Repositoryjen hallinta

Repository määritellään keskitetyksi lähteeksi tai tietojen sijainniksi, joka tallentaa ja hallinnoi järjestelmän tai organisaation käyttäjien, ryhmien ja resurssien tilitietoja.

CyberElements Identity -ratkaisussa repositoryyn voi kuulua useita sovelluksia, joihin tilit, roolit ja käyttöoikeudet jakautuvat.

Repositoryn luonti/muokkaus/poisto

Siirry repositoryjen hallintaan valikosta ”Access Management/Repositories”.

Siirryt suoraan olemassa olevien repositoryjen luetteloon, joka on ladattu taulukkoon valmiiksi ilman suodattimia.

Sivutus on määritetty näyttämään vain 10 repositorya.

Taulukon oikeassa yläkulmassa on hakukenttä. Haku kattaa repositoryjen attribuutit ”code” ja ”name”.

Luo uusi repository napsauttamalla painiketta ””.

Valitse sovelluksen tyyppi liitinkatalogista.

Jos repositorya ei ole liitetty automaattiseen liittimeen, valitse vaihtoehto ”Other” luokassa Other.

Syötä ensin repositoryn yleiset parametrit:

• Code: repositoryn koodi. Sen on oltava yksilöllinen, ilman välilyöntejä ja erikoismerkkejä. Pakollinen.
• Name: repositoryn nimi. Nimi näytetään sovelluksen eri lomakkeissa. Pakollinen.
• Description: kenttä repositoryn kuvauksen syöttämiseen. Valinnainen.
• Default role: valitse rooli, jota workflow't käyttävät, jos repositorylle tehdään valtuutuspyyntöjä. Valinnainen.
• Export type: määrittää vientityypin, jota käytetään provisiointiliittimessä. Tämän tiedon perusteella määräytyy, minkä tyyppistä attribuuttia käytetään dynaamisille valtuutuksille.

Jos valitaan Account+Access, dynaamiset valtuutukset liitetään tilin attribuutteihin; jos valitaan user+Access, dynaamiset valtuutukset liitetään henkilön attribuutteihin. Tämä tieto on pakollinen automaattisessa provisioinnissa; oletusarvo on Account+Access.

Napsauta painiketta ”SIP Configuration”, niin voit määrittää automaattisen liittimen. Painike ei ole käytettävissä, jos repositoryksi on valittu ”Other”.

Vahvista luontilomake, niin voit määrittää sovellukset ja käyttöoikeudet, tilityypit sekä repositoryn roolit.

Painikkeiden toiminnot luontitilassa:

• Cancel: peruuttaa nykyisen syötön ja palaa repositoryjen luettelosivulle.
• Save: vahvistaa lomakkeen ja vaihtaa sivun tarkastelutilaan.
• Save and quit: vahvistaa lomakkeen ja palaa repositoryjen luettelosivulle.

Voit tarkastella ja muokata repositorya napsauttamalla kuvaketta ””, joka on taulukon vastaavan rivin oikealla puolella:

Voit siirtyä muokkaustilaan suoraan repositoryn tarkastelusivulta.

Muokkaustilassa kaikkia kenttiä voi muuttaa.

Painikkeiden toiminnot muokkaustilassa:

• Cancel: peruuttaa nykyisen syötön ja vaihtaa sivun tarkastelutilaan.
• Save: vahvistaa lomakkeen ja vaihtaa sivun tarkastelutilaan.
• Save and quit: vahvistaa lomakkeen ja palaa kirjautumiskäytäntöjen luettelosivulle.

Poista repository napsauttamalla kuvaketta ””, joka on taulukon vastaavan rivin oikealla puolella:

Ennen repositoryn poistamista näytetään vahvistusviesti.

Varoitus: repositorya ei voi poistaa, jos siihen liitettyjä objekteja on olemassa.

Automaattisen liittimen määritys (SIP:n kautta)

Automaattisen liittimen määritys tarkoittaa CyberElements Identity -ratkaisun ja kolmannen osapuolen sovelluksen välisten yhteysparametrien määrittämistä. Yhteystapoja voivat olla:

• hakemisto (AD, LDAP, OpenLDAP, ADLDS jne.)
• litteä tiedosto (csv, xml)
• DB
• API (SCIM)

Jokaiselle repositorylle voi määrittää automaattisen liittimen provisiointisarjojen (ylä- tai alavirtaan) suorittamiseksi. Huomaa, että versiosta 7.0 alkaen Identity-repositorylle ei tarvitse enää määrittää ODBC-yhteyttä. Systancia Identity Provisioning -komponentin ja CyberElements Identity -ratkaisun välinen viestintä on automaattista ja läpinäkyvää.

Automaattisen liittimen määritykseen pääsee tarkastelutilassa avatulta repositoryn sivulta. Napsauta painiketta ”SIP Configuration”.

Jokaisessa liittimen määrityksessä on yhteystavasta riippumatta ilmoitettava provisiointiagentti. Provisiointiagentti on merkitty oletuksena, kun niitä on vain yksi.

Huomautus: versiossa 7.0 voi määrittää vain yhden provisiointiagentin. Se luodaan oletuksena sekä päivityksessä että ensiasennuksessa.

Muutoin määrityslomakkeet vaihtelevat määritettävän yhteystavan mukaan.

Hakemistotyypin yhteys, vanha liitin

Varoitus

Vanha hakemistoliitin toimitetaan vielä version 7.1 mukana, mutta se vanhentuu versiosta 7.2 alkaen. Käytä mieluummin uutta liitintä, joka hoitaa nyt sekä viennin että tuonnin.

Hakemistotyypin yhteydelle, vanha liitin, joka mahdollistaa viennin ja tuonnin (LDAP, AD, OpenLDAP jne.), on syötettävä seuraavat tiedot:

• Server: sen palvelimen osoite, jolla hakemisto on
• Port: yhteysportti
• SSL: valitse tämä, jos SSL-yhteys halutaan ottaa käyttöön
• Base: hakemistopuun juuri, josta tiedot poimitaan tai johon ne kirjoitetaan. Esimerkki: ”DC=Domain,DC=local”
• Username: yhteystili
• Password: yhteystilin salasana

Hakemistotyypin yhteys, uusi liitin

Huomautus

Versioon 7.0 asti uusi hakemistoliitin hoiti vain lukemisen hakemistotyyppisistä repository'istä. Versiosta 7.1 alkaen se hoitaa myös kirjoittamisen näihin repository'ihin.

Hakemistotyyppiselle yhteydelle (uusi liitin, joka mahdollistaa viennin ja tuonnin: LDAP, AD, OpenLDAP jne.) on annettava seuraavat tiedot:

• Server: sen palvelimen osoite, jolla hakemisto on
• Port: yhteysportti
• SSL: valitse tämä, jos SSL-yhteys halutaan ottaa käyttöön
• Domain: hakemistopuun juuri, josta tiedot poimitaan tai johon ne kirjoitetaan. Esimerkki: ”Domain.local”
• Username: yhteystili
• Password: yhteystilin salasana
• Synchronization of groups managed by Identity only: valitse valintaruutu, jotta SIP perustuu CyberElements Identity -tuotteessa luotujen ja hallittujen suojausryhmien luetteloon eikä repository'n vientiin ja tuontiin manuaalisesti syötettyyn luetteloon.
• Export code: ryhmien viennin koodi, yleensä memberof@. Täytetään, kun edellinen vaihtoehto on valittuna.

Koodi memberof@ osoittaa ryhmät niiden nimellä (CN) ilman niiden sijaintia hakemistossa – kun taas LDAP-vakioattribuutti memberOf odottaa kunkin ryhmän täydellistä DN:ää. Se tunnistetaan kirjainkoosta riippumatta. Odotetun tilan vertaamiseksi hakemistoon liitin myös typistää objektin nykyiset ryhmät niiden nimiin ja tekee sitten vain tarvittavat lisäykset ja irrotukset. Kun vaihtoehto ”Synchronization of groups managed by Identity only” on valittuna, vain Identity-tuotteen hallitsemien ryhmien jäsenyydet viedään: hakemiston muita ryhmiä, joihin käyttäjä kuuluu, ei muuteta.

Vihje

Koodi memberof@ edellyttää, että ryhmien nimet ovat hakemistossa yksilöllisiä. Jos useilla ryhmillä on sama nimi eri organisaatioyksiköissä, käytä attribuuttia memberOf täydellisten DN-nimien kanssa.

Kun Identity-tuotteen hallitsemaa ryhmää ei vielä ole hakemistossa, liitin luo sen objektiluokilla top ja group. Kohdeorganisaatioyksikköä ei ole toistaiseksi vahvistettu.

Tietokantatyypin yhteys

Tietokantayhteydelle (SQL Server, Oracle, PostgreSQL jne.) on syötettävä seuraavat tiedot:

• ennalta luotu yhteysmerkkijono (ODBC-yhteys jne.)
• Username: yhteystili
• Password: yhteystilin salasana

Litteän tiedoston yhteys (CSV, TXT jne.)

• File name: tiedoston täydellinen polku.
• Skip the first line: valitse tämä valintaruutu, jos tiedostossa on otsikkorivi. Versiosta 7.1 alkaen tämä otsikkorivi säilytetään tuonnin aikana.
• Format: ASCII tai Unicode
• Separator: merkki, joka toimii sarake-erottimena
• Value separator: merkki, joka toimii arvojen erottimena moniarvoisen attribuutin tapauksessa
• Multi-line for the same user: sen attribuutin nimi, jonka arvo on yksilöllinen (esimerkiksi työntekijänumero, kirjautumistunnus jne.) ja joka toimii pivot-attribuuttina useiden arvojen hallinnassa.

Monirivisyys kirjoitustilassa versiosta 7.1 alkaen:

Versioon 7.0 asti monirivisyyttä tuettiin vain lukutilassa: moniarvoiset arvot kirjoitettiin vain erottimella. Versiosta 7.1 alkaen vaihtoehdon ”Multi-line for the same user” voi määrittää myös tulostetekstitiedoston (csv, txt tai muu) repository'ssä.

Jos synkronointitiedoston objektilla on useita arvoja määritetyssä attribuutissa, tuotetussa tiedostossa on yhtä monta riviä kuin arvoja, ja kaikki objektin muut attribuutit toistetaan jokaisella näistä riveistä.

Vain yksi moniarvoinen attribuutti voi tuottaa rivejä tällä tavalla objektia ja repository'tä kohden. Muut moniarvoiset attribuutit pysyvät koottuina yhdelle riville, ja niiden arvot erotetaan repository'n määrityksessä määritetyllä erottimella.

Sovellusten ja valtuutusten luonti/muokkaus/poisto

Siirry repositoryn sovellusten ja valtuutusten hallintaan avaamalla repositoryn sivu tarkastelutilassa ja avaamalla sitten välilehti ”Applications and Authorizations”.

Olemassa olevien sovellusten luettelo on ladattu valmiiksi ilman suodattimia mutta kirjautuneen henkilön profiiliin liittyviä käyttöoikeuksia noudattaen.

Sovellukseen liittyvien valtuutusten luettelo näytetään sovellukseen upotetussa taulukossa.

Sivutus on toteutettu näyttämään vain 10 sovellusta.

Valtuutusten upotetussa taulukossa sivutus on määritetty näyttämään vain 5 valtuutusta.

Sovellustaulukon oikeassa yläkulmassa on hakukenttä. Haku kattaa sovellusten koodin ja nimen.

Vastaavasti valtuutusten upotetussa taulukossa on taulukon yläosassa hakukenttä. Haku kattaa valtuutusten attribuutit ”Category”, ”Code” ja ”Name”.

Luo uusi sovellus napsauttamalla painiketta ”” sovellustaulukon oikeassa yläkulmassa.

Syötä sovelluksen parametrit:

• Code: sovelluksen koodi. Sen on oltava yksilöllinen, ilman välilyöntejä ja erikoismerkkejä. Pakollinen.
• Name: sovelluksen nimi. Nimi näytetään sovelluksen eri lomakkeissa. Pakollinen.
• Description: kenttä sovelluksen kuvauksen syöttämiseen. Valinnainen.
• Responsible: valitse yksi tai useampi henkilö identiteettien luettelosta. Valinnainen.

Luo uusi valtuutus avaamalla sen sovelluksen upotettu taulukko, johon haluat liittää valtuutuksen, ja napsauttamalla painiketta ””, joka on valtuutustaulukon oikeassa yläkulmassa.

Syötä valtuutuksen parametrit:

• Code: valtuutuksen koodi. Sen on oltava yksilöllinen, ilman välilyöntejä ja erikoismerkkejä. Pakollinen.
• Name: valtuutuksen nimi. Nimi näytetään sovelluksen eri lomakkeissa. Pakollinen.
• Description: kenttä sovelluksen kuvauksen syöttämiseen. Valinnainen.
• Category: valitse luokka luettelosta tai luo uusi luokka. Luo uusi luokka napsauttamalla painiketta ”” avattavan luettelon oikealla puolella. Valinnainen.

• Type:
  • Group. Vaihtoehto, joka on käytettävissä taaksepäin yhteensopivuuden hallintaan versiopäivityksissä. Tämä vaihtoehto on vanhentunut versiosta 7.0 alkaen.
  • Attribute
• Mode:
  • Static: määritettävän oikeuden arvo
  • Dynamic: attribuutista saatava arvo
• Export code: sen attribuutin nimi, joka viedään vienneissä ”USER+ACCESS” ja ”ACCOUNT+ACCESS”
• Export value:
  • Joko vapaa kenttä, jos Mode = static
  • Tai attribuutin valintakenttä, jos Mode = dynamic. Attribuutin on oltava tiliattribuutti, jos liitin on luotu vientityypillä ”ACCOUNT + ACCESS”, tai identiteettiattribuutti, jos liitin on luotu vientityypillä ”USER + ACCESS”

Huomautus: vienti ”USER + ACCESS” säilytetään versiossa 7.0 taaksepäin yhteensopivuuden hallintaa varten versiota päivitettäessä. Se on vanhentunut versiosta 7.0 alkaen.

Jos haluat muokata sovellusta, napsauta kuvaketta ””, joka sijaitsee oikealla vastaavalla taulukon rivillä.

Kaikkia kenttiä voi muokata.

Jos haluat muokata valtuutusta, avaa sen sovelluksen sisäkkäinen taulukko, jonka valtuutusta haluat muokata, ja napsauta kuvaketta ””, joka sijaitsee oikealla vastaavalla taulukon rivillä.

Kaikkia kenttiä voi muokata.

Painikkeiden toiminnot luonti- ja muokkaustilassa (sovellukset ja valtuutukset):

• Cancel: peruuttaa nykyisen syötön ja palaa repository-sivulle.
• Save: vahvistaa lomakkeen ja palaa repository-sivulle

Jos haluat poistaa sovelluksen, napsauta kuvaketta ””, joka sijaitsee taulukon vastaavan rivin oikealla puolella.

Ennen sovelluksen poistamista näytetään vahvistusviesti.

Varoitus: sovellusta ei voi poistaa, jos siihen liittyviä objekteja on olemassa.

Jos haluat poistaa valtuutuksen, avaa sen sovelluksen sisäkkäinen taulukko, jonka valtuutuksen haluat poistaa, ja napsauta painiketta ””, joka sijaitsee oikealla vastaavalla taulukon rivillä.

Ennen valtuutuksen poistamista näytetään vahvistusviesti.

Varoitus: valtuutusta ei voi poistaa, jos siihen liittyviä objekteja on olemassa.

Roolien hallinta

Versiosta 7.0 alkaen roolit lisätään oikeusmallien hallintaan. Roolit, jotka voidaan liittää toimenkuvaprofiileihin, mahdollistavat käyttöoikeuksien joukon määrittämisen ennakkoon, mutta tarvittaessa myös useiden tilien luomisen yhdelle identiteetille. Esimerkiksi henkilölle, jolla on järjestelmänvalvojan rooli ja peruskäyttäjän rooli, voidaan antaa kaksi tiliä, jotta hän käyttää kutakin niistä suoritettavien toimintojen mukaan.

Versiosta 7.1 alkaen roolien hallinta tukee myös voimassaolopäiviä, roolin lukitsemista ja lukituksen avaamista, varmennusta – manuaalisesti tai varmennuskampanjan kautta – sekä tehtävien eriyttämisen (SoD) hallintaa.

Huomautus

Nämä neljä käsitettä kuvataan valtuutusten tasolla sivulla Tilien ja valtuutusten hallinta. Version 7.1 julkaisutiedote ilmoittaa niiden tuesta rooleille kuvaamatta näyttöjä yksityiskohtaisesti.

Roolin lukitseminen ja varmentaminen tehdään identiteetin tietueesta teoreettisten roolien ja valtuutusten välilehdellä: kunkin roolin ⋮-valikossa voi lisätä valtuutuksen sekä valita Lock the role ja Certify the role. Lukitsemista ja lukituksen avaamista ohjaa kaksi erillistä hallintaoikeutta sen mukaan, onko rooli määritetty identiteetille vai tilille.

Lukittua roolia ei enää oteta huomioon aktiivisiin rooleihin perustuvissa täsmäytyssäännöissä. Tili, joka oli liitetty identiteettiinsä vain tämän roolin kautta, muuttuu siis orvoksi: tämä on odotettu toiminta. Tarkista ennen roolin lukitsemista siitä riippuvat tilit.

Roolin (toimenkuvaprofiilin) luominen/muokkaaminen/poistaminen

Pääset roolien hallintaan valikosta ”Access Management/Roles”.

Siirryt suoraan olemassa olevien roolien luetteloon, joka on esiladattu taulukkoon ilman suodattimia, mutta kirjautuneen henkilön profiiliin liitettyjä käyttöoikeuksia noudattaen.

Sivutus on määritetty näyttämään vain 10 roolia.

Taulukon oikeassa yläkulmassa on hakukenttä. Haku kohdistuu roolien attribuutteihin ”code” ja ”name”.

Jos haluat luoda uuden roolin, napsauta painiketta ””.

Anna roolin yleiset parametrit:

• Code: roolin koodi. Sen on oltava yksilöllinen, ilman välilyöntejä ja erikoismerkkejä. Pakollinen.
• Name: roolin nimi. Nimike, joka näytetään sovelluksen eri lomakkeissa. Pakollinen.
• Description: kenttä roolin kuvauksen kirjoittamiseen. Valinnainen.

Vahvista luontilomake, jotta voit lisätä liitokset repositoryihin ja oletusvaltuutukset.

Jos haluat tarkastella ja muokata roolia, napsauta kuvaketta ””, joka sijaitsee taulukon vastaavan rivin oikealla puolella.

Muokkaustilaan voi siirtyä suoraan roolin katselusivulta.

Muokkaustilassa kaikkia kenttiä voi muuttaa.

Painikkeiden toiminnot muokkaus- tai luontitilassa:

• Cancel: peruuttaa nykyisen syötön ja vaihtaa sivun tarkastelutilaan
• Save: vahvistaa lomakkeen ja vaihtaa sivun tarkastelutilaan
• Save and quit: vahvistaa lomakkeen ja palaa roolien luettelosivulle

Poista rooli napsauttamalla kuvaketta ””, joka on taulukon vastaavan rivin oikealla puolella.

Ennen roolin poistamista näytetään vahvistusviesti.

Varoitus: roolia ei voi poistaa, jos siihen liittyviä objekteja on olemassa.

• Voit hallita liitoksia repositoryihin tältä määrityssivulta.
• Voit hallita roolin oletusvaltuutuksia tältä määrityssivulta.

Repositoryn ja roolin välisten liitosten hallinta

Roolin ja repositoryn välisen liitoksen luominen mahdollistaa tilin luomisen, kun identiteetillä on rooli ja se täyttää tilin saamisen ehdot (identiteetin tila, oikeuksien olemassaolo tai puuttuminen jne.).

Repositoryn ja roolin välinen liitos voidaan luoda kahdella eri tavalla:

• Joko roolin määrityssivulla
• Tai repositoryn määrityssivulla

Jos haluat lisätä liitoksen repositoryyn roolin määrityssivulta, avaa haluttu rooli katselutilassa ja avaa välilehti ”Repository”. Rooliin liitettyjen repositoryjen luettelo on esiladattu ilman suodattimia, mutta kirjautuneen henkilön profiiliin liitettyjä käyttöoikeuksia noudattaen.

Sivutus on toteutettu niin, että vain 10 olemassa olevaa liitettyä repositorya näytetään.

Liitettyjen repositoryjen taulukon oikeassa yläkulmassa on hakukenttä. Haku perustuu repositoryjen nimiin.

Jos haluat luoda uuden liitoksen repositoryyn, napsauta painiketta ”” taulukon oikeassa yläkulmassa.

Valitse repository luettelosta ja valitse sitten käytettävä tilityyppi. Tallenna, jotta liitos rekisteröityy.

Toista tämä toimenpide jokaisen luotavan liitoksen kohdalla.

Jos haluat muokata rooliin liitettyä repositorya, napsauta kuvaketta ””, joka sijaitsee oikealla vastaavalla taulukon rivillä.

Tilityyppiä voi muokata.

Jos haluat poistaa rooliin liitetyn repositoryn, napsauta kuvaketta ””, joka sijaitsee oikealla vastaavalla taulukon rivillä.

Jos haluat lisätä liitoksen repositoryyn repositoryn määrityssivulta, avaa haluttu repository katselutilassa ja avaa sitten välilehti ”Roles”. Liitettyjen roolien luettelo on esiladattu ilman suodattimia, mutta kirjautuneen henkilön profiiliin liitettyjä käyttöoikeuksia noudattaen.

Sivutus on toteutettu niin, että vain 10 olemassa olevaa rooli–repository-liitosta näytetään.

Rooli–repository-liitosten taulukon oikeassa yläkulmassa on hakukenttä. Haku perustuu roolien nimiin.

Jos haluat luoda uuden rooli–repository-liitoksen, napsauta painiketta ”” taulukon oikeassa yläkulmassa.

Valitse rooli luettelosta ja valitse sitten käytettävä tilityyppi. Tallenna, jotta liitos rekisteröityy.

Jos haluat muokata rooli–repository-liitosta, napsauta kuvaketta ””, joka sijaitsee oikealla vastaavalla taulukon rivillä.

Tilityyppiä voi muokata.

Painikkeiden toiminnot luonti- ja muokkaustilassa:

• Cancel: peruuttaa nykyisen syötön ja palaa repository-sivulle.
• Save: vahvistaa lomakkeen ja palaa repository-sivulle

Jos haluat poistaa rooli–repository-liitoksen, napsauta kuvaketta ””, joka sijaitsee taulukon vastaavan rivin oikealla puolella.

Ennen rooli–repository-liitoksen poistamista näytetään vahvistusviesti.

Varoitus: rooli–repository-liitosta ei voi poistaa, jos siihen liitettyjä objekteja on olemassa.

Roolin oletusvaltuutusten hallinta

Jos roolilla on oletusvaltuutuksia, identiteetti, jolla on tämä rooli, perii myös roolin oletusvaltuutukset. Tämä toiminto korvaa aiemmissa tuoteversioissa olleet oikeusryhmät.

Jos haluat lisätä rooliin oletusvaltuutuksia, avaa haluttu rooli katselutilassa ja avaa sitten välilehti ”Authorizations”. Napsauta painiketta ””.

Valitse halutut oikeudet ja napsauta ”Validate”, jos haluat lisätä valtuutukset rooliin, tai ”Cancel”, jos haluat peruuttaa toimenpiteen.

Rooliin liitettyjen identiteettien tarkasteleminen

Versiosta 7.1 alkaen roolin tarkastelusivulla on lisävälilehti ”Identities”, joka sisältää rooliin liitettyjen identiteettien luettelon.

Roolin tarkastelusivulla on siis kolme välilehteä: ”Repositories”, ”Rights” ja ”Identities”. Viimeksi mainittu näyttää kunkin identiteetin UID:n, sukunimen, etunimen, pääidentiteetin, henkilötyypin ja tilan, ja siinä on hakutoiminto.

Roolin monistaminen

Versiosta 7.1 alkaen roolin voi luoda monistamalla olemassa olevan roolin. Monistettuun rooliin liitetyt repository't ja valtuutukset siirtyvät uuteen rooliin.

Monistaminen käynnistetään roolien luettelosta (”Access Management/Roles”): rivin lopussa olevassa ⋮-valikossa on monistamistoiminto.