Конфигуриране на заявка за достъп just-in-time¶
Заявката за достъп just-in-time (JIT) поставя приложението зад одобрение: потребителят вече не го стартира директно, а го заявява, и администратор дава достъпа — по избор за еднократно използване, за времеви прозорец или за ограничена продължителност на сесията.
Това е механизмът, който се използва за ресурсите, за всеки достъп до които трябва да се взема решение, вместо той да бъде даден веднъж завинаги.
Как работи механизмът¶
- В политика за достъп някои от приложенията, дадени на група, се отбелязват като ограничени.
- В портала тези приложения се показват, но не могат да бъдат стартирани: потребителят изпраща заявка.
- В модула Workflow администраторът я приема или отхвърля. Приемането създава работен поток, тоест действителното упълномощаване, с неговите ограничения.
- Потребителят стартира приложението в рамките на този работен поток.
Ограничаването става в политиката за достъп, а даването на достъп – в модула Workflow
Двата модула не са взаимозаменяеми: Access Policies определя кои приложения изискват заявка, а Workflows отговаря на заявките. Приложение, което не е ограничено там, никога не генерира заявка.
Стъпка 1 — Поставете приложенията зад работен поток¶
Отворете модула Access Policies и редактирайте — или създайте — договора, който обхваща съответните потребители. Преминете по ред през разделите му: групите потребители, сайта, който дава достъп до ресурсите, и след това приложенията, публикувани за тези потребители.
В раздела Applications to restrict преместете в списъка с ограничени приложенията, достъпът до които трябва да бъде одобряван.
| Опция | Какво прави |
|---|---|
| Applications to restrict | Списък с две колони. Това, което преместите вдясно, започва да изисква заявка. |
| Ask the user to complete a form when requesting access | Изисква от потребителя да обоснове заявката си. Отговорите се показват на администратора при обработването на заявката. |
Щракнете върху Validate.
Може да се ограничи само това, което вече е дадено
Списъкът предлага приложенията, избрани по-рано в същия договор: ограничаването стеснява вече даден достъп, а не е начин за даването му.
Стъпка 2 — Какво вижда потребителят¶
В портала ограниченото приложение се показва, но е заключено. Щракването върху него отваря заявката, вместо да стартира приложението — с формуляра за попълване, ако опцията е била отметната в стъпка 1.
След това потребителят изчаква отговора на администратора. След като достъпът бъде даден, приложението може да се стартира в рамките, зададени от работния поток.
Стъпка 3 — Отговорете на заявката¶
Отворете модула Workflow и отидете в раздела Users request. Изберете чакащата заявка, след което щракнете върху Accept the request или Refuse the request.
Приемането отваря прозорец, предварително попълнен с потребителя, неговия домейн и заявения ресурс.
Освен за именуване на работния поток, тук се задават ограниченията, и те се натрупват:
| Ограничение | Какво ограничава |
|---|---|
| Unique usage | Приложението може да бъде стартирано само веднъж. Всеки следващ достъп изисква нова заявка. |
| Mandatory comment | Потребителят посочва причина преди стартирането. След това коментарът се показва заедно със записа на сесията. |
| Date | Периодът от дати, в който приложението може да бъде отворено. |
| Hour | Времевият прозорец, в който то може да бъде отворено. |
| Maximum session duration | Колко дълго може да продължи сесията, преди да бъде затворена. |
Валидирането без никакво ограничение създава упълномощаване без времево ограничение, а конзолата ви кара да потвърдите още веднъж преди създаването му — това е моментът да проверите дали наистина това е било намерението.
Пълното описание на поведението на двата раздела, на отхвърлянето и на изтриванията се намира в Workflows.
Изтриването на работен поток отнема достъпа
Изтриването на работен поток премахва упълномощаването: потребителят трябва да подаде нова заявка. Остарелите работни потоци — с изтекли дати, изчерпано еднократно използване, достигната продължителност на сесията — се изтриват автоматично от системата.
Стъпка 4 — Получавайте известия за входящите заявки¶
По подразбиране никакъв имейл не уведомява администратора, че е подадена заявка. Докато не бъде настроено известие, заявките трябва да се търсят в конзолата.
За да получавате известия:
- Осигурете наличен SMTP сървър в модула SMTP servers.
- В модула Notification profiles създайте профил: SMTP сървъра, подателя и получателите, след което в раздела Settings отметнете опцията Application access requests.
- Отметването на тази опция активира раздела Applications: отворете го, отметнете съответните приложения, след което потвърдете.