Správa úložišť

Úložiště je definováno jako centralizovaný zdroj nebo umístění dat, které uchovává a spravuje informace o účtech uživatelů, skupin a prostředků v rámci systému nebo organizace.

V CyberElements Identity může úložiště obsahovat několik aplikací, mezi které jsou rozděleny účty, role a oprávnění.

Vytvoření/úprava/odstranění úložiště

Ke správě úložišť se dostanete v nabídce „Access Management/Repositories“.

Budete přesměrováni přímo na seznam existujících úložišť, předem načtený v tabulce bez použitých filtrů.

Stránkování je nastaveno tak, aby se zobrazovalo pouze 10 úložišť.

V pravém horním rohu tabulky je k dispozici pole hledání. Hledání zahrnuje atributy „code“ a „name“ úložišť.

Chcete-li vytvořit nové úložiště, klikněte na tlačítko „“.

Vyberte typ aplikace z katalogu konektorů.

Pokud úložiště není propojeno s automatickým konektorem, vyberte v kategorii Other možnost „Other“.

Nejprve zadejte obecné parametry úložiště:

• Code: kód úložiště. Musí být jedinečný, bez mezer a speciálních znaků. Povinné.
• Name: název úložiště. Popisek, který se zobrazí v různých formulářích aplikace. Povinné.
• Description: pole pro zadání popisu úložiště. Volitelné.
• Default role: vyberte roli, kterou budou workflow používat, pokud se pro úložiště podávají žádosti o autorizace. Volitelné.
• Export type: umožňuje určit typ exportu, který se použije v konektoru zřizování. Tato informace slouží k určení, jaký typ atributu se použije pro dynamické autorizace.

Pokud je vybrána možnost Account+Access, budou dynamické autorizace propojeny s atributy účtu; pokud je vybrána možnost user+Access, budou dynamické autorizace propojeny s atributy osoby. Tato informace je v případě automatického zřizování povinná; výchozí hodnota je Account+Access.

Kliknutím na tlačítko „SIP Configuration“ nakonfigurujete automatický konektor. Tlačítko není dostupné, pokud je jako úložiště vybrána možnost „Other“.

Potvrďte formulář pro vytvoření, abyste mohli nakonfigurovat aplikace a oprávnění, typy účtů a role úložiště.

Akce tlačítek v režimu vytváření:

• Cancel: zruší aktuální zadání a vrátí se na stránku se seznamem úložišť.
• Save: potvrdí formulář a přepne stránku do režimu zobrazení.
• Save and quit: potvrdí formulář a vrátí se na stránku se seznamem úložišť.

Chcete-li zobrazit a upravit úložiště, klikněte na ikonu „“ napravo od příslušného řádku tabulky:

Do režimu úprav můžete přejít přímo ze stránky zobrazení úložiště.

V režimu úprav lze upravit všechna pole.

Akce tlačítek v režimu úprav:

• Cancel: zruší aktuální zadání a přepne stránku do režimu zobrazení.
• Save: potvrdí formulář a přepne stránku do režimu zobrazení.
• Save and quit: potvrdí formulář a vrátí se na stránku se seznamem zásad přihlašování.

Chcete-li odstranit úložiště, klikněte na ikonu „“ napravo od příslušného řádku tabulky:

Před odstraněním úložiště se zobrazí potvrzovací zpráva.

Upozornění: úložiště nelze odstranit, dokud existují propojené objekty.

Konfigurace automatického konektoru (přes SIP)

Konfigurace automatického konektoru spočívá v definování parametrů připojení mezi CyberElements Identity a aplikací třetí strany. Režimy připojení mohou být:

• Adresář (AD, LDAP, OpenLDAP, ADLDS atd.)
• Plochý soubor (csv, xml)
• DB
• API (SCIM)

Pro každé úložiště je možné nakonfigurovat automatický konektor, který provádí sekvence zřizování (upstream nebo downstream). Upozorňujeme, že od verze 7.0 již pro úložiště Identity není nutné konfigurovat propojení ODBC. Komunikace mezi Systancia Identity Provisioning a CyberElements Identity je automatická a transparentní.

Přístup ke konfiguraci automatického konektoru je k dispozici na stránce úložiště otevřené v režimu zobrazení. Klikněte na tlačítko „SIP Configuration“.

Pro každou konfiguraci konektoru musíte bez ohledu na režim připojení zadat agenta zřizování. Pokud existuje jen jeden, je agent zřizování vyplněn ve výchozím nastavení.

Poznámka: ve verzi 7.0 lze nakonfigurovat pouze jednoho agenta zřizování. Ten se vytváří ve výchozím nastavení, ať už při upgradu, nebo při první instalaci.

Jinak se konfigurační formuláře liší podle režimu připojení, který se má nakonfigurovat.

Připojení typu adresář, starý konektor

Upozornění

Starý konektor adresáře se s verzí 7.1 stále dodává, ale od verze 7.2 bude zastaralý. Upřednostněte nový konektor, který nyní zvládá export i import.

Pro připojení typu adresář se starým konektorem, které umožňuje export a import (LDAP, AD, OpenLDAP atd.), je nutné zadat následující informace:

• Server: adresa serveru, na kterém se adresář nachází
• Port: port připojení
• SSL: zaškrtněte, pokud má být povoleno připojení SSL
• Base: kořen stromu, ze kterého se budou data extrahovat nebo do kterého se budou zapisovat. Např.: „DC=Domain,DC=local“
• Username: přihlašovací účet
• Password: heslo přihlašovacího účtu

Připojení typu adresář, nový konektor

Poznámka

Až do verze 7.0 zvládal nový konektor adresáře pouze čtení z úložišť typu adresář. Od verze 7.1 zvládá také zápis do těchto úložišť.

Pro připojení typu adresář s novým konektorem, které umožňuje export a import (LDAP, AD, OpenLDAP atd.), musíte zadat následující informace:

• Server: adresa serveru, na kterém se adresář nachází
• Port: port připojení
• SSL: zaškrtněte, pokud má být povoleno připojení SSL
• Domain: kořen stromu, ze kterého se budou data extrahovat nebo do kterého se budou zapisovat. Např.: „Domain.local“
• Username: přihlašovací účet
• Password: heslo přihlašovacího účtu
• Synchronization of groups managed by Identity only: zaškrtněte toto políčko, aby se SIP opíral o seznam skupin zabezpečení vytvořených a spravovaných v CyberElements Identity, nikoli o seznam zadaný ručně v exportu a v importu úložiště.
• Export code: kód exportu skupin, obvykle memberof@. Vyplňuje se, když je zaškrtnuta předchozí možnost.

Kód memberof@ označuje skupiny podle jejich názvu (CN), bez jejich umístění v adresáři — zatímco standardní atribut LDAP memberOf očekává úplný DN každé skupiny. Rozpoznává se bez ohledu na velikost písmen. Aby konektor porovnal očekávaný stav s adresářem, redukuje také aktuální skupiny objektu na jejich název a poté použije pouze nezbytná přidání a odebrání. Když je zaškrtnuta možnost „Synchronization of groups managed by Identity only“, exportují se pouze členství ve skupinách spravovaných v Identity: ostatní skupiny adresáře, do kterých uživatel patří, se nemění.

Tip

Kód memberof@ předpokládá jedinečné názvy skupin v adresáři. Pokud má několik skupin stejný název v různých organizačních jednotkách, použijte memberOf s úplnými DN.

Pokud skupina spravovaná v Identity v adresáři ještě neexistuje, konektor ji vytvoří s třídami objektů top a group. Cílová organizační jednotka zatím nebyla stanovena.

Připojení typu databáze

Pro připojení k databázi (SQL Server, Oracle, PostgreSQL atd.) musíte zadat následující informace:

• Předem vytvořený připojovací řetězec (propojení ODBC atd.)
• Username: přihlašovací účet
• Password: heslo přihlašovacího účtu

Připojení typu plochý soubor (CSV, TXT atd.)

• File name: úplná cesta k souboru.
• Skip the first line: zaškrtněte toto políčko, pokud soubor obsahuje záhlaví. Od verze 7.1 se toto záhlaví při importu zachovává.
• Format: ASCII nebo Unicode
• Separator: znak představující oddělovač sloupců
• Value separator: znak představující oddělovač hodnot v případě vícehodnotového atributu
• Multi-line for the same user: název atributu, jehož hodnota je jedinečná (např. osobní číslo zaměstnance, přihlašovací jméno atd.) a který slouží jako pivotní atribut pro správu vícenásobných hodnot.

Víceřádkový režim při zápisu, od verze 7.1:

Až do verze 7.0 byl víceřádkový režim podporován pouze při čtení: vícenásobné hodnoty se zapisovaly pouze s oddělovačem. Od verze 7.1 lze možnost „Multi-line for the same user“ nakonfigurovat také v úložišti výstupního textového souboru (csv, txt nebo jiného).

Pokud má objekt v synchronizačním souboru v určeném atributu několik hodnot, vytvořený soubor obsahuje tolik řádků, kolik je hodnot, a všechny ostatní atributy objektu se na každém z těchto řádků opakují.

Tímto způsobem může řádky generovat pouze jeden vícehodnotový atribut, a to na objekt a na úložiště. Ostatní vícehodnotové atributy zůstávají seskupené na jednom řádku a jejich hodnoty jsou oddělené oddělovačem definovaným v konfiguraci úložiště.

Vytvoření/úprava/odstranění aplikací a autorizací

Chcete-li přejít ke správě aplikací a autorizací úložiště, otevřete stránku úložiště v režimu zobrazení a poté otevřete kartu „Applications and Authorizations“.

Seznam existujících aplikací se načítá předem bez použitých filtrů, ale v souladu s oprávněními přidruženými k profilu přihlášené osoby.

Seznam autorizací přidružených k aplikaci se zobrazuje v tabulce vnořené do aplikace.

Stránkování je nastaveno tak, aby se zobrazovalo pouze 10 aplikací.

Ve vnořené tabulce autorizací je stránkování nastaveno tak, aby se zobrazovalo pouze 5 autorizací.

Vpravo nahoře v tabulce aplikací je k dispozici vyhledávací pole. Vyhledávání zahrnuje kód a název aplikací.

Podobně je ve vnořené tabulce autorizací k dispozici vyhledávací pole v horní části tabulky. Vyhledávání zahrnuje atributy autorizací „Category“, „Code“ a „Name“.

Chcete-li vytvořit novou aplikaci, klikněte na tlačítko „“ vpravo nahoře v tabulce aplikací.

Zadejte parametry aplikace:

• Code: kód aplikace. Musí být jedinečný, bez mezer a speciálních znaků. Povinné.
• Name: název aplikace. Popisek, který se bude zobrazovat v různých formulářích aplikace. Povinné.
• Description: pole pro zadání popisu aplikace. Volitelné.
• Responsible: vyberte jednu nebo více osob ze seznamu identit. Volitelné.

Chcete-li vytvořit novou autorizaci, otevřete vnořenou tabulku aplikace, ke které chcete autorizaci připojit, a klikněte na tlačítko „“ vpravo nahoře v tabulce autorizací.

Zadejte parametry autorizace:

• Code: kód autorizace. Musí být jedinečný, bez mezer a speciálních znaků. Povinné.
• Name: název autorizace. Popisek, který se bude zobrazovat v různých formulářích aplikace. Povinné.
• Description: pole pro zadání popisu aplikace. Volitelné.
• Category: vyberte kategorii ze seznamu nebo vytvořte novou kategorii. Chcete-li vytvořit novou kategorii, klikněte na tlačítko „“ napravo od rozevíracího seznamu. Volitelné.

• Type:
  • Group. Možnost dostupná pro zajištění zpětné kompatibility v případě upgradu verze. Tato možnost je od verze 7.0 zastaralá.
  • Attribute
• Mode:
  • Static: hodnota práva, kterou je třeba definovat
  • Dynamic: hodnota z atributu
• Export code: název atributu, který se bude exportovat v exportech „USER+ACCESS“ a „ACCOUNT+ACCESS“
• Export value:
  • Buď volné pole, pokud Mode = static
  • Nebo pole pro výběr atributu, pokud Mode = dynamic. Atribut musí být atributem účtu, pokud je konektor vytvořen s typem exportu „ACCOUNT + ACCESS“, nebo atributem identity, pokud je konektor vytvořen s typem exportu „USER + ACCESS“

Poznámka: export „USER + ACCESS“ je ve verzi 7.0 zachován kvůli zpětné kompatibilitě v případě upgradu verze. Od verze 7.0 je zastaralý.

Chcete-li upravit aplikaci, klikněte na ikonu „“ napravo v příslušném řádku tabulky.

Všechna pole lze upravit.

Chcete-li upravit autorizaci, otevřete vnořenou tabulku aplikace, ve které chcete autorizaci upravit, a klikněte na ikonu „“ napravo v příslušném řádku tabulky.

Všechna pole lze upravit.

Akce tlačítek v režimu vytváření a úprav (aplikace a autorizace):

• Cancel: zruší aktuální zadání a vrátí se na stránku úložiště.
• Save: potvrdí formulář a vrátí se na stránku úložiště

Chcete-li odstranit aplikaci, klikněte na ikonu „“ napravo od příslušného řádku tabulky.

Před odstraněním aplikace se zobrazí potvrzovací zpráva.

Upozornění: aplikaci nelze odstranit, dokud existují související objekty.

Chcete-li odstranit autorizaci, otevřete vnořenou tabulku aplikace, ve které chcete autorizaci odstranit, a klikněte na tlačítko „“ napravo v příslušném řádku tabulky.

Před odstraněním autorizace se zobrazí potvrzovací zpráva.

Upozornění: autorizaci nelze odstranit, dokud existují související objekty.

Správa rolí

Od verze 7.0 jsou role součástí správy šablon práv. Role, které mohou odpovídat pracovním profilům, umožňují předem definovat sadu oprávnění, ale v případě potřeby také vytvořit pro jednu identitu více účtů. Například osobě, která má roli správce a roli standardního uživatele, lze přiřadit dva účty, aby používala ten, který vyžadují operace, jež potřebuje provést.

Od verze 7.1 podporuje správa rolí také data platnosti, zamykání a odemykání role, certifikaci — ruční nebo prostřednictvím certifikační kampaně — a správu oddělení povinností (SoD).

Poznámka

Tyto čtyři pojmy jsou popsány na úrovni autorizace na stránce Správa účtů a autorizací. Poznámky k vydání 7.1 ohlašují jejich podporu u rolí, aniž by podrobně popisovaly obrazovky.

Zamknutí a certifikace role se provádějí ze záznamu identity na kartě teoretických rolí a autorizací: nabídka ⋮ každé role nabízí přidání autorizace a akce Lock the role a Certify the role. Zamykání a odemykání se řídí dvěma samostatnými právy pro správu podle toho, zda je role přiřazena identitě, nebo účtu.

Zamknutou roli již nezohledňují pravidla sladění založená na aktivních rolích. Účet, který byl se svou identitou propojen pouze prostřednictvím této role, se proto stane osiřelým: jedná se o očekávané chování. Před zamknutím role zkontrolujte účty, které na ní závisejí.

Vytvoření/úprava/odstranění role (pracovního profilu)

Chcete-li přejít ke správě rolí, přejděte do nabídky „Access Management/Roles“.

Budete přesměrováni přímo na seznam existujících rolí, předem načtený v tabulce bez použitých filtrů, ale s ohledem na oprávnění přidružená k profilu přihlášené osoby.

Stránkování je nastaveno tak, aby se zobrazovalo pouze 10 rolí.

Vpravo nahoře v tabulce je k dispozici vyhledávací pole. Vyhledávání se zaměřuje na atributy rolí „code“ a „name“.

Chcete-li vytvořit novou roli, klikněte na tlačítko „“.

Zadejte obecné parametry role:

• Code: kód role. Musí být jedinečný, bez mezer a speciálních znaků. Povinné.
• Name: název role. Popisek, který se bude zobrazovat v různých formulářích aplikace. Povinné.
• Description: pole pro zadání popisu role. Volitelné.

Potvrďte formulář pro vytvoření, abyste mohli přidat propojení s úložišti a výchozí autorizace.

Chcete-li zobrazit a upravit roli, klikněte na ikonu „“ napravo od příslušného řádku tabulky.

Do režimu úprav je možné přejít přímo ze stránky zobrazení role.

V režimu úprav lze upravit všechna pole.

Akce tlačítek v režimu úprav nebo vytváření:

• Cancel: zruší aktuální zadání a přepne stránku do režimu zobrazení
• Save: potvrdí formulář a přepne stránku do režimu zobrazení
• Save and quit: potvrdí formulář a vrátí se na stránku se seznamem rolí

Chcete-li odstranit roli, klikněte na ikonu „“ vpravo od příslušného řádku tabulky.

Před odstraněním role se zobrazí potvrzovací zpráva.

Upozornění: roli nelze odstranit, dokud existují související objekty.

• Na této konfigurační stránce můžete spravovat propojení s úložišti.
• Na této konfigurační stránce můžete spravovat výchozí autorizace role.

Správa propojení mezi úložištěm a rolí

Vytvoření propojení mezi rolí a úložištěm umožňuje vygenerovat účet, když má identita roli a splňuje podmínky pro získání účtu (stav identity, zda identita má, či nemá práva atd.).

Propojení mezi úložištěm a rolí lze vytvořit dvěma různými způsoby:

• Buď na konfigurační stránce role
• Nebo na konfigurační stránce úložiště

Chcete-li přidat propojení s úložištěm z konfigurační stránky role, otevřete požadovanou roli v režimu zobrazení a otevřete kartu „Repository“. Seznam úložišť přidružených k roli se načítá předem bez použitých filtrů, ale s ohledem na oprávnění přidružená k profilu přihlášené osoby.

Stránkování je nastaveno tak, aby se zobrazovalo pouze 10 existujících propojených úložišť.

Vpravo nahoře v tabulce propojených úložišť je k dispozici vyhledávací pole. Vyhledávání vychází z názvů úložišť.

Chcete-li vytvořit nové propojení s úložištěm, klikněte na tlačítko „“ vpravo nahoře v tabulce.

Vyberte úložiště ze seznamu a poté vyberte typ účtu, který se má použít. Uložte, aby se propojení zaznamenalo.

Tento postup opakujte pro každé propojení, které chcete vytvořit.

Chcete-li upravit úložiště propojené s rolí, klikněte na ikonu „“ napravo v příslušném řádku tabulky.

Typ účtu lze upravit.

Chcete-li odstranit úložiště propojené s rolí, klikněte na ikonu „“ napravo v příslušném řádku tabulky.

Chcete-li přidat propojení s úložištěm z konfigurační stránky úložiště, otevřete požadované úložiště v režimu zobrazení a poté otevřete kartu „Roles“. Seznam přidružených rolí se načítá předem bez použitých filtrů, ale s ohledem na oprávnění přidružená k profilu přihlášené osoby.

Stránkování je nastaveno tak, aby se zobrazovalo pouze 10 existujících propojení role/úložiště.

Vpravo nahoře v tabulce propojení role/úložiště je k dispozici vyhledávací pole. Vyhledávání vychází z názvů rolí.

Chcete-li vytvořit nové propojení role/úložiště, klikněte na tlačítko „“ vpravo nahoře v tabulce.

Vyberte roli ze seznamu a poté vyberte typ účtu, který se má použít. Uložte, aby se propojení zaznamenalo.

Chcete-li upravit přidružení role-úložiště, klikněte na ikonu „“ napravo v příslušném řádku tabulky.

Typ účtu lze upravit.

Akce tlačítek v režimu vytváření a úprav:

• Cancel: zruší aktuální zadání a vrátí se na stránku úložiště.
• Save: potvrdí formulář a vrátí se na stránku úložiště

Chcete-li odstranit přidružení role-úložiště, klikněte na ikonu „“ napravo od příslušného řádku tabulky.

Před odstraněním přidružení role-úložiště se zobrazí potvrzovací zpráva.

Upozornění: přidružení role-úložiště nelze odstranit, dokud existují propojené objekty.

Správa výchozích autorizací role

Pokud má role výchozí autorizace, pak identita, která má tuto roli, zdědí také výchozí autorizace role. Tato funkce nahrazuje skupiny práv z předchozích verzí produktu.

Chcete-li přidat výchozí autorizace k roli, otevřete požadovanou roli v režimu zobrazení a poté otevřete kartu „Authorizations“. Klikněte na tlačítko „“.

Vyberte požadovaná práva a klikněte na „Validate“, chcete-li přidat autorizace k roli, nebo na „Cancel“, chcete-li operaci zrušit.

Zobrazení identit propojených s rolí

Od verze 7.1 má stránka zobrazení role další kartu „Identities“, která obsahuje seznam identit propojených s rolí.

Stránka zobrazení role tak má tři karty: „Repositories“, „Rights“ a „Identities“. Poslední z nich zobrazuje pro každou identitu její UID, příjmení, jméno, hlavní identitu, typ osoby a stav, a to s možností vyhledávání.

Duplikování role

Od verze 7.1 je možné vytvořit roli duplikováním existující role. Úložiště a autorizace propojené s duplikovanou rolí se přenesou do nové role.

Duplikování se spouští ze seznamu rolí („Access Management/Roles“): nabídka ⋮ na konci řádku nabízí akci duplikování.