Entitlementtien hallinta
Entitlementtien hallinta
Entitlementtien hallinnan käyttötapaus on tärkein käyttötapaus käyttöoikeuksien hallintaprosessille (ARM), mutta myös kaikki muut IGA-prosessit ja käyttötapaukset nojaavat siihen. Tämä käyttötapaus mahdollistaa sen, että admin-käyttäjät voivat ylläpitää, luoda / päivittää ja poistaa käyttöoikeuksia IGA-ratkaisusta sekä hallita käyttöoikeustietoja ja -asetuksia.
Pelkästään tätä käyttötapausta toteuttamalla asiakas pystyy luomaan manuaalisia käyttöoikeuksia, lisäämään lisätietoja käyttöoikeuksiin sekä raportoimaan kaikkien käyttöoikeuksien ja käyttäjien nykytilan hakemistossaan. Kun tätä käyttötapausta yhdistetään muihin käyttötapauksiin, kuten esimerkiksi hyväksyntöihin, käyttöön tulee lisää asetuksia.
Entitlement on yksittäinen käyttöoikeusryhmä, joka esimerkiksi luetaan asiakkaan hakemistosta; se voidaan luoda manuaalisesti tai tuoda kertaluontoisilla tuonneilla. Kun useita entitlementtejä yhdistetään, siitä tulee liiketoimintarooli.
Käyttötapauksen kuvaus
Tämä käyttötapaus koskee kaikkia IGA-paketteja, mutta huomaa, että sitä voidaan laajentaa muiden IGA-pakettien käyttötapauksilla.
* Käyttäjän elinkaaren hallinta
** Governance
*** Automaatio ja provisiointi
**** Laajennettu käyttöoikeuksien hallinta
|
Kuvaus |
| Yleiskatsaus |
IGA-ratkaisu on keskitetty piste käyttäjien elinkaaren ja käyttöoikeuksien hallintaan; tämä käyttötapaus kuvaa, miten IGA Admin voi hallita entitlementtejä. Entitlement on kohde, joka vastaa yhtä käyttöoikeutta, jota voidaan hallita automaattisesti tai manuaalisesti. Tietoa entitlementtiin voidaan lukea myös hakemistoista tai sovelluksista (ryhmistä), ja IGA Admin voi lisätä lisätietoja, hallita Self-Service-tietoja ja tarvittavia hyväksyntätasoja jne. |
| Toimijat |
IGA-ratkaisu IGA Admin |
| Edellytykset | Asiakas on osoittanut IGA Admin -roolin vähintään yhdelle henkilölle, mieluiten kahdelle. Admineja hallitaan lisäämällä käyttäjät Efecte_IGA_Admins-hakemistoryhmään. |
| Tulos | Entitlement luodaan, päivitetään tai poistetaan käytöstä. IGA Admin voi hallita entitlementin tietoja, suhteita, Self-Service-tietoja, hyväksyntätasoja ja omistajuuksia. |
| Toimintaketju automaattisen provisioinnin tyyppisille entitlementeille |
|
| Toimintaketju manuaalisen provisioinnin tyyppisille entitlementeille |
|
| Toimintaketju yhdistetyn provisioinnin tyyppisille entitlementeille |
|
| Entitlementtien raportointi / auditointi |
IGA-ratkaisu sisältää valmiita näkymiä ja kojelautoja entitlementteihin (käyttöoikeuksiin) liittyvän tiedon raportointiin ja auditointiin, ja IGA Adminit voivat helposti luoda / muokata / tallentaa / poistaa lisää omia raportteja ja/tai jakaa niitä muille. On tärkeää huomata, että tarvittavat raportit vaihtelevat sen mukaan, kuinka kauan IGA-ratkaisua on käytetty; heti tuotantokäyttöönoton jälkeen raportointi keskittyy enemmän käyttöoikeuksien nykytilan analysointiin ja opastaa IGA Admineja aloittamaan käyttöoikeuksien julkaisemisen pyyntökatalogiin oikeassa järjestyksessä jne.
Kun loppukäyttäjät alkavat pyytää käyttöoikeuksia Self-Servicestä, myös seuraavat näkymät ja kojelaudat tulevat käyttöön,
Seuraavat raportit tulevat käyttöön, kun automaatiota lisätään käyttämällä automatisoituja sääntöjä käyttöoikeuksien automaattiseen myöntämiseen käyttäjän tehtävänimikkeen, kustannuspaikan tai organisaatioyksikön tiedon perusteella (katso myös kunkin käyttötapauksen tarkemmat raportointitiedot).
Kun governance-prosesseihin liittyviä käyttötapauksia otetaan käyttöön, seuraavat näkymät ja kojelaudat tulevat käyttöön raportointia varten (katso myös kunkin käyttötapauksen tarkemmat raportointitiedot),
Laajennettu käyttöoikeuksien hallintaprosessi tuo vielä enemmän valmiita näkymiä ja kojelautoja raportointiin,
|
| IGA Adminin toimenpiteet |
IGA Adminin toimenpiteet ovat tehtäviä, joita asiakkaan tulevan IGA Adminin tulee suorittaa, ylläpitää ja seurata, joko kertaluontoisina tehtävinä heti Go-Liven jälkeen tai päivittäisinä / viikoittaisina tehtävinä sen jälkeen, kun IGA-ratkaisua on käytetty jonkin aikaa. Go-Liven jälkeen
Kun käyttäjät alkavat pyytää / poistaa käyttöoikeuksia Self-Servicestä, IGA Adminin on seurattava tilannetta ja toimittava tapauksissa, joissa vaaditaan manuaalista puuttumista.
|
| Liittyvät tietokortit | IGA Entitlement |
Laajennusmahdollisuudet
Laajennusmahdollisuudet on jaettu kolmeen kategoriaan, mutta on aina tärkeää varmistaa, vaikuttaako pyydetty muutos toimitusaikatauluun tai työarvioihin.
| Kategoria | Kuvaus |
|
Pieni (alle tunti) |
Pienet muutokset eivät yleensä vaikuta toimitusaikatauluun tai työarvioihin, ja myös IGA-adminit voivat tehdä nämä muutokset,
|
|
Keskisuuri (0,5–2 työpäivää) |
Keskisuuria muutoksia voivat olla esimerkiksi,
|
|
Suuri (yli 2 työpäivää) |
Suuret muutokset vievät yleensä enemmän aikaa, koska ne vaativat tarkempaa määrittely- ja testaustyötä. Entitlementtien hallinnassa suuremmat muutokset ovat yleensä uusia käyttötapauksia, jotka laajentavat asiakkaan olemassa olevaa IGA-ratkaisua
|
Suhteet ja konfiguraatio-ohjeet
Suhteet muihin käyttötapauksiin,
Request & remove access rights - käyttäjät voivat pyytää entitlementtejä Self-Servicestä
Approval & delegation - käyttäjät voivat hyväksyä entitlement-pyyntöjä ja delegoida hyväksyntävastuita
Audits & reports - IGA Adminit voivat luoda / päivittää / poistaa / jakaa raportteja, näkymiä ja kojelautoja tai käyttää valmiita raportteja.
Manage IGA users - Pääsyä IGA-ratkaisuun ja Self-Serviceen hallitaan entitlementteinä.
Manage applications - entitlementit liittyvät aina sovellukseen, palveluun, tietokantaan jne.
Provisioning / de-provisioning - entitlementtejä voidaan provisioida automaattisesti, manuaalisesti tai yhdistämällä nämä kaksi menetelmää
Manage business roles - liiketoimintaroolit voivat sisältää entitlementtejä tai alirooleja
Manage IGA accounts - entitlement liittyy aina käyttäjän tiliin
Manage request catalog - entitlementtejä voidaan julkaista Self-Serviceen, jotta loppukäyttäjät voivat pyytää niitä
Manage user lifecycle, add new users, update user information and update departing user information - käyttötapauksia, joissa entitlementtejä myönnetään, päivitetään ja poistetaan automaattisesti vastaanotettujen käyttäjätietojen muutosten perusteella; esimerkiksi käyttäjän luonnin yhteydessä perusoikeudet myönnetään automaattisesti.
Manage data imports - entitlementtejä voidaan tuoda kertaluontoisilla tuonneilla
Manage automated rules - käyttäjä voi saada entitlementtejä automaattisesti attribuuttipohjaisen käyttöoikeuksien hallinnan (ABAC), roolipohjaisen käyttöoikeuksien hallinnan (RBAC) ja organisaatiopohjaisen käyttöoikeuksien hallinnan (OrBAC) avulla
Re-certification - entitlementtejä voidaan uudelleensertifioida, eli uudelleenhyväksyntä lähetetään Self-Serviceen käyttäjän tarkastettavaksi
Reconciliation - entitlementillä on ryhmäjäseniä, jotka eivät ole sallittuja, yleensä lisätty suoraan hakemistoon
Manage toxic combinations - entitlementit voivat muodostaa toksisen yhdistelmän, jonka myöntäminen käyttäjille estetään
Risk level calculation - käyttäjän riskiarvo lasketaan liittyvien entitlementtien riskiarvon perusteella
Lock user account - kun kaikki käyttäjän tilit ja käyttöoikeudet poistetaan välittömästi käytöstä, entitlementit poistetaan tai palautetaan tapahtuman ratkaisemisen jälkeen
Manage privilege accesses - entitlementin tyypiksi asetetaan privilege
Manage physical accesses - entitlementin tyypiksi asetetaan physical
Manage entitlement lifecycle & create update entitlements - käyttötapauksia käyttöoikeusryhmien luomiseen, päivittämiseen ja poistamiseen hakemistoista tai sovelluksista/niihin.
Suhteet muihin tietokortteihin,
Data import
Person
Identity Storage*
IGA Admin Task
IGA Account
IGA Business Roles
IGA Service Request
IGA Request Catalog
IGA Re-certification
IGA Automated Rules**
IGA Toxic Combinations**
Huomio!
Konfiguraatio-ohjeet laajennetun käyttöoikeuksien hallinnan käyttötapauksille, jotka laajentavat entitlementtien hallinnan käyttötapausta, löytyvät fyysisten käyttöoikeuksien hallinnan ja etuoikeutettujen käyttöoikeuksien hallinnan käyttötapauksista.
1. Konfiguraatio-ohjeet
- Konfiguroi aikataulutettu provisiointitehtävä lukemaan tilitiedot IGA Account -tietokortille ja ryhmätiedot IGA Entitlement -tietokortille
- Konfiguroi liittyvät käyttötapaukset niiden omien konfiguraatio-ohjeiden mukaisesti
1.1 Yksikkötestausohjeet
- Lue ryhmät asiakkaan hakemistosta ja varmista, että tieto luetaan oikeisiin attribuutteihin
- Luo manuaalisen tyypin entitlementtejä
- Julkaise entitlementit Self-Serviceen, mutta varmista, että MyServices Self-Servicessä on konfiguroitu liittyvien käyttötapausten mukaisesti
- Varmista, että kaikki raportit ja kojelaudat näyttävät tiedot oikein
- Tarkista, että IGA-käyttöoikeustietueet luodaan oikein ryhmäjäsenyyssuhteiden perusteella
Järjestelmä- ja käyttäjähyväksyntätestausohjeet
Tässä luvussa kuvataan ohjeet ja valmistelutehtävät entitlementtien hallinnan käyttötapauksen testaamiseen.
Valmistelutehtävät molempiin testausvaiheisiin
1. Luo 10 testiryhmää hakemistoon molempia testausvaiheita varten (yhteensä 20 ryhmää)
2. Luo myös testikäyttäjiä, 5 kutakin testausvaihetta kohden (yhteensä 10 käyttäjää), ja luo muutama ryhmäjäsenyyssuhde varmistaaksesi, että suhteet luetaan myös oikein
3. Odota, kunnes aikataulutus on lukenut ryhmät entitlementeiksi, tai suorita provisiointitehtävä manuaalisesti saadaksesi ryhmätiedot heti.
Järjestelmätestaus
1. Lue määrittelydokumentaatio ja luo tarvittavat asiakaskohtaiset testitapaukset
2. Varmista, että kaikki valmistelutehtävät on suoritettu (mukaan lukien asiakkaan vastuulla olevat tehtävät)
3. Testaa myös, että provisiointitehtävä voidaan suorittaa manuaalisesti
4. Tarkista, että ryhmiin liittyvät attribuutit luetaan oikeisiin attribuutteihin IGA Entitlement -tietokortille
5. Tarkista, että ryhmäjäsenyyssuhteet näkyvät oikein
6. Tarkista, että IGA-käyttöoikeustietueet luodaan oikein olemassa olevien ryhmäjäsenyyssuhteiden perusteella
7. Luo kategoriat pyyntökatalogia varten (tarkista ohjeet täältä)
8. Lisää käyttäjäystävällinen nimi, kuvaus, sovellus, hyväksyntätaso + hyväksyjät ja julkaise entitlementit Self-Serviceen
9. Luo manuaalisen tyypin entitlementtejä ja julkaise ne myös Self-Serviceen
10. Varmista Self-Servicestä, että entitlementit näkyvät oikein käyttöoikeuspyyntöpalveluissa
11. Varmista Self-Servicestä, että entitlementit ja ryhmäsuhteet näkyvät oikein käyttöoikeuksien poistopalveluissa
12. Poista käytöstä ja poista entitlementtejä sekä ryhmäjäsenyyksien kanssa että ilman
13. Tarkista, että näkymät, kojelaudat ja raportit näkyvät oikein
Käyttäjähyväksyntätestaus
1. Lue määrittelydokumentaatio ja luo tarvittavat asiakaskohtaiset testitapaukset
2. Varmista, että kaikki valmistelutehtävät on suoritettu (mukaan lukien toimittajan vastuulla olevat tehtävät)
3. Tarkista, että ryhmiin liittyvät attribuutit luetaan oikeisiin attribuutteihin IGA Entitlement -tietokortille
4. Tarkista, että ryhmäjäsenyyssuhteet luetaan oikein
5. Tarkista, että IGA-käyttöoikeustietueet luodaan oikein olemassa olevien ryhmäjäsenyyssuhteiden perusteella
6. Luo kategoriat pyyntökatalogia varten (tarkista ohjeet täältä)
7. Lisää käyttäjäystävällinen nimi, kuvaus, sovellus, hyväksyntätaso + hyväksyjät ja julkaise entitlementit Self-Serviceen
8. Luo manuaalisen tyypin entitlementtejä ja julkaise ne myös Self-Serviceen
9. Varmista Self-Servicestä, että entitlementit näkyvät oikein käyttöoikeuspyyntöpalveluissa
10. Varmista Self-Servicestä, että entitlementit ja ryhmäsuhteet näkyvät oikein käyttöoikeuksien poistopalveluissa
11. Poista käytöstä ja poista entitlementtejä sekä ryhmäjäsenyyksien kanssa että ilman
12. Tarkista, että näkymät, kojelaudat ja raportit näkyvät oikein
Table of Contents