Upravljanje računov in avtorizacij¶

Upravljanje računov zajema ustvarjanje, spreminjanje in brisanje uporabniških računov za različne aplikacije, ki se upravljajo v organizaciji. To vključuje dodeljevanje enoličnih identifikatorjev uporabnikom (kot so uporabniška imena ali številke zaposlenih) in upravljanje informacij, povezanih s temi računi.

Upravljanje dovoljenj obsega dodeljevanje določenih pravic dostopa in avtorizacij vsaki identiteti glede na njeno vlogo, odgovornosti, organizacijo in potrebe v organizaciji. Te avtorizacije lahko vključujejo dostop do aplikacij, podatkov, omrežij, sistemov, fizičnih virov itd.

Upravljanje vlog in dovoljenj identitete vključuje izračun in dodeljevanje dovoljenj identitetam v različnih aplikacijah, da se zgradi teoretično skladišče identitet in njihovih dovoljenj. To pomeni, da je mogoče vse izračunane račune, vloge in avtorizacije samodejno ali ročno zagotoviti v različnih ciljnih aplikacijah.

CyberElements Identity omogoča upravljanje vlog in avtorizacij bodisi samodejno, prek pravil avtorizacije, bodisi diskrecijsko, z ročnim dodajanjem pravic ali zahtevami prek obrazcev (workflow).

Upravljanje vrst računov¶

Vrsta računa je sestavljena iz več elementov:

Pravilnik prijave (obvezno),
Pravilnik za gesla (izbirno),
Atributi računa (izbirno),
Stanja računa, določena glede na stanja identitete

Vrsta računa mora biti povezana s skladiščem in z vlogo, da lahko ustvarja račune. Za isto identiteto je zato mogoče imeti več računov v istem skladišču, če ima ta identiteta več različnih vlog.

Ustvarjanje/spreminjanje/brisanje vrste računa za skladišče¶

Za upravljanje vrst računov, konfiguracijo različnih obrazcev itd. glejte stran Upravljanje vrst objektov.

Ustvarjanje/spreminjanje/brisanje pravilnika prijave¶

Za dostop do upravljanja pravilnikov prijave odprite meni „Access Management/Account Rules“.

Neposredno boste preusmerjeni na seznam obstoječih pravilnikov prijave, vnaprej naložen v tabeli brez uporabljenih filtrov.

Številčenje strani je nastavljeno tako, da je prikazanih samo 10 pravilnikov prijave.

Zgoraj desno v tabeli je na voljo iskalno polje. Iskanje zajema atributa „code“ in „name“ pravilnikov prijave.

Če želite ustvariti nov pravilnik prijave, kliknite gumb „“.

Vnesite parametre pravilnika prijave:

Code: koda pravilnika prijave. Mora biti enolična, brez presledkov ali posebnih znakov. Obvezno.
Name: ime pravilnika prijave. Oznaka, ki bo prikazana v različnih obrazcih aplikacije. Obvezno.
Description: polje za vnos opisa pravilnika prijave. Izbirno.
Formula (primary): formula za izračun, ki določa prijavno ime
Duplicate policy:
- Automatic increment: prijavno ime se izračuna s primarno formulo in dopolni z indeksom dvojnika. Indeks dvojnika ima obliko s 3 števkami.
  - Primer: Login_Calc002
- Formula (duplicate): formula za izračun po meri, ki se uporabi, če je pri izračunu prijavnega imena s primarno formulo zaznan dvojnik. Za upravljanje samodejnega povečevanja lahko uporabite ključno besedo §INDEX_DOUBLON§, vendar jo postavite na določeno mesto. Od različice Identity 7.0 SP3 se ključna beseda §INDEX_DOUBLON§ začne pri 1 in nima omejitve. V starejših različicah ima indeks dvojnika obliko s 3 števkami.
  - Primer: Formula (duplicate) Login2_Calc
Opozorilo: če želite preizkusiti formulo s to ključno besedo, morate §INDEX_DOUBLON§ zamenjati z vrednostjo. Te ključne besede v preizkuševalniku formul ni mogoče interpretirati, pri izračunu prijavnih imen pa deluje.
Action to take if a real account exists:
- Use and reconcile with the real account
- Generate a login with duplicate policy
- Do not generate an account
Actions to take if a theoretical account exists:
- Generate a login with duplicate policy
- Do not generate an account

Če želite prikazati in spremeniti pravilnik prijave, kliknite ikono „“ na desni strani ustrezne vrstice tabele:

Neposredno s strani za ogled pravilnika prijave je mogoče preklopiti v način urejanja.

V načinu urejanja je mogoče spremeniti vsa polja.

Dejanja gumbov v načinu urejanja ali ustvarjanja:

Cancel: prekliče trenutni vnos in preklopi stran v način ogleda
Save: potrdi obrazec in preklopi stran v način ogleda
Save and quit: potrdi obrazec in se vrne na stran s seznamom pravilnikov prijave

Če želite izbrisati pravilnik prijave, kliknite ikono „“ na desni strani ustrezne vrstice tabele:

Pred brisanjem pravilnika prijave se prikaže potrditveno sporočilo.

Opozorilo: pravilnika prijave ni mogoče izbrisati, dokler je povezan z enim ali več skladišči.

Ustvarjanje/spreminjanje/brisanje pravilnika za gesla¶

Za dostop do upravljanja pravilnikov za gesla odprite meni „Access management/Password rules“.

Neposredno boste preusmerjeni na seznam obstoječih pravilnikov za gesla, vnaprej naložen v tabeli brez uporabljenih filtrov.

Številčenje strani je nastavljeno tako, da je prikazanih samo 10 pravilnikov za gesla.

Zgoraj desno v tabeli je na voljo iskalno polje. Iskanje zajema atributa „code“ in „name“ pravilnikov za gesla.

Če želite ustvariti nov pravilnik za gesla, kliknite gumb „“:

Vnesite parametre pravilnika za gesla:

Code: koda pravilnika prijave. Mora biti enolična, brez presledkov ali posebnih znakov. Obvezno.
Name: ime pravilnika prijave. Oznaka, ki bo prikazana v različnih obrazcih aplikacije. Obvezno.
Description: polje za vnos opisa pravilnika za gesla. Izbirno.
Formula: formula za izračun, ki določa geslo

Če želite prikazati in spremeniti pravilnik za gesla, kliknite ikono „“ na desni strani ustrezne vrstice tabele:

V način urejanja lahko preklopite neposredno s strani za ogled pravilnika za gesla.

V načinu urejanja je mogoče spremeniti vsa polja.

Dejanja gumbov v načinu urejanja ali ustvarjanja:

Cancel: prekliče trenutni vnos in preklopi stran v način ogleda
Save: potrdi obrazec in preklopi stran v način ogleda
Save and quit: potrdi obrazec in se vrne na stran s seznamom pravilnikov za gesla

Če želite izbrisati pravilnik za gesla, kliknite ikono „“ na desni strani ustrezne vrstice tabele:

Pred brisanjem pravilnika za gesla se prikaže potrditveno sporočilo.

Opozorilo: pravilnika za gesla ne morete izbrisati, če je povezan z enim ali več skladišči.

Ogled računov v skladišču¶

Če želite poiskati račun, odprite meni „Accounts“.

Neposredno boste preusmerjeni na stran za iskanje računov za izbrano skladišče (prvo na seznamu), vnaprej naloženo brez uporabljenih filtrov, vendar ob upoštevanju dovoljenj, povezanih s profilom prijavljenega uporabnika.

Ker so računi povezani s skladiščem, morate za prikaz seznama povezanih računov izbrati želeno skladišče – bodisi prek zavihkov bodisi prek spustnega seznama.

Način prikaza je določen glede na število skladišč. Če je skladišč 10 ali manj, so prikazana v ločenih zavihkih, sicer so navedena v spustnem seznamu.

Številčenje strani je izvedeno tako, da je prikazanih samo 10 računov.

Zgoraj desno v tabeli je na voljo iskalno polje. Iskanje zajema prijavna imena računov in upošteva izbrano skladišče.

Konfiguracija tabele z rezultati iskanja računov¶

Če želite konfigurirati atribute, ki naj bodo vključeni v tabelo z rezultati iskanja računov, odprite stran za konfiguracijo atributov, izberite zavihek „Account“, odprite želeni atribut v načinu urejanja in potrdite možnost „Display in results table“.

Usklajevanje/preklic usklajevanja teoretičnega računa z dejanskim računom¶

Če želite odpreti stran za upravljanje usklajevanja računov, odprite meni „Accounts“ in aktivirajte možnost „Reconciliation“:

V oknu se prikažeta dve novi tabeli:

Druga tabela navaja osirotele račune v izbranem skladišču. Naj spomnimo: osiroteli računi so računi, ki so bili pridobljeni iz ciljnega skladišča, vendar niso povezani z nobeno identiteto v CyberElements Identity.

Tretja tabela navaja identitete, ki niso povezane z nobenim računom v izbranem skladišču.

V tej tabeli lahko za vsako identiteto brez računa:

Povežete obstoječi teoretični račun. To storite tako, da kliknete gumb desno od želene identitete in nato poiščete želeni obstoječi teoretični račun.
Ustvarite teoretični račun. To storite tako, da kliknete gumb desno od želene identitete in nato ustvarite teoretični račun z izbiro želene vrste računa.

Pomembna opomba

Funkcija je bila odstranjena iz starejših vmesnikov, ker obeh načinov ni mogoče ohraniti hkrati.

Diskrecijsko upravljanje vlog in avtorizacij¶

Če želite ročno spremeniti dodelitve vlog in avtorizacije identitete, odprite zapis želene identitete v načinu ogleda in pojdite na zavihek „Roles and Authorizations“.

Prikaže se tabela z vlogami, dodeljenimi identiteti. Za vsako vlogo vgnezdena tabela vsebuje avtorizacije, povezane z identiteto in dodeljene vlogi. Avtorizacija mora biti povezana s parom Identity/Role.

Če je usklajenih več identitet, se za vsako identiteto prikaže zavihek, kar vam omogoča izbiro želene identitete. Vloge/avtorizacije so povezane z identiteto in ne z verigo usklajevanja. Zato je treba pred ročnimi posodobitvami izbrati želeno identiteto.

Številčenje strani je nastavljeno tako, da je prikazanih samo 10 vlog.

V tabeli, vdelani pod vlogo, je številčenje strani nastavljeno tako, da je prikazanih samo 5 avtorizacij.

Zgoraj desno v tabeli vlog je na voljo iskalno polje. Iskanje temelji na imenih vlog.

V tabeli, vdelani pod vlogo, je na vrhu tabele avtorizacij na voljo iskalno polje. Iskanje zajema atribute „Category“, „Code“ in „Name“ avtorizacij.

V tabeli avtorizacij najdete naslednje informacije:

Njeno stanje:
- „Valid“: avtorizacija je vidna brez posebnih oznak
- „Blocked“: avtorizacija je vidna, vendar je v vmesniku prečrtana
Način dodelitve. Možne vrednosti so
- : ročno, z UID identitete, ki je izvedla dodelitev
- : pravilo avtorizacije z imenom pravila oziroma pravil
- : avtorizacija, dodeljena z dedovanjem vloge
- : prva ikona označuje, da je bila pravica dodana ročno (prek workflow), druga pa omogoča dostop do workflow (povezava do vmesnika za upravljanje workflow).

Če želite dodati eno ali več vlog ali dodati eno ali več avtorizacij več vlogam iste identitete, kliknite gumb „“ zgoraj desno v tabeli vlog.

Izberite želeno vlogo oziroma vloge in nato kliknite „Confirm“, da dodate vloge in nadaljujete na naslednji korak, ali „Cancel“, da prekličete postopek.

Če želite dodati eno ali več avtorizacij vlogi, ki je že povezana z identiteto, kliknite gumb „“ na desni strani ustrezne vrstice tabele vlog.

Izberite želeno avtorizacijo oziroma avtorizacije in nato kliknite gumb „Confirm“, da jih povežete z vlogo, ali gumb „Cancel“, da prekličete postopek. Nastavite lahko začetni in končni datum, ki bosta uporabljena za vse izbrane avtorizacije.

Gumbi dejanj za avtorizacije:
- : omogoča blokiranje avtorizacije.
- : omogoča odblokiranje avtorizacije.
- : omogoča certificiranje avtorizacije.
- : omogoča izbris certificiranja avtorizacije.
- : omogoča spremembo datumov veljavnosti. Gumb je na voljo samo za ročne pravice.
- : omogoča izbris ročne pravice. Pred odstranitvijo avtorizacije se prikaže potrditveno sporočilo.

Opozorilo: gumb za izbris avtorizacije je prikazan samo, če je bila avtorizacija dodeljena izključno diskrecijsko. Avtorizacija je lahko še vedno vidna s stanjem „pending deletion“, če je njeno stanje zagotavljanja „provisioned“.

Če želite odstraniti povezavo vloge z identiteto, kliknite ikono „“ na desni strani ustrezne vrstice v tabeli vlog.

Pred izbrisom vloge se prikaže potrditveno sporočilo.

Opozorilo: gumb za izbris vloge je prikazan samo, če je bila vloga dodeljena diskrecijsko. Vse avtorizacije, povezane s parom identiteta/vloga, bodo prav tako odstranjene, v primeru samodejnega zagotavljanja pa bo zanje pri naslednji sinhronizaciji izveden preklic zagotavljanja.

Upravljanje pravil avtorizacije¶

Pravila avtorizacije omogočajo konfiguracijo pravilnikov dostopa in samodejno dodeljevanje pravic identitetam, ki jih določi pravilo.

Pravilo avtorizacije je sestavljeno iz povezave:

na eni strani populacije uporabnikov, določene s filtriranjem po vlogah (RBAC), organizacijah (OrBAC) in/ali vrednostih atributov (ABAC),
na drugi strani vlog in aplikacijskih pravic.

Za dostop do upravljanja pravil avtorizacije odprite meni „Access Management / Authorization Rules“.

Neposredno boste preusmerjeni na stran s seznamom obstoječih pravil avtorizacije, vnaprej naloženo brez uporabljenih filtrov, vendar ob upoštevanju avtorizacij, povezanih s profilom prijavljene osebe.

Številčenje strani je nastavljeno tako, da je prikazanih samo 10 pravil.

Zgoraj desno v tabeli pravil je na voljo iskalno polje. Iskanje temelji na imenih pravil.

Če želite ustvariti novo pravilo avtorizacije, kliknite gumb „“.

Ustvarjanje pravila je sestavljeno iz treh delov:

Splošne nastavitve
- Name: ime pravila avtorizacije. Obvezno.
- Description: polje za vnos opisa pravila avtorizacije. Izbirno.
- Context: na spustnem seznamu, ki vsebuje predhodno ustvarjene kontekste, izberite enega ali več kontekstov.
Seznam meril: kliknite gumba „ “ ali „ “, da dodate pravilo filtriranja za identitete, ki bodo vključene v pravilo avtorizacije. Pravilo filtriranja je sestavljeno iz določitve atributa, za katerega naj se uporabi filter, operatorja primerjave in vrednosti za primerjavo.
- Gumb „“ omogoča dodajanje novega filtra na isti ravni kot prejšnji filter.
- Gumb „“ omogoča dodajanje skupine filtrov na isti ravni kot prejšnji filter. Filtre ali skupine filtrov je treba v skupino obvezno dodati z gumboma „“ ali „“ v tej skupini.
- Na vsaki ravni filtra morate določiti operator, ki se uporabi med posameznimi pravili filtra.
- Objekt, na katerem želite izvesti primerjavo. To je lahko:
  - Vloga
  - Atribut osebe
  - Atribut strukture
  - Atribut vira
- Operator primerjave. Seznam operatorjev primerjave je dinamičen in je odvisen od vrste izbranega objekta.
- Vrednost za primerjavo: vnesete jo ali izberete na spustnem seznamu glede na vrsto izbranega objekta in operator primerjave.

Dodate lahko poljubno število meril filtra. Med posameznimi pravili filtra je treba določiti operatorje, kot sta „AND“ ali „OR“. Za povečanje števila možnosti lahko ustvarite podskupine.

Primer: če želite ustvariti naslednje pravilo filtra:

(Person type = „Medical agent or External medical agent“ AND atribut „Job“ = „Biological unit manager“) OR (Person type = „Non-medical agent“ AND atribut „Job“ = „Environmental specialist“)

Merila filtra bodo konfigurirana takole:

Vloge in avtorizacije, ki jih je treba dodeliti v pravilu avtorizacije: za prikaz vlog in avtorizacij, ki naj bodo vključene v pravilo avtorizacije, sta na voljo dva zavihka. Zavihek Role prikazuje seznam vlog in na kratko navaja povezane avtorizacije, če obstajajo. Prav na tem zavihku je mogoče tudi dodajati ali odstranjevati vloge in avtorizacije. Zavihek Authorizations prikazuje seznam avtorizacij, dodanih pravilu, skupaj s povezano vlogo oziroma vlogami za vsako od njih. Ta zavihek ponuja le drugačen pogled.
- Če želite pravilu avtorizacije dodati vloge in avtorizacije, kliknite gumb „“ na zavihku „Roles“. Izbrati morate vsaj eno vlogo, nato pa po želji še avtorizacije.

Seznam avtorizacij je filtriran glede na izbrane vloge (vloga je povezana z enim ali več skladišči).

Če želite prikazati in spremeniti pravilo avtorizacije, kliknite ikono „“ na desni strani ustrezne vrstice tabele:

Način ogleda omogoča prikaz podrobnosti pravila avtorizacije in tudi seznama identitet, na katere vpliva pravilo.

Osebo lahko poiščete z iskalnim poljem zgoraj desno v tabeli.

V način urejanja lahko preklopite s klikom gumba „Edit“.

V načinu urejanja je mogoče spremeniti vsa polja.

Upoštevajte: seznam oseb, na katere vpliva pravilo, se ob spremembi pravila ne posodobi v realnem času. Posodobi se, ko je pravilo potrjeno in so izračuni končani.

Dejanja gumbov v načinu ustvarjanja in urejanja:

Cancel: prekliče trenutni vnos in preklopi stran v način ogleda
Save: potrdi obrazec in preklopi stran v način ogleda. Izračuni se izvedejo samodejno.
See Impact: prikaže učinke ustvarjanja ali posodobitve pravila. Učinki so prikazani v dveh tabelah:
- Prva tabela navaja učinke pravila na pravice, pri čemer upošteva samo ustvarjeno ali spremenjeno pravilo avtorizacije. Prikazane so vse identitete, ki ustrezajo merilom, vključno s tistimi, ki jim je bilo dovoljenje že dodeljeno drugje. Če torej oseba zaradi spremembe pravila avtorizacije dejansko izgubi svoje pravice, jih lahko še vedno ohrani na drug način.
- Druga tabela navaja skupne učinke pravila na pravice. Ta razdelek upošteva vsa pravila v CyberElements Identity, diskrecijske dodelitve pravic in pravice, ki jih blokira pravilo ločevanja pravic. Če je bilo identiteti dovoljenje že dodeljeno drugje, račun ne bo vključen na ta seznam. Prikazane so pravice, ki bodo ob potrditvi spremembe dejansko spremenjene/izbrisane.

V tej drugi tabeli je mogoče pred dejanskim izbrisom pravice uporabiti zamik (uporaba prehodnega obdobja ali obdobja prekrivanja).

Če želite izbrisati pravilo avtorizacije, kliknite ikono „“ na desni strani ustrezne vrstice tabele:

Pred izbrisom pravila avtorizacije se prikaže potrditveno sporočilo.

Ikona „“ označuje pravilo avtorizacije, ki se trenutno izračunava. Če je ikona zatemnjena, so izračuni končani.

Upravljanje pravil ločevanja dolžnosti (SoD)¶

Ločevanje dolžnosti (SoD): je bistveno varnostno načelo, ki vključuje razdelitev odgovornosti in privilegijev v organizaciji ali sistemu, da se zmanjšajo tveganja in preprečijo navzkrižja interesov. Uvede se za zagotavljanje odgovorne in varne uporabe informacijskih sistemov in virov podjetja.

Pravilo ločevanja dolžnosti je sestavljeno iz:

Določitve prednostne skupine
Dodajanja vlog ali avtorizacij v prednostno skupino s prednostno utežjo

Za dostop do upravljanja pravil ločevanja dolžnosti odprite meni „Access Management / SoD Rules“. Od različice 7.1 ta meni ponuja dva podmenija: Identities in Accounts.

Od različice 7.1 modul ločevanja dolžnosti omogoča ustvarjanje pravil, ki veljajo bodisi za avtorizacije bodisi za vloge, in dodajanje filtrov, ki ciljajo na identitete ali račune, da se omeji obseg pravila.

Oba podmenija ustrezata dvema ravnema, na katerih lahko velja pravilo:

Identities: za posamezno identiteto, ki bi imela med seboj nezdružljive pravice;
Accounts: kadar ima oseba več identitet, ki si delijo isti račun (združevanje računov), in za združene pravice teh identitet velja pravilo ločevanja dolžnosti.

Vsak od teh dveh podmenijev vsebuje dva zavihka, Roles in Rights. Zavihek Roles določa prednosti za vloge skupine, zavihek Rights pa za avtorizacije skupine. Spodaj opisani postopek je na obeh zavihkih enak, pri čemer je objekt, dodan v prednostno skupino, odvisno od primera vloga ali avtorizacija.

Pod kodo, imenom in opisom zapis pravila prikazuje tri bloke: seznam meril (filtri, ki ciljajo na identitete ali račune), seznam povezanih avtorizacij – ali vlog – in seznam identitet, na katere se nanaša pravilo.

Ko pravilo uporabniku zaklene ali odklene vlogo ali avtorizacijo, se postopek zabeleži v revizijskih zapisih z imenom pravila, ki ga je sprožilo. Ti zapisi omogočajo, da v primeru neželenega zaklepanja najdete pravilo, ki ga je treba pregledati.

Ogled in spreminjanje pravil urejata pravici „220_001 - View a segregation of duties rule“ in „220_002 - Modify a segregation of duties rule“ skladišča CyberElements Identity.

Neposredno boste preusmerjeni na stran s seznamom obstoječih pravil ločevanja dolžnosti, vnaprej naloženo brez uporabljenih filtrov, vendar ob upoštevanju avtorizacij, povezanih s profilom prijavljene osebe.

Številčenje strani je nastavljeno tako, da je prikazanih samo 10 pravil.

Zgoraj desno v tabeli pravil je na voljo iskalno polje. Iskanje temelji na imenu prednostnih skupin (= ime pravila ločevanja pravic).

Če želite ustvariti novo pravilo ločevanja pravic, kliknite gumb „“:

Ustvarjanje pravila ločevanja pravic poteka v dveh korakih.

Najprej vnesite splošne parametre:

Code: koda pravila ločevanja pravic. Obvezno.
Name: ime pravila dovoljenj. Obvezno.
Description: polje za vnos opisa pravila ločevanja pravic. Izbirno.

Shranite obrazec za ustvarjanje, da nadaljujete na drugi korak – dodajanje avtorizacij.

Če želite pravilu SoD dodati avtorizacijo, kliknite gumb „“ v tabeli „List of associated rights“.

Izberite želeno avtorizacijo in vnesite utež, ki določa prednost. Manjša kot je vrednost, višja je prednost.

Če želite spremeniti avtorizacijo v pravilu SoD, kliknite gumb „“ na desni strani ustrezne vrstice tabele.

Spremenite lahko avtorizacijo in/ali prednostno utež.

Če želite izbrisati avtorizacijo v pravilu SoD, kliknite gumb „“ na desni strani ustrezne vrstice tabele.

Če želite prikazati in spremeniti pravilo ločevanja dolžnosti, kliknite ikono „“ na desni strani ustrezne vrstice tabele.

V način urejanja lahko preklopite s klikom gumba „Edit“.

V načinu urejanja je mogoče spremeniti samo ime in opis

Če želite izbrisati pravilo ločevanja dolžnosti, kliknite ikono „“ na desni strani ustrezne vrstice tabele.

Pred izbrisom pravila avtorizacije se prikaže potrditveno sporočilo.

Oddajanje zahtev za pravice z obrazci¶

Oddaja zahteve za pravice¶

Zahteve za avtorizacije za osebo (ali zase) se oddajo v stari operativni konzoli prek menija „Run an ‘On demand’ workflow“.

Kliknite gumb „Refresh“, da prikažete seznam razpoložljivih workflow.

Kliknite želeni workflow, da oddate zahtevo za avtorizacijo.

Izberite eno ali več identitet, na katere se zahteva nanaša.

Na seznamu razpoložljivih izberite želene avtorizacije. Po potrebi določite začetni in končni datum.

Kliknite gumb „Add“.

Avtorizacije lahko poljubno dodajate ali odstranjujete. Če želite že izbrani avtorizaciji dodati datume veljavnosti, jo morate izbrisati in nato znova dodati s predhodno vnesenimi datumi.

Kliknite gumb „Start“ in potrdite pojavno okno.

Ko potrdite izvedbo workflow, boste samodejno preusmerjeni na stran, kjer si lahko ogledate čakajoče zahteve.

Oddaja zahteve za ročno zagotavljanje (ali preklic zagotavljanja) avtorizacije¶

Zahteve za ročno zagotavljanje (ali preklic zagotavljanja) se oddajo v stari operativni konzoli prek menija „Run an ‘On demand’ workflow“.

Kliknite gumb „Refresh“, da prikažete seznam razpoložljivih workflow.

Kliknite želeni workflow, da oddate zahtevo za zagotavljanje.

Izberite eno ali več identitet, na katere se zahteva nanaša.

Na seznamu razpoložljivih izberite želene avtorizacije. Po potrebi določite začetni in končni datum.

Kliknite gumb „Add“.

Avtorizacije lahko poljubno dodajate ali odstranjujete. Če želite že izbrani avtorizaciji dodati datume veljavnosti, jo morate izbrisati in nato znova dodati s predhodno vnesenimi datumi.

Kliknite gumb „Start“ in potrdite pojavno okno.

Ko potrdite izvedbo workflow, boste samodejno preusmerjeni na stran, kjer si lahko ogledate čakajoče zahteve.

Delegiranje avtorizacij¶

Delegiranje avtorizacij omogoča dodelitev pravic ene osebe (pooblastitelj) drugi osebi (pooblaščenec), običajno za začasno obdobje.

Ta funkcija je na voljo pooblastiteljem (odvisno od dovoljenj prijavljene osebe), vendar lahko od različice 7.0 pravice drugi identiteti delegira tudi tretja oseba (odvisno od dovoljenj prijavljene osebe), na primer skrbnik.

Za dostop do funkcije delegiranja avtorizacij odprite zapis želene identitete v načinu ogleda in pojdite na zavihek „Delegations“.

Številčenje strani je nastavljeno tako, da je prikazanih samo 10 pravil delegiranja.

Če želite dodati delegiranje, kliknite gumb „“ zgoraj desno v tabeli delegiranj.

Za ustvarjanje delegiranja vnesite naslednje informacije:

Pooblaščenec: oseba, ki prejme delegirane vloge in/ali avtorizacije (obvezno)
Delegirana vloga oziroma vloge (obvezno)
Delegirana avtorizacija oziroma avtorizacije (izbirno)
Začetni in končni datum delegiranja (izbirno)

Če želite spremeniti delegiranja, kliknite ikono „“ na desni strani ustrezne vrstice tabele.

Spremenite lahko vse parametre.

Če želite izbrisati delegiranje, kliknite ikono „“ na desni strani ustrezne vrstice tabele.

Pred izbrisom delegiranja se prikaže potrditveno sporočilo.

Ogled računov in avtorizacij identitete¶

Računi v različnih aplikacijskih skladiščih se izračunajo na podlagi določenih pravil upravljanja ter vlog in avtorizacij, dodeljenih identitetam.

Pravila upravljanja računov so:

Določitev stanja računa na podlagi stanja identitete,
Določitev pravil združevanja računov v primeru več identitet,
Določitev pravil ustvarjanja računov, ki temeljijo izključno na dodelitvi vloge.

Če si želite ogledati račune in avtorizacije, povezane z identiteto, odprite zapis želene identitete v načinu ogleda in pojdite na zavihek „Accounts“.

Ta zavihek je dostopen samo v načinu ogleda in prikazuje rezultate izračunov računov in avtorizacij za identiteto ali – v primeru usklajevanja identitet – za vse identitete. V slednjem primeru je zavihek skupen vsem identitetam v verigi usklajevanja.

Prikaže se tabela z izračunanimi računi. Za vsak račun vgnezdena tabela vsebuje avtorizacije, povezane z računom. Račun je mogoče ustvariti brez kakršnih koli povezanih avtorizacij.

Če je usklajenih več identitet in je račun skupen več identitetam (omogočena funkcija združevanja računov), je račun označen z ikono „“.

Številčenje strani je izvedeno tako, da je prikazanih samo 10 računov.

V tabeli, vdelani pod računom, je številčenje strani nastavljeno tako, da je prikazanih samo 5 avtorizacij.

Zgoraj desno v tabeli računov je na voljo iskalno polje. Iskanje zajema prijavna imena računov ali imena skladišč.

Teoretično stanje in stanje zagotavljanja računov sta vidna v vsaki vrstici tabele.

V tabeli, vdelani pod računom, je na vrhu tabele avtorizacij na voljo iskalno polje. Iskanje zajema imena aplikacij ali avtorizacij.

Teoretično stanje in stanje zagotavljanja avtorizacij sta vidna v vsaki vrstici tabele.

Legenda, ki pojasnjuje različna teoretična stanja in stanja zagotavljanja, uporabnikom pomaga razumeti različna stanja.

Stanje računa „Archived“¶

Od različice 7.1 obstaja novo teoretično stanje računa: stanje „Archived“.

V nekaterih primerih je nujno hraniti zgodovino računov v določenih skladiščih. Glavni primer uporabe je, da se nikoli ne ustvari prijavno ime, ki je morda že obstajalo v preteklosti.

To stanje se nanaša na račune, ki ne obstajajo več v ciljnem skladišču in niso več povezani z nobeno identiteto v CyberElements Identity. Ti računi se hranijo v zbirki podatkov Identity, vendar se nikoli ne sinhronizirajo. Prav tako se ne štejejo pri upravljanju licenc.

Stanje „Archived“ ima kodo 3, ki sledi štirim obstoječim stanjem:

Koda	Teoretično stanje računa
`-1`	No account
`0`	Theoretical account only
`1`	Account enabled
`2`	Account disabled
`3`	Account archived

Kadar je račun povezan z več identitetami, se njegovo stanje izračuna po naslednjem prednostnem vrstnem redu: Enabled, nato Disabled, nato Archived, nato Theoretical in nato No account. Račun je torej arhiviran samo, če mu nobena od povezanih identitet ne daje omogočenega, onemogočenega ali teoretičnega stanja. Oseba se šteje v licence samo, če ima vsaj en nearhiviran račun.

Modela arhiviranega računa ni več mogoče spremeniti: sprememba je zavrnjena s sporočilom o napaki.

Stanje „Archived“ lahko računu dodelite na dva načina:

prek modula za zagotavljanje SIP: v uvozu Identity vrste ACCOUNT ali vrste STATUS možnost nastavi stanje „Archived“ za račune, ugotovljene v operacijah brisanja. Glejte stran Ustvarjanje/spreminjanje pravil uvoza.
prek vmesnika, tako da teoretično stanje spremenite ročno in za vsak račun posebej, pod pogojem, da so izpolnjeni pogoji upravičenosti tako v obrazcu za spreminjanje kot v pravicah Identity.

Upravičenost v obrazcu se nastavi na atributu „Theoretical account status“ (account_state) v „Configuration / Attribute templates“, na zavihku „Account“: v razdelku „Display“ mora polje „Display in edit“ atribut narediti vidnega. Privzeto je nastavljeno na „Hide“ in teoretično stanje se takrat ne prikaže v obrazcu za spreminjanje računa.

Na strani pravic Identity spreminjanje podatkov računa ureja pravica „140_550_002 - Modify account details“ skladišča CyberElements Identity.

Opozorilo

Ker modul za zagotavljanje teh računov ne izvaža, je povrnitev iz arhiviranega stanja mogoča samo ročno in za vsak račun posebej v vmesniku, pod enakimi pogoji upravičenosti.

Ponastavitev gesla računa¶

Od različice 7.1 imajo računi nov sistemski logični atribut: account_password_reset.

Na straneh računov je prikazan kot gumb. Privzeto ima vrednost neresnično, njegova oznaka pa je „Reset password“. Ko ga kliknete, se vrednost spremeni v resnično, oznaka pa v „Password reset“.

Gumb je prikazan v desnem podoknu zapisa računa, pod imenom računa. V „Configuration / Attribute templates“, na zavihku „Account“, je atribut prikazan z oznako „Password reset state“ in vrsto „Boolean“. Samodejno se ustvari pri nadgradnji na različico 7.1, tako v zbirki podatkov SQL Server kot v zbirki podatkov PostgreSQL.

Opozorilo

Ta vrednost je samo teoretična. Da bi imela učinek, morate uporabiti povezovalnik za zagotavljanje ali workflow za ročno zagotavljanje. Spremembo vrednosti iz resnično v neresnično, ko je geslo v ciljni aplikaciji spremenjeno, mora prav tako obravnavati povezovalnik ali workflow za ročno zagotavljanje.

Uporaba v povezovalniku za zagotavljanje:

Za upravljanje sprememb gesel v povezovalnikih za samodejno zagotavljanje s tem sistemskim atributom je treba uporabiti povezovalnike, namenjene temu namenu. Ciljna aplikacija mora tudi dovoljevati spreminjanje gesel, kar ni vedno tako.

V pravilu sinhronizacije izvedite naslednje operacije:

operacijo pretvorbe za zaznavanje sprememb gesel;
v pravilu primerjave za vsako osebo primerjajte atribut account_password_reset z vrednostjo neresnično (tj. 0), da zaznate spremembo gesla;
v pravilu spreminjanja s sistemskim atributom password vsilite pošiljanje gesla v ciljni atribut.

Nato ustvarite vhodni povezovalnik za zagotavljanje, ki logično vrednost account_password_reset znova nastavi na neresnično.

Zagotavljanje/preklic zagotavljanja računov in avtorizacij¶

Postopek prenosa računov in avtorizacij, ki jih izračuna CyberElements Identity, v različna aplikacijska skladišča se imenuje izhodno zagotavljanje. CyberElements Identity ima torej pristojnost nad aplikacijami, določenimi za upravljanje računov in avtorizacij.

Zagotavljanje je mogoče upravljati na dva načina:

Bodisi je mogoče ustvariti samodejni povezovalnik (prek API, zbirke podatkov, imenika ali samodejne izmenjave ploskih datotek), v tem primeru govorimo o samodejnem zagotavljanju.
Bodisi samodejnega povezovalnika ni mogoče ustvariti, v tem primeru govorimo o polsamodejnem zagotavljanju.

Samodejno zagotavljanje/preklic zagotavljanja¶

Za zagotavljanje računov in avtorizacij v aplikacijskih skladiščih morate z modulom za zagotavljanje Systancia Identity Provisioning (SIP) ustvariti izhodni povezovalnik za zagotavljanje: iz CyberElements Identity, ki je avtoritativni izvor, bodo ob upoštevanju konfiguriranih pravil sinhronizacije računi in avtorizacije ustvarjeni, posodobljeni ali izbrisani v aplikacijskih skladiščih v skladu s pravili, določenimi v pravilih uvoza.

Zaporedje izhodnega zagotavljanja mora vsebovati vsaj naslednje elemente:

Izvoz skladišča Identity (avtoritativnega) vrste „USER + ACCESS“ ali „ACCOUNT + ACCESS“
Izvoz ciljnega aplikacijskega skladišča
Pravilo sinhronizacije
Pravilo uvoza v ciljnem aplikacijskem skladišču

Za ustvarjanje povezovalnika glejte stran „Upravljanje povezovalnikov za samodejno zagotavljanje“.

Polsamodejno zagotavljanje/preklic zagotavljanja¶

Povezovalnik za polsamodejno zagotavljanje se ustvari z workflow vrste „User request“ ali „Event“ z vsaj eno nalogo ročnega zagotavljanja ali preklica zagotavljanja.

V nalogi ročnega zagotavljanja so dejanja zagotavljanja, ki jih je treba izvesti, navedena v obvestilu, poslanem operaterju. Ko operater nalogo dokonča, lahko klikne gumb „Task validated“ in tako označi, da je zagotavljanje končano. Stanje zagotavljanja računa in/ali avtorizacij se posodobi v CyberElements Identity. Tako lahko skrbniki preverijo stanje pravic identitete.