstošo logu.

Pēc workflow izpildes apstiprināšanas automātiski tiek atvērta lapa, kurā var skatīt neizskatītos pieprasījumus.

Pieprasījuma iesniegšana autorizācijas manuālai nodrošināšanai (vai nodrošināšanas atcelšanai)¶

Manuālas nodrošināšanas (vai nodrošināšanas atcelšanas) pieprasījumi tiek iesniegti vecajā darbības konsolē, izmantojot izvēlni „Run an ‘On demand’ workflow“.

Noklikšķiniet uz pogas „Refresh“, lai parādītu pieejamo workflow sarakstu.

Noklikšķiniet uz izvēlētā workflow, lai iesniegtu nodrošināšanas pieprasījumu.

Atlasiet vienu vai vairākas identitātes, uz kurām attiecas pieprasījums.

Pieejamajā sarakstā atlasiet vajadzīgās autorizācijas. Ja nepieciešams, norādiet sākuma un beigu datumu.

Noklikšķiniet uz pogas „Add“.

Varat pēc vajadzības pievienot vai noņemt autorizācijas. Ja jau atlasītai autorizācijai vēlaties pievienot spēkā esamības datumus, tā jādzēš un pēc tam jāpievieno vēlreiz, iepriekš ievadot datumus.

Noklikšķiniet uz pogas „Start“ un apstipriniet uznirstošo logu.

Pēc workflow izpildes apstiprināšanas automātiski tiek atvērta lapa, kurā var skatīt neizskatītos pieprasījumus.

Autorizāciju deleģēšana¶

Autorizāciju deleģēšana ļauj nodot tiesības no vienas personas (deleģētāja) citai (deleģētajai personai), parasti uz laiku.

Šī funkcija ir pieejama deleģētājiem (atkarībā no pieteikušās personas atļaujām), taču, sākot ar versiju 7.0, arī trešā persona (atkarībā no pieteikušās personas atļaujām) var deleģēt tiesības citai identitātei (piemēram, administrators).

Lai piekļūtu autorizāciju deleģēšanas funkcijai, atveriet vajadzīgās identitātes ierakstu skata režīmā un pārejiet uz cilni „Delegations“.

Lappušu dalījums ir iestatīts tā, lai tiktu parādītas tikai 10 deleģēšanas kārtulas.

Lai pievienotu deleģējumu, noklikšķiniet uz pogas „“, kas atrodas deleģējumu tabulas augšējā labajā stūrī.

Lai izveidotu deleģējumu, ievadiet šādu informāciju:

Deleģētā persona: persona, kas saņem deleģētās lomas un/vai autorizācijas (obligāti)
Deleģētā loma vai lomas (obligāti)
Deleģētā autorizācija vai autorizācijas (neobligāti)
Deleģējuma sākuma un beigu datums (neobligāti)

Lai modificētu deleģējumus, noklikšķiniet uz ikonas „“, kas atrodas attiecīgās tabulas rindas labajā pusē.

Varat modificēt visus parametrus.

Lai dzēstu deleģējumu, noklikšķiniet uz ikonas „“, kas atrodas attiecīgās tabulas rindas labajā pusē.

Pirms deleģējuma dzēšanas tiks parādīts apstiprinājuma ziņojums.

Identitātes kontu un autorizāciju skatīšana¶

Konti dažādās lietojumprogrammu krātuvēs tiek aprēķināti, pamatojoties uz definētajām pārvaldības kārtulām un identitātēm piešķirtajām lomām un autorizācijām.

Kontu pārvaldības kārtulas ir šādas:

Konta statusa definēšana, pamatojoties uz identitātes statusu,
Kontu apvienošanas kārtulu definēšana vairāku identitāšu gadījumā,
Kontu izveides kārtulu definēšana, pamatojoties tikai uz lomu piešķiršanu.

Lai skatītu ar identitāti saistītos kontus un autorizācijas, atveriet vajadzīgās identitātes ierakstu skata režīmā un pārejiet uz cilni „Accounts“.

Šī cilne ir pieejama tikai skata režīmā, un tajā ir redzami kontu un autorizāciju aprēķinu rezultāti, kas veikti identitātei vai — identitāšu saskaņošanas gadījumā — visām identitātēm. Pēdējā gadījumā cilne ir kopīga visām saskaņošanas ķēdes identitātēm.

Tiek parādīta tabula ar aprēķinātajiem kontiem. Katram kontam ligzdotā tabulā ir ar kontu saistītās autorizācijas. Kontu var ģenerēt bez saistītām autorizācijām.

Ja ir saskaņotas vairākas identitātes un konts ir kopīgs vairākām identitātēm (iespējota kontu apvienošanas funkcija), konts ir apzīmēts ar ikonu „“.

Lappušu dalījums ir ieviests tā, lai tiktu parādīti tikai 10 konti.

Tabulā, kas iegulta zem konta, lappušu dalījums ir iestatīts tā, lai tiktu parādītas tikai 5 autorizācijas.

Kontu tabulas augšējā labajā stūrī ir pieejams meklēšanas lauks. Meklēšana aptver kontu pieteikšanās vārdus vai krātuvju nosaukumus.

Kontu teorētiskais statuss un nodrošināšanas statuss ir redzams katrā tabulas rindā.

Tabulā, kas iegulta zem konta, autorizāciju tabulas augšdaļā ir pieejams meklēšanas lauks. Meklēšana aptver lietojumprogrammu vai autorizāciju nosaukumus.

Autorizāciju teorētiskais statuss un nodrošināšanas statuss ir redzams katrā tabulas rindā.

Leģenda, kurā izskaidroti dažādie teorētiskie un nodrošināšanas statusi, palīdz lietotājiem izprast atšķirīgos statusus.

Konta stāvoklis „Archived“¶

Sākot ar versiju 7.1, ir pieejams jauns teorētiskā konta stāvoklis — stāvoklis „Archived“.

Dažos gadījumos ir būtiski saglabāt kontu vēsturi noteiktās krātuvēs. Galvenais lietošanas gadījums ir nekad neģenerēt pieteikšanās vārdu, kas varētu būt pastāvējis agrāk.

Šis stāvoklis attiecas uz kontiem, kas vairs nepastāv mērķa krātuvē un vairs nav saistīti ne ar vienu identitāti risinājumā CyberElements Identity. Šie konti tiek glabāti Identity datu bāzē, bet nekad netiek sinhronizēti. Tie netiek ieskaitīti arī licenču pārvaldībā.

Stāvoklim „Archived“ ir kods 3, un tas seko četriem esošajiem stāvokļiem:

Kods	Teorētiskā konta statuss
`-1`	No account
`0`	Theoretical account only
`1`	Account enabled
`2`	Account disabled
`3`	Account archived

Ja konts ir saistīts ar vairākām identitātēm, tā stāvoklis tiek aprēķināts šādā prioritātes secībā: Enabled, pēc tam Disabled, pēc tam Archived, pēc tam Theoretical, pēc tam No account. Tāpēc konts ir arhivēts tikai tad, ja neviena no saistītajām identitātēm nepiešķir tam iespējotu, atspējotu vai teorētisku stāvokli. Persona tiek ieskaitīta licencēs tikai tad, ja tai ir vismaz viens nearhivēts konts.

Arhivēta konta modeli vairs nevar modificēt: modifikācija tiek noraidīta ar kļūdas ziņojumu.

Kontam stāvokli „Archived“ var piešķirt divos veidos:

izmantojot nodrošināšanas dzinēju SIP: Identity importā ar tipu ACCOUNT vai STATUS opcija iestata stāvokli „Archived“ kontiem, kas identificēti dzēšanas operācijās. Skatiet lapu Importēšanas kārtulu izveide/modificēšana.
izmantojot saskarni, manuāli mainot teorētisko stāvokli pa vienam kontam, ja vien tas ir atļauts gan modificēšanas veidlapā, gan Identity tiesībās.

Atļauja veidlapā tiek iestatīta atribūtam „Theoretical account status“ (account_state) izvēlnē „Configuration / Attribute templates“, cilnē „Account“: sadaļā „Display“ laukam „Display in edit“ ir jāpadara atribūts redzams. Pēc noklusējuma tam ir iestatīta vērtība „Hide“, un tad teorētiskais stāvoklis konta modificēšanas veidlapā netiek parādīts.

Attiecībā uz Identity tiesībām konta datu modificēšanu regulē tiesības „140_550_002 - Modify account details“, kas ir krātuvē CyberElements Identity.

Brīdinājums

Tā kā nodrošināšanas dzinējs šos kontus neeksportē, arhivēto stāvokli var atcelt tikai manuāli un pa vienam kontam saskarnē, ievērojot tos pašus atļaušanas nosacījumus.

Konta paroles atiestatīšana¶

Sākot ar versiju 7.1, kontiem ir jauns Būla sistēmas atribūts: account_password_reset.

Konta lapās tas tiek parādīts kā poga. Pēc noklusējuma tā vērtība ir aplama un etiķete ir „Reset password“. Noklikšķinot uz tās, vērtība kļūst patiesa un etiķete mainās uz „Password reset“.

Poga tiek parādīta konta ieraksta labās puses panelī zem konta nosaukuma. Izvēlnes „Configuration / Attribute templates“ cilnē „Account“ atribūts ir redzams ar etiķeti „Password reset state“ un tipu „Boolean“. Tas tiek izveidots automātiski, jauninot uz versiju 7.1, gan SQL Server, gan PostgreSQL datu bāzē.

Brīdinājums

Šī vērtība ir tikai teorētiska. Lai tai būtu ietekme, jāizmanto vai nu nodrošināšanas savienotājs, vai manuālas nodrošināšanas workflow. Arī vērtības maiņa no patiesas uz aplamu pēc tam, kad parole mērķa lietojumprogrammā ir nomainīta, jāveic savienotājam vai manuālas nodrošināšanas workflow.

Lietošana nodrošināšanas savienotājā:

Šī sistēmas atribūta izmantošana paroļu maiņas pārvaldībai automātiskās nodrošināšanas savienotājos jāveic ar šim nolūkam paredzētiem savienotājiem. Turklāt mērķa lietojumprogrammai ir jāatļauj paroļu maiņa, kas ne vienmēr tā ir.

Sinhronizācijas kārtulā veiciet šādas operācijas:

pārveidošanas operāciju, lai noteiktu paroļu maiņu;
salīdzināšanas kārtulā katrai personai salīdziniet atribūtu account_password_reset ar aplamu vērtību (t. i., 0), lai noteiktu paroles maiņu;
modificēšanas kārtulā piespiedu kārtā nosūtiet paroli mērķa atribūtā, izmantojot sistēmas atribūtu password.

Pēc tam izveidojiet ienākošās nodrošināšanas savienotāju, lai Būla vērtību account_password_reset atkal iestatītu uz aplamu.

Kontu un autorizāciju nodrošināšana/nodrošināšanas atcelšana¶

Process, kurā CyberElements Identity aprēķinātie konti un autorizācijas tiek pārsūtīti uz dažādām lietojumprogrammu krātuvēm, tiek saukts par izejošo nodrošināšanu. Tādējādi CyberElements Identity ir autoritatīvais avots lietojumprogrammām, kas definētas kontu un autorizāciju pārvaldībai.

Nodrošināšanu var pārvaldīt divos veidos:

Var izveidot automātisku savienotāju (izmantojot API, datu bāzi, direktoriju vai automatizētu vienkāršo failu apmaiņu); šādā gadījumā runā par automātisku nodrošināšanu.
Automātisku savienotāju izveidot nav iespējams; šādā gadījumā runā par daļēji automātisku nodrošināšanu.

Automātiska nodrošināšana/nodrošināšanas atcelšana¶

Lai nodrošinātu kontus un autorizācijas lietojumprogrammu krātuvēs, jāizmanto dzinējs Systancia Identity Provisioning (SIP), lai izveidotu izejošās nodrošināšanas savienotāju: no CyberElements Identity, kas ir autoritatīvais avots, ņemot vērā konfigurētās sinhronizācijas kārtulas, konti un autorizācijas tiks izveidoti, atjaunināti vai dzēsti lietojumprogrammu krātuvēs atbilstoši importēšanas kārtulās definētajiem noteikumiem.

Izejošās nodrošināšanas secībā jābūt vismaz šādiem elementiem:

Identity krātuves (autoritatīvās) eksports ar tipu „USER + ACCESS“ vai „ACCOUNT + ACCESS“
Mērķa lietojumprogrammas krātuves eksports
Sinhronizācijas kārtula
Importēšanas kārtula mērķa lietojumprogrammas krātuvē

Lai izveidotu savienotāju, skatiet lapu „Automatic Provisioning Connector Management“.

Daļēji automātiska nodrošināšana/nodrošināšanas atcelšana¶

Daļēji automātiskas nodrošināšanas savienotājs tiek izveidots, izmantojot workflow ar tipu „User request“ vai „Event“, kurā ir vismaz viens manuālas nodrošināšanas vai nodrošināšanas atcelšanas uzdevums.

Manuālās nodrošināšanas uzdevumā veicamās nodrošināšanas darbības ir uzskaitītas paziņojumā, kas tiek nosūtīts operatoram. Kad uzdevums ir izpildīts, operators var noklikšķināt uz pogas „Task validated“, lai norādītu, ka nodrošināšana ir pabeigta. Konta un/vai autorizāciju nodrošināšanas statuss tiek atjaunināts risinājumā CyberElements Identity. Tas ļauj administratoriem pārbaudīt identitātes tiesību statusu.