Just-in-time piekļuves pieprasījuma konfigurēšana¶
Just-in-time (JIT) piekļuves pieprasījums pakļauj lietojumprogrammu apstiprināšanai: lietotājs to vairs nepalaiž tieši, bet to pieprasa, un administrators piešķir piekļuvi — pēc izvēles vienreizējai lietošanai, noteiktam laika logam vai ierobežotam sesijas ilgumam.
Šis mehānisms jāizmanto resursiem, kuriem par katru piekļuvi ir jāpieņem lēmums, nevis tā jāpiešķir vienreiz un uz visiem laikiem.
Kā mehānisms darbojas kopumā¶
- Piekļuves politikā dažas no grupai piešķirtajām lietojumprogrammām tiek atzīmētas kā ierobežotas.
- Portālā šīs lietojumprogrammas ir redzamas, taču tās nevar palaist: lietotājs nosūta pieprasījumu.
- Modulī Workflow administrators to pieņem vai noraida. Pieņemšana izveido workflow, kas ir faktiskā autorizācija ar tās ierobežojumiem.
- Lietotājs palaiž lietojumprogrammu šī workflow noteiktajās robežās.
Ierobežošana notiek piekļuves politikā, piešķiršana — modulī Workflow
Abi moduļi nav savstarpēji aizstājami: modulis Access Policies nosaka, kuras lietojumprogrammas ir pakļautas pieprasījumam, modulis Workflows atbild uz pieprasījumiem. Lietojumprogramma, kas tur nav ierobežota, nekad nerada pieprasījumu.
1. darbība — lietojumprogrammu pakļaušana workflow¶
Atveriet moduli Access Policies un rediģējiet — vai izveidojiet — līgumu, kas aptver attiecīgos lietotājus. Secīgi pārskatiet tā cilnes: lietotāju grupas, site, kas nodrošina piekļuvi resursiem, un pēc tam šiem lietotājiem publicētās lietojumprogrammas.
Cilnē Applications to restrict pārvietojiet lietojumprogrammas, kuru piekļuve ir jāapstiprina, uz ierobežoto sarakstu.
| Opcija | Ko tā dara |
|---|---|
| Applications to restrict | Divu kolonnu saraksts. Tas, ko pārvietojat pa labi, tiek pakļauts pieprasījumam. |
| Ask the user to complete a form when requesting access | Lūdz lietotājam dokumentēt savu pieprasījumu. Atbildes tiek parādītas administratoram, kad pieprasījums tiek apstrādāts. |
Noklikšķiniet uz Validate.
Ierobežot var tikai to, kas jau ir piešķirts
Sarakstā tiek piedāvātas lietojumprogrammas, kas iepriekš atlasītas tajā pašā līgumā: ierobežošana sašaurina jau piešķirtu piekļuvi, tā nav veids, kā piekļuvi piešķirt.
2. darbība — ko redz lietotājs¶
Portālā ierobežota lietojumprogramma tiek parādīta, taču ir bloķēta. Noklikšķinot uz tās, lietojumprogrammas palaišanas vietā tiek atvērts pieprasījums — ar aizpildāmo veidlapu, ja 1. darbībā tika atzīmēta attiecīgā opcija.
Pēc tam lietotājs gaida administratora atbildi. Tiklīdz piekļuve ir piešķirta, lietojumprogrammu var palaist workflow noteiktajās robežās.
3. darbība — atbilde uz pieprasījumu¶
Atveriet moduli Workflow un pārejiet uz cilni Users request. Atlasiet gaidošo pieprasījumu un pēc tam noklikšķiniet uz Accept the request vai Refuse the request.
Pieņemot pieprasījumu, tiek atvērts logs, kurā jau ir norādīts lietotājs, lietotāja domēns un pieprasītais resurss.
Papildus workflow nosaukuma piešķiršanai šeit tiek iestatīti ierobežojumi, un tie summējas:
| Ierobežojums | Ko tas ierobežo |
|---|---|
| Unique usage | Lietojumprogrammu var palaist tikai vienu reizi. Atkārtotai piekļuvei nepieciešams jauns pieprasījums. |
| Mandatory comment | Pirms palaišanas lietotājs norāda iemeslu. Pēc tam komentārs tiek parādīts kopā ar sesijas ierakstu. |
| Date | Datumu diapazons, kurā lietojumprogrammu var atvērt. |
| Hour | Laika logs, kurā to var atvērt. |
| Maximum session duration | Cik ilgi sesija drīkst ilgt, pirms tā tiek aizvērta. |
Apstiprinot bez neviena ierobežojuma, tiek izveidota autorizācija bez laika ierobežojuma, un pirms tās izveides konsole pieprasa papildu apstiprinājumu — tas ir brīdis, lai pārbaudītu, vai tieši tas bija iecerēts.
Abu ciļņu, noraidīšanas un dzēšanas pilnīga darbība ir aprakstīta lapā Workflows.
Workflow dzēšana atsauc piekļuvi
Dzēšot workflow, tiek noņemta autorizācija: lietotājam ir jāiesniedz jauns pieprasījums. Novecojušos workflow — ar beigušos datumu, izmantotu vienreizējo lietošanu, sasniegtu sesijas ilgumu — sistēma dzēš automātiski.
4. darbība — paziņojumi par ienākošajiem pieprasījumiem¶
Pēc noklusējuma neviens e-pasta ziņojums nebrīdina administratoru, ka ir iesniegts pieprasījums. Kamēr nav iestatīts paziņojums, pieprasījumi ir jāmeklē konsolē.
Lai saņemtu paziņojumus:
- Nodrošiniet, lai modulī SMTP servers būtu pieejams SMTP serveris.
- Modulī Notification profiles izveidojiet profilu, norādot SMTP serveri, sūtītāju un adresātus, pēc tam cilnē Settings atzīmējiet opciju Application access requests.
- Atzīmējot šo opciju, tiek aktivizēta cilne Applications: atveriet to, atzīmējiet attiecīgās lietojumprogrammas un pēc tam apstipriniet.