Just-in-time hozzáférési kérés konfigurálása¶
A just-in-time (JIT) hozzáférési kérés jóváhagyáshoz köti egy alkalmazás elérését: a felhasználó már nem közvetlenül indítja el, hanem kéri, és egy rendszergazda adja meg a hozzáférést — igény szerint egyszeri használatra, egy időablakra vagy korlátozott munkamenet-időtartamra.
Ezt a mechanizmust azokhoz az erőforrásokhoz érdemes használni, amelyeknél minden egyes hozzáférésről döntést kell hozni ahelyett, hogy egyszer s mindenkorra megadnák.
A mechanizmus működése¶
- Egy hozzáférési szabályzatban a csoportnak megadott alkalmazások némelyike korlátozottként van megjelölve.
- A portálon ezek az alkalmazások megjelennek, de nem indíthatók el: a felhasználó kérést küld.
- A Workflow modulban a rendszergazda elfogadja vagy elutasítja azt. Az elfogadás létrehoz egy workflow-t, vagyis magát az engedélyezést, a korlátozásaival együtt.
- A felhasználó az adott workflow keretein belül indítja el az alkalmazást.
A korlátozás a hozzáférési szabályzatban, a megadás a Workflow modulban történik
A két modul nem helyettesíti egymást: az Access Policies modul dönti el, hogy mely alkalmazások kötöttek kéréshez, a Workflows modul pedig a kérésekre válaszol. Az az alkalmazás, amely ott nincs korlátozva, soha nem hoz létre kérést.
1. lépés — Az alkalmazások workflow mögé helyezése¶
Nyissa meg az Access Policies modult, és szerkessze — vagy hozza létre — az érintett felhasználókra vonatkozó szerződést. Haladjon végig a lapjain sorrendben: a felhasználói csoportok, az erőforrásokhoz hozzáférést biztosító site, majd az adott felhasználók számára közzétett alkalmazások.
Az Applications to restrict lapon helyezze át a korlátozott listába azokat az alkalmazásokat, amelyek elérését jóvá kell hagyni.
| Beállítás | Mit csinál |
|---|---|
| Applications to restrict | Kétoszlopos lista. Amit jobbra helyez át, az kéréshez kötött lesz. |
| Ask the user to complete a form when requesting access | Megkéri a felhasználót, hogy indokolja a kérését. A válaszok a kérés feldolgozásakor megjelennek a rendszergazdának. |
Kattintson a Validate gombra.
Csak a már megadott hozzáférés korlátozható
A lista ugyanabban a szerződésben korábban kiválasztott alkalmazásokat kínálja fel: a korlátozás egy már megadott hozzáférés szűkítése, nem pedig a hozzáférés megadásának módja.
2. lépés — Amit a felhasználó lát¶
A portálon a korlátozott alkalmazás megjelenik, de zárolva van. Rákattintva az alkalmazás elindítása helyett a kérés nyílik meg — a kitöltendő űrlappal, ha az 1. lépésben bejelölték a beállítást.
A felhasználó ezután megvárja a rendszergazda válaszát. A hozzáférés megadása után az alkalmazás a workflow által meghatározott keretek között indítható el.
3. lépés — Válasz a kérésre¶
Nyissa meg a Workflow modult, és lépjen a Users request lapra. Jelölje ki a függőben lévő kérést, majd kattintson az Accept the request vagy a Refuse the request gombra.
Az elfogadás megnyit egy ablakot, amelyben előre ki van töltve a felhasználó, a tartománya és a kért erőforrás.
A workflow elnevezésén túl itt kell beállítani a korlátozásokat, amelyek összeadódnak:
| Korlátozás | Mit korlátoz |
|---|---|
| Unique usage | Az alkalmazás csak egyszer indítható el. Egy további hozzáféréshez újabb kérés szükséges. |
| Mandatory comment | A felhasználó az indítás előtt megad egy indoklást. A megjegyzés ezután a munkamenet felvételével együtt jelenik meg. |
| Date | Az a dátumtartomány, amelyen belül az alkalmazás megnyitható. |
| Hour | Az az időablak, amelyen belül megnyitható. |
| Maximum session duration | Mennyi ideig tarthat a munkamenet, mielőtt bezárul. |
Ha korlátozás nélkül hagyja jóvá, az időkorlát nélküli engedélyezést hoz létre, és a konzol a létrehozása előtt további megerősítést kér — ez a megfelelő pillanat annak ellenőrzésére, hogy valóban ez volt-e a szándék.
A két lap, az elutasítás és a törlések teljes működését a Workflows oldal ismerteti.
A workflow törlése visszavonja a hozzáférést
A workflow törlése eltávolítja az engedélyezést: a felhasználónak új kérést kell benyújtania. Az elavult workflow-kat — lejárt dátumok, felhasznált egyszeri használat, elért munkamenet-időtartam — a rendszer magától törli.
4. lépés — Értesítés a beérkező kérésekről¶
Alapértelmezés szerint semmilyen e-mail nem jelzi a rendszergazdának, hogy kérést nyújtottak be. Amíg nincs beállítva értesítés, a kéréseket a konzolon kell megkeresni.
Ha értesítést szeretne kapni:
- Gondoskodjon arról, hogy legyen elérhető SMTP-kiszolgáló az SMTP servers modulban.
- A Notification profiles modulban hozzon létre egy profilt: adja meg az SMTP-kiszolgálót, a feladót és a címzetteket, majd a Settings lapon jelölje be az Application access requests beállítást.
- A beállítás bejelölésével elérhetővé válik az Applications lap: nyissa meg, jelölje be az érintett alkalmazásokat, majd hagyja jóvá.