Configurarea unei cereri de acces just-in-time¶
O cerere de acces just-in-time (JIT) plasează o aplicație în spatele unei aprobări: utilizatorul nu o mai lansează direct, ci o solicită, iar un administrator acordă accesul — opțional pentru o singură utilizare, pentru un interval de timp sau pentru o durată de sesiune limitată.
Acesta este mecanismul de utilizat pentru resursele al căror fiecare acces trebuie decis, mai degrabă decât acordat o dată pentru totdeauna.
Cum se articulează mecanismul¶
- Într-o politică de acces, unele dintre aplicațiile acordate unui grup sunt marcate ca restricționate.
- În portal, acele aplicații apar, dar nu pot fi lansate: utilizatorul trimite o cerere.
- În modulul Workflow, administratorul o acceptă sau o refuză. Acceptarea creează un workflow, adică autorizarea propriu-zisă, cu restricțiile sale.
- Utilizatorul lansează aplicația în limitele acelui workflow.
Restricționarea se face în politica de acces, acordarea în modulul Workflow
Cele două module nu sunt interschimbabile: Access Policies decide care aplicații sunt supuse unei cereri, iar Workflows răspunde cererilor. O aplicație care nu este restricționată acolo nu produce niciodată vreo cerere.
Pasul 1 — Plasați aplicațiile în spatele unui workflow¶
Deschideți modulul Access Policies și modificați — sau creați — contractul care acoperă utilizatorii vizați. Parcurgeți taburile sale în ordine: grupurile de utilizatori, site-ul care dă acces la resurse, apoi aplicațiile publicate acelor utilizatori.
În tabul Applications to restrict, mutați în lista restricționată aplicațiile al căror acces trebuie aprobat.
| Opțiune | Ce face |
|---|---|
| Applications to restrict | Listă cu două coloane. Ceea ce mutați la dreapta devine supus unei cereri. |
| Ask the user to complete a form when requesting access | Îi cere utilizatorului să își documenteze cererea. Răspunsurile îi sunt afișate administratorului atunci când cererea este tratată. |
Faceți clic pe Validate.
Nu se poate restricționa decât ceea ce a fost deja acordat
Lista oferă aplicațiile selectate anterior în același contract: restricționarea este o îngustare a unui acces deja acordat, nu o modalitate de a acorda unul.
Pasul 2 — Ce vede utilizatorul¶
În portal, o aplicație restricționată este afișată, dar blocată. Un clic pe ea deschide cererea în loc să lanseze aplicația — cu formularul de completat, dacă opțiunea a fost bifată la pasul 1.
Utilizatorul așteaptă apoi răspunsul administratorului. Odată acordat accesul, aplicația devine lansabilă în limitele stabilite de workflow.
Pasul 3 — Răspundeți la cerere¶
Deschideți modulul Workflow și mergeți la tabul Users request. Selectați cererea în așteptare, apoi faceți clic pe Accept the request sau pe Refuse the request.
Acceptarea deschide o fereastră precompletată cu utilizatorul, domeniul acestuia și resursa solicitată.
Dincolo de denumirea workflowului, acolo se stabilesc restricțiile, iar acestea se cumulează:
| Restricție | Ce limitează |
|---|---|
| Unique usage | Aplicația poate fi lansată o singură dată. Un acces suplimentar înseamnă o cerere suplimentară. |
| Mandatory comment | Utilizatorul precizează un motiv înainte de lansare. Comentariul este apoi afișat împreună cu înregistrarea sesiunii. |
| Date | Intervalul de date în care poate fi deschisă aplicația. |
| Hour | Intervalul orar în care poate fi deschisă. |
| Maximum session duration | Cât poate dura sesiunea înainte de a fi închisă. |
Validarea fără nicio restricție produce o autorizare fără limită de timp, iar consola cere o confirmare suplimentară înainte de a o crea — momentul în care trebuie verificat că aceasta este într-adevăr intenția.
Comportamentul exhaustiv al celor două taburi, al refuzului și al ștergerilor este descris în Workflows.
Ștergerea unui workflow revocă accesul
Ștergerea unui workflow elimină autorizarea: utilizatorul trebuie să trimită o nouă cerere. Workflowurile caduce — date expirate, utilizare unică epuizată, durată de sesiune atinsă — sunt șterse de sistem de la sine.
Pasul 4 — Fiți notificat cu privire la cererile primite¶
În mod implicit, niciun e-mail nu îl avertizează pe administrator că a fost trimisă o cerere. Până la configurarea unei notificări, cererile trebuie căutate în consolă.
Pentru a fi notificat:
- Dispuneți de un server SMTP în modulul SMTP servers.
- În modulul Notification profiles, creați un profil: serverul SMTP, expeditorul și destinatarii, apoi, în tabul Settings, bifați opțiunea Application access requests.
- Bifarea acelei opțiuni activează tabul Applications: deschideți-l, bifați aplicațiile vizate, apoi validați.