Yleiskuvaus

Tässä käyttötapauksessa kuvataan, miten IGA Admin voi hallita etuoikeutettuja käyttöoikeuksia ja niiden saatavuutta Self-Service Portalissa.

Toimijat

IGA-ratkaisu
Self-Service Portal
IGA Admin

Edellytykset

Teknisellä tilillä, jota IGA-ratkaisu käyttää tietojen lukemiseen ja kirjoittamiseen hakemistoihin tai sovelluksiin, tulee olla riittävät oikeudet myös pääkäyttäjätason tilien ja käyttöoikeuksien hallintaan (esimerkiksi jos IGA-ratkaisu hallitsee AD:ssa Domain Admins -ryhmää, palvelutilillä tulee olla domain admin -tason käyttöoikeudet asiakkaan hakemistoon).

Tulos

IGA Admin voi hallita, raportoida ja auditoida etuoikeutetun tason käyttöoikeuksia ja tilejä.

Käyttäjät, joilla on etuoikeutettuja käyttöoikeuksia, voidaan resertifioida useammin, ja auditoinnin aikana tiedot ovat ajan tasalla.

Toimintaketju

1. IGA-ratkaisu lukee käyttäjätili- ja ryhmätiedot hakemistoista (Efecte Provisioning Enginen kautta) tai sovelluksista (integraation kautta).
   
   
   • Etuoikeutetut käyttäjätilit luetaan IGA Account -tietokortteihin
     
     
     • Jos käyttäjät, joilla on etuoikeutettuja käyttöoikeuksia, sijaitsevat omassa OU:ssa (AD ja OpenLDAP) tai heidät voidaan suodattaa (Azure AD), IGA-ratkaisu merkitsee nämä käyttäjätilit automaattisesti etuoikeutetuiksi.
       
       
       • Tämä edellyttää, että IGA-ratkaisuun määritetään erillinen provisiointitehtävä (IGA Module Admin)
         
         
     • Jos käyttäjätilit on merkitty nimessä etu- tai jälkiliitteellä, IGA Admin voi avata näkymän kyseisellä etu- tai jälkiliitteellä varustetuille IGA-tileille ja käyttää modify all -toimintoa merkitäkseen käyttäjätilit (IGA Account) etuoikeutetuiksi.
       
       
     • IGA Admin voi myös muokata IGA Account -tilejä avaamalla ne yksitellen ja vaihtamalla IGA Account -tilin tyypin etuoikeutetuksi tiliksi.
       
       
   • Etuoikeutetut ryhmät luetaan IGA Entitlement -tietokortteihin
     
     
     • Jos ryhmät, joilla on etuoikeutettuja käyttöoikeuksia, sijaitsevat omassa OU:ssa (AD ja OpenLDAP) tai ne voidaan suodattaa (Azure AD), IGA-ratkaisu merkitsee nämä ryhmät automaattisesti etuoikeutetuiksi.
       
       
       • Tämä edellyttää, että IGA-ratkaisuun määritetään erillinen provisiointitehtävä (IGA Module Admin)
         
         
     • Jos ryhmät on merkitty nimessä etu- tai jälkiliitteellä, IGA Admin voi avata näkymän kyseisellä etu- tai jälkiliitteellä varustetuille IGA Entitlement -oikeuksille ja käyttää modify all -toimintoa merkitäkseen käyttäjäryhmät (IGA Entitlement) etuoikeutetuiksi.
       
       
     • IGA Admin voi myös muokata IGA Entitlement -oikeuksia avaamalla ne yksitellen ja vaihtamalla IGA Entitlement -tyypin.
       
       
2. IGA Admin voi täyttää etuoikeutettujen IGA Entitlement -tietojen sisällön ja julkaista ne saataville Self-Service Portaliin
   
   
   • Katso käyttötapaus Manage IGA Entitlements
     
     
3. IGA Admin voi myös luoda Re-certification-pyynnön, joka koskee vain etuoikeutettuja käyttöoikeuksia ja tilejä.
   
   
4. Käyttäjät, joilla on jo etuoikeutettu tili, voivat nyt käyttää "Request Privilege Accesses"- ja "Activate Privilege Accesses" -palveluja Self-Service Portalista
   
   
   • Ennen kuin näitä palveluja voidaan käyttää, IGA Adminin tulee poistaa käytöstä kaikki etuoikeutetut tilit modify all -toiminnolla.
     
     
5. Käyttäjät voivat myös pyytää etuoikeutettua tiliä Self-Service Portalista valitsemalla palvelun "Request Privilege Account".
   
   
6. IGA Access Right -tietueet luodaan ja auditointitiedot tallennetaan.

Liittyvät tietokortit

IGA Entitlement
IGA Account

Näkymät ja koontinäytöt

• Aktivoidut etuoikeutetut tilit (käytössä olevat etuoikeutetut IGA Account -tilit)
• Käytöstä poistetut etuoikeutetut tilit, joilla on oikeudet etuoikeutettujen käyttöoikeuksien käyttöön
• Etuoikeutetut tilit, jotka vanhenevat viikon kuluessa
• Etuoikeutetut IGA Entitlements