Hantering av konton och auktoriseringar¶

Kontohantering innebär att skapa, ändra och ta bort användarkonton för de olika applikationer som hanteras inom organisationen. Det innebär att tilldela användarna unika identifierare (till exempel användarnamn eller anställningsnummer) och att hantera den information som är kopplad till dessa konton.

Behörighetshantering innebär att bevilja varje identitet specifika åtkomsträttigheter och auktoriseringar utifrån dess roll, ansvar, organisation och behov inom organisationen. Dessa auktoriseringar kan omfatta åtkomst till applikationer, data, nätverk, system, fysiska resurser osv.

Att hantera en identitets roller och behörigheter innebär att beräkna och tilldela behörigheter till identiteter i olika applikationer för att bygga upp ett teoretiskt repository över identiteterna och deras behörigheter. Det innebär att alla beräknade konton, roller och auktoriseringar kan provisioneras automatiskt eller manuellt i de olika målapplikationerna.

CyberElements Identity erbjuder möjligheten att hantera roller och auktoriseringar antingen automatiskt, via auktoriseringsregler, eller diskretionärt, via manuella tillägg av rättigheter eller formulärförfrågningar (workflow).

Hantering av kontotyper¶

En kontotyp består av flera element:

En inloggningspolicy (obligatorisk),
En lösenordspolicy (valfri),
Kontoattribut (valfria),
Kontostatusar som definieras utifrån identitetsstatusar

En kontotyp måste vara kopplad till ett repository och måste vara kopplad till en roll för att konton ska kunna genereras. Det är därför möjligt att ha flera konton i samma repository för samma identitet om den identiteten har flera olika roller.

Skapa/ändra/ta bort en kontotyp för ett repository¶

Se sidan Hantering av objekttyper för hantering av kontotyper, konfiguration av de olika formulären osv.

Skapa/ändra/ta bort en inloggningspolicy¶

Öppna menyn ”Access Management/Account Rules” för att komma till hanteringen av inloggningspolicyer.

Du kommer direkt till listan över befintliga inloggningspolicyer, förinlästa i en tabell utan att några filter har tillämpats.

Pagineringen är inställd så att endast 10 inloggningspolicyer visas.

Ett sökfält finns uppe till höger i tabellen. Sökningen gäller attributen ”code” och ”name” för inloggningspolicyer.

Klicka på knappen ”” för att skapa en ny inloggningspolicy.

Ange parametrarna för en inloggningspolicy:

Code: kod för inloggningspolicyn. Måste vara unik, utan blanksteg eller specialtecken. Obligatoriskt.
Name: namn på inloggningspolicyn. Den beteckning som visas i applikationens olika formulär. Obligatoriskt.
Description: fält för att ange en beskrivning av inloggningspolicyn. Valfritt.
Formula (primary): beräkningsformel för att definiera inloggningsnamnet
Duplicate policy:
- Automatic increment: inloggningsnamnet beräknas med den primära formeln och kompletteras med ett dubblettindex. Dubblettindexet har ett format med 3 siffror.
  - Exempel: Login_Calc002
- Formula (duplicate): egen beräkningsformel för det fall att en dubblett upptäcks när inloggningsnamnet beräknas med den primära formeln. Du kan använda nyckelordet §INDEX_DOUBLON§ för att hantera den automatiska räknaren, men placera det då på en bestämd plats. Sedan Identity 7.0 SP3 börjar nyckelordet §INDEX_DOUBLON§ på 1 och har ingen gräns. För tidigare versioner har dubblettindexet ett format med 3 siffror.
  - Exempel: Formula (duplicate) Login2_Calc
Varning: för att testa formeln med det här nyckelordet måste du ersätta §INDEX_DOUBLON§ med ett värde. Nyckelordet kan inte tolkas i formeltestaren, men det fungerar vid beräkning av inloggningsnamn.
Action to take if a real account exists:
- Use and reconcile with the real account
- Generate a login with duplicate policy
- Do not generate an account
Actions to take if a theoretical account exists:
- Generate a login with duplicate policy
- Do not generate an account

Klicka på ikonen ”” till höger i motsvarande tabellrad för att visa och ändra en inloggningspolicy:

Det är möjligt att växla till redigeringsläge direkt från visningssidan för inloggningspolicyn.

I redigeringsläge kan alla fält ändras.

Åtgärder för knapparna i redigerings- eller skapandeläge:

Cancel: avbryter den aktuella inmatningen och växlar sidan till visningsläge
Save: validerar formuläret och växlar sidan till visningsläge
Save and quit: validerar formuläret och återgår till listsidan för inloggningspolicyer

Klicka på ikonen ”” till höger i motsvarande tabellrad för att ta bort en inloggningspolicy:

Ett bekräftelsemeddelande visas innan inloggningspolicyn tas bort.

Varning: det är inte möjligt att ta bort en inloggningspolicy så länge den är kopplad till ett eller flera repositoryn.

Skapa/ändra/ta bort en lösenordspolicy¶

Öppna menyn ”Access management/Password rules” för att komma till hanteringen av lösenordspolicyer.

Du kommer direkt till listan över befintliga lösenordspolicyer, förinlästa i en tabell utan att några filter har tillämpats.

Pagineringen är inställd så att endast 10 lösenordspolicyer visas.

Ett sökfält finns uppe till höger i tabellen. Sökningen gäller attributen ”code” och ”name” för lösenordspolicyer.

Klicka på knappen ”” för att skapa en ny lösenordspolicy:

Ange parametrarna för en lösenordspolicy:

Code: kod för inloggningspolicyn. Måste vara unik, utan blanksteg eller specialtecken. Obligatoriskt.
Name: namn på inloggningspolicyn. Den beteckning som visas i applikationens olika formulär. Obligatoriskt.
Description: fält för att ange en beskrivning av lösenordspolicyn. Valfritt.
Formula: beräkningsformel för att definiera lösenordet

Klicka på ikonen ”” till höger i motsvarande tabellrad för att visa och ändra en lösenordspolicy:

Du kan växla till redigeringsläge direkt från visningssidan för lösenordspolicyn.

I redigeringsläge kan alla fält ändras.

Åtgärder för knapparna i redigerings- eller skapandeläge:

Cancel: avbryter den aktuella inmatningen och växlar sidan till visningsläge
Save: validerar formuläret och växlar sidan till visningsläge
Save and quit: validerar formuläret och återgår till listsidan för lösenordspolicyer

Klicka på ikonen ”” till höger om motsvarande tabellrad för att ta bort en lösenordspolicy:

Ett bekräftelsemeddelande visas innan lösenordspolicyn tas bort.

Varning: du kan inte ta bort en lösenordspolicy om den är kopplad till ett eller flera repositoryn.

Visa konton i ett repository¶

Öppna menyn ”Accounts” för att söka efter ett konto.

Du kommer direkt till kontosökningssidan för ett valt repository (det första i listan), förinläst utan att några filter har tillämpats men med hänsyn till de behörigheter som är kopplade till den inloggade användarens profil.

Eftersom konton är kopplade till ett repository måste du välja önskat repository antingen via flikarna eller via listrutan för att visa listan över tillhörande konton.

Visningsläget bestäms utifrån antalet repositoryn. Antingen finns det 10 eller färre repositoryn och de visas i separata flikar, eller så listas de i en listruta.

Pagineringen är inställd så att endast 10 konton visas.

Ett sökfält finns uppe till höger i tabellen. Sökningen gäller kontonas inloggningsnamn och tar hänsyn till det valda repositoryt.

Konfigurera tabellen med kontosökresultat¶

Öppna sidan för attributkonfiguration, välj fliken ”Account”, öppna önskat attribut i redigeringsläge och markera alternativet ”Display in results table” för att konfigurera vilka attribut som ska ingå i tabellen med kontosökresultat.

Stäm av/upphäv avstämningen av ett teoretiskt konto mot ett verkligt konto¶

Öppna menyn ”Accounts” och aktivera alternativet ”Reconciliation” för att komma till sidan för hantering av kontoavstämning:

Två nya tabeller visas i fönstret:

Den andra tabellen listar de föräldralösa kontona i det valda repositoryt. Som påminnelse: föräldralösa konton är konton som har hämtats från mål-repositoryt men som inte är kopplade till någon identitet i CyberElements Identity.

Den tredje tabellen listar de identiteter som inte är kopplade till något konto i det valda repositoryt.

I den här tabellen kan du för varje identitet utan konto:

Koppla ett befintligt teoretiskt konto. Klicka på knappen till höger om önskad identitet och sök sedan efter det önskade befintliga teoretiska kontot.
Skapa ett teoretiskt konto. Klicka på knappen till höger om önskad identitet och skapa sedan det teoretiska kontot genom att välja önskad kontotyp.

Viktig anmärkning

Funktionen har tagits bort från de äldre gränssnitten eftersom det inte är möjligt att behålla båda lägena.

Diskretionär hantering av roller och auktoriseringar¶

Öppna önskad identitetspost i visningsläge och gå till fliken ”Roles and Authorizations” för att manuellt ändra rolltilldelningarna och auktoriseringarna för en identitet.

En tabell med de roller som är tilldelade identiteten visas. För varje roll innehåller en nästlad tabell de auktoriseringar som är kopplade till identiteten och tilldelade rollen. En auktorisering måste vara kopplad till ett par Identity/Role.

Om flera identiteter är avstämda visas en flik för varje identitet, så att du kan välja önskad identitet. Roller och auktoriseringar är kopplade till en identitet och inte till en avstämningskedja. Det är därför nödvändigt att välja önskad identitet innan du gör manuella uppdateringar.

Pagineringen är inställd så att endast 10 roller visas.

I tabellen som är inbäddad under en roll är pagineringen inställd så att endast 5 auktoriseringar visas.

Ett sökfält finns uppe till höger i rolltabellen. Sökningen baseras på rollernas namn.

I tabellen som är inbäddad under en roll finns ett sökfält uppe i auktoriseringstabellen. Sökningen omfattar attributen ”Category”, ”Code” och ”Name” för auktoriseringar.

I auktoriseringstabellen hittar du följande information:

Dess status:
- ”Valid”: auktoriseringen är synlig utan någon särskild markering
- ”Blocked”: auktoriseringen är synlig men överstruken i gränssnittet
Tilldelningsläge. De möjliga värdena är
- : manuell, med UID för den identitet som gjorde tilldelningen
- : auktoriseringsregel, med namnet på regeln eller reglerna
- : auktorisering som beviljats genom rollarv
- : den första ikonen visar att rättigheten har lagts till manuellt (via ett workflow), och den andra ger åtkomst till workflowet (länk till workflowets driftgränssnitt).

Klicka på knappen ”” uppe till höger i rolltabellen för att lägga till en eller flera roller, eller för att lägga till en eller flera auktoriseringar till flera roller för samma identitet.

Välj önskad roll eller önskade roller och klicka sedan på Confirm för att lägga till rollerna och gå vidare till nästa steg, eller på Cancel för att avbryta åtgärden.

Klicka på knappen ”” till höger i motsvarande rad i rolltabellen för att lägga till en eller flera auktoriseringar till en roll som redan är kopplad till identiteten.

Välj önskad auktorisering eller önskade auktoriseringar och klicka sedan på knappen ”Confirm” för att koppla dem till rollen eller på knappen ”Cancel” för att avbryta åtgärden. Det är möjligt att ange ett start- och ett slutdatum som tillämpas på alla valda auktoriseringar.

Åtgärdsknappar för auktoriseringar:
- : gör det möjligt att blockera auktoriseringen.
- : gör det möjligt att avblockera auktoriseringen.
- : gör det möjligt att certifiera auktoriseringen.
- : gör det möjligt att ta bort certifieringen av auktoriseringen.
- : gör det möjligt att ändra giltighetsdatumen. Knappen är endast tillgänglig för manuella rättigheter.
- : gör det möjligt att ta bort en manuell rättighet. Ett bekräftelsemeddelande visas innan auktoriseringen tas bort.

Varning: knappen för att ta bort en auktorisering finns bara om auktoriseringen har tilldelats enbart diskretionärt. Auktoriseringen kan fortfarande vara synlig med statusen ”pending deletion” om dess provisioneringsstatus är ”provisioned”.

Klicka på ikonen ”” till höger om motsvarande rad i rolltabellen för att koppla bort en roll från en identitet.

Ett bekräftelsemeddelande visas innan rollen tas bort.

Varning: knappen för att ta bort en roll finns bara om rollen har tilldelats diskretionärt. Alla auktoriseringar som är kopplade till paret identitet/roll kopplas också bort och avprovisioneras vid nästa synkronisering vid automatisk provisionering.

Hantering av auktoriseringsregler¶

Auktoriseringsregler gör det möjligt att konfigurera åtkomstpolicyer och automatiskt tilldela rättigheter till de identiteter som regeln identifierar.

En auktoriseringsregel består i att koppla samman:

på den ena sidan en population av användare, definierad genom filtrering på roller (RBAC), organisationer (OrBAC) och/eller attributvärden (ABAC),
på den andra sidan roller och applikationsrättigheter.

Öppna menyn ”Access Management / Authorization Rules” för att komma till hanteringen av auktoriseringsregler.

Du kommer direkt till sidan som listar de befintliga auktoriseringsreglerna, förinläst utan att några filter har tillämpats men med hänsyn till de auktoriseringar som är kopplade till den inloggade personens profil.

Pagineringen är inställd så att endast 10 regler visas.

Ett sökfält finns uppe till höger i regeltabellen. Sökningen baseras på reglernas namn.

Klicka på knappen ”” för att skapa en ny auktoriseringsregel.

Skapandet av en regel består av tre delar:

Allmänna inställningar
- Name: namn på auktoriseringsregeln. Obligatoriskt.
- Description: fält för att ange en beskrivning av auktoriseringsregeln. Valfritt.
- Context: välj en eller flera kontexter i listrutan med de tidigare skapade kontexterna.
Lista över kriterier: klicka på knapparna ” ” eller ” ” för att lägga till en filtreringsregel för de identiteter som ska ingå i auktoriseringsregeln. En filtreringsregel består i att definiera ett attribut som ett filter ska tillämpas på, jämförelseoperatorn och de värden som ska jämföras.
- Med knappen ”” kan du lägga till ett nytt filter på samma nivå som det föregående filtret.
- Med knappen ”” kan du lägga till en filtergrupp på samma nivå som det föregående filtret. Det är obligatoriskt att lägga till filter eller filtergrupper i en grupp med hjälp av knapparna ”” eller ”” inuti gruppen.
- På varje filternivå måste du ange vilken operator som ska tillämpas mellan varje filtreringsregel.
- Ett objekt som du vill göra en jämförelse på. Det kan vara:
  - En roll
  - Ett personattribut
  - Ett strukturattribut
  - Ett resursattribut
- Jämförelseoperator. Listan över jämförelseoperatorer är dynamisk och beror på vilken typ av objekt som har valts.
- Ett värde att jämföra med: anges eller väljs i en listruta, beroende på vilken typ av objekt som har valts och på jämförelseoperatorn.

Du kan lägga till hur många filterkriterier du vill. Operatorer som ”AND” eller ”OR” måste bestämmas mellan varje filtreringsregel. Undergrupper kan skapas för att öka antalet möjligheter.

Exempel: så här skapar du följande filtreringsregel:

(Person type = ”Medical agent or External medical agent” AND attributet ”Job” = ”Biological unit manager”) OR (Person type = ”Non-medical agent” AND attributet ”Job” = ”Environmental specialist”)

Filterkriterierna konfigureras på följande sätt:

Roller och auktoriseringar som ska tilldelas i auktoriseringsregeln: det finns två flikar för att visa de roller och auktoriseringar som ska ingå i auktoriseringsregeln. Fliken ”Role” visar listan över roller och anger kort de tillhörande auktoriseringarna, om det finns några. Det är också från den fliken som roller och auktoriseringar kan läggas till eller tas bort. Fliken ”Authorizations” visar listan över de auktoriseringar som har lagts till i regeln, med den eller de roller som är kopplade till var och en. Den fliken erbjuder bara en annan vy.
- Klicka på knappen ”” på fliken ”Roles” för att lägga till roller och auktoriseringar i auktoriseringsregeln. Du måste välja minst en roll och kan sedan välja auktoriseringar om du vill.

Listan över auktoriseringar filtreras utifrån de valda rollerna (en roll är kopplad till ett eller flera repositoryn).

Klicka på ikonen ”” till höger i motsvarande tabellrad för att visa och ändra en auktoriseringsregel:

I visningsläge kan du se detaljerna för en auktoriseringsregel och även listan över de identiteter som berörs av regeln.

Du kan söka efter en person via sökfältet uppe till höger i tabellen.

Du kan växla till redigeringsläge genom att klicka på knappen ”Edit”.

I redigeringsläge kan alla fält ändras.

Observera: listan över de personer som berörs av regeln uppdateras inte i realtid när en regel ändras. Den uppdateras när regeln har validerats och beräkningarna har slutförts.

Åtgärder för knapparna i skapande- och redigeringsläge:

Cancel: avbryter den aktuella inmatningen och växlar sidan till visningsläge
Save: validerar formuläret och växlar sidan till visningsläge. Beräkningarna utförs automatiskt.
See Impact: visar konsekvenserna av att skapa eller uppdatera regeln. Konsekvenserna visas i två tabeller:
- Den första tabellen listar regelns konsekvenser för rättigheterna, och tar bara hänsyn till den auktoriseringsregel som har skapats eller ändrats. Alla identiteter som matchar kriterierna visas, inklusive de som redan har fått behörigheten på annat sätt. Om personen alltså verkligen förlorar sina rättigheter till följd av ändringen av auktoriseringsregeln, kan hon eller han ändå behålla dem på annat sätt.
- Den andra tabellen listar regelns samlade konsekvenser för rättigheterna. Det här avsnittet tar hänsyn till alla regler i CyberElements Identity, de diskretionära tilldelningarna av rättigheter och de rättigheter som är blockerade av en regel för uppdelning av rättigheter. Om en identitet redan har fått behörigheten på annat sätt tas kontot inte upp i den här listan. De rättigheter som faktiskt berörs/tas bort när ändringen valideras visas.

I den här andra tabellen är det möjligt att tillämpa en fördröjning innan rättigheten faktiskt tas bort (tillämpning av en övergångs- eller överlappningsperiod).

Klicka på ikonen ”” till höger i motsvarande tabellrad för att ta bort en auktoriseringsregel:

Ett bekräftelsemeddelande visas innan en auktoriseringsregel tas bort.

Ikonen ”” markerar en auktoriseringsregel som just beräknas. Om den är gråtonad betyder det att beräkningarna är slutförda.

Hantering av regler för uppdelning av arbetsuppgifter (SoD)¶

Uppdelning av arbetsuppgifter (SoD): är en väsentlig säkerhetsprincip som består i att dela upp ansvar och privilegier inom en organisation eller ett system för att minimera risker och förebygga intressekonflikter. Den införs för att säkerställa en ansvarsfull och säker användning av IT-systemen och företagets resurser.

En regel för uppdelning av arbetsuppgifter består i att:

Definiera en prioritetsgrupp
Lägga till roller eller auktoriseringar i prioritetsgruppen med en prioritetsvikt

För att komma åt hanteringen av regler för uppdelning av arbetsuppgifter går du till menyn ”Access Management / SoD Rules”. Från och med version 7.1 erbjuder den här menyn två undermenyer: Identities och Accounts.

Från och med version 7.1 gör modulen för uppdelning av arbetsuppgifter det möjligt att skapa regler som gäller antingen auktoriseringar eller roller, och att lägga till filter som riktar sig till identiteter eller konton för att begränsa en regels omfattning.

De två undermenyerna motsvarar de två nivåer på vilka en regel kan gälla:

Identities: för en och samma identitet som skulle inneha rättigheter som är oförenliga med varandra;
Accounts: när en person har flera identiteter som delar samma konto (sammanslagning av konton), och de sammantagna rättigheterna för dessa identiteter omfattas av en regel för uppdelning av arbetsuppgifter.

Var och en av dessa två undermenyer innehåller två flikar, Roles och Rights. Fliken Roles definierar prioriteringar för rollerna i en grupp, fliken Rights för auktoriseringarna i en grupp. Proceduren som beskrivs nedan är identisk på båda flikarna, där objektet som läggs till i prioritetsgruppen är antingen en roll eller en auktorisering, beroende på fallet.

Under kod, namn och beskrivning visar en regels detaljvy tre block: listan över kriterier (de filter som riktar sig till identiteter eller konton), listan över kopplade auktoriseringar — eller roller —, och listan över identiteter som berörs av regeln.

När en regel låser eller låser upp en roll eller en auktorisering för en användare registreras åtgärden i audits med namnet på den regel som utlöste den. Dessa poster gör det möjligt att hitta den regel som ska ses över vid en oönskad låsning.

Visning och ändring av regler styrs av rättigheterna ”220_001 - View a segregation of duties rule” och ”220_002 - Modify a segregation of duties rule” i repositoryt CyberElements Identity.

Du kommer direkt till sidan som listar de befintliga reglerna för uppdelning av arbetsuppgifter, förinläst utan att några filter har tillämpats men med hänsyn till de auktoriseringar som är kopplade till den inloggade personens profil.

Pagineringen är inställd så att endast 10 regler visas.

Ett sökfält finns uppe till höger i regeltabellen. Sökningen baseras på prioritetsgruppernas namn (= namnet på regeln för uppdelning av rättigheter).

Klicka på knappen ”” för att skapa en ny regel för uppdelning av rättigheter:

Skapandet av en regel för uppdelning av rättigheter sker i två steg.

Ange först de allmänna parametrarna:

Code: kod för regeln för uppdelning av rättigheter. Obligatoriskt.
Name: namn på behörighetsregeln. Obligatoriskt.
Description: fält för att ange en beskrivning av regeln för uppdelning av rättigheter. Valfritt.

Spara skapandeformuläret för att gå vidare till det andra steget, att lägga till auktoriseringar.

Klicka på knappen ”” i tabellen ”List of associated rights” för att lägga till en auktorisering i SoD-regeln.

Välj önskad auktorisering och ange en vikt för att definiera prioriteten. Ju mindre värdet är, desto högre är prioriteten.

Klicka på knappen ”” till höger i motsvarande tabellrad för att ändra en auktorisering i SoD-regeln.

Du kan ändra auktoriseringen och/eller prioritetsvikten.

Klicka på knappen ”” till höger i motsvarande tabellrad för att ta bort en auktorisering i SoD-regeln.

Klicka på ikonen ”” till höger i motsvarande tabellrad för att visa och ändra en regel för uppdelning av arbetsuppgifter.

Du kan växla till redigeringsläge genom att klicka på knappen ”Edit”.

I redigeringsläge kan endast namnet och beskrivningen ändras

Klicka på ikonen ”” på höger sida av motsvarande tabellrad för att ta bort en regel för uppdelning av arbetsuppgifter.

Ett bekräftelsemeddelande visas innan en auktoriseringsregel tas bort.

Ansök om rättigheter via formulär¶

Ansök om rättigheter¶

Ansökningar om auktoriseringar för en person (eller för dig själv) görs i den gamla driftkonsolen via menyn ”Run an ‘On demand’ workflow”.

Klicka på knappen ”Refresh” för att visa listan över tillgängliga workflow.

Klicka på det workflow du vill använda för att skicka in en auktoriseringsansökan.

Välj en eller flera identiteter som ansökan gäller.

Välj önskade auktoriseringar i den tillgängliga listan. Ange start- och slutdatum om det behövs.

Klicka på knappen ”Add”.

Du kan lägga till eller ta bort auktoriseringar som du vill. Om du vill lägga till giltighetsdatum för en auktorisering som redan har valts måste du ta bort den och sedan lägga till den igen med datumen angivna i förväg.

Klicka på knappen ”Start” och bekräfta i popup-fönstret.

När du har bekräftat att workflowet ska köras omdirigeras du automatiskt till sidan där du kan se pågående ansökningar.

Ansöka om manuell provisionering (eller avprovisionering) av en auktorisering¶

Ansökningar om manuell provisionering (eller avprovisionering) skickas in i den gamla driftkonsolen via menyn ”Run an ‘On demand’ workflow”.

Klicka på knappen ”Refresh” för att visa listan över tillgängliga workflow.

Klicka på det workflow du vill använda för att skicka in en provisioneringsansökan.

Välj en eller flera identiteter som ansökan gäller.

Välj önskade auktoriseringar i den tillgängliga listan. Ange start- och slutdatum om det behövs.

Klicka på knappen ”Add”.

Du kan lägga till eller ta bort auktoriseringar som du vill. Om du vill lägga till giltighetsdatum för en auktorisering som redan har valts måste du ta bort den och sedan lägga till den igen med datumen angivna i förväg.

Klicka på knappen ”Start” och bekräfta i popup-fönstret.

När du har bekräftat att workflowet ska köras omdirigeras du automatiskt till sidan där du kan se pågående ansökningar.

Delegera auktoriseringar¶

Att delegera auktoriseringar gör det möjligt att överföra rättigheter från en person (delegerande) till en annan (delegat), i allmänhet under en tidsbegränsad period.

Funktionen är tillgänglig för de delegerande (beroende på den inloggade personens behörigheter), men från version 7.0 kan även en tredje part (beroende på den inloggade personens behörigheter) delegera rättigheter till en annan identitet (till exempel en administratör).

Öppna önskad identitetspost i visningsläge och gå till fliken ”Delegations” för att komma åt funktionen för delegering av auktoriseringar.

Pagineringen är inställd så att endast 10 delegeringsregler visas.

Klicka på knappen ”” uppe till höger i delegeringstabellen för att lägga till en delegering.

Ange följande information för att skapa en delegering:

Delegaten: den person som tar emot de delegerade rollerna och/eller auktoriseringarna (obligatoriskt)
Den eller de delegerade rollerna (obligatoriskt)
Den eller de delegerade auktoriseringarna (valfritt)
Start- och slutdatum för delegeringen (valfritt)

Klicka på ikonen ”” till höger i motsvarande rad i tabellen för att ändra delegeringar.

Du kan ändra alla parametrar.

Klicka på ikonen ”” till höger i motsvarande rad i tabellen för att ta bort en delegering.

Ett bekräftelsemeddelande visas innan delegeringen tas bort.

Visa konton och auktoriseringar för en identitet¶

Kontona i de olika applikations-repositoryna beräknas utifrån de definierade hanteringsreglerna och de roller och auktoriseringar som är tilldelade identiteterna.

Hanteringsreglerna för konton är:

Definition av en kontostatus utifrån en identitetsstatus,
Definition av regler för sammanslagning av konton vid flera identiteter,
Definition av regler för kontoskapande som enbart baseras på rolltilldelning.

Öppna önskad identitetspost i visningsläge och gå till fliken ”Accounts” för att visa de konton och auktoriseringar som är kopplade till en identitet.

Fliken är endast tillgänglig i visningsläge och visar resultatet av de beräkningar av konton och auktoriseringar som gjorts för identiteten, eller för alla identiteter vid identitetsavstämning. I det senare fallet är fliken gemensam för alla identiteter i avstämningskedjan.

En tabell med de beräknade kontona visas. För varje konto innehåller en nästlad tabell de auktoriseringar som är kopplade till kontot. Ett konto kan genereras utan några tillhörande auktoriseringar.

Om flera identiteter är avstämda och ett konto är gemensamt för flera identiteter (funktionen för sammanslagning av konton aktiverad), markeras kontot med ikonen ””.

Pagineringen är inställd så att endast 10 konton visas.

I tabellen som är inbäddad under ett konto är pagineringen inställd så att endast 5 auktoriseringar visas.

Ett sökfält finns uppe till höger i kontotabellen. Sökningen omfattar kontonas inloggningsnamn eller repositoryns namn.

Kontonas teoretiska status och provisioneringsstatus syns på varje rad i tabellen.

I tabellen som är inbäddad under ett konto finns ett sökfält uppe i auktoriseringstabellen. Sökningen omfattar applikationernas eller auktoriseringarnas namn.

Auktoriseringarnas teoretiska status och provisioneringsstatus syns på varje rad i tabellen.

En förklaring av de olika teoretiska statusarna och provisioneringsstatusarna hjälper användarna att förstå de olika statusarna.

Kontostatusen ”Archived”¶

Från och med version 7.1 finns en ny teoretisk kontostatus: statusen ”Archived”.

I vissa fall är det nödvändigt att behålla en historik över kontona i specifika repositoryn. Det främsta användningsfallet är att aldrig generera ett inloggningsnamn som kan ha funnits tidigare.

Den här statusen gäller konton som inte längre finns i målrepositoryt och som inte längre är kopplade till någon identitet i CyberElements Identity. Dessa konton behålls i Identity-databasen men synkroniseras aldrig. De räknas inte heller med i licenshanteringen.

Statusen ”Archived” har koden 3, efter de fyra befintliga statusvärdena:

Kod	Teoretisk kontostatus
`-1`	No account
`0`	Theoretical account only
`1`	Account enabled
`2`	Account disabled
`3`	Account archived

När ett konto är kopplat till flera identiteter beräknas dess status enligt följande prioritetsordning: Enabled, sedan Disabled, sedan Archived, sedan Theoretical och sist No account. Ett konto arkiveras därför endast om ingen av de kopplade identiteterna ger det statusen aktiverat, inaktiverat eller teoretiskt. En person räknas endast med i licenserna om personen har minst ett konto som inte är arkiverat.

Modellen för ett arkiverat konto kan inte längre ändras: ändringen avvisas med ett felmeddelande.

Det finns två sätt att tilldela ett konto statusen ”Archived”:

via provisioneringsmotorn SIP: i en Identity-import av typen ACCOUNT eller av typen STATUS anger ett alternativ statusen ”Archived” för de konton som identifierats i borttagningsoperationerna. Se sidan Skapa/ändra importregler.
via gränssnittet, genom att ändra den teoretiska statusen manuellt och ett konto i taget, förutsatt att villkoren är uppfyllda både i ändringsformuläret och i Identity-rättigheterna.

Villkoret i formuläret ställs in på attributet ”Theoretical account status” (account_state), i ”Configuration / Attribute templates”, fliken ”Account”: i avsnittet ”Display” måste fältet ”Display in edit” göra attributet synligt. Det är som standard inställt på ”Hide”, och den teoretiska statusen visas då inte i formuläret för ändring av kontot.

När det gäller Identity-rättigheterna styrs ändringen av ett kontos data av rättigheten ”140_550_002 - Modify account details” i repositoryt CyberElements Identity.

Varning

Eftersom dessa konton inte exporteras av provisioneringsmotorn kan återgång från en arkiverad status endast göras manuellt och ett konto i taget i gränssnittet, under samma villkor.

Återställa lösenordet för ett konto¶

Från och med version 7.1 finns ett nytt booleskt systemattribut för konton: account_password_reset.

Det visas som en knapp på kontosidorna. Som standard är dess värde falskt och dess etikett är ”Reset password”. När du klickar på den blir värdet sant och etiketten ändras till ”Password reset”.

Knappen visas i den högra panelen i kontots detaljvy, under kontonamnet. I ”Configuration / Attribute templates”, fliken ”Account”, visas attributet under etiketten ”Password reset state”, av typen ”Boolean”. Det skapas automatiskt vid uppgradering till 7.1, både på en SQL Server-databas och på en PostgreSQL-databas.

Varning

Det här värdet är endast teoretiskt. För att det ska få effekt måste du använda antingen en provisioneringskonnektor eller ett workflow för manuell provisionering. Ändringen av värdet från sant till falskt, när lösenordet har ändrats i målapplikationen, måste också hanteras av en konnektor eller av workflowet för manuell provisionering.

Användning i en provisioneringskonnektor:

Användningen av det här systemattributet för att hantera lösenordsändringar i konnektorer för automatisk provisionering måste göras med konnektorer som är avsedda för detta. Målapplikationen måste också tillåta lösenordsändringar, vilket inte alltid är fallet.

Utför följande operationer i synkroniseringsregeln:

en omvandlingsoperation, för att identifiera lösenordsändringar;
i jämförelseregeln jämför du för varje person attributet account_password_reset med värdet falskt (dvs. 0), för att identifiera en lösenordsändring;
i ändringsregeln tvingar du lösenordet att skickas i målattributet, med systemattributet password.

Skapa sedan en uppströms provisioneringskonnektor för att återställa det booleska värdet account_password_reset till falskt.

Provisionering/avprovisionering av konton och auktoriseringar¶

Den process där konton och auktoriseringar som beräknats av CyberElements Identity överförs till de olika applikations-repositoryna kallas downstream-provisionering. CyberElements Identity har därmed auktoritet över de applikationer som har definierats för att hantera konton och auktoriseringar.

Det finns två sätt att hantera provisionering:

Antingen kan en automatisk konnektor skapas (via API, databas, katalog eller automatiserat utbyte av platta filer), och då talar man om automatisk provisionering.
Eller så är det inte möjligt att skapa en automatisk konnektor, och då talar man om halvautomatisk provisionering.

Automatisk provisionering/avprovisionering¶

För att provisionera konton och auktoriseringar i applikations-repositoryn måste du använda motorn Systancia Identity Provisioning (SIP) för att skapa en konnektor för downstream-provisionering: från CyberElements Identity, som är den auktoritativa källan, och med hänsyn till de konfigurerade synkroniseringsreglerna, skapas, uppdateras eller tas konton och auktoriseringar bort i applikations-repositoryna enligt de regler som har definierats i importreglerna.

En sekvens för downstream-provisionering måste bestå av minst följande element:

En export av Identity-repositoryt (auktoritativt) av typen ”USER + ACCESS” eller ”ACCOUNT + ACCESS”
En export av målapplikationens repository
En synkroniseringsregel
En importregel i målapplikationens repository

Läs sidan ”Hantering av automatiska provisioneringskonnektorer” för att skapa en konnektor.

Halvautomatisk provisionering/avprovisionering¶

En halvautomatisk provisioneringskonnektor skapas med ett workflow av typen ”User request” eller ”Event” med minst en manuell provisionerings- eller avprovisioneringsuppgift.

I den manuella provisioneringsuppgiften listas de provisioneringsåtgärder som ska utföras i en avisering som skickas till operatören. När uppgiften är slutförd kan operatören klicka på knappen ”Task validated” för att ange att provisioneringen är klar. Provisioneringsstatusen för kontot och/eller auktoriseringarna uppdateras i CyberElements Identity. Det gör att administratörer kan kontrollera statusen för en identitets rättigheter.