Správa účtov a autorizácií¶

Správa účtov zahŕňa vytváranie, úpravu a odstraňovanie používateľských účtov pre rôzne aplikácie spravované v organizácii. Zahŕňa to priraďovanie jedinečných identifikátorov používateľom (napríklad používateľských mien alebo osobných čísel zamestnancov) a správu informácií súvisiacich s týmito účtami.

Správa povolení spočíva v udeľovaní konkrétnych prístupových práv a autorizácií každej identite na základe jej roly, zodpovedností, organizácie a potrieb v rámci organizácie. Tieto autorizácie môžu zahŕňať prístup k aplikáciám, údajom, sieťam, systémom, fyzickým prostriedkom atď.

Správa rolí a povolení identity zahŕňa výpočet a priraďovanie povolení identitám v rôznych aplikáciách s cieľom vybudovať teoretické úložisko identít a ich povolení. To znamená, že všetky vypočítané účty, role a autorizácie možno zriadiť automaticky alebo manuálne v rôznych cieľových aplikáciách.

CyberElements Identity umožňuje spravovať role a autorizácie buď automaticky, prostredníctvom pravidiel autorizácie, alebo podľa uváženia, prostredníctvom manuálneho pridávania práv alebo požiadaviek cez formuláre (workflow).

Správa typov účtov¶

Typ účtu sa skladá z niekoľkých prvkov:

Zásada prihlasovacích mien (povinná),
Zásada hesiel (voliteľná),
Atribúty účtu (voliteľné),
Stavy účtu definované podľa stavov identity

Typ účtu musí byť prepojený s úložiskom a s rolou, aby bolo možné generovať účty. Pre tú istú identitu je preto možné mať v tom istom úložisku niekoľko účtov, ak má táto identita niekoľko rôznych rolí.

Vytvorenie/úprava/odstránenie typu účtu pre úložisko¶

Informácie o správe typov účtov, konfigurácii rôznych formulárov atď. nájdete na stránke Správa typov objektov.

Vytvorenie/úprava/odstránenie zásady prihlasovacích mien¶

Ak chcete prejsť na správu zásad prihlasovacích mien, otvorte ponuku „Access Management/Account Rules“.

Zobrazí sa priamo zoznam existujúcich zásad prihlasovacích mien, vopred načítaný v tabuľke bez použitých filtrov.

Stránkovanie je nastavené tak, aby sa zobrazovalo iba 10 zásad prihlasovacích mien.

V pravom hornom rohu tabuľky je k dispozícii vyhľadávacie pole. Vyhľadávanie sa zameriava na atribúty „code“ a „name“ zásad prihlasovacích mien.

Ak chcete vytvoriť novú zásadu prihlasovacích mien, kliknite na tlačidlo „“.

Zadajte parametre zásady prihlasovacích mien:

Code: kód zásady prihlasovacích mien. Musí byť jedinečný, bez medzier a špeciálnych znakov. Povinné.
Name: názov zásady prihlasovacích mien. Označenie, ktoré sa zobrazí v rôznych formulároch aplikácie. Povinné.
Description: pole na zadanie opisu zásady prihlasovacích mien. Voliteľné.
Formula (primary): výpočtový vzorec na definovanie prihlasovacieho mena
Duplicate policy:
- Automatic increment: prihlasovacie meno sa vypočíta pomocou primárneho vzorca a doplní sa indexom duplicity. Index duplicity má trojmiestny formát.
  - Príklad: Login_Calc002
- Formula (duplicate): vlastný výpočtový vzorec pre prípad, že sa pri výpočte prihlasovacieho mena primárnym vzorcom zistí duplicita. Na riadenie automatického zvyšovania môžete použiť kľúčové slovo §INDEX_DOUBLON§, ktoré však umiestnite na konkrétne miesto. Od verzie Identity 7.0 SP3 začína kľúčové slovo §INDEX_DOUBLON§ od 1 a nemá žiadny limit. V starších verziách má index duplicity trojmiestny formát.
  - Príklad: Formula (duplicate) Login2_Calc
Upozornenie: ak chcete otestovať vzorec s týmto kľúčovým slovom, musíte §INDEX_DOUBLON§ nahradiť hodnotou. Toto kľúčové slovo nemožno interpretovať v testeri vzorcov, ale pri výpočte prihlasovacích mien funguje.
Action to take if a real account exists:
- Use and reconcile with the real account
- Generate a login with duplicate policy
- Do not generate an account
Actions to take if a theoretical account exists:
- Generate a login with duplicate policy
- Do not generate an account

Ak chcete zobraziť a upraviť zásadu prihlasovacích mien, kliknite na ikonu „“ vpravo v príslušnom riadku tabuľky:

Do režimu úprav je možné prepnúť priamo zo stránky zobrazenia zásady prihlasovacích mien.

V režime úprav možno upraviť všetky polia.

Akcie tlačidiel v režime úprav alebo vytvárania:

Cancel: zruší aktuálne zadávanie a prepne stránku do režimu zobrazenia
Save: potvrdí formulár a prepne stránku do režimu zobrazenia
Save and quit: potvrdí formulár a vráti sa na stránku so zoznamom zásad prihlasovacích mien

Ak chcete odstrániť zásadu prihlasovacích mien, kliknite na ikonu „“ vpravo v príslušnom riadku tabuľky:

Pred odstránením zásady prihlasovacích mien sa zobrazí potvrdzovacia správa.

Upozornenie: zásadu prihlasovacích mien nie je možné odstrániť, kým je prepojená s jedným alebo viacerými úložiskami.

Vytvorenie/úprava/odstránenie zásady hesiel¶

Ak chcete prejsť na správu zásad hesiel, otvorte ponuku „Access management/Password rules“.

Zobrazí sa priamo zoznam existujúcich zásad hesiel, vopred načítaný v tabuľke bez použitých filtrov.

Stránkovanie je nastavené tak, aby sa zobrazovalo iba 10 zásad hesiel.

V pravom hornom rohu tabuľky je k dispozícii vyhľadávacie pole. Vyhľadávanie sa zameriava na atribúty „code“ a „name“ zásad hesiel.

Ak chcete vytvoriť novú zásadu hesiel, kliknite na tlačidlo „“:

Zadajte parametre zásady hesiel:

Code: kód zásady prihlasovacích mien. Musí byť jedinečný, bez medzier a špeciálnych znakov. Povinné.
Name: názov zásady prihlasovacích mien. Označenie, ktoré sa zobrazí v rôznych formulároch aplikácie. Povinné.
Description: pole na zadanie opisu zásady hesiel. Voliteľné.
Formula: výpočtový vzorec na definovanie hesla

Ak chcete zobraziť a upraviť zásadu hesiel, kliknite na ikonu „“ vpravo v príslušnom riadku tabuľky:

Do režimu úprav môžete prepnúť priamo zo stránky zobrazenia zásady hesiel.

V režime úprav možno upraviť všetky polia.

Akcie tlačidiel v režime úprav alebo vytvárania:

Cancel: zruší aktuálne zadávanie a prepne stránku do režimu zobrazenia
Save: potvrdí formulár a prepne stránku do režimu zobrazenia
Save and quit: potvrdí formulár a vráti sa na stránku so zoznamom zásad hesiel

Ak chcete odstrániť zásadu hesiel, kliknite na ikonu „“ vpravo v príslušnom riadku tabuľky:

Pred odstránením zásady hesiel sa zobrazí potvrdzovacia správa.

Upozornenie: zásadu hesiel nemôžete odstrániť, ak je prepojená s jedným alebo viacerými úložiskami.

Zobrazenie účtov v úložisku¶

Ak chcete vyhľadať účet, otvorte ponuku „Accounts“.

Zobrazí sa priamo stránka vyhľadávania účtov pre vybrané úložisko (prvé v zozname), vopred načítaná bez použitých filtrov, ale s ohľadom na povolenia priradené k profilu prihláseného používateľa.

Keďže účty sú prepojené s úložiskom, na zobrazenie zoznamu priradených účtov musíte vybrať požadované úložisko buď pomocou kariet, alebo pomocou rozbaľovacieho zoznamu.

Režim zobrazenia sa určuje podľa počtu úložísk. Ak je úložísk 10 alebo menej, zobrazia sa na samostatných kartách, inak sa uvedú v rozbaľovacom zozname.

Stránkovanie je implementované tak, aby sa zobrazovalo iba 10 účtov.

V pravom hornom rohu tabuľky je k dispozícii vyhľadávacie pole. Vyhľadávanie sa zameriava na prihlasovacie mená účtov a zohľadňuje vybrané úložisko.

Konfigurácia tabuľky výsledkov vyhľadávania účtov¶

Ak chcete nakonfigurovať atribúty, ktoré sa majú zahrnúť do tabuľky výsledkov vyhľadávania účtov, prejdite na stránku konfigurácie atribútov, vyberte kartu „Account“, otvorte požadovaný atribút v režime úprav a začiarknite možnosť „Display in results table“.

Zosúladenie/zrušenie zosúladenia teoretického účtu so skutočným účtom¶

Ak chcete prejsť na stránku správy zosúladenia účtov, otvorte ponuku „Accounts“ a aktivujte možnosť „Reconciliation“:

V okne sa zobrazia dve nové tabuľky:

Druhá tabuľka uvádza osirelé účty vo vybranom úložisku. Pripomíname, že osirelé účty sú účty, ktoré boli načítané z cieľového úložiska, ale nie sú prepojené so žiadnou identitou v CyberElements Identity.

Tretia tabuľka uvádza identity, ktoré nie sú prepojené so žiadnym účtom vo vybranom úložisku.

V tejto tabuľke môžete pre každú identitu bez účtu:

Prepojiť existujúci teoretický účet. Na tento účel kliknite na tlačidlo vpravo od požadovanej identity a potom vyhľadajte požadovaný existujúci teoretický účet.
Vytvoriť teoretický účet. Na tento účel kliknite na tlačidlo vpravo od požadovanej identity a potom vytvorte teoretický účet výberom požadovaného typu účtu.

Dôležitá poznámka

Táto funkcia bola odstránená zo starších rozhraní, pretože nie je možné zachovať oba režimy.

Správa rolí a autorizácií podľa uváženia¶

Ak chcete manuálne upraviť priradenia rolí a autorizácie identity, otvorte záznam požadovanej identity v režime zobrazenia a prejdite na kartu „Roles and Authorizations“.

Zobrazí sa tabuľka obsahujúca role priradené identite. Pre každú rolu obsahuje vnorená tabuľka autorizácie prepojené s identitou a priradené k role. Autorizácia musí byť prepojená s dvojicou Identity/Role.

Ak je zosúladených niekoľko identít, zobrazí sa karta pre každú identitu, ktorá umožňuje vybrať požadovanú identitu. Role/autorizácie sú prepojené s identitou, nie s reťazcom zosúladenia. Pred vykonaním manuálnych aktualizácií je preto potrebné vybrať požadovanú identitu.

Stránkovanie je nastavené tak, aby sa zobrazovalo iba 10 rolí.

V tabuľke vnorenej pod rolou je stránkovanie nastavené tak, aby sa zobrazovalo iba 5 autorizácií.

V pravom hornom rohu tabuľky rolí je k dispozícii vyhľadávacie pole. Vyhľadávanie je založené na názvoch rolí.

V tabuľke vnorenej pod rolou je v hornej časti tabuľky autorizácií k dispozícii vyhľadávacie pole. Vyhľadávanie zahŕňa atribúty „Category“, „Code“ a „Name“ autorizácií.

V tabuľke autorizácií nájdete nasledujúce informácie:

Jej stav:
- „Valid“: autorizácia je viditeľná bez akéhokoľvek osobitného označenia
- „Blocked“: autorizácia je viditeľná, ale v rozhraní je prečiarknutá
Režim priradenia. Možné hodnoty sú
- : manuálne, s UID identity, ktorá vykonala priradenie
- : pravidlo autorizácie s názvom pravidla (pravidiel)
- : autorizácia udelená dedením roly
- : prvá ikona označuje, že právo bolo pridané manuálne (prostredníctvom workflow), a druhá umožňuje prístup k workflow (odkaz na prevádzkové rozhranie workflow).

Ak chcete pridať jednu alebo viac rolí alebo pridať jednu alebo viac autorizácií k viacerým rolám pre tú istú identitu, kliknite na tlačidlo „“ v pravom hornom rohu tabuľky rolí.

Vyberte požadovanú rolu (role) a potom kliknite na „Confirm“, čím pridáte role a prejdete na ďalší krok, alebo na „Cancel“, čím operáciu zrušíte.

Ak chcete pridať jednu alebo viac autorizácií k role, ktorá je už prepojená s identitou, kliknite na tlačidlo „“ vpravo v príslušnom riadku tabuľky rolí.

Vyberte požadovanú autorizáciu (autorizácie) a potom kliknite na tlačidlo „Confirm“, čím ich prepojíte s rolou, alebo na tlačidlo „Cancel“, čím operáciu zrušíte. Je možné nastaviť dátum začiatku a ukončenia, ktorý sa použije na všetky vybrané autorizácie.

Tlačidlá akcií pre autorizácie:
- : umožňuje zablokovať autorizáciu.
- : umožňuje odblokovať autorizáciu.
- : umožňuje certifikovať autorizáciu.
- : umožňuje odstrániť certifikáciu autorizácie.
- : umožňuje zmeniť dátumy platnosti. Tlačidlo je dostupné iba pre manuálne práva.
- : umožňuje odstrániť manuálne právo. Pred odstránením autorizácie sa zobrazí potvrdzovacia správa.

Upozornenie: tlačidlo na odstránenie autorizácie je k dispozícii iba vtedy, ak bola autorizácia priradená výlučne podľa uváženia. Autorizácia môže byť stále viditeľná v stave „pending deletion“, ak je jej stav zriaďovania „provisioned“.

Ak chcete zrušiť prepojenie roly s identitou, kliknite na ikonu „“ vpravo v príslušnom riadku tabuľky rolí.

Pred odstránením roly sa zobrazí potvrdzovacia správa.

Upozornenie: tlačidlo na odstránenie roly je k dispozícii iba vtedy, ak bola rola priradená podľa uváženia. Všetky autorizácie prepojené s dvojicou identita/rola sa takisto odpoja a v prípade automatického zriaďovania sa pri ďalšej synchronizácii zruší ich zriadenie.

Správa pravidiel autorizácie¶

Pravidlá autorizácie umožňujú konfigurovať zásady prístupu a automaticky priraďovať práva identitám, ktoré pravidlo určí.

Pravidlo autorizácie spočíva v prepojení:

na jednej strane populácie používateľov, definovanej filtrovaním podľa rolí (RBAC), organizácií (OrBAC) a/alebo hodnôt atribútov (ABAC),
na druhej strane rolí a aplikačných práv.

Ak chcete prejsť na správu pravidiel autorizácie, otvorte ponuku „Access Management / Authorization Rules“.

Zobrazí sa priamo stránka so zoznamom existujúcich pravidiel autorizácie, vopred načítaná bez použitých filtrov, ale s ohľadom na autorizácie prepojené s profilom prihlásenej osoby.

Stránkovanie je nastavené tak, aby sa zobrazovalo iba 10 pravidiel.

V pravom hornom rohu tabuľky pravidiel je k dispozícii vyhľadávacie pole. Vyhľadávanie je založené na názvoch pravidiel.

Ak chcete vytvoriť nové pravidlo autorizácie, kliknite na tlačidlo „“.

Vytvorenie pravidla sa skladá z troch častí:

Všeobecné nastavenia
- Name: názov pravidla autorizácie. Povinné.
- Description: pole na zadanie opisu pravidla autorizácie. Voliteľné.
- Context: vyberte jeden alebo viac kontextov z rozbaľovacieho zoznamu, ktorý obsahuje predtým vytvorené kontexty.
Zoznam kritérií: kliknutím na tlačidlá „ “ alebo „ “ pridajte pravidlo filtrovania pre identity, ktoré budú zahrnuté do pravidla autorizácie. Pravidlo filtrovania spočíva v definovaní atribútu, na ktorý sa má použiť filter, operátora porovnania a hodnôt, ktoré sa majú porovnať.
- Tlačidlo „“ umožňuje pridať nový filter na rovnakej úrovni ako predchádzajúci filter.
- Tlačidlo „“ umožňuje pridať skupinu filtrov na rovnakej úrovni ako predchádzajúci filter. Filtre alebo skupiny filtrov je povinné pridávať do skupiny pomocou tlačidiel „“ alebo „“ v danej skupine.
- Na každej úrovni filtrovania musíte zadať operátor, ktorý sa má použiť medzi jednotlivými pravidlami filtrovania.
- Objekt, na ktorom chcete vykonať porovnanie. Môže to byť:
  - Rola
  - Atribút osoby
  - Atribút štruktúry
  - Atribút prostriedku
- Operátor porovnania. Zoznam operátorov porovnania je dynamický a závisí od typu vybraného objektu.
- Hodnota na porovnanie: zadáva sa alebo vyberá z rozbaľovacieho zoznamu v závislosti od typu vybraného objektu a operátora porovnania.

Môžete pridať ľubovoľný počet kritérií filtrovania. Medzi jednotlivými pravidlami filtrovania treba určiť operátory, ako napríklad „AND“ alebo „OR“. Na zvýšenie počtu možností možno vytvárať podskupiny.

Príklad: na vytvorenie nasledujúceho pravidla filtrovania:

(Person type = „Medical agent or External medical agent“ AND atribút „Job“ = „Biological unit manager“) OR (Person type = „Non-medical agent“ AND atribút „Job“ = „Environmental specialist“)

Kritériá filtrovania sa nakonfigurujú takto:

Role a autorizácie, ktoré sa majú priradiť v pravidle autorizácie: na zobrazenie rolí a autorizácií, ktoré sa majú zahrnúť do pravidla autorizácie, slúžia dve karty. Karta Role zobrazuje zoznam rolí a stručne uvádza súvisiace autorizácie, ak nejaké existujú. Z tejto karty možno tiež pridávať alebo odoberať role a autorizácie. Karta Authorizations zobrazuje zoznam autorizácií pridaných do pravidla spolu s priradenou rolou (rolami) pre každú z nich. Táto karta ponúka jednoducho iné zobrazenie.
- Ak chcete pridať role a autorizácie do pravidla autorizácie, kliknite na tlačidlo „“ na karte „Roles“. Musíte vybrať aspoň jednu rolu a potom podľa potreby autorizácie.

Zoznam autorizácií je filtrovaný podľa vybraných rolí (rola je prepojená s jedným alebo viacerými úložiskami).

Ak chcete zobraziť a upraviť pravidlo autorizácie, kliknite na ikonu „“ vpravo v príslušnom riadku tabuľky:

Režim zobrazenia umožňuje zobraziť podrobnosti pravidla autorizácie a tiež zoznam identít, na ktoré sa pravidlo vzťahuje.

Osobu môžete vyhľadať pomocou vyhľadávacieho poľa v pravom hornom rohu tabuľky.

Do režimu úprav môžete prepnúť kliknutím na tlačidlo „Edit“.

V režime úprav možno upraviť všetky polia.

Upozorňujeme: zoznam osôb, na ktoré sa pravidlo vzťahuje, sa pri úprave pravidla neaktualizuje v reálnom čase. Aktualizuje sa po potvrdení pravidla a dokončení výpočtov.

Akcie tlačidiel v režime vytvárania a úprav:

Cancel: zruší aktuálne zadávanie a prepne stránku do režimu zobrazenia
Save: potvrdí formulár a prepne stránku do režimu zobrazenia. Výpočty sa vykonajú automaticky.
See Impact: zobrazí vplyvy vytvorenia alebo aktualizácie pravidla. Vplyvy sa zobrazujú v dvoch tabuľkách:
- Prvá tabuľka uvádza vplyvy pravidla na práva, pričom zohľadňuje iba vytvorené alebo upravené pravidlo autorizácie. Zobrazia sa všetky identity, ktoré spĺňajú kritériá, vrátane tých, ktorým už bolo povolenie priradené inde. Ak teda osoba v dôsledku zmeny pravidla autorizácie skutočne stratí svoje práva, môže si ich stále zachovať iným spôsobom.
- Druhá tabuľka uvádza celkové vplyvy pravidla na práva. Tento oddiel zohľadňuje všetky pravidlá v CyberElements Identity, priradenia práv podľa uváženia a práva zablokované pravidlom oddelenia práv. Ak už bolo identite povolenie priradené inde, účet sa do tohto zoznamu nezahrnie. Zobrazia sa práva, ktoré budú po potvrdení zmeny skutočne ovplyvnené/odstránené.

V tejto druhej tabuľke je možné použiť oneskorenie pred skutočným odstránením práva (použitie prechodného obdobia alebo obdobia prekrytia).

Ak chcete odstrániť pravidlo autorizácie, kliknite na ikonu „“ vpravo v príslušnom riadku tabuľky:

Pred odstránením pravidla autorizácie sa zobrazí potvrdzovacia správa.

Ikona „“ označuje pravidlo autorizácie, ktoré sa práve vypočítava. Ak je sivá, znamená to, že výpočty sú dokončené.

Správa pravidiel oddelenia povinností (SoD)¶

Oddelenie povinností (SoD): je základný bezpečnostný princíp, ktorý spočíva v rozdelení zodpovedností a privilégií v rámci organizácie alebo systému s cieľom minimalizovať riziká a predchádzať konfliktom záujmov. Zavádza sa na zabezpečenie zodpovedného a bezpečného používania IT systémov a prostriedkov spoločnosti.

Pravidlo oddelenia povinností spočíva v:

Definovaní prioritnej skupiny
Pridaní rolí alebo autorizácií do prioritnej skupiny s váhou priority

Ak chcete prejsť na správu pravidiel oddelenia povinností, otvorte ponuku „Access Management / SoD Rules“. Od verzie 7.1 obsahuje táto ponuka dve podponuky: Identities a Accounts.

Od verzie 7.1 umožňuje modul oddelenia povinností vytvárať pravidlá, ktoré sa vzťahujú buď na autorizácie, alebo na role, a pridávať filtre zamerané na identity alebo účty s cieľom obmedziť rozsah pravidla.

Tieto dve podponuky zodpovedajú dvom úrovniam, na ktorých sa pravidlo môže uplatniť:

Identities: pre jednu identitu, ktorá by mala navzájom nezlučiteľné práva;
Accounts: keď má osoba niekoľko identít, ktoré zdieľajú ten istý účet (zlúčenie účtov), a kombinované práva týchto identít spadajú pod pravidlo oddelenia povinností.

Každá z týchto dvoch podponúk obsahuje dve karty, Roles a Rights. Karta Roles definuje priority pre role skupiny, karta Rights pre autorizácie skupiny. Postup opísaný nižšie je na oboch kartách rovnaký, pričom objektom pridaným do prioritnej skupiny je podľa prípadu buď rola, alebo autorizácia.

Pod kódom, názvom a opisom zobrazuje záznam pravidla tri bloky: zoznam kritérií (filtre zamerané na identity alebo účty), zoznam prepojených autorizácií – alebo rolí – a zoznam identít, ktorých sa pravidlo týka.

Keď pravidlo zablokuje alebo odblokuje rolu alebo autorizáciu používateľa, operácia sa zaznamená v auditoch spolu s názvom pravidla, ktoré ju spustilo. Tieto záznamy umožňujú nájsť pravidlo, ktoré treba skontrolovať v prípade nežiaduceho zablokovania.

Zobrazenie a úprava pravidiel sa riadia právami „220_001 - View a segregation of duties rule“ a „220_002 - Modify a segregation of duties rule“ úložiska CyberElements Identity.

Zobrazí sa priamo stránka so zoznamom existujúcich pravidiel oddelenia povinností, vopred načítaná bez použitých filtrov, ale s ohľadom na autorizácie prepojené s profilom prihlásenej osoby.

Stránkovanie je nastavené tak, aby sa zobrazovalo iba 10 pravidiel.

V pravom hornom rohu tabuľky pravidiel je k dispozícii vyhľadávacie pole. Vyhľadávanie je založené na názve prioritných skupín (= názov pravidla oddelenia práv).

Ak chcete vytvoriť nové pravidlo oddelenia práv, kliknite na tlačidlo „“:

Vytvorenie pravidla oddelenia práv prebieha v dvoch krokoch.

Najprv zadajte všeobecné parametre:

Code: kód pravidla oddelenia práv. Povinné.
Name: názov pravidla povolení. Povinné.
Description: pole na zadanie opisu pravidla oddelenia práv. Voliteľné.

Uložte formulár na vytvorenie, aby ste prešli na druhý krok – pridanie autorizácií.

Ak chcete pridať autorizáciu do pravidla SoD, kliknite na tlačidlo „“ v tabuľke „List of associated rights“.

Vyberte požadovanú autorizáciu a zadajte váhu na definovanie priority. Čím je hodnota menšia, tým je priorita vyššia.

Ak chcete upraviť autorizáciu v pravidle SoD, kliknite na tlačidlo „“ vpravo v príslušnom riadku tabuľky.

Môžete upraviť autorizáciu a/alebo váhu priority.

Ak chcete odstrániť autorizáciu z pravidla SoD, kliknite na tlačidlo „“ vpravo v príslušnom riadku tabuľky.

Ak chcete zobraziť a upraviť pravidlo oddelenia povinností, kliknite na ikonu „“ vpravo v príslušnom riadku tabuľky.

Do režimu úprav môžete prepnúť kliknutím na tlačidlo „Edit“.

V režime úprav možno upraviť iba názov a opis

Ak chcete odstrániť pravidlo oddelenia povinností, kliknite na ikonu „“ vpravo v príslušnom riadku tabuľky.

Pred odstránením pravidla autorizácie sa zobrazí potvrdzovacia správa.

Odosielanie požiadaviek na práva pomocou formulárov¶

Odoslanie požiadavky na práva¶

Požiadavky na autorizácie pre osobu (alebo pre seba) sa zadávajú v starej prevádzkovej konzole prostredníctvom ponuky „Run an ‘On demand’ workflow“.

Kliknutím na tlačidlo „Refresh“ zobrazíte zoznam dostupných workflow.

Kliknutím na vybraný workflow odošlete požiadavku na autorizáciu.

Vyberte jednu alebo viac identít, na ktoré sa požiadavka vzťahuje.

Vyberte požadované autorizácie z dostupného zoznamu. V prípade potreby zadajte dátum začiatku a ukončenia.

Kliknite na tlačidlo „Add“.

Autorizácie môžete ľubovoľne pridávať alebo odoberať. Ak chcete pridať dátumy platnosti k už vybranej autorizácii, musíte ju odstrániť a potom ju znova pridať s vopred zadanými dátumami.

Kliknite na tlačidlo „Start“ a potvrďte kontextové okno.

Po potvrdení spustenia workflow budete automaticky presmerovaní na stránku, na ktorej môžete zobraziť čakajúce požiadavky.

Odoslanie požiadavky na manuálne zriadenie (alebo zrušenie zriadenia) autorizácie¶

Požiadavky na manuálne zriadenie (alebo zrušenie zriadenia) sa odosielajú v starej prevádzkovej konzole prostredníctvom ponuky „Run an ‘On demand’ workflow“.

Kliknutím na tlačidlo „Refresh“ zobrazíte zoznam dostupných workflow.

Kliknutím na vybraný workflow odošlete požiadavku na zriadenie.

Vyberte jednu alebo viac identít, na ktoré sa požiadavka vzťahuje.

Vyberte požadované autorizácie z dostupného zoznamu. V prípade potreby zadajte dátum začiatku a ukončenia.

Kliknite na tlačidlo „Add“.

Autorizácie môžete ľubovoľne pridávať alebo odoberať. Ak chcete pridať dátumy platnosti k už vybranej autorizácii, musíte ju odstrániť a potom ju znova pridať s vopred zadanými dátumami.

Kliknite na tlačidlo „Start“ a potvrďte kontextové okno.

Po potvrdení spustenia workflow budete automaticky presmerovaní na stránku, na ktorej môžete zobraziť čakajúce požiadavky.

Delegovanie autorizácií¶

Delegovanie autorizácií umožňuje priradiť práva jednej osoby (delegujúceho) inej osobe (delegovanému), zvyčajne na dočasné obdobie.

Táto funkcia je k dispozícii delegujúcim (v závislosti od povolení prihlásenej osoby), ale od verzie 7.0 môže práva delegovať inej identite aj tretia osoba (v závislosti od povolení prihlásenej osoby), napríklad správca.

Ak chcete získať prístup k funkcii delegovania autorizácií, otvorte záznam požadovanej identity v režime zobrazenia a prejdite na kartu „Delegations“.

Stránkovanie je nastavené tak, aby sa zobrazovalo iba 10 pravidiel delegovania.

Ak chcete pridať delegovanie, kliknite na tlačidlo „“ v pravom hornom rohu tabuľky delegovaní.

Na vytvorenie delegovania zadajte nasledujúce informácie:

Delegovaný: osoba, ktorá prijíma delegované role a/alebo autorizácie (povinné)
Delegovaná rola (role) (povinné)
Delegovaná autorizácia (autorizácie) (voliteľné)
Dátum začiatku a ukončenia delegovania (voliteľné)

Ak chcete upraviť delegovania, kliknite na ikonu „“ vpravo v príslušnom riadku tabuľky.

Môžete upraviť všetky parametre.

Ak chcete odstrániť delegovanie, kliknite na ikonu „“ vpravo v príslušnom riadku tabuľky.

Pred odstránením delegovania sa zobrazí potvrdzovacia správa.

Zobrazenie účtov a autorizácií identity¶

Účty v rôznych aplikačných úložiskách sa vypočítavajú na základe definovaných pravidiel správy a rolí a autorizácií priradených identitám.

Pravidlá správy účtov sú:

Definícia stavu účtu na základe stavu identity,
Definícia pravidiel zlučovania účtov v prípade viacerých identít,
Definícia pravidiel vytvárania účtov založených výlučne na priradení roly.

Ak chcete zobraziť účty a autorizácie prepojené s identitou, otvorte záznam požadovanej identity v režime zobrazenia a prejdite na kartu „Accounts“.

Táto karta je dostupná iba v režime zobrazenia a zobrazuje výsledky výpočtov účtov a autorizácií vykonaných pre identitu, prípadne pre všetky identity v prípade zosúladenia identít. V druhom prípade je karta spoločná pre všetky identity v reťazci zosúladenia.

Zobrazí sa tabuľka obsahujúca vypočítané účty. Pre každý účet obsahuje vnorená tabuľka autorizácie prepojené s účtom. Účet možno vygenerovať aj bez akýchkoľvek priradených autorizácií.

Ak je zosúladených niekoľko identít a účet je spoločný pre viacero identít (funkcia zlučovania účtov je povolená), účet je označený ikonou „“.

Stránkovanie je implementované tak, aby sa zobrazovalo iba 10 účtov.

V tabuľke vnorenej pod účtom je stránkovanie nastavené tak, aby sa zobrazovalo iba 5 autorizácií.

V pravom hornom rohu tabuľky účtov je k dispozícii vyhľadávacie pole. Vyhľadávanie zahŕňa prihlasovacie mená účtov alebo názvy úložísk.

Teoretický stav a stav zriaďovania účtov sú viditeľné v každom riadku tabuľky.

V tabuľke vnorenej pod účtom je v hornej časti tabuľky autorizácií k dispozícii vyhľadávacie pole. Vyhľadávanie zahŕňa názvy aplikácií alebo autorizácií.

Teoretický stav a stav zriaďovania autorizácií sú viditeľné v každom riadku tabuľky.

Legenda vysvetľujúca rôzne teoretické stavy a stavy zriaďovania pomáha používateľom porozumieť jednotlivým stavom.

Stav účtu „Archived“¶

Od verzie 7.1 existuje nový teoretický stav účtu: stav „Archived“.

V niektorých prípadoch je nevyhnutné uchovávať históriu účtov v konkrétnych úložiskách. Hlavným prípadom použitia je nikdy nevygenerovať prihlasovacie meno, ktoré mohlo v minulosti existovať.

Tento stav sa týka účtov, ktoré už v cieľovom úložisku neexistujú a už nie sú prepojené so žiadnou identitou v CyberElements Identity. Tieto účty sa uchovávajú v databáze Identity, ale nikdy sa nesynchronizujú. Nezapočítavajú sa ani do správy licencií.

Stav „Archived“ má kód 3, ktorý nasleduje po štyroch existujúcich stavoch:

Kód	Stav teoretického účtu
`-1`	No account
`0`	Theoretical account only
`1`	Account enabled
`2`	Account disabled
`3`	Account archived

Keď je účet prepojený s viacerými identitami, jeho stav sa vypočíta podľa nasledujúceho poradia priorít: Enabled, potom Disabled, potom Archived, potom Theoretical a nakoniec No account. Účet je teda archivovaný iba vtedy, ak mu žiadna z prepojených identít nedáva povolený, zakázaný ani teoretický stav. Osoba sa započítava do licencií iba vtedy, ak má aspoň jeden nearchivovaný účet.

Model archivovaného účtu už nemožno upraviť: úprava sa odmietne s chybovou správou.

Stav „Archived“ možno účtu priradiť dvoma spôsobmi:

prostredníctvom modulu zriaďovania SIP: v importe Identity typu ACCOUNT alebo typu STATUS jedna z možností nastaví stav „Archived“ pre účty identifikované v operáciách odstránenia. Pozrite si stránku Vytvorenie/úprava pravidiel importu.
prostredníctvom rozhrania, manuálnou zmenou teoretického stavu, a to pre každý účet zvlášť, za predpokladu, že je to umožnené vo formulári úprav aj v právach Identity.

Oprávnenosť vo formulári sa nastavuje v atribúte „Theoretical account status“ (account_state) v „Configuration / Attribute templates“, na karte „Account“: v oddiele „Display“ musí pole „Display in edit“ zviditeľniť atribút. Predvolene je nastavené na „Hide“ a teoretický stav sa potom vo formulári úprav účtu nezobrazí.

Na strane práv Identity sa úprava údajov účtu riadi právom „140_550_002 - Modify account details“ úložiska CyberElements Identity.

Upozornenie

Keďže tieto účty modul zriaďovania neexportuje, návrat z archivovaného stavu je možný iba manuálne, a to pre každý účet zvlášť v rozhraní, za rovnakých podmienok oprávnenosti.

Resetovanie hesla účtu¶

Od verzie 7.1 existuje pre účty nový systémový atribút typu Boolean: account_password_reset.

Má podobu tlačidla na stránkach účtu. Predvolene je jeho hodnota false a jeho označenie je „Reset password“. Keď naň kliknete, hodnota sa zmení na true a označenie sa zmení na „Password reset“.

Tlačidlo sa zobrazuje na pravom paneli záznamu účtu pod názvom účtu. V „Configuration / Attribute templates“ na karte „Account“ sa atribút zobrazuje pod označením „Password reset state“, s typom „Boolean“. Vytvorí sa automaticky pri upgrade na verziu 7.1, v databáze SQL Server aj PostgreSQL.

Upozornenie

Táto hodnota je iba teoretická. Aby sa prejavila, musíte použiť buď konektor zriaďovania, alebo workflow manuálneho zriaďovania. Zmenu hodnoty z true na false po zmene hesla v cieľovej aplikácii musí takisto zabezpečiť konektor alebo workflow manuálneho zriaďovania.

Použitie v konektore zriaďovania:

Na správu zmien hesiel v konektoroch automatického zriaďovania pomocou tohto systémového atribútu treba použiť konektory určené na tento účel. Cieľová aplikácia musí tiež umožňovať zmeny hesiel, čo nie je vždy tak.

V pravidle synchronizácie vykonajte nasledujúce operácie:

operáciu konverzie na zisťovanie zmien hesiel;
v pravidle porovnania porovnajte pre každú osobu atribút account_password_reset s hodnotou false (t. j. 0), aby sa zistila zmena hesla;
v pravidle úpravy vynúťte odoslanie hesla v cieľovom atribúte pomocou systémového atribútu password.

Potom vytvorte konektor vstupného zriaďovania, ktorý nastaví logickú hodnotu account_password_reset späť na false.

Zriaďovanie/zrušenie zriadenia účtov a autorizácií¶

Proces prenosu účtov a autorizácií vypočítaných v CyberElements Identity do rôznych aplikačných úložísk sa nazýva výstupné zriaďovanie. CyberElements Identity má teda autoritu nad aplikáciami definovanými na správu účtov a autorizácií.

Zriaďovanie možno spravovať dvoma spôsobmi:

Buď možno vytvoriť automatický konektor (prostredníctvom API, databázy, adresára alebo automatizovanej výmeny plochých súborov), v takom prípade hovoríme o automatickom zriaďovaní.
Alebo nie je možné vytvoriť automatický konektor, v takom prípade hovoríme o poloautomatickom zriaďovaní.

Automatické zriaďovanie/zrušenie zriadenia¶

Na zriadenie účtov a autorizácií v aplikačných úložiskách musíte pomocou modulu Systancia Identity Provisioning (SIP) vytvoriť konektor výstupného zriaďovania: z CyberElements Identity ako autoritatívneho zdroja sa s ohľadom na nakonfigurované pravidlá synchronizácie vytvoria, aktualizujú alebo odstránia účty a autorizácie v aplikačných úložiskách podľa pravidiel definovaných v pravidlách importu.

Sekvencia výstupného zriaďovania musí pozostávať aspoň z nasledujúcich prvkov:

Export úložiska Identity (autoritatívneho) typu „USER + ACCESS“ alebo „ACCOUNT + ACCESS“
Export cieľového aplikačného úložiska
Pravidlo synchronizácie
Pravidlo importu v cieľovom aplikačnom úložisku

Ak chcete vytvoriť konektor, pozrite si stránku „Správa konektorov automatického zriaďovania“.

Poloautomatické zriaďovanie/zrušenie zriadenia¶

Konektor poloautomatického zriaďovania sa vytvára pomocou workflow typu „User request“ alebo „Event“ s aspoň jednou úlohou manuálneho zriaďovania alebo zrušenia zriadenia.

V úlohe manuálneho zriaďovania sú akcie zriaďovania, ktoré sa majú vykonať, uvedené v oznámení odoslanom operátorovi. Keď operátor úlohu dokončí, môže kliknúť na tlačidlo „Task validated“, čím označí, že zriaďovanie bolo dokončené. Stav zriaďovania účtu a/alebo autorizácií sa aktualizuje v CyberElements Identity. Správcovia tak môžu kontrolovať stav práv identít.