Beheer van accounts en autorisaties¶

Het beheer van accounts omvat het aanmaken, wijzigen en verwijderen van gebruikersaccounts voor de verschillende applicaties die binnen de organisatie worden beheerd. Daarbij worden aan de gebruikers unieke identificaties toegekend (zoals gebruikersnamen of personeelsnummers) en worden de gegevens beheerd die aan deze accounts zijn verbonden.

Het beheer van machtigingen bestaat erin aan elke identiteit specifieke toegangsrechten en machtigingen toe te kennen op basis van haar rol, haar verantwoordelijkheden, haar organisatie en haar behoeften binnen de organisatie. Deze machtigingen kunnen toegang tot applicaties, gegevens, netwerken, systemen, fysieke resources enz. omvatten.

Het beheer van de rollen en machtigingen van een identiteit omvat het berekenen en toekennen van machtigingen aan identiteiten in verschillende applicaties, om een theoretische repository van de identiteiten en hun machtigingen op te bouwen. Dat betekent dat alle berekende accounts, rollen en machtigingen automatisch of handmatig in de verschillende doelapplicaties kunnen worden geprovisioneerd.

Systancia Identity biedt de mogelijkheid rollen en machtigingen automatisch te beheren, via machtigingsregels, of discretionair, via handmatige toevoegingen van rechten of via formulieraanvragen (workflow).

Beheer van de accounttypen¶

Een accounttype bestaat uit meerdere elementen:

Een aanmeldbeleid (verplicht),
Een wachtwoordbeleid (optioneel),
Accountattributen (optioneel),
Accountstatussen die op basis van de identiteitsstatussen worden bepaald

Een accounttype moet aan een repository en aan een rol zijn gekoppeld om accounts te kunnen aanmaken. Het is daarom mogelijk meerdere accounts op dezelfde repository te hebben voor dezelfde identiteit, als die identiteit meerdere verschillende rollen heeft.

Een accounttype voor een repository aanmaken/wijzigen/verwijderen¶

Raadpleeg de pagina Beheer van de objecttypen voor het beheer van de accounttypen, de configuratie van de verschillende formulieren enz.

Een aanmeldbeleid aanmaken/wijzigen/verwijderen¶

Om bij het beheer van de aanmeldbeleidsregels te komen, ga naar het menu ”Access Management/Account Rules”.

U komt direct op de lijst met bestaande aanmeldbeleidsregels, vooraf geladen in een tabel zonder toegepaste filters.

De paginering is zo ingesteld dat er slechts 10 aanmeldbeleidsregels worden weergegeven.

Rechtsboven in de tabel staat een zoekveld. Het zoeken betreft de attributen ”code” en ”name” van de aanmeldbeleidsregels.

Om een nieuw aanmeldbeleid aan te maken, klik op de knop ””.

Voer de parameters voor een aanmeldbeleid in:

Code: code van het aanmeldbeleid. Moet uniek zijn, zonder spaties en zonder speciale tekens. Verplicht.
Name: naam van het aanmeldbeleid. Aanduiding die in de verschillende formulieren van de applicatie wordt weergegeven. Verplicht.
Description: veld om een beschrijving van het aanmeldbeleid in te voeren. Optioneel.
Formula (primary): berekeningsformule voor het bepalen van de login
Duplicate policy:
- Automatic increment: de login wordt met de primaire formule berekend en aangevuld met een duplicaatindex. De duplicaatindex heeft een indeling van 3 cijfers.
  - Voorbeeld: Login_Calc002
- Formula (duplicate): aangepaste berekeningsformule voor het geval bij de berekening van de login met de primaire formule een duplicaat wordt vastgesteld. U kunt het trefwoord §INDEX_DOUBLON§ gebruiken om de automatische teller te beheren, maar plaats het dan op een specifieke plek. Sinds Identity 7.0 SP3 begint het trefwoord §INDEX_DOUBLON§ bij 1 en heeft het geen bovengrens. Bij eerdere versies heeft de duplicaatindex een indeling van 3 cijfers.
  - Voorbeeld: Formula (duplicate) Login2_Calc
Waarschuwing: om de formule met dit trefwoord te testen, vervang §INDEX_DOUBLON§ door een waarde. Dit trefwoord kan in de formuletester niet worden geïnterpreteerd, maar werkt wel bij de berekening van de logins.
Action to take if a real account exists:
- Use and reconcile with the real account
- Generate a login with duplicate policy
- Do not generate an account
Actions to take if a theoretical account exists:
- Generate a login with duplicate policy
- Do not generate an account

Om een aanmeldbeleid weer te geven en te wijzigen, klik op het pictogram ”” rechts in de betreffende tabelrij:

Het is mogelijk direct vanaf de weergavepagina van het aanmeldbeleid naar de wijzigingsmodus over te schakelen.

In de wijzigingsmodus kunnen alle velden worden gewijzigd.

Acties van de knoppen in de bewerkings- of aanmaakmodus:

Cancel: annuleert de huidige invoer en zet de pagina in de weergavemodus
Save: bevestigt het formulier en zet de pagina in de weergavemodus
Save and quit: bevestigt het formulier en gaat terug naar de lijstpagina van de aanmeldbeleidsregels

Om een aanmeldbeleid te verwijderen, klik op het pictogram ”” rechts in de betreffende tabelrij:

Voordat het aanmeldbeleid wordt verwijderd, verschijnt er een bevestigingsmelding.

Waarschuwing: een aanmeldbeleid kan niet worden verwijderd zolang het aan een of meer repositories is gekoppeld.

Een wachtwoordbeleid aanmaken/wijzigen/verwijderen¶

Om bij het beheer van de wachtwoordbeleidsregels te komen, ga naar het menu ”Access management/Password rules”.

U komt direct op de lijst met bestaande wachtwoordbeleidsregels, vooraf geladen in een tabel zonder toegepaste filters.

De paginering is zo ingesteld dat er slechts 10 wachtwoordbeleidsregels worden weergegeven.

Rechtsboven in de tabel staat een zoekveld. Het zoeken betreft de attributen ”code” en ”name” van de wachtwoordbeleidsregels.

Om een nieuw wachtwoordbeleid aan te maken, klik op de knop ””:

Voer de parameters voor een wachtwoordbeleid in:

Code: code van het aanmeldbeleid. Moet uniek zijn, zonder spaties en zonder speciale tekens. Verplicht.
Name: naam van het aanmeldbeleid. Aanduiding die in de verschillende formulieren van de applicatie wordt weergegeven. Verplicht.
Description: veld om een beschrijving van het wachtwoordbeleid in te voeren. Optioneel.
Formula: berekeningsformule voor het bepalen van het wachtwoord

Om een wachtwoordbeleid weer te geven en te wijzigen, klik op het pictogram ”” rechts in de betreffende tabelrij:

U kunt direct vanaf de weergavepagina van het wachtwoordbeleid naar de wijzigingsmodus overschakelen.

In de wijzigingsmodus kunnen alle velden worden gewijzigd.

Acties van de knoppen in de bewerkings- of aanmaakmodus:

Cancel: annuleert de huidige invoer en zet de pagina in de weergavemodus
Save: bevestigt het formulier en zet de pagina in de weergavemodus
Save and quit: bevestigt het formulier en gaat terug naar de lijstpagina van de wachtwoordbeleidsregels

Om een wachtwoordbeleid te verwijderen, klik op het pictogram ”” rechts van de betreffende tabelrij:

Voordat het wachtwoordbeleid wordt verwijderd, verschijnt er een bevestigingsmelding.

Waarschuwing: u kunt een wachtwoordbeleid niet verwijderen als het aan een of meer repositories is gekoppeld.

De accounts van een repository weergeven¶

Om een account te zoeken, ga naar het menu ”Accounts”.

U komt direct op de zoekpagina voor accounts van een geselecteerde repository (de eerste in de lijst), vooraf geladen zonder toegepaste filters maar met inachtneming van de machtigingen die aan het profiel van de aangemelde gebruiker zijn verbonden.

Omdat accounts aan een repository zijn gekoppeld, moet u de gewenste repository via de tabbladen of via de vervolgkeuzelijst selecteren om de lijst met bijbehorende accounts weer te geven.

De weergavemodus wordt bepaald door het aantal repositories. Er zijn 10 of minder repositories en dan worden ze op afzonderlijke tabbladen weergegeven, of ze worden in een vervolgkeuzelijst opgesomd.

De paginering is zo ingericht dat er slechts 10 accounts worden weergegeven.

Rechtsboven in de tabel staat een zoekveld. Het zoeken betreft de logins van de accounts en houdt rekening met de geselecteerde repository.

De resultatentabel van het zoeken naar accounts configureren¶

Om de attributen te configureren die in de resultatentabel van het zoeken naar accounts moeten worden opgenomen, open de pagina voor de configuratie van de attributen, selecteer het tabblad ”Account”, open het gewenste attribuut in de wijzigingsmodus en vink de optie ”Display in results table” aan.

Een theoretisch account reconciliëren met een reëel account of de reconciliatie opheffen¶

Om naar de pagina voor het beheer van de accountreconciliatie te gaan, open het menu ”Accounts” en activeer de optie ”Reconciliation”:

In het venster verschijnen twee nieuwe tabellen:

De tweede tabel bevat de verweesde accounts van de geselecteerde repository. Ter herinnering: verweesde accounts zijn accounts die uit de doelrepository zijn opgehaald, maar die aan geen enkele identiteit in CyberElements Identity zijn gekoppeld.

De derde tabel bevat de identiteiten die aan geen enkel account van de geselecteerde repository zijn gekoppeld.

In deze tabel kunt u voor elke identiteit zonder account:

Een bestaand theoretisch account koppelen. Klik daarvoor op de knop rechts van de gewenste identiteit en zoek vervolgens het gewenste bestaande theoretische account.
Een theoretisch account aanmaken. Klik daarvoor op de knop rechts van de gewenste identiteit en maak vervolgens het theoretische account aan door het gewenste accounttype te selecteren.

Belangrijke opmerking

De functie is in de oudere interfaces verwijderd, omdat het niet mogelijk is beide modi te behouden.

Discretionair beheer van rollen en autorisaties¶

Om de roltoekenningen en de autorisaties van een identiteit handmatig te wijzigen, open het gewenste identiteitsdossier in de weergavemodus en ga naar het tabblad ”Roles and Authorizations”.

Er wordt een tabel weergegeven met de rollen die aan de identiteit zijn toegekend. Voor elke rol bevat een geneste tabel de autorisaties die aan de identiteit zijn gekoppeld en aan de rol zijn toegekend. Een autorisatie moet aan een paar Identity/Role zijn gekoppeld.

Als meerdere identiteiten zijn afgestemd, wordt voor elke identiteit een tabblad weergegeven, zodat u de gewenste identiteit kunt selecteren. Rollen en autorisaties zijn aan een identiteit gekoppeld en niet aan een reconciliatieketen. Het is daarom nodig de gewenste identiteit te selecteren voordat u handmatige bijwerkingen uitvoert.

De paginering is zo ingesteld dat er slechts 10 rollen worden weergegeven.

In de tabel die onder een rol is ingebed, is de paginering zo ingesteld dat er slechts 5 autorisaties worden weergegeven.

Rechtsboven in de rollentabel staat een zoekveld. Het zoeken is gebaseerd op de namen van de rollen.

In de tabel die onder een rol is ingebed, staat boven de machtigingentabel een zoekveld. Het zoeken betreft de attributen ”Category”, ”Code” en ”Name” van de autorisaties.

In de machtigingentabel vindt u de volgende informatie:

De status ervan:
- ”Valid”: de autorisatie is zichtbaar zonder bijzondere markering
- ”Blocked”: de autorisatie is zichtbaar, maar in de interface doorgestreept
Toekenningsmodus. De mogelijke waarden zijn
- : handmatig, met de UID van de identiteit die de toekenning heeft uitgevoerd
- : autorisatieregel, met de naam van de regel of regels
- : autorisatie die via rolovererving is verleend
- : het eerste pictogram geeft aan dat het recht handmatig is toegevoegd (via een workflow), en met het tweede krijgt u toegang tot de workflow (link naar de bedieningsinterface van de workflow).

Om een of meer rollen toe te voegen, of om aan meerdere rollen van dezelfde identiteit een of meer machtigingen toe te voegen, klik op de knop ”” rechtsboven in de rollentabel.

Selecteer de gewenste rol of rollen en klik vervolgens op Confirm om de rollen toe te voegen en naar de volgende stap te gaan, of op Cancel om de bewerking af te breken.

Om aan een rol die al aan de identiteit is gekoppeld een of meer machtigingen toe te voegen, klik op de knop ”” rechts in de betreffende rij van de rollentabel.

Selecteer de gewenste autorisatie of autorisaties en klik vervolgens op de knop ”Confirm” om ze aan de rol te koppelen, of op de knop ”Cancel” om de bewerking af te breken. Het is mogelijk een begin- en einddatum in te stellen die op alle geselecteerde autorisaties worden toegepast.

Actieknoppen voor de autorisaties:
- : maakt het mogelijk de autorisatie te blokkeren.
- : maakt het mogelijk de autorisatie te deblokkeren.
- : maakt het mogelijk de autorisatie te certificeren.
- : maakt het mogelijk de certificering van de autorisatie te verwijderen.
- : maakt het mogelijk de toepassingsdata te wijzigen. Knop alleen toegankelijk voor handmatige rechten.
- : maakt het mogelijk een handmatig recht te verwijderen. Voordat de machtiging wordt verwijderd, verschijnt er een bevestigingsmelding.

Waarschuwing: de knop om een autorisatie te verwijderen is alleen aanwezig als de autorisatie uitsluitend discretionair is toegekend. De autorisatie kan nog zichtbaar zijn met de status ”pending deletion” als haar provisioningstatus ”provisioned” is.

Om de koppeling van een rol met een identiteit op te heffen, klik op het pictogram ”” rechts van de betreffende rij in de rollentabel.

Voordat de rol wordt verwijderd, verschijnt er een bevestigingsmelding.

Waarschuwing: de knop om een rol te verwijderen is alleen aanwezig als de rol discretionair is toegekend. Alle autorisaties die aan het paar identiteit/rol zijn gekoppeld, worden eveneens ontkoppeld en bij automatische provisioning bij de volgende synchronisatie gedeprovisioneerd.

Beheer van de autorisatieregels¶

Met machtigingsregels kunt u toegangsbeleidsregels configureren en automatisch rechten toekennen aan de identiteiten die door de regel worden bepaald.

Een autorisatieregel bestaat erin het volgende te verbinden:

aan de ene kant een populatie van gebruikers, bepaald door filtering op rollen (RBAC), organisaties (OrBAC) en/of attribuutwaarden (ABAC),
aan de andere kant rollen en applicatierechten.

Om bij het beheer van de autorisatieregels te komen, ga naar het menu ”Access Management / Authorization Rules”.

U komt direct op de pagina met de lijst van bestaande autorisatieregels, vooraf geladen zonder toegepaste filters maar met inachtneming van de autorisaties die aan het profiel van de aangemelde persoon zijn gekoppeld.

De paginering is zo ingesteld dat er slechts 10 regels worden weergegeven.

Rechtsboven in de regeltabel staat een zoekveld. Het zoeken is gebaseerd op de namen van de regels.

Om een nieuwe autorisatieregel aan te maken, klik op de knop ””.

Het aanmaken van een regel bestaat uit drie delen:

Algemene instellingen
- Name: naam van de autorisatieregel. Verplicht.
- Description: veld om een beschrijving van de autorisatieregel in te voeren. Optioneel.
- Context: selecteer een of meer contexten in de vervolgkeuzelijst met de eerder aangemaakte contexten.
Lijst van criteria: klik op de knoppen ” ” of ” ” om een filterregel toe te voegen voor de identiteiten die in de autorisatieregel worden opgenomen. Een filterregel bestaat erin een attribuut te bepalen waarop een filter moet worden toegepast, evenals de vergelijkingsoperator en de te vergelijken waarden.
- Met de knop ”” kunt u een nieuw filter toevoegen op hetzelfde niveau als het vorige filter.
- Met de knop ”” kunt u een filtergroep toevoegen op hetzelfde niveau als het vorige filter. Het is verplicht aan een groep filters of filtergroepen toe te voegen met de knoppen ”” of ”” binnen de groep.
- Op elk filterniveau moet u de operator opgeven die tussen elke filterregel moet worden toegepast.
- Een object waarop u een vergelijking wilt uitvoeren. Dat kan zijn:
  - Een rol
  - Een attribuut van een persoon
  - Een attribuut van een structuur
  - Een attribuut van een resource
- Vergelijkingsoperator. De lijst met vergelijkingsoperatoren is dynamisch en hangt af van het type van het geselecteerde object.
- Een te vergelijken waarde: in te voeren of te selecteren in een vervolgkeuzelijst, afhankelijk van het type van het geselecteerde object en van de vergelijkingsoperator.

U kunt zoveel filtercriteria toevoegen als u wilt. Tussen elke filterregel moeten operatoren zoals ”AND” of ”OR” worden bepaald. Er kunnen subgroepen worden aangemaakt om het aantal mogelijkheden te vergroten.

Voorbeeld: om de volgende filterregel aan te maken:

(Person type = ”Medical agent or External medical agent” AND attribuut ”Job” = ”Biological unit manager”) OR (Person type = ”Non-medical agent” AND attribuut ”Job” = ”Environmental specialist”)

De filtercriteria worden als volgt geconfigureerd:

Rollen en autorisaties die in de autorisatieregel moeten worden toegekend: er zijn twee tabbladen om de rollen en autorisaties weer te geven die in de autorisatieregel moeten worden opgenomen. Het tabblad Role toont de lijst van rollen en geeft kort de bijbehorende autorisaties aan, als die er zijn. Vanaf dit tabblad kunnen rollen en autorisaties ook worden toegevoegd of verwijderd. Het tabblad Authorizations toont de lijst van autorisaties die aan de regel zijn toegevoegd, met voor elk de bijbehorende rol of rollen. Dit tabblad biedt gewoon een andere weergave.
- Om rollen en autorisaties aan de autorisatieregel toe te voegen, klik op het tabblad ”Roles” op de knop ””. U moet ten minste één rol selecteren en kunt daarna, als u dat wilt, autorisaties selecteren.

De lijst van autorisaties wordt gefilterd op basis van de geselecteerde rollen (een rol is aan een of meer repositories gekoppeld).

Om een machtigingsregel weer te geven en te wijzigen, klik op het pictogram ”” rechts in de betreffende tabelrij:

In de weergavemodus kunt u de details van een autorisatieregel bekijken en ook de lijst van identiteiten waarop de regel betrekking heeft.

U kunt via het zoekveld rechtsboven in de tabel naar een persoon zoeken.

U kunt naar de wijzigingsmodus overschakelen door op de knop ”Edit” te klikken.

In de wijzigingsmodus kunnen alle velden worden gewijzigd.

Let op: de lijst van personen waarop de regel betrekking heeft, wordt bij het wijzigen van een regel niet in real time bijgewerkt. Ze wordt bijgewerkt zodra de regel is bevestigd en de berekeningen zijn afgerond.

Acties van de knoppen in de aanmaak- en wijzigingsmodus:

Cancel: annuleert de huidige invoer en zet de pagina in de weergavemodus
Save: bevestigt het formulier en zet de pagina in de weergavemodus. De berekeningen worden automatisch uitgevoerd.
See Impact: toont de gevolgen van het aanmaken of bijwerken van de regel. De gevolgen worden in twee tabellen weergegeven:
- De eerste tabel geeft de gevolgen van de regel voor de rechten, waarbij alleen de aangemaakte of gewijzigde machtigingsregel wordt meegerekend. Alle identiteiten die aan de criteria voldoen worden weergegeven, ook die aan wie de machtiging al op een andere manier is toegekend. Als de persoon haar rechten na de wijziging van de machtigingsregel dus daadwerkelijk verliest, kan zij ze toch langs een andere weg behouden.
- De tweede tabel geeft de algemene gevolgen van de regel voor de rechten. Dit deel houdt rekening met alle regels in Systancia Identity, met de discretionaire toekenningen van rechten en met de rechten die door een regel voor functiescheiding zijn geblokkeerd. Als een machtiging al op een andere manier aan een identiteit is toegekend, wordt het account niet in deze lijst opgenomen. De rechten die bij de bevestiging van de wijziging daadwerkelijk worden geraakt of verwijderd, worden weergegeven.

In deze tweede tabel is het mogelijk een termijn toe te passen voordat het recht daadwerkelijk wordt verwijderd (toepassing van een overgangs- of overlapperiode).

Om een machtigingsregel te verwijderen, klik op het pictogram ”” rechts in de betreffende tabelrij:

Voordat een autorisatieregel wordt verwijderd, verschijnt er een bevestigingsmelding.

Het pictogram ”” duidt een autorisatieregel aan die op dat moment wordt berekend. Is het grijs weergegeven, dan betekent dat dat de berekeningen zijn afgerond.

Beheer van de regels voor functiescheiding (SoD)¶

Functiescheiding (SoD): dit is een essentieel veiligheidsprincipe dat erin bestaat verantwoordelijkheden en privileges binnen een organisatie of een systeem te verdelen om risico's te beperken en belangenconflicten te voorkomen. Het wordt ingevoerd om een verantwoord en veilig gebruik van de IT-systemen en de bedrijfsresources te waarborgen.

Een regel voor functiescheiding bestaat erin:

Een prioriteitsgroep te bepalen
Aan de prioriteitsgroep autorisaties met een prioriteitsgewicht toe te voegen

Om bij het beheer van de regels voor functiescheiding te komen, ga naar het menu ”Access Management / SoD Rules”.

U komt direct op de pagina met de lijst van bestaande regels voor functiescheiding, vooraf geladen zonder toegepaste filters maar met inachtneming van de autorisaties die aan het profiel van de aangemelde persoon zijn gekoppeld.

De paginering is zo ingesteld dat er slechts 10 regels worden weergegeven.

Rechtsboven in de regeltabel staat een zoekveld. Het zoeken is gebaseerd op de naam van de prioriteitsgroepen (= naam van de regel voor functiescheiding).

Om een nieuwe regel voor functiescheiding aan te maken, klik op de knop ””:

Het aanmaken van een regel voor functiescheiding gebeurt in twee stappen.

Voer eerst de algemene parameters in:

Code: code van de regel voor functiescheiding. Verplicht.
Name: naam van de machtigingsregel. Verplicht.
Description: veld om een beschrijving van de regel voor functiescheiding in te voeren. Optioneel.

Sla het aanmaakformulier op om naar de tweede stap te gaan: het toevoegen van autorisaties.

Om een machtiging aan de SoD-regel toe te voegen, klik in de tabel ”List of associated rights” op de knop ””.

Selecteer de gewenste autorisatie en voer een gewicht in om de prioriteit te bepalen. Hoe kleiner de waarde, hoe hoger de prioriteit.

Om een machtiging in de SoD-regel te wijzigen, klik op de knop ”” rechts in de betreffende tabelrij.

U kunt de autorisatie en/of het prioriteitsgewicht wijzigen.

Om een machtiging in de SoD-regel te verwijderen, klik op de knop ”” rechts in de betreffende tabelrij.

Om een regel voor functiescheiding weer te geven en te wijzigen, klik op het pictogram ”” rechts in de betreffende tabelrij.

U kunt naar de wijzigingsmodus overschakelen door op de knop ”Edit” te klikken.

In de wijzigingsmodus kunnen alleen de naam en de beschrijving worden gewijzigd

Om een regel voor functiescheiding te verwijderen, klik op het pictogram ”” aan de rechterkant van de betreffende tabelrij.

Voordat een autorisatieregel wordt verwijderd, verschijnt er een bevestigingsmelding.

Rechtenaanvragen indienen via formulieren¶

Een rechtenaanvraag indienen¶

Aanvragen van autorisaties voor een persoon (of voor uzelf) worden in de oude bedieningsconsole gedaan via het menu ”Run an ‘On demand’ workflow”.

Klik op de knop ”Refresh” om de lijst met beschikbare workflows weer te geven.

Klik op de workflow van uw keuze om een aanvraag van autorisaties in te dienen.

Selecteer een of meer identiteiten waarop de aanvraag betrekking heeft.

Selecteer de gewenste autorisaties in de beschikbare lijst. Geef indien nodig een begin- en einddatum op.

Klik op de knop ”Add”.

U kunt autorisaties naar wens toevoegen of verwijderen. Als u toepassingsdata wilt toevoegen aan een autorisatie die al is geselecteerd, moet u deze verwijderen en daarna opnieuw toevoegen, waarbij u de data vooraf invoert.

Klik op de knop ”Start” en bevestig het pop-upvenster.

Na de bevestiging van de uitvoering van de workflow wordt u automatisch omgeleid naar de pagina waar u de lopende aanvragen kunt inzien.

Een aanvraag voor handmatige provisioning (of deprovisioning) van een autorisatie indienen¶

Aanvragen voor handmatige provisioning (of deprovisioning) worden in de oude bedieningsconsole gedaan via het menu ”Run an ‘On demand’ workflow”.

Klik op de knop ”Refresh” om de lijst met beschikbare workflows weer te geven.

Klik op de workflow van uw keuze om een provisioningaanvraag in te dienen.

Selecteer een of meer identiteiten waarop de aanvraag betrekking heeft.

Selecteer de gewenste autorisaties in de beschikbare lijst. Geef indien nodig een begin- en einddatum op.

Klik op de knop ”Add”.

U kunt autorisaties naar wens toevoegen of verwijderen. Als u toepassingsdata wilt toevoegen aan een autorisatie die al is geselecteerd, moet u deze verwijderen en daarna opnieuw toevoegen, waarbij u de data vooraf invoert.

Klik op de knop ”Start” en bevestig het pop-upvenster.

Na de bevestiging van de uitvoering van de workflow wordt u automatisch omgeleid naar de pagina waar u de lopende aanvragen kunt inzien.

Machtigingen delegeren¶

Met het delegeren van machtigingen kunt u rechten van de ene persoon (de delegerende persoon) aan een andere (de gedelegeerde) toekennen, in het algemeen voor een tijdelijke periode.

Deze functie is beschikbaar voor de delegerende personen (afhankelijk van de machtigingen van de aangemelde persoon), maar vanaf versie 7.0 kan ook een derde (afhankelijk van de machtigingen van de aangemelde persoon) rechten aan een andere identiteit delegeren (bijvoorbeeld een beheerder).

Om bij de functie voor het delegeren van autorisaties te komen, open het gewenste identiteitsdossier in de weergavemodus en ga naar het tabblad ”Delegations”.

De paginering is zo ingesteld dat er slechts 10 delegatieregels worden weergegeven.

Om een delegatie toe te voegen, klik op de knop ”” rechtsboven in de delegatietabel.

Voer de volgende gegevens in om een delegatie aan te maken:

De gedelegeerde: de persoon die de gedelegeerde rollen en/of autorisaties ontvangt (verplicht)
De gedelegeerde rol of rollen (verplicht)
De gedelegeerde autorisatie of autorisaties (optioneel)
De begin- en einddatum van de delegatie (optioneel)

Om delegaties te wijzigen, klik op het pictogram ”” rechts in de betreffende rij van de tabel.

U kunt alle parameters wijzigen.

Om een delegatie te verwijderen, klik op het pictogram ”” rechts in de betreffende rij van de tabel.

Voordat de delegatie wordt verwijderd, verschijnt er een bevestigingsmelding.

Beheer van de certificeringscampagnes¶

Certificeringscampagnes worden uitgevoerd om een volledige controle uit te voeren van de autorisaties die aan personen zijn toegekend. Het wordt aanbevolen certificeringscampagnes regelmatig over alle repositories uit te voeren om te waarborgen dat de toegekende autorisaties inderdaad passend zijn.

Zo werkt een certificeringscampagne:

De autorisaties waarop de certificeringscampagnes betrekking hebben, moeten vooraf door de beheerder worden geconfigureerd. De configuratie van de autorisaties geeft de certificeerder of certificeerders en de duur van de certificeringscampagne aan.

Wanneer een certificeringscampagne wordt aangemaakt, worden alle personen opgesomd die zijn gekoppeld aan de voor certificering geconfigureerde autorisaties en die tot de geselecteerde applicaties behoren; voor hen moet een certificering van de autorisaties worden uitgevoerd.

Voor hetzelfde recht kunnen er een of meer certificeerders zijn.

Een certificeringscampagne weergeven¶

Om bij de pagina voor het weergeven van de certificeringscampagnes te komen, ga naar het menu ”Right Template \ Certification Campaign”.

Het scherm voor het weergeven van de certificeringscampagnes ziet er als volgt uit:

De certificeringscampagnes staan aan de linkerkant van het scherm.
De rechterkant van het scherm dient om de details van een certificeringscampagne weer te geven of om certificeringsaanvragen te behandelen. Hier wordt alle informatie over de campagne weergegeven:
- Name
- Code
- Description
- Applications
- Status. Er worden drie campagnestatussen beheerd:
  - New campaign: de campagne is net aangemaakt. Nog geen enkele certificeerder heeft een beslissing over de campagne genomen. De knop ”Certify rights” is zichtbaar voor de certificeerders. Zie de sectie ”Een certificeringscampagne behandelen”
  - Current campaign. Ten minste een van de certificeerders heeft al een beslissing over de campagne genomen. De knop ”Certify rights” is zichtbaar voor de certificeerders. Zie de sectie ”Een certificeringscampagne behandelen”
  - Campaign completed. Alle certificeerders moeten een beslissing over de campagne hebben genomen voordat ze deze status krijgt. De campagne blijft zichtbaar, maar kan niet meer worden gewijzigd. Ze kan worden verwijderd door de persoon die de campagne heeft gestart. Zie de sectie ”Een certificeringscampagne annuleren”
- Tabel met de te certificeren paren autorisatie/persoon, gesorteerd op applicatie. Ze somt ook de certificeerders op die aan elk paar autorisatie/persoon zijn toegewezen. De statuskolom toont drie verschillende statussen:
  - Grijze stip: de autorisatie is nog niet gecontroleerd
  - Groene stip: de autorisatie is gecontroleerd en gecertificeerd
  - Rode stip: de autorisatie is gecontroleerd en geannuleerd

Een certificeringscampagne aanmaken¶

U kunt de pagina voor het aanmaken van een certificeringscampagne openen vanaf de pagina voor het inzien van de certificeringscampagnes.

Klik op de knop ”New certification campaign”.

Vul het formulier in met de volgende gegevens:

Name: de naam die u aan de campagne wilt geven. Verplicht.
Code: code van de certificeringscampagne. Verplicht.
Description: vrije tekst om het doel van de certificeringscampagne te beschrijven. Optioneel.
Applications: selecteer de applicaties die in de certificeringscampagne moeten worden opgenomen. In dezelfde certificeringscampagne kunnen meerdere applicaties uit verschillende repositories voorkomen.

Notifications: notificaties kunnen in vier fasen van de certificeringscampagne worden verzonden.
- Notificatie bij het begin van de campagne
- Notificatie bij annulering van de campagne
- Notificatie wanneer de status van de certificeringscampagne ”Completed” is
- Notificatie die naar de personen wordt gestuurd wanneer een van hun autorisaties wordt gecertificeerd.

Om de verschillende notificaties aan te maken, ga naar de sectie Een notificatie voor een certificeringscampagne configureren.

Klik op de knop ”Save” om de certificeringscampagne op te slaan.

Klik op de knop ”Cancel” om de invoer in het formulier af te breken.

Een certificeringscampagne annuleren¶

U kunt de pagina voor het annuleren van een certificeringscampagne openen vanaf de pagina voor het inzien van de certificeringscampagnes.

Selecteer de certificeringscampagne die u wilt annuleren en klik op de knop ”Cancel certification campaign”.

Opmerking: alleen de persoon die de certificeringscampagne heeft aangemaakt, kan deze annuleren.

Een certificeringscampagne behandelen¶

U kunt een certificeringscampagne voor behandeling openen vanaf de pagina voor het weergeven van de certificeringscampagnes.

Selecteer de certificeringscampagne die u wilt behandelen en klik op de knop ”Certify rights”.

Klik op de knop ”Certify rights” om een campagne te behandelen.

De tabel met autorisaties/lijst van personen schakelt over naar de wijzigingsmodus.

Alleen niet-gecertificeerde autorisaties kunnen worden gecontroleerd. Dezelfde certificeerder kan de acties die op een paar autorisatie/persoon zijn uitgevoerd, niet wijzigen.

Paren autorisatie/persoon die al zijn behandeld, hebben een stip in plaats van een selectievakje:

groen als het recht is gecertificeerd
rood als het recht is geannuleerd

Om een autorisatie voor een persoon te certificeren, klik in de kolom ”Status” van de tabel op het selectievakje tegenover de gewenste persoon. Klik daarna op de knop ”Certify”.

Om een autorisatie voor een persoon te annuleren, klik in de kolom ”Status” van de tabel op het selectievakje tegenover de gewenste persoon. Klik daarna op de knop ”Deny”.

Om alle personen die aan een machtiging zijn gekoppeld met één klik te selecteren en zo een machtiging te bevestigen of te annuleren, kunt u het selectievakje in de kolom ”Rights” aanvinken.

Om alle paren autorisatie/persoon van een applicatie te selecteren en zo een autorisatie te bevestigen of te annuleren, kunt u het selectievakje in de kolom ”Applications” aanvinken.

Opmerking: als er voor paren autorisatie/persoon meerdere certificeerders zijn en ten minste een van de certificeerders de autorisatie heeft geannuleerd, krijgt de autorisatie de status ”Blocked”.

Een notificatie voor een certificeringscampagne configureren¶

Het formulier voor de configuratie van de notificaties van een certificeringscampagne heeft voor de vier verschillende mogelijke notificaties dezelfde opmaak.

De volgende gegevens moeten worden ingevoerd:

Configuration of the recipients
- Email attribute(s) of individuals: selecteer het attribuut of de attributen die een e-mailadres bevatten. De ontvangers van de notificatie moeten in dit attribuut een e-mailadres hebben ingevoerd om de notificatie te ontvangen. Dit veld is verplicht.
- Email addresses of other relevant individuals: vrij veld waarin u zoveel e-mailadressen kunt toevoegen als u wilt. Elke ontvanger in de lijst ontvangt de notificatie zonder uitzondering. Dit veld is optioneel.
Notification configuration
- Available language: selecteer de taal waarin u de notificatie wilt schrijven. Het is mogelijk een notificatie in verschillende talen te versturen door het onderwerp en de tekst voor elke taal op te slaan. De notificatie wordt verstuurd in de taal van de gebruiker, zoals die in zijn taalattribuut is bepaald. Is die niet bepaald, dan wordt ze in de standaardtaal verstuurd.
- Subject: onderwerp van de e-mail. Dit veld is optioneel, maar wordt sterk aanbevolen. Deze parameter kan trefwoorden bevatten. Hij kan in elke ondersteunde taal worden geschreven.
- Truncate subject: parameter waarmee de lengte van het onderwerp kan worden beperkt door de waarden van de trefwoorden van alleen het eerste doel weer te geven wanneer er meerdere doelen zijn. Selecteer ”yes” als u deze optie wilt inschakelen. Standaard ”no”.
- Body: optie om een bericht in HTML-modus aan te maken.
- Email body: vrij veld waarin de tekst van de notificatie wordt geschreven.

Trefwoorden die specifiek zijn voor de certificeringscampagne:

Het trefwoord #CERTIFICATIONCAMPAIGN# dat betrekking heeft op een certificeringscampagne kan in notificaties met verschillende varianten worden gebruikt door twee parameters als volgt in te zetten:

1	`#CERTIFICATIONCAMPAIGN#PARAM_1#PARAM_2#`

Primaire parameter (PARAM_1)	Secundaire parameter (PARAM_2)	Description
ATTRIBUTE	NAME	Maakt het mogelijk de naam van de certificeringscampagne op te halen.
	STATUS	Maakt het mogelijk de status van de certificeringscampagne op te halen.
	ID	Maakt het mogelijk de ID van de certificeringscampagne op te halen.

Voorbeeld van een notificatie:

Configuratie van de tekst van de e-mail

Bonjour,
Ceci est un mail concernant la campagne de certification de droits qui vient de démarrer :
{
Nom = #CERTIFICATIONCAMPAIGN#ATTRIBUT#NOM# 
Statut = #CERTIFICATIONCAMPAIGN#ATTRIBUT#STATUS#
ID = #CERTIFICATIONCAMPAIGN#ATTRIBUT#ID#
}
Cdt
Systancia Identity

Ontvangen e-mail (na interpretatie van de trefwoorden)

De accounts en autorisaties van een identiteit weergeven¶

De accounts in de verschillende applicatierepositories worden berekend op basis van de bepaalde beheerregels en van de rollen en autorisaties die aan de identiteiten zijn toegekend.

De beheerregels voor accounts zijn:

Bepaling van een accountstatus op basis van een identiteitsstatus,
Bepaling van de regels voor het samenvoegen van accounts bij meerdere identiteiten,
Bepaling van de regels voor het aanmaken van accounts die uitsluitend op de roltoekenning zijn gebaseerd.

Om de accounts en autorisaties te bekijken die aan een identiteit zijn gekoppeld, open het gewenste identiteitsdossier in de weergavemodus en ga naar het tabblad ”Accounts”.

Dit tabblad is alleen toegankelijk in de weergavemodus en toont de resultaten van de berekeningen van accounts en autorisaties die voor de identiteit zijn uitgevoerd of, bij een reconciliatie van identiteiten, voor alle identiteiten. In dat laatste geval is het tabblad gemeenschappelijk voor alle identiteiten van de reconciliatieketen.

Er wordt een tabel weergegeven met de berekende accounts. Voor elk account bevat een geneste tabel de autorisaties die aan het account zijn gekoppeld. Een account kan worden aangemaakt zonder bijbehorende autorisaties.

Als meerdere identiteiten zijn afgestemd en een account voor meerdere identiteiten gemeenschappelijk is (functie voor het samenvoegen van accounts ingeschakeld), wordt het account aangeduid met het pictogram ””.

De paginering is zo ingericht dat er slechts 10 accounts worden weergegeven.

In de tabel die onder een account is ingebed, is de paginering zo ingesteld dat er slechts 5 autorisaties worden weergegeven.

Rechtsboven in de accounttabel staat een zoekveld. Het zoeken betreft de logins van de accounts of de namen van de repositories.

De theoretische status en de provisioningstatus van de accounts zijn op elke regel van de tabel zichtbaar.

In de tabel die onder een account is ingebed, staat boven de machtigingentabel een zoekveld. Het zoeken betreft de namen van de applicaties of van de autorisaties.

De theoretische status en de provisioningstatus van de autorisaties zijn op elke regel van de tabel zichtbaar.

Een legenda die de verschillende theoretische statussen en provisioningstatussen toelicht, helpt de gebruikers de verschillende statussen te begrijpen.

Provisioning/deprovisioning van accounts en autorisaties¶

Het proces waarbij de door Systancia Identity berekende accounts en autorisaties naar de verschillende applicatierepositories worden overgebracht, wordt downstream provisioning genoemd. Systancia Identity heeft daarmee autoriteit over de applicaties die zijn bepaald om accounts en autorisaties te beheren.

Er zijn twee manieren om provisioning te beheren:

Ofwel kan er een automatische connector worden aangemaakt (via API, database, directory of geautomatiseerde uitwisselingen van platte bestanden); in dat geval spreekt men van automatische provisioning.
Ofwel is het niet mogelijk een automatische connector aan te maken; in dat geval spreekt men van halfautomatische provisioning.

Automatische provisioning/deprovisioning¶

Om accounts en autorisaties in applicatierepositories te provisioneren, moet u de engine Systancia Identity Provisioning (SIP) gebruiken om een downstream-provisioningconnector aan te maken: vanuit Systancia Identity, dat de autoritatieve bron is, worden met inachtneming van de geconfigureerde synchronisatieregels accounts en autorisaties in de applicatierepositories aangemaakt, bijgewerkt of verwijderd volgens de regels die in de importregels zijn bepaald.

Een downstream-provisioningreeks moet ten minste uit de volgende elementen bestaan:

Een export van de Identity-repository (autoritatief) van het type ”USER + ACCESS” of ”ACCOUNT + ACCESS”
Een export van de doelapplicatierepository
Een synchronisatieregel
Een importregel in de doelapplicatierepository

Raadpleeg de pagina ”Automatic Provisioning Connector Management” om een connector aan te maken.

Halfautomatische provisioning/deprovisioning¶

Een halfautomatische provisioningconnector wordt aangemaakt met een workflow van het type ”User request” of ”Event” met ten minste één taak voor handmatige provisioning of deprovisioning.

In de taak voor handmatige provisioning worden de uit te voeren provisioningacties opgesomd in een notificatie die naar de operator wordt gestuurd. Zodra de operator de taak heeft afgerond, kan hij op de knop ”Task validated” klikken om aan te geven dat de provisioning is voltooid. De provisioningstatus van het account en/of van de machtigingen wordt in Systancia Identity bijgewerkt. Daardoor kunnen beheerders de status van de rechten van een identiteit controleren.