Eine Just-in-time-Zugriffsanfrage konfigurieren¶
Eine Just-in-time-Zugriffsanfrage (JIT) stellt eine Anwendung hinter eine Genehmigung: Der Benutzer startet sie nicht mehr unmittelbar, sondern fordert sie an, und ein Administrator gewährt den Zugriff — wahlweise für eine einmalige Nutzung, für ein Zeitfenster oder für eine begrenzte Sitzungsdauer.
Das ist der Mechanismus für die Ressourcen, bei denen über jeden Zugriff entschieden werden muss, statt ihn ein für alle Mal zu gewähren.
Wie der Mechanismus zusammenwirkt¶
- In einer Zugriffsrichtlinie werden einige der einer Gruppe gewährten Anwendungen als eingeschränkt gekennzeichnet.
- Im Portal erscheinen diese Anwendungen, lassen sich aber nicht starten: Der Benutzer sendet eine Anfrage.
- Im Modul Workflow nimmt der Administrator sie an oder lehnt sie ab. Die Annahme erzeugt einen Workflow, also die eigentliche Berechtigung, mit ihren Einschränkungen.
- Der Benutzer startet die Anwendung innerhalb der Grenzen dieses Workflows.
Eingeschränkt wird in der Zugriffsrichtlinie, gewährt im Modul Workflow
Die beiden Module sind nicht austauschbar: Access Policies entscheidet, welche Anwendungen einer Anfrage unterliegen, Workflows beantwortet die Anfragen. Eine Anwendung, die dort nicht eingeschränkt ist, erzeugt nie eine Anfrage.
Schritt 1 — Die Anwendungen hinter einen Workflow stellen¶
Öffnen Sie das Modul Access Policies und bearbeiten — oder erstellen — Sie den Vertrag, der die betroffenen Benutzer abdeckt. Gehen Sie seine Registerkarten der Reihe nach durch: die Benutzergruppen, den Standort, der Zugriff auf die Ressourcen gibt, und dann die für diese Benutzer veröffentlichten Anwendungen.
Verschieben Sie auf der Registerkarte Applications to restrict die Anwendungen, deren Zugriff genehmigt werden muss, in die Liste der eingeschränkten Anwendungen.
| Option | Wirkung |
|---|---|
| Applications to restrict | Zweispaltige Liste. Was Sie nach rechts verschieben, unterliegt einer Anfrage. |
| Ask the user to complete a form when requesting access | Fordert den Benutzer auf, seine Anfrage zu begründen. Die Antworten werden dem Administrator bei der Bearbeitung der Anfrage angezeigt. |
Klicken Sie auf Validate.
Eingeschränkt werden kann nur, was bereits gewährt wurde
Die Liste bietet die Anwendungen an, die zuvor im selben Vertrag ausgewählt wurden: Einschränken verengt einen bereits gewährten Zugriff, es ist kein Weg, einen zu gewähren.
Schritt 2 — Was der Benutzer sieht¶
Im Portal wird eine eingeschränkte Anwendung angezeigt, ist aber gesperrt. Ein Klick darauf öffnet die Anfrage, statt die Anwendung zu starten — mit dem auszufüllenden Formular, sofern die Option in Schritt 1 aktiviert wurde.
Der Benutzer wartet dann auf die Antwort des Administrators. Sobald der Zugriff gewährt ist, lässt sich die Anwendung innerhalb der vom Workflow gesetzten Grenzen starten.
Schritt 3 — Die Anfrage beantworten¶
Öffnen Sie das Modul Workflow und wechseln Sie auf die Registerkarte Users request. Wählen Sie die wartende Anfrage aus und klicken Sie dann auf Accept the request oder Refuse the request.
Die Annahme öffnet ein Fenster, das mit dem Benutzer, seiner Domäne und der angeforderten Ressource vorbelegt ist.
Über die Benennung des Workflows hinaus werden hier die Einschränkungen gesetzt, und sie summieren sich:
| Einschränkung | Was sie begrenzt |
|---|---|
| Unique usage | Die Anwendung kann nur einmal gestartet werden. Ein weiterer Zugriff bedeutet eine weitere Anfrage. |
| Mandatory comment | Der Benutzer gibt vor dem Start einen Grund an. Der Kommentar wird anschließend zusammen mit der Sitzungsaufzeichnung angezeigt. |
| Date | Der Zeitraum, innerhalb dessen die Anwendung geöffnet werden kann. |
| Hour | Das Zeitfenster, innerhalb dessen sie geöffnet werden kann. |
| Maximum session duration | Wie lange die Sitzung dauern darf, bevor sie geschlossen wird. |
Eine Bestätigung ohne jede Einschränkung erzeugt eine zeitlich unbegrenzte Berechtigung, und die Konsole verlangt vor deren Erstellung eine zusätzliche Bestätigung — das ist der Moment, um zu prüfen, ob das wirklich so beabsichtigt war.
Das vollständige Verhalten der beiden Registerkarten, der Ablehnung und der Löschungen ist in Workflows beschrieben.
Das Löschen eines Workflows entzieht den Zugriff
Das Löschen eines Workflows entfernt die Berechtigung: Der Benutzer muss eine neue Anfrage stellen. Veraltete Workflows — abgelaufene Daten, aufgebrauchte einmalige Nutzung, erreichte Sitzungsdauer — werden vom System selbst gelöscht.
Schritt 4 — Über eingehende Anfragen benachrichtigt werden¶
Standardmäßig weist keine E-Mail den Administrator darauf hin, dass eine Anfrage gestellt wurde. Solange keine Benachrichtigung eingerichtet ist, müssen die Anfragen in der Konsole gesucht werden.
Um benachrichtigt zu werden:
- Halten Sie im Modul SMTP servers einen SMTP-Server bereit.
- Erstellen Sie im Modul Notification profiles ein Profil: den SMTP-Server, den Absender und die Empfänger, und aktivieren Sie dann auf der Registerkarte Settings die Option Application access requests.
- Das Aktivieren dieser Option schaltet die Registerkarte Applications frei: Öffnen Sie sie, markieren Sie die betroffenen Anwendungen und bestätigen Sie.