Správa úložísk

Úložisko je definované ako centralizovaný zdroj alebo miesto uloženia údajov, ktoré uchováva a spravuje informácie o účtoch používateľov, skupín a prostriedkov v rámci systému alebo organizácie.

V CyberElements Identity môže mať úložisko niekoľko aplikácií, medzi ktoré sú rozdelené účty, role a povolenia.

Vytvorenie/úprava/odstránenie úložiska

Ak chcete prejsť na správu úložísk, otvorte ponuku „Access Management/Repositories“.

Zobrazí sa priamo zoznam existujúcich úložísk, vopred načítaný v tabuľke bez použitých filtrov.

Stránkovanie je nastavené tak, aby sa zobrazovalo iba 10 úložísk.

V pravom hornom rohu tabuľky je k dispozícii vyhľadávacie pole. Vyhľadávanie zahŕňa atribúty „code“ a „name“ úložísk.

Ak chcete vytvoriť nové úložisko, kliknite na tlačidlo „“.

Vyberte typ aplikácie z katalógu konektorov.

Ak úložisko nie je prepojené s automatickým konektorom, vyberte možnosť „Other“ v kategórii Other.

Najprv zadajte všeobecné parametre úložiska:

• Code: kód úložiska. Musí byť jedinečný, bez medzier a špeciálnych znakov. Povinné.
• Name: názov úložiska. Označenie, ktoré sa zobrazí v rôznych formulároch aplikácie. Povinné.
• Description: pole na zadanie opisu úložiska. Voliteľné.
• Default role: vyberte rolu, ktorú budú používať workflow, ak sa pre úložisko zadávajú požiadavky na autorizácie. Voliteľné.
• Export type: umožňuje určiť typ exportu, ktorý sa použije v konektore zriaďovania. Táto informácia slúži na určenie, ktorý typ atribútu sa použije pre dynamické autorizácie.

Ak je vybraná možnosť Account+Access, dynamické autorizácie sa prepoja s atribútmi účtu; ak je vybraná možnosť user+Access, dynamické autorizácie sa prepoja s atribútmi osoby. Táto informácia je povinná v prípade automatického zriaďovania; predvolená hodnota je Account+Access.

Kliknutím na tlačidlo „SIP Configuration“ nakonfigurujete automatický konektor. Tlačidlo nie je dostupné, ak je ako úložisko vybraná možnosť „Other“.

Potvrďte formulár na vytvorenie, aby ste mohli nakonfigurovať aplikácie a povolenia, typy účtov a role úložiska.

Akcie tlačidiel v režime vytvárania:

• Cancel: zruší aktuálne zadávanie a vráti sa na stránku so zoznamom úložísk.
• Save: potvrdí formulár a prepne stránku do režimu zobrazenia.
• Save and quit: potvrdí formulár a vráti sa na stránku so zoznamom úložísk.

Ak chcete zobraziť a upraviť úložisko, kliknite na ikonu „“ umiestnenú vpravo od príslušného riadka tabuľky:

Do režimu úprav môžete prepnúť priamo zo stránky zobrazenia úložiska.

V režime úprav možno upraviť všetky polia.

Akcie tlačidiel v režime úprav:

• Cancel: zruší aktuálne zadávanie a prepne stránku do režimu zobrazenia.
• Save: potvrdí formulár a prepne stránku do režimu zobrazenia.
• Save and quit: overí formulár a vráti sa na stránku so zoznamom zásad prihlásenia.

Ak chcete odstrániť úložisko, kliknite na ikonu „“ umiestnenú vpravo od príslušného riadka tabuľky:

Pred odstránením úložiska sa zobrazí potvrdzujúce hlásenie.

Upozornenie: úložisko nie je možné odstrániť, kým existujú prepojené objekty.

Konfigurácia automatického konektora (cez SIP)

Konfigurácia automatického konektora spočíva v definovaní parametrov pripojenia medzi CyberElements Identity a aplikáciou tretej strany. Režimy pripojenia môžu byť:

• Adresár (AD, LDAP, OpenLDAP, ADLDS atď.)
• Plochý súbor (csv, xml)
• DB
• API (SCIM)

Pre každé úložisko je možné nakonfigurovať automatický konektor na vykonávanie sekvencií zriaďovania (vstupného alebo výstupného). Všimnite si, že od verzie 7.0 už pre úložisko Identity nie je potrebné konfigurovať prepojenie ODBC. Komunikácia medzi Systancia Identity Provisioning a CyberElements Identity je automatická a transparentná.

Prístup ku konfigurácii automatického konektora je k dispozícii na stránke úložiska otvorenej v režime zobrazenia. Kliknite na tlačidlo „SIP Configuration“.

Pri každej konfigurácii konektora musíte bez ohľadu na režim pripojenia zadať agenta zriaďovania. Ak existuje iba jeden agent zriaďovania, je vyplnený predvolene.

Poznámka: vo verzii 7.0 je možné nakonfigurovať iba jedného agenta zriaďovania. Vytvára sa predvolene, či už ide o upgrade, alebo o prvú inštaláciu.

V ostatných prípadoch sa formuláre konfigurácie líšia v závislosti od konfigurovaného režimu pripojenia.

Pripojenie typu adresár, starý konektor

Upozornenie

Starý konektor adresára sa stále dodáva s verziou 7.1, ale od verzie 7.2 bude zastaraný. Uprednostnite nový konektor, ktorý teraz zvláda export aj import.

Pre pripojenie typu adresár so starým konektorom, ktoré umožňuje export a import (LDAP, AD, OpenLDAP atď.), je potrebné zadať tieto informácie:

• Server: adresa servera, na ktorom sa nachádza adresár
• Port: port pripojenia
• SSL: začiarknite, ak sa má povoliť pripojenie SSL
• Base: koreň stromu, z ktorého sa budú údaje extrahovať alebo do ktorého sa budú zapisovať. Napr.: „DC=Domain,DC=local“
• Username: prihlasovací účet
• Password: heslo prihlasovacieho účtu

Pripojenie typu adresár, nový konektor

Poznámka

Do verzie 7.0 nový konektor adresára zvládal iba čítanie z úložísk typu adresár. Od verzie 7.1 zvláda aj zápis do týchto úložísk.

Pre pripojenie typu adresár s novým konektorom, ktoré umožňuje export a import (LDAP, AD, OpenLDAP atď.), musíte zadať tieto informácie:

• Server: adresa servera, na ktorom sa nachádza adresár
• Port: port pripojenia
• SSL: začiarknite, ak sa má povoliť pripojenie SSL
• Domain: koreň stromu, z ktorého sa budú údaje extrahovať alebo do ktorého sa budú zapisovať. Napr.: „Domain.local“
• Username: prihlasovací účet
• Password: heslo prihlasovacieho účtu
• Synchronization of groups managed by Identity only: začiarknite toto políčko, aby sa SIP opieral o zoznam skupín zabezpečenia vytvorených a spravovaných v CyberElements Identity, a nie o zoznam zadaný manuálne v exporte a v importe úložiska.
• Export code: kód exportu skupín, zvyčajne memberof@. Vyplňte, ak je začiarknutá predchádzajúca možnosť.

Kód memberof@ označuje skupiny podľa ich názvu (CN), bez ich umiestnenia v adresári — zatiaľ čo štandardný atribút LDAP memberOf očakáva úplný DN každej skupiny. Rozpoznáva sa bez ohľadu na veľkosť písmen. Na porovnanie očakávaného stavu s adresárom konektor tiež zredukuje aktuálne skupiny objektu na ich názov a potom vykoná iba nevyhnutné pridania a odobratia. Keď je začiarknutá možnosť „Synchronization of groups managed by Identity only“, exportujú sa iba členstvá v skupinách spravovaných v Identity: ostatné skupiny adresára, do ktorých používateľ patrí, sa nemenia.

Tip

Kód memberof@ predpokladá jedinečné názvy skupín v adresári. Ak má viacero skupín rovnaký názov v rôznych organizačných jednotkách, použite memberOf s úplnými DN.

Keď skupina spravovaná v Identity ešte v adresári neexistuje, konektor ju vytvorí s triedami objektov top a group. Cieľová organizačná jednotka zatiaľ nebola stanovená.

Pripojenie typu databáza

Pre pripojenie k databáze (SQL Server, Oracle, PostgreSQL atď.) musíte zadať tieto informácie:

• Vopred vytvorený reťazec pripojenia (prepojenie ODBC atď.)
• Username: prihlasovací účet
• Password: heslo prihlasovacieho účtu

Pripojenie k plochému súboru (CSV, TXT atď.)

• File name: úplná cesta k súboru.
• Skip the first line: začiarknite toto políčko, ak súbor obsahuje hlavičku. Od verzie 7.1 sa táto hlavička pri importe zachováva.
• Format: ASCII alebo Unicode
• Separator: znak predstavujúci oddeľovač stĺpcov
• Value separator: znak predstavujúci oddeľovač hodnôt v prípade viachodnotového atribútu
• Multi-line for the same user: názov atribútu, ktorého hodnota je jedinečná (napr. osobné číslo zamestnanca, prihlasovacie meno atď.) a ktorý slúži ako pivotný atribút na spravovanie viacerých hodnôt.

Viacriadkový režim pri zápise, od verzie 7.1:

Do verzie 7.0 sa viacriadkový režim zvládal iba pri čítaní: viacero hodnôt sa zapisovalo iba s oddeľovačom. Od verzie 7.1 možno možnosť „Multi-line for the same user“ nakonfigurovať aj v úložisku výstupného textového súboru (csv, txt alebo iný).

Ak má objekt v súbore synchronizácie vo vybranom atribúte viacero hodnôt, vytvorený súbor obsahuje toľko riadkov, koľko je hodnôt, a všetky ostatné atribúty objektu sa opakujú v každom z týchto riadkov.

Týmto spôsobom môže riadky generovať iba jeden viachodnotový atribút na objekt a na úložisko. Ostatné viachodnotové atribúty zostávajú zoskupené v jednom riadku a ich hodnoty sú oddelené oddeľovačom definovaným v konfigurácii úložiska.

Vytvorenie/úprava/odstránenie aplikácií a autorizácií

Ak chcete prejsť na správu aplikácií a autorizácií úložiska, otvorte stránku úložiska v režime zobrazenia a potom otvorte kartu „Applications and Authorizations“.

Zoznam existujúcich aplikácií je vopred načítaný bez použitia filtrov, ale v súlade s povoleniami priradenými k profilu prihlásenej osoby.

Zoznam autorizácií priradených k aplikácii sa zobrazuje v tabuľke vnorenej do aplikácie.

Stránkovanie je implementované tak, aby sa zobrazovalo iba 10 aplikácií.

Vo vnorenej tabuľke autorizácií je stránkovanie nastavené tak, aby sa zobrazovalo iba 5 autorizácií.

Vpravo hore v tabuľke aplikácií je k dispozícii pole vyhľadávania. Vyhľadávanie sa vzťahuje na kód a názov aplikácií.

Podobne je vo vnorenej tabuľke autorizácií k dispozícii pole vyhľadávania v hornej časti tabuľky. Vyhľadávanie sa vzťahuje na atribúty autorizácií „Category“, „Code“ a „Name“.

Ak chcete vytvoriť novú aplikáciu, kliknite na tlačidlo „“ vpravo hore v tabuľke aplikácií.

Zadajte parametre aplikácie:

• Code: kód aplikácie. Musí byť jedinečný, bez medzier a špeciálnych znakov. Povinné.
• Name: názov aplikácie. Označenie, ktoré sa bude zobrazovať v rôznych formulároch aplikácie. Povinné.
• Description: pole na zadanie opisu aplikácie. Voliteľné.
• Responsible: vyberte jednu alebo viac osôb zo zoznamu identít. Voliteľné.

Ak chcete vytvoriť novú autorizáciu, otvorte vnorenú tabuľku aplikácie, ku ktorej chcete autorizáciu pripojiť, a kliknite na tlačidlo „“ umiestnené vpravo hore v tabuľke autorizácií.

Zadajte parametre autorizácie:

• Code: kód autorizácie. Musí byť jedinečný, bez medzier a špeciálnych znakov. Povinné.
• Name: názov autorizácie. Označenie, ktoré sa bude zobrazovať v rôznych formulároch aplikácie. Povinné.
• Description: pole na zadanie opisu aplikácie. Voliteľné.
• Category: vyberte kategóriu zo zoznamu alebo vytvorte novú kategóriu. Ak chcete vytvoriť novú kategóriu, kliknite na tlačidlo „“ vpravo od rozbaľovacieho zoznamu. Voliteľné.

• Type:
  • Group. Možnosť dostupná na zabezpečenie spätnej kompatibility v prípade upgradu verzie. Táto možnosť je od verzie 7.0 zastaraná.
  • Attribute
• Mode:
  • Static: hodnota práva, ktorú treba definovať
  • Dynamic: hodnota z atribútu
• Export code: názov atribútu, ktorý sa bude exportovať v exportoch „USER+ACCESS“ a „ACCOUNT+ACCESS“
• Export value:
  • Buď voľné pole, ak Mode = static
  • Alebo pole na výber atribútu, ak Mode = dynamic. Atribút musí byť atribútom účtu, ak je konektor vytvorený s typom exportu „ACCOUNT + ACCESS“, alebo atribútom identity, ak je konektor vytvorený s typom exportu „USER + ACCESS“

Poznámka: export „USER + ACCESS“ sa vo verzii 7.0 zachováva na zabezpečenie spätnej kompatibility v prípade upgradu verzie. Od verzie 7.0 je zastaraný.

Ak chcete upraviť aplikáciu, kliknite na ikonu „“ umiestnenú vpravo v príslušnom riadku tabuľky.

Všetky polia je možné upraviť.

Ak chcete upraviť autorizáciu, otvorte vnorenú tabuľku aplikácie, v ktorej chcete autorizáciu upraviť, a kliknite na ikonu „“ umiestnenú vpravo v príslušnom riadku tabuľky.

Všetky polia je možné upraviť.

Akcie tlačidiel v režime vytvárania a úprav (aplikácie a autorizácie):

• Cancel: zruší aktuálne zadávanie a vráti sa na stránku úložiska.
• Save: overí formulár a vráti sa na stránku úložiska

Ak chcete odstrániť aplikáciu, kliknite na ikonu „“ umiestnenú vpravo od príslušného riadka tabuľky.

Pred odstránením aplikácie sa zobrazí potvrdzujúce hlásenie.

Upozornenie: aplikáciu nie je možné odstrániť, kým existujú súvisiace objekty.

Ak chcete odstrániť autorizáciu, otvorte vnorenú tabuľku aplikácie, v ktorej chcete autorizáciu odstrániť, a kliknite na tlačidlo „“ umiestnené vpravo v príslušnom riadku tabuľky.

Pred odstránením autorizácie sa zobrazí potvrdzujúce hlásenie.

Upozornenie: autorizáciu nie je možné odstrániť, kým existujú súvisiace objekty.

Správa rolí

Od verzie 7.0 sa do správy šablón práv pridávajú roly. Roly, ktoré môžu zodpovedať pracovným profilom, umožňujú vopred definovať súbor povolení, ale v prípade potreby aj znásobiť počet účtov pre jednu identitu. Napríklad osobe, ktorá má rolu správcu a rolu štandardného používateľa, možno priradiť dva účty, aby používala ten, ktorý je potrebný na operácie, ktoré má vykonať.

Od verzie 7.1 správa rolí podporuje aj dátumy platnosti, uzamknutie a odomknutie roly, certifikáciu — manuálnu alebo prostredníctvom certifikačnej kampane — a správu oddelenia povinností (SoD).

Poznámka

Tieto štyri pojmy sú opísané na úrovni autorizácií na stránke Správa účtov a autorizácií. Poznámka k vydaniu 7.1 oznamuje ich podporu pri rolách bez podrobného opisu obrazoviek.

Uzamknutie a certifikácia roly sa vykonávajú zo záznamu identity, na karte teoretických rolí a autorizácií: ponuka ⋮ každej roly umožňuje pridať autorizáciu, ako aj akcie Lock the role a Certify the role. Uzamknutie a odomknutie sa riadia dvoma samostatnými právami na správu v závislosti od toho, či je rola priradená identite, alebo účtu.

Uzamknutú rolu už neberú do úvahy pravidlá zosúladenia založené na aktívnych rolách. Účet, ktorý bol so svojou identitou prepojený iba prostredníctvom tejto roly, sa preto stane osirelým: ide o očakávané správanie. Pred uzamknutím roly skontrolujte účty, ktoré od nej závisia.

Vytvorenie/úprava/odstránenie roly (pracovný profil)

Ak chcete prejsť na správu rolí, prejdite do ponuky „Access Management/Roles“.

Prejdete priamo na zoznam existujúcich rolí, vopred načítaný v tabuľke bez použitia filtrov, ale v súlade s povoleniami prepojenými s profilom prihlásenej osoby.

Stránkovanie je nastavené tak, aby sa zobrazovalo iba 10 rolí.

Vpravo hore v tabuľke je k dispozícii pole vyhľadávania. Vyhľadávanie sa zameriava na atribúty rolí „code“ a „name“.

Ak chcete vytvoriť novú rolu, kliknite na tlačidlo „“.

Zadajte všeobecné parametre roly:

• Code: kód roly. Musí byť jedinečný, bez medzier a špeciálnych znakov. Povinné.
• Name: názov roly. Označenie, ktoré sa bude zobrazovať v rôznych formulároch aplikácie. Povinné.
• Description: pole na zadanie opisu roly. Voliteľné.

Overte formulár vytvorenia, aby ste mohli pridať prepojenia na úložiská a predvolené autorizácie.

Ak chcete zobraziť a upraviť rolu, kliknite na ikonu „“ umiestnenú vpravo od príslušného riadka tabuľky.

Do režimu úprav je možné prepnúť priamo zo stránky zobrazenia roly.

V režime úprav možno upraviť všetky polia.

Akcie tlačidiel v režime úprav alebo vytvárania:

• Cancel: zruší aktuálne zadávanie a prepne stránku do režimu zobrazenia
• Save: potvrdí formulár a prepne stránku do režimu zobrazenia
• Save and quit: overí formulár a vráti sa na stránku so zoznamom rolí

Ak chcete odstrániť rolu, kliknite na ikonu „“ umiestnenú vpravo od príslušného riadka tabuľky.

Pred odstránením roly sa zobrazí potvrdzovacia správa.

Upozornenie: rolu nie je možné odstrániť, kým existujú súvisiace objekty.

• Na tejto stránke konfigurácie môžete spravovať prepojenia na úložiská.
• Na tejto stránke konfigurácie môžete spravovať predvolené autorizácie roly.

Správa prepojení medzi úložiskom a rolou

Vytvorenie prepojenia medzi rolou a úložiskom umožňuje vygenerovať účet, keď má identita rolu a spĺňa podmienky na získanie účtu (stav identity, či identita má alebo nemá práva atď.).

Prepojenie medzi úložiskom a rolou je možné vytvoriť dvoma rôznymi spôsobmi:

• Buď na stránke konfigurácie roly
• Alebo na stránke konfigurácie úložiska

Ak chcete pridať prepojenie na úložisko zo stránky konfigurácie roly, otvorte požadovanú rolu v režime zobrazenia a otvorte kartu „Repository“. Zoznam úložísk priradených k role je vopred načítaný bez použitia filtrov, ale v súlade s povoleniami prepojenými s profilom prihlásenej osoby.

Stránkovanie je implementované tak, aby sa zobrazovalo iba 10 existujúcich prepojených úložísk.

Vpravo hore v tabuľke prepojených úložísk je k dispozícii pole vyhľadávania. Vyhľadávanie je založené na názvoch úložísk.

Ak chcete vytvoriť nové prepojenie na úložisko, kliknite na tlačidlo „“ vpravo hore v tabuľke.

Vyberte úložisko zo zoznamu a potom vyberte typ účtu, ktorý sa má použiť. Uložením prepojenie zaregistrujete.

Tento postup zopakujte pre každé prepojenie, ktoré chcete vytvoriť.

Ak chcete upraviť úložisko prepojené s rolou, kliknite na ikonu „“ umiestnenú vpravo v príslušnom riadku tabuľky.

Typ účtu je možné upraviť.

Ak chcete odstrániť úložisko prepojené s rolou, kliknite na ikonu „“ umiestnenú vpravo v príslušnom riadku tabuľky.

Ak chcete pridať prepojenie na úložisko zo stránky konfigurácie úložiska, otvorte požadované úložisko v režime zobrazenia a potom otvorte kartu „Roles“. Zoznam priradených rolí je vopred načítaný bez použitia filtrov, ale v súlade s povoleniami prepojenými s profilom prihlásenej osoby.

Stránkovanie je implementované tak, aby sa zobrazovalo iba 10 existujúcich prepojení rola/úložisko.

Vpravo hore v tabuľke prepojení rola/úložisko je k dispozícii pole vyhľadávania. Vyhľadávanie je založené na názvoch rolí.

Ak chcete vytvoriť nové prepojenie rola/úložisko, kliknite na tlačidlo „“ vpravo hore v tabuľke.

Vyberte rolu zo zoznamu a potom vyberte typ účtu, ktorý sa má použiť. Uložením prepojenie zaregistrujete.

Ak chcete upraviť priradenie rola-úložisko, kliknite na ikonu „“ umiestnenú vpravo v príslušnom riadku tabuľky.

Typ účtu je možné upraviť.

Akcie tlačidiel v režime vytvárania a úprav:

• Cancel: zruší aktuálne zadávanie a vráti sa na stránku úložiska.
• Save: overí formulár a vráti sa na stránku úložiska

Ak chcete odstrániť priradenie rola-úložisko, kliknite na ikonu „“ umiestnenú vpravo od príslušného riadka tabuľky.

Pred odstránením priradenia rola-úložisko sa zobrazí potvrdzujúce hlásenie.

Upozornenie: priradenie rola-úložisko nie je možné odstrániť, kým existujú prepojené objekty.

Správa predvolených autorizácií roly

Ak má rola predvolené autorizácie, identita, ktorá má túto rolu, zdedí aj predvolené autorizácie roly. Táto funkcia nahrádza skupiny práv z predchádzajúcich verzií produktu.

Ak chcete pridať predvolené autorizácie k role, otvorte požadovanú rolu v režime zobrazenia a potom otvorte kartu „Authorizations“. Kliknite na tlačidlo „“.

Vyberte požadované práva a kliknite na „Validate“, ak chcete pridať autorizácie k role, alebo na „Cancel“, ak chcete operáciu zrušiť.

Zobrazenie identít prepojených s rolou

Od verzie 7.1 má stránka zobrazenia roly ďalšiu kartu „Identities“, ktorá obsahuje zoznam identít prepojených s rolou.

Stránka zobrazenia roly má teda tri karty: „Repositories“, „Rights“ a „Identities“. Posledná z nich zobrazuje pre každú identitu jej UID, priezvisko, meno, hlavnú identitu, typ osoby a stav, spolu s vyhľadávaním.

Duplikovanie roly

Od verzie 7.1 je možné vytvoriť rolu duplikovaním existujúcej roly. Úložiská a autorizácie prepojené s duplikovanou rolou sa prenesú do novej roly.

Duplikovanie sa spúšťa zo zoznamu rolí („Access Management/Roles“): ponuka ⋮ na konci riadka ponúka akciu duplikovania.