Gestionarea repository-urilor

Un repository este definit ca o sursă sau o locație de date centralizată care stochează și gestionează informațiile despre conturile utilizatorilor, ale grupurilor și ale resurselor din cadrul unui sistem sau al unei organizații.

În CyberElements Identity, un repository poate avea mai multe aplicații între care sunt repartizate conturile, rolurile și permisiunile.

Crearea/modificarea/ștergerea unui repository

Pentru a accesa gestionarea repository-urilor, accesați meniul „Access Management/Repositories”.

Veți fi direcționat direct către lista repository-urilor existente, preîncărcată într-un tabel fără niciun filtru aplicat.

Paginarea este configurată pentru a afișa doar 10 repository-uri.

Un câmp de căutare este disponibil în partea din dreapta sus a tabelului. Căutarea acoperă atributele „code” și „name” ale repository-urilor.

Pentru a crea un repository nou, faceți clic pe butonul „”.

Alegeți tipul de aplicație din catalogul de conectori.

Dacă repository-ul nu este legat de un conector automat, selectați opțiunea „Other” din categoria Other.

Introduceți mai întâi parametrii generali ai unui repository:

• Code: codul repository-ului. Trebuie să fie unic, fără spații sau caractere speciale. Obligatoriu.
• Name: numele repository-ului. Eticheta care va fi afișată în diferitele formulare ale aplicației. Obligatoriu.
• Description: câmp pentru introducerea unei descrieri a repository-ului. Opțional.
• Default role: selectați rolul care va fi utilizat de workflowuri dacă se fac cereri de autorizare pe repository. Opțional.
• Export type: permite determinarea tipului de export care va fi utilizat în conectorul de provizionare. Această informație servește la determinarea tipului de atribut care va fi utilizat pentru autorizările dinamice.

Dacă se selectează Account+Access, autorizările dinamice vor fi legate de atributele contului; dacă se selectează user+Access, autorizările dinamice vor fi legate de atributele persoanei. Această informație este obligatorie în cazul provizionării automate; valoarea implicită este Account+Access.

Faceți clic pe butonul „SIP Configuration” pentru a configura un conector automat. Butonul nu este accesibil dacă repository-ul selectat este „Other”.

Validați formularul de creare pentru a configura aplicațiile și autorizările, tipurile de conturi și rolurile repository-ului.

Acțiunile butoanelor în modul de creare:

• Cancel: anulează introducerea curentă și revine la pagina cu lista repository-urilor.
• Save: validează formularul și trece pagina în modul de vizualizare.
• Save and quit: validează formularul și revine la pagina cu lista repository-urilor.

Pentru a vizualiza și a modifica un repository, faceți clic pe pictograma „” situată în dreapta rândului corespunzător al tabelului:

Puteți trece în modul de editare direct din pagina de vizualizare a repository-ului.

În modul de editare, toate câmpurile pot fi modificate.

Acțiunile butoanelor în modul de editare:

• Cancel: anulează introducerea curentă și trece pagina în modul de vizualizare.
• Save: validează formularul și trece pagina în modul de vizualizare.
• Save and quit: validează formularul și revine la pagina cu lista politicilor de login.

Pentru a șterge un repository, faceți clic pe pictograma „” situată în dreapta rândului corespunzător al tabelului:

Un mesaj de confirmare va apărea înainte de ștergerea repository-ului.

Avertisment: nu este posibil să ștergeți un repository atât timp cât există obiecte legate de el.

Configurarea unui conector automat (prin SIP)

Configurarea unui conector automat consistă în definirea parametrilor de conexiune dintre CyberElements Identity și o aplicație terță. Modurile de conexiune pot fi:

• Director (AD, LDAP, OpenLDAP, ADLDS etc.)
• Fișier plat (csv, xml)
• DB
• API (SCIM)

Pentru fiecare repository este posibil să configurați un conector automat pentru a executa secvențe de provizionare (ascendentă sau descendentă). Rețineți că, începând cu versiunea 7.0, pentru repository-ul Identity nu mai este necesar să configurați o legătură ODBC. Comunicarea dintre Systancia Identity Provisioning și CyberElements Identity este automată și transparentă.

Accesul la configurarea unui conector automat se face din pagina repository-ului deschisă în modul de vizualizare. Faceți clic pe butonul „SIP Configuration”.

Pentru fiecare configurare de conector, indiferent de modul de conexiune, trebuie să indicați agentul de provizionare. Agentul de provizionare este completat în mod implicit atunci când există doar unul.

Notă: în versiunea 7.0 poate fi configurat un singur agent de provizionare. Acesta este creat în mod implicit, atât la o montare de versiune, cât și la o primă instalare.

În celelalte privințe, formularele de configurare variază în funcție de modul de conexiune care trebuie configurat.

Conexiune de tip director, conector vechi

Avertisment

Vechiul conector de director este încă livrat cu versiunea 7.1, dar va fi depreciat începând cu versiunea 7.2. Preferați noul conector, care gestionează acum atât exportul, cât și importul.

Pentru o conexiune de tip director cu conectorul vechi, care permite exportul și importul (LDAP, AD, OpenLDAP etc.), trebuie introduse informațiile următoare:

• Server: adresa serverului pe care se află directorul
• Port: portul de conexiune
• SSL: bifați dacă trebuie activată conexiunea SSL
• Base: rădăcina arborelui din care vor fi extrase sau în care vor fi scrise datele. Exemplu: „DC=Domain,DC=local”
• Username: contul de conexiune
• Password: parola contului de conexiune

Conexiune de tip director, conector nou

Notă

Până la versiunea 7.0, noul conector de director gestiona numai citirea din repository-urile de tip director. Începând cu versiunea 7.1, gestionează și scrierea în aceste repository-uri.

Pentru o conexiune de tip director, cu noul conector, care permite exportul și importul (LDAP, AD, OpenLDAP etc.), trebuie să introduceți următoarele informații:

• Server: adresa serverului pe care se află directorul
• Port: portul de conexiune
• SSL: bifați dacă trebuie activată conexiunea SSL
• Domain: rădăcina arborelui din care vor fi extrase sau în care vor fi scrise datele. Exemplu: „Domain.local”
• Username: contul de conexiune
• Password: parola contului de conexiune
• Synchronization of groups managed by Identity only: bifați caseta pentru ca SIP să se bazeze pe lista grupurilor de securitate create și gestionate în CyberElements Identity, mai degrabă decât pe o listă introdusă manual în exportul și în importul repository-ului.
• Export code: codul exportului grupurilor, de obicei memberof@. De completat atunci când opțiunea anterioară este bifată.

Codul memberof@ desemnează grupurile prin numele lor (CN), fără locația lor în director — în timp ce atributul LDAP standard memberOf așteaptă DN-ul complet al fiecărui grup. Este recunoscut indiferent de majuscule sau minuscule. Pentru a compara starea așteptată cu directorul, conectorul reduce și grupurile curente ale obiectului la numele lor, apoi aplică numai adăugările și eliminările necesare. Atunci când opțiunea „Synchronization of groups managed by Identity only” este bifată, sunt exportate numai apartenențele la grupurile gestionate de Identity: celelalte grupuri din director din care face parte utilizatorul nu sunt modificate.

Sfat

Codul memberof@ presupune nume de grup unice în director. Dacă mai multe grupuri au același nume în unități organizaționale diferite, utilizați memberOf cu DN-urile complete.

Atunci când un grup gestionat de Identity nu există încă în director, conectorul îl creează, cu clasele de obiect top și group. Unitatea organizațională de destinație nu a fost stabilită până în prezent.

Conexiune de tip bază de date

Pentru o conexiune la o bază de date (SQL Server, Oracle, PostgreSQL etc.), trebuie introduse informațiile următoare:

• Șirul de conexiune creat în prealabil (legătură ODBC etc.)
• Username: contul de conexiune
• Password: parola contului de conexiune

Conexiune de tip fișier plat (CSV, TXT etc.)

• File name: calea completă a fișierului.
• Skip the first line: bifați această casetă dacă fișierul conține un antet. Începând cu versiunea 7.1, acest antet este păstrat în timpul importului.
• Format: ASCII sau Unicode
• Separator: caracterul care reprezintă separatorul de coloane
• Value separator: caracterul care reprezintă separatorul de valori în cazul unui atribut cu valori multiple
• Multi-line for the same user: numele atributului a cărui valoare este unică (de exemplu, numărul de matricol, loginul etc.) și care servește ca atribut pivot pentru gestionarea valorilor multiple.

Multilinie în scriere, începând cu versiunea 7.1:

Până la versiunea 7.0, multilinia era gestionată numai la citire: valorile multiple erau scrise numai cu un separator. Începând cu versiunea 7.1, opțiunea „Multi-line for the same user” poate fi configurată și în repository-ul fișierului text de ieșire (csv, txt sau altul).

Dacă un obiect din fișierul de sincronizare are mai multe valori în atributul desemnat, fișierul produs conține atâtea rânduri câte valori există, iar toate celelalte atribute ale obiectului sunt repetate pe fiecare dintre aceste rânduri.

Un singur atribut multivaloare poate genera rânduri în acest mod, per obiect și per repository. Celelalte atribute multivaloare rămân grupate pe un singur rând, cu valorile separate prin separatorul definit în configurarea repository-ului.

Crearea/modificarea/ștergerea aplicațiilor și a autorizărilor

Pentru a accesa gestionarea aplicațiilor și a autorizărilor unui repository, accesați pagina repository-ului în modul de vizualizare, apoi deschideți tabul „Applications and Authorizations”.

Lista aplicațiilor existente este preîncărcată fără niciun filtru aplicat, dar respectând permisiunile asociate profilului persoanei conectate.

Lista autorizărilor asociate unei aplicații este afișată într-un tabel încorporat în aplicație.

Paginarea este implementată pentru a afișa doar 10 aplicații.

În tabelul încorporat al autorizărilor, paginarea este configurată pentru a afișa doar 5 autorizări.

Un câmp de căutare este disponibil în partea din dreapta sus a tabelului de aplicații. Căutarea acoperă codul și numele aplicațiilor.

În mod similar, în tabelul încorporat al autorizărilor, un câmp de căutare este disponibil în partea de sus a tabelului. Căutarea acoperă atributele „Category”, „Code” și „Name” ale autorizărilor.

Pentru a crea o aplicație nouă, faceți clic pe butonul „” din partea din dreapta sus a tabelului de aplicații.

Introduceți parametrii unei aplicații:

• Code: codul aplicației. Trebuie să fie unic, fără spații sau caractere speciale. Obligatoriu.
• Name: numele aplicației. Eticheta care va fi afișată în diferitele formulare ale aplicației. Obligatoriu.
• Description: câmp pentru introducerea unei descrieri a aplicației. Opțional.
• Responsible: selectați una sau mai multe persoane din lista identităților. Opțional.

Pentru a crea o autorizare nouă, deschideți tabelul încorporat al aplicației la care doriți să atașați autorizarea și faceți clic pe butonul „” situat în partea din dreapta sus a tabelului de autorizări.

Introduceți parametrii unei autorizări:

• Code: codul autorizării. Trebuie să fie unic, fără spații sau caractere speciale. Obligatoriu.
• Name: numele autorizării. Eticheta care va fi afișată în diferitele formulare ale aplicației. Obligatoriu.
• Description: câmp pentru introducerea unei descrieri a aplicației. Opțional.
• Category: selectați o categorie din listă sau creați o categorie nouă. Pentru a crea o categorie nouă, faceți clic pe butonul „” situat în dreapta listei derulante. Opțional.

• Type:
  • Group. Opțiune disponibilă pentru gestionarea retrocompatibilității în cazul montărilor de versiune. Această opțiune este depreciată începând cu 7.0.
  • Attribute
• Mode:
  • Static: valoarea dreptului care trebuie definită
  • Dynamic: valoare provenită dintr-un atribut
• Export code: numele atributului care va fi exportat în exporturile „USER+ACCESS” și „ACCOUNT+ACCESS”
• Export value:
  • Fie un câmp liber, dacă Mode = static
  • Fie un câmp de selectare a unui atribut, dacă Mode = dynamic. Atributul trebuie să fie un atribut de cont dacă conectorul este creat cu un tip de export „ACCOUNT + ACCESS”, sau un atribut de identitate dacă conectorul este creat cu un tip de export „USER + ACCESS”

Notă: exportul „USER + ACCESS” este păstrat în versiunea 7.0 pentru a gestiona retrocompatibilitatea în cazul unei montări de versiune. Este depreciat începând cu versiunea 7.0.

Pentru a modifica o aplicație, faceți clic pe pictograma „” situată în dreapta, pe rândul corespunzător al tabelului.

Toate câmpurile pot fi modificate.

Pentru a modifica o autorizare, deschideți tabelul încorporat al aplicației în care doriți să modificați o autorizare și faceți clic pe pictograma „” situată în dreapta, pe rândul corespunzător al tabelului.

Toate câmpurile pot fi modificate.

Acțiunile butoanelor în modul de creare și de modificare (aplicații și autorizări):

• Cancel: anulează introducerea curentă și revine la pagina repository-ului.
• Save: validează formularul și revine la pagina repository-ului

Pentru a șterge o aplicație, faceți clic pe pictograma „” situată în dreapta rândului corespunzător al tabelului.

Un mesaj de confirmare va apărea înainte de ștergerea aplicației.

Avertisment: nu este posibil să ștergeți o aplicație atât timp cât există obiecte legate de ea.

Pentru a șterge o autorizare, deschideți tabelul încorporat al aplicației în care doriți să ștergeți o autorizare și faceți clic pe butonul „” situat în dreapta, pe rândul corespunzător al tabelului.

Un mesaj de confirmare va apărea înainte de ștergerea autorizării.

Avertisment: nu este posibil să ștergeți o autorizare atât timp cât există obiecte legate de ea.

Gestionarea rolurilor

Începând cu versiunea 7.0, rolurile sunt adăugate în gestionarea modelelor de drepturi. Rolurile, care pot fi asimilate unor profiluri profesionale, vă permit să predefiniți un set de permisiuni, dar și să multiplicați conturile unei singure identități, dacă este necesar. De exemplu, unei persoane care are un rol de administrator și un rol de utilizator standard i se pot atribui două conturi, pentru a folosi cel care corespunde operațiilor pe care trebuie să le efectueze.

Începând cu versiunea 7.1, gestionarea rolurilor acceptă și datele de aplicare, blocarea și deblocarea unui rol, certificarea — manuală sau printr-o campanie de certificare — și gestionarea separării atribuțiilor (SoD).

Notă

Aceste patru noțiuni sunt descrise la nivelul autorizărilor pe pagina Gestionarea conturilor și a autorizărilor. Nota de versiune 7.1 anunță suportul lor pentru roluri, fără a detalia ecranele.

Blocarea și certificarea unui rol se fac din fișa unei identități, în tabul rolurilor și autorizărilor teoretice: meniul ⋮ al fiecărui rol permite adăugarea unei autorizări, lock the role și certify the role. Blocarea și deblocarea sunt guvernate de două drepturi de administrare distincte, după cum rolul este atribuit unei identități sau unui cont.

Un rol blocat nu mai este luat în calcul de regulile de reconciliere bazate pe rolurile active. Un cont care era legat de identitatea sa numai prin acest rol devine, prin urmare, orfan: acesta este comportamentul așteptat. Înainte de a bloca un rol, verificați conturile care depind de acesta.

Crearea/modificarea/ștergerea unui rol (profil profesional)

Pentru a accesa gestionarea rolurilor, accesați meniul „Access Management/Roles”.

Veți fi direcționat direct către lista rolurilor existente, preîncărcată într-un tabel fără niciun filtru aplicat, dar respectând permisiunile legate de profilul persoanei conectate.

Paginarea este configurată pentru a afișa doar 10 roluri.

Un câmp de căutare este disponibil în partea din dreapta sus a tabelului. Căutarea se concentrează pe atributele „code” și „name” ale rolurilor.

Pentru a crea un rol nou, faceți clic pe butonul „”.

Introduceți parametrii generali ai unui rol:

• Code: codul rolului. Trebuie să fie unic, fără spații sau caractere speciale. Obligatoriu.
• Name: numele rolului. Eticheta care va fi afișată în diferitele formulare ale aplicației. Obligatoriu.
• Description: câmp pentru introducerea unei descrieri a rolului. Opțional.

Validați formularul de creare pentru a adăuga legăturile către repository-uri și autorizările implicite.

Pentru a vizualiza și a modifica un rol, faceți clic pe pictograma „” situată în dreapta rândului corespunzător al tabelului.

Este posibil să treceți în modul de editare direct din pagina de vizualizare a rolului.

În modul de editare, toate câmpurile pot fi modificate.

Acțiunile butoanelor în modul de editare sau de creare:

• Cancel: anulează introducerea curentă și trece pagina în modul de vizualizare
• Save: validează formularul și trece pagina în modul de vizualizare
• Save and quit: validează formularul și revine la pagina cu lista rolurilor

Pentru a șterge un rol, faceți clic pe pictograma „” situată în dreapta rândului corespunzător al tabelului.

Un mesaj de confirmare va apărea înainte de ștergerea rolului.

Avertisment: nu este posibil să ștergeți un rol atât timp cât există obiecte legate de el.

• Din această pagină de configurare puteți gestiona legăturile către repository-uri.
• Din această pagină de configurare puteți gestiona autorizările implicite ale unui rol.

Gestionarea legăturilor dintre un repository și un rol

Crearea unei legături între un rol și un repository permite generarea unui cont atunci când o identitate are un rol și îndeplinește condițiile pentru a obține un cont (starea identității, faptul că identitatea are sau nu drepturi etc.).

O legătură între un repository și un rol poate fi creată în două moduri diferite:

• Fie din pagina de configurare a unui rol
• Fie din pagina de configurare a unui repository

Pentru a adăuga o legătură către un repository din pagina de configurare a unui rol, deschideți rolul dorit în modul de vizualizare și deschideți tabul „Repository”. Lista repository-urilor asociate rolului este preîncărcată fără niciun filtru aplicat, dar respectând permisiunile legate de profilul persoanei conectate.

Paginarea este implementată pentru a afișa doar 10 repository-uri legate existente.

Un câmp de căutare este disponibil în partea din dreapta sus a tabelului de repository-uri legate. Căutarea se bazează pe numele repository-urilor.

Pentru a crea o legătură nouă către un repository, faceți clic pe butonul „” din partea din dreapta sus a tabelului.

Alegeți un repository din listă, apoi selectați tipul de cont care trebuie utilizat. Salvați pentru a înregistra legătura.

Repetați operația pentru fiecare legătură pe care doriți să o creați.

Pentru a modifica un repository legat de rol, faceți clic pe pictograma „” situată în dreapta, pe rândul corespunzător al tabelului.

Tipul de cont poate fi modificat.

Pentru a șterge un repository legat de un rol, faceți clic pe pictograma „” situată în dreapta, pe rândul corespunzător al tabelului.

Pentru a adăuga o legătură către un repository din pagina de configurare a repository-ului, deschideți repository-ul dorit în modul de vizualizare, apoi deschideți tabul „Roles”. Lista rolurilor asociate este preîncărcată fără niciun filtru aplicat, dar respectând permisiunile legate de profilul persoanei conectate.

Paginarea este implementată pentru a afișa doar 10 legături rol/repository existente.

Un câmp de căutare este disponibil în partea din dreapta sus a tabelului de legături rol/repository. Căutarea se bazează pe numele rolurilor.

Pentru a crea o legătură rol/repository nouă, faceți clic pe butonul „” din partea din dreapta sus a tabelului.

Alegeți un rol din listă, apoi selectați tipul de cont care trebuie utilizat. Salvați pentru a înregistra legătura.

Pentru a modifica o asociere rol-repository, faceți clic pe pictograma „” situată în dreapta, pe rândul corespunzător al tabelului.

Tipul de cont poate fi modificat.

Acțiunile butoanelor în modul de creare și de editare:

• Cancel: anulează introducerea curentă și revine la pagina repository-ului.
• Save: validează formularul și revine la pagina repository-ului

Pentru a șterge o asociere rol-repository, faceți clic pe pictograma „” situată în dreapta rândului corespunzător al tabelului.

Un mesaj de confirmare va apărea înainte de ștergerea asocierii rol-repository.

Avertisment: nu este posibil să ștergeți o asociere rol-repository atât timp cât există obiecte legate de ea.

Gestionarea autorizărilor implicite ale unui rol

Dacă un rol are autorizări implicite, atunci, atunci când o identitate are acest rol, ea va moșteni și autorizările implicite ale rolului. Această funcționalitate înlocuiește grupurile de drepturi din versiunile anterioare ale produsului.

Pentru a adăuga autorizări implicite unui rol, deschideți rolul dorit în modul de vizualizare, apoi deschideți tabul „Authorizations”. Faceți clic pe butonul „”.

Selectați drepturile dorite și faceți clic pe „Validate” pentru a adăuga autorizările la rol sau pe „Cancel” pentru a anula operația.

Vizualizarea identităților legate de un rol

Începând cu versiunea 7.1, pagina de vizualizare a unui rol are un tab suplimentar, „Identities”, care conține lista identităților legate de rol.

Pagina de vizualizare a unui rol are astfel trei taburi: „Repositories”, „Rights” și „Identities”. Acesta din urmă afișează, pentru fiecare identitate, UID-ul, numele, prenumele, identitatea master, tipul de persoană și starea, cu o funcție de căutare.

Duplicarea unui rol

Începând cu versiunea 7.1, este posibil să creați un rol prin duplicarea unui rol existent. Repository-urile și autorizările legate de rolul duplicat sunt preluate în noul rol.

Duplicarea se lansează din lista rolurilor („Access Management/Roles”): meniul ⋮ de la sfârșitul rândului oferă acțiunea de duplicare.