Konfiguracija zahteve za dostop just-in-time¶
Zahteva za dostop just-in-time (JIT) postavi aplikacijo za odobritev: uporabnik je ne zažene več neposredno, temveč jo zahteva, skrbnik pa mu dostop odobri — po želji za enkratno uporabo, za časovno okno ali za omejeno trajanje seje.
To je mehanizem, ki ga uporabite za vire, pri katerih je treba o vsakem dostopu odločiti posebej, namesto da bi ga odobrili enkrat za vselej.
Kako mehanizem deluje¶
- V pravilniku dostopa so nekatere aplikacije, dodeljene skupini, označene kot omejene.
- Na portalu so te aplikacije prikazane, vendar jih ni mogoče zagnati: uporabnik pošlje zahtevo.
- V modulu Workflow jo skrbnik sprejme ali zavrne. S sprejetjem se ustvari workflow, torej dejanska avtorizacija, z njenimi omejitvami.
- Uporabnik zažene aplikacijo v mejah tega workflow.
Omejevanje poteka v pravilniku dostopa, dodeljevanje v modulu Workflow
Modula nista medsebojno zamenljiva: Access Policies določa, katere aplikacije so predmet zahteve, Workflows pa odgovarja na zahteve. Aplikacija, ki tam ni omejena, nikoli ne ustvari nobene zahteve.
Korak 1 — aplikacije postavite za workflow¶
Odprite modul Access Policies in uredite — ali ustvarite — pogodbo, ki zajema zadevne uporabnike. Po vrsti pojdite skozi njene zavihke: skupine uporabnikov, site, ki omogoča dostop do virov, nato aplikacije, objavljene tem uporabnikom.
Na zavihku Applications to restrict premaknite aplikacije, katerih dostop mora biti odobren, na seznam omejenih.
| Možnost | Kaj naredi |
|---|---|
| Applications to restrict | Seznam z dvema stolpcema. Kar premaknete na desno, postane predmet zahteve. |
| Ask the user to complete a form when requesting access | Od uporabnika zahteva, da svojo zahtevo dokumentira. Odgovori so prikazani skrbniku, ko obravnava zahtevo. |
Kliknite Validate.
Omejiti je mogoče samo tisto, kar je bilo že dodeljeno
Seznam ponuja aplikacije, izbrane prej v isti pogodbi: omejevanje zoži že dodeljen dostop in ni način za njegovo dodelitev.
Korak 2 — kaj vidi uporabnik¶
Na portalu je omejena aplikacija prikazana, vendar zaklenjena. Klik nanjo namesto zagona aplikacije odpre zahtevo — z obrazcem za izpolnjevanje, če je bila možnost v koraku 1 označena.
Uporabnik nato počaka na odgovor skrbnika. Ko je dostop odobren, je aplikacijo mogoče zagnati v mejah, ki jih določa workflow.
Korak 3 — odgovorite na zahtevo¶
Odprite modul Workflow in pojdite na zavihek Users request. Izberite čakajočo zahtevo, nato kliknite Accept the request ali Refuse the request.
Sprejetje odpre okno, vnaprej izpolnjeno z uporabnikom, njegovo domeno in zahtevanim virom.
Poleg poimenovanja workflow se tu nastavijo omejitve, ki se seštevajo:
| Omejitev | Kaj omejuje |
|---|---|
| Unique usage | Aplikacijo je mogoče zagnati samo enkrat. Nadaljnji dostop pomeni novo zahtevo. |
| Mandatory comment | Uporabnik pred zagonom navede razlog. Komentar je nato prikazan s posnetkom seje. |
| Date | Datumski obseg, v katerem je aplikacijo mogoče odpreti. |
| Hour | Časovno okno, v katerem jo je mogoče odpreti. |
| Maximum session duration | Kako dolgo lahko seja traja, preden se zapre. |
Potrditev brez kakršne koli omejitve ustvari avtorizacijo brez časovne omejitve, konzola pa pred njenim ustvarjanjem zahteva dodatno potrditev — to je trenutek, ko preverite, ali ste res to nameravali.
Izčrpno delovanje obeh zavihkov, zavrnitve in brisanja je opisano v Workflows.
Izbris workflow prekliče dostop
Izbris workflow odstrani avtorizacijo: uporabnik mora oddati novo zahtevo. Zastarele workflow — potekli datumi, izrabljena enkratna uporaba, doseženo trajanje seje — sistem izbriše samodejno.
Korak 4 — prejemajte obvestila o dohodnih zahtevah¶
Privzeto skrbnika nobeno e-poštno sporočilo ne obvesti, da je bila oddana zahteva. Dokler obvestilo ni nastavljeno, je treba zahteve iskati v konzoli.
Če želite prejemati obvestila:
- V modulu SMTP servers zagotovite razpoložljiv strežnik SMTP.
- V modulu Notification profiles ustvarite profil: strežnik SMTP, pošiljatelja in prejemnike, nato na zavihku Settings označite možnost Application access requests.
- Ko označite to možnost, se aktivira zavihek Applications: odprite ga, označite zadevne aplikacije in nato potrdite.