Konfiguriranje zahtjeva za pristup just-in-time¶
Zahtjev za pristup just-in-time (JIT) stavlja aplikaciju iza odobrenja: korisnik je više ne pokreće izravno, nego je zatraži, a administrator odobrava pristup — po izboru za jednokratnu upotrebu, za vremenski okvir ili za ograničeno trajanje sesije.
To je mehanizam koji treba upotrijebiti za resurse za koje se o svakom pristupu mora odlučiti, umjesto da se pristup dodijeli jednom zauvijek.
Kako mehanizam funkcionira¶
- U pravilniku pristupa neke od aplikacija dodijeljenih grupi označene su kao ograničene.
- Na portalu se te aplikacije prikazuju, ali se ne mogu pokrenuti: korisnik šalje zahtjev.
- U modulu Workflow administrator ga prihvaća ili odbija. Prihvaćanjem se stvara workflow, tj. stvarna autorizacija, s njezinim ograničenjima.
- Korisnik pokreće aplikaciju unutar granica tog workflowa.
Ograničavanje se provodi u pravilniku pristupa, a dodjela u modulu Workflow
Ta dva modula nisu međusobno zamjenjiva: Access Policies određuje koje aplikacije podliježu zahtjevu, a Workflows odgovara na zahtjeve. Aplikacija koja ondje nije ograničena nikad ne proizvodi nikakav zahtjev.
Korak 1 — Postavljanje aplikacija iza workflowa¶
Otvorite modul Access Policies i uredite — ili stvorite — ugovor koji obuhvaća dotične korisnike. Redom prođite kroz njegove kartice: grupe korisnika, site koji daje pristup resursima, a zatim aplikacije objavljene tim korisnicima.
Na kartici Applications to restrict premjestite na popis ograničenih aplikacija one aplikacije čiji pristup mora biti odobren.
| Mogućnost | Što radi |
|---|---|
| Applications to restrict | Popis u dva stupca. Ono što premjestite udesno podliježe zahtjevu. |
| Ask the user to complete a form when requesting access | Traži od korisnika da dokumentira svoj zahtjev. Odgovori se prikazuju administratoru pri obradi zahtjeva. |
Kliknite Validate.
Ograničiti se može samo ono što je već dodijeljeno
Popis nudi aplikacije odabrane ranije u istom ugovoru: ograničavanje je sužavanje već dodijeljenog pristupa, a ne način da se pristup dodijeli.
Korak 2 — Što korisnik vidi¶
Na portalu se ograničena aplikacija prikazuje, ali je zaključana. Klikom na nju otvara se zahtjev umjesto pokretanja aplikacije — s obrascem koji treba ispuniti, ako je ta mogućnost označena u koraku 1.
Korisnik zatim čeka odgovor administratora. Nakon što se pristup odobri, aplikacija se može pokrenuti unutar granica koje postavlja workflow.
Korak 3 — Odgovor na zahtjev¶
Otvorite modul Workflow i idite na karticu Users request. Odaberite zahtjev na čekanju, a zatim kliknite Accept the request ili Refuse the request.
Prihvaćanjem se otvara prozor unaprijed ispunjen korisnikom, njegovom domenom i zatraženim resursom.
Osim imenovanja workflowa, ovdje se postavljaju ograničenja, a ona se zbrajaju:
| Ograničenje | Što ograničava |
|---|---|
| Unique usage | Aplikacija se može pokrenuti samo jednom. Za svaki daljnji pristup potreban je novi zahtjev. |
| Mandatory comment | Korisnik navodi razlog prije pokretanja. Komentar se zatim prikazuje uz snimku sesije. |
| Date | Raspon datuma unutar kojeg se aplikacija može otvoriti. |
| Hour | Vremenski okvir unutar kojeg se aplikacija može otvoriti. |
| Maximum session duration | Koliko dugo sesija smije trajati prije nego što se zatvori. |
Potvrđivanje bez ikakvog ograničenja stvara autorizaciju bez vremenskog ograničenja, a konzola prije njezina stvaranja traži dodatnu potvrdu — to je trenutak da provjerite je li to doista ono što ste namjeravali.
Potpuno ponašanje obiju kartica, odbijanja i brisanja opisano je na stranici Workflows.
Brisanjem workflowa ukida se pristup
Brisanjem workflowa uklanja se autorizacija: korisnik mora podnijeti novi zahtjev. Zastarjele workflowe — istekli datumi, iskorištena jednokratna upotreba, dosegnuto trajanje sesije — sustav briše sam.
Korak 4 — Primanje obavijesti o pristiglim zahtjevima¶
Prema zadanim postavkama nijedna poruka e-pošte ne upozorava administratora da je zahtjev podnesen. Dok se ne postavi obavijest, zahtjeve treba tražiti u konzoli.
Da biste primali obavijesti:
- Osigurajte da je SMTP poslužitelj dostupan u modulu SMTP servers.
- U modulu Notification profiles stvorite profil: SMTP poslužitelj, pošiljatelja i primatelje, a zatim na kartici Settings označite mogućnost Application access requests.
- Označavanjem te mogućnosti aktivira se kartica Applications: otvorite je, označite dotične aplikacije, a zatim potvrdite.