Asiakasohjeet uuden pilvikomponentin migraatiolle
Asiakasohjeet uuden pilvikomponentin migraatiolle
Tässä artikkelissa kuvataan muutokset asiakkaan Efecte-ympäristöön, jos uudet pilvikomponentit (Efecte Secure Access ja Efecte Provisioning Engine) otetaan käyttöön Efecte Identity Managementin (EIM) sijaan.
Tässä artikkelissa kuvataan myös asiakkaan Efecte-ympäristölle asetetut vaatimukset, joiden on täytyttävä ennen kuin migraatio voidaan toteuttaa.
Efecte on tehnyt kaksi valmista migraatiopakettia, ja jos tuotteistetun migraation vaatimukset eivät täyty, migraation vaikutukset asiakkaan Efecte-ympäristöön on arvioitava tarkemmalla tasolla esiselvityksessä.
Efecte Secure Access ja Efecte Provisioning Engine -komponenteilla on omat komponenttikuvauksensa, jotka täydentävät tätä dokumentaatiota, ja niihin viitataan useassa kohdassa.
Tuotteistettu migraatioprojekti
Tuotteistettu migraatioprojekti on valmis paketti uusien Efecte-komponenttien migroimiseksi asiakkaan olemassa olevaan Efecte Cloud -ympäristöön, ja se sisältää kaiken projektin tarvitseman dokumentaation, määrittelyt, toteutuksen ja teknisen Go-Liven.
Tuotteistetulla migraatioprojektilla on myös esivaatimuksia asiakkaan olemassa olevalle Efecte Cloud -ympäristölle, ja se sisältää rajoitetut mahdollisuudet todennukseen, mutta jos tarvitaan muita ominaisuuksia, migraation esiselvitys on parempi lähtökohta.
On myös hyvä huomata, että tuotteistettu migraatioprojekti vaatii asiakkaan resursseja, ja projektin aikana on toteutettava useita asiakkaan tehtäviä.
Tuotteistetun migraation tekniset vaatimukset
Vaatimuksissa on viisi (5) pääluokkaa, joihin kaikkiin on vastattava "Kyllä".
1. Vaatimukset asiakkaan olemassa olevalle Efecte Cloud -ympäristölle
- Asiakkaan Efecte Cloud -ympäristö on dedikoidussa pilvessä
- Efecte Provisioning Engineä tai Efecte Secure Access -komponenttia ei ole asennettu
- Efecte Identity Management (EIM) -komponentti on asennettu
- Asiakkaalla on tuotanto- ja testiympäristö (tai vain tuotanto)
- Efecte Identity Managementia (EIM) käytetään henkilö- ja organisaatiotietojen tarjoamiseen Efecte Self-Service Portalille
- Asiakkaan Efecte Service Management -alusta käyttää Python 2.2:ta (tai vanhempaa versiota).
2. Vaatimukset hakemistolle
- Asiakas lukee käyttäjätietoja vain AD:sta tai Azure AD:sta
- Käytössä on vain yksi hakemistoinstanssi
3. Vaatimukset todennukselle
- Asiakas käyttää AD:ta tai Azure AD:ta Identity Providerina
- Asiakas käyttää todennukseen User Federationia, ADFS:ää tai Azure AD SSO:ta
4. Vaatimukset asiakkaan Efecte-ratkaisulle
- Baselinen on oltava versio xxx.xxx tai uudempi
- Käyttäjätiedot AD:sta tai Azure AD:sta luetaan Person- ja AD Group -datakortteihin
- Efecte Service Management -rooleja (ESM Roles) ei hallita asiakkaan AD:ssa tai Azure AD:ssa
5. Asiakas EI käytä
- HAKA-todennusta
- paikallisia käyttäjiä
- useita Efecte Self-Service Portaleja tai Efecte Service Management -alustoja
- muuta hakemistoa kuin AD:ta tai Azure AD:ta
- useita AD- tai Azure AD -hakemistoja
- Salasanan itsepalautusta Efecte Identity Managementissa (EIM)
- Todennusta muuta IdP:tä vastaan kuin AD/AzureAD/ADFS
- Käyttäjien tuontia CSV:stä
Tarvittavat asiakkaan resurssit
Tuotteistettua migraatioprojektia varten asiakkaan on nimeättävä projektikoordinaattori, AD- tai Azure AD -asiantuntija, todennusasiantuntija sekä nykyiset Efecte-pääkäyttäjät osallistumaan projektiin.
On myös erittäin tärkeää varata osallistujille riittävästi aikaa, jotta he pystyvät suorittamaan kaikki tarvittavat tehtävät. Tuotteistettu migraatioprojekti sisältää yksityiskohtaisen aikataulun, joka auttaa asiakasta resursoinnissa.
Asiakkaan tehtävät
Tuotteistetun migraatioprojektin aikana asiakkaan on osallistuttava projektiin toteuttamalla alla luetellut tehtävät.
1. AD- tai Azure AD -määritys
Asiakkaan on päivitettävä / muutettava AD- tai Azure AD -määritystä Efecten toimittamien asiakasohjeiden mukaisesti, jotta uutta Efecte Secure Access -komponenttia voidaan käyttää jatkossa.
2. Testiympäristö AD:lle tai Azure AD:lle
Tuotteistettu migraatio toteutetaan Efecten testiympäristössä, ja asiakkaan on erittäin suositeltavaa olla testiympäristö myös AD:lle tai Azure AD:lle.
3. Datan siivous
On erittäin tärkeää, että migraatiota toteutettaessa datan sisältö on validia, ajan tasalla ja siivottua ennen projektia. Erityisesti käyttäjiin ja ryhmiin liittyvä AD- tai Azure AD -data (jota käytetään todennukseen) sekä asiakkaan Efecte ITSM -ratkaisun data on siivottava.
4. Yhteydet
Tarvittavat yhteydet, tekniset käyttäjät, VPN-tunneli jne. on luotava ennen tuotteistetun migraatioprojektin alkua tai sen aikana.
5. Määrityslista
Tuotteistettu migraatio sisältää myös tarvittavan testiympäristön, ja jos asiakkaalla on jo olemassa oleva Efecte-testiympäristö, se päivitetään samalle tasolle kuin asiakkaan tuotantoympäristö. Jos asiakkaan Efecte-testiympäristössä on määrityksiä, jotka asiakas haluaa tuoda takaisin testiympäristöön ympäristöjen päivityksen jälkeen, asiakkaan on toimitettava lista kaikista talteen otettavista määrityksistä.
Asiakkaan vastuut
1. Datasisältö
Asiakas vastaa kaikesta migraatioprojektissa käsitelttävästä datasisällöstä. Tämä tarkoittaa, että kaiken AD- tai Azure AD -datan, jota käytetään käyttäjien todentamiseen Efecte-ratkaisuihin sekä henkilö- ja organisaatiotietojen lähteenä, on oltava ajan tasalla ja paikkansapitävää, jotta vain validia dataa tuodaan.
2. Resurssit
Asiakkaan vastuulla on varata riittävästi aikaa tarvittaville asiakkaan resursseille sovitun aikataulun mukaisesti.
3. Käyttäjähyväksyntätestaus (UAT)
UAT on suoritettava korkealaatuisesti, ja asiakas vastaa testausryhmän, testitapausten, testidatan jne. järjestämisestä.
4. Toiminnallinen Go-Live
Jos migraation laajuuteen tehdään muutospyyntöjä, asiakas vastaa toiminnallisen Go-Liven toimenpiteiden järjestämisestä, kuten esimerkiksi loppukäyttäjien koulutuksesta tai ohjeista, pilottiryhmistä, viestinnästä jne., jos muutokset vaikuttavat asiakkaan loppukäyttäjiin tai pääkäyttäjiin.
5. Muiden toimittajien tekemät Efecte-määritykset
Jos muut toimittajat tai asiakkaan Efecte-pääkäyttäjät ovat tehneet määrityksiä, asiakkaan vastuulla on varmistaa, että Efecte on tietoinen näistä määrityksistä ennen migraatioprojektin alkua.
Delete
Migraation esiselvitys
Esiselvityksessä Efecten konsultit arvioivat asiakkaan olemassa olevaa ympäristöä, jossa tutkitaan käyttäjiin ja todennukseen liittyvää Efecte Identity Management- ja Efecte Service Management -määritystyötä, listataan mahdolliset muutokset ja arvioidaan työmäärä.
Asiakas voi odottaa, että tehtävät, resurssit ja vastuut ovat ainakin samankaltaisia sekä tuotteistetussa että Enterprise-migraatioprojektissa, mutta niistä sovitaan erikseen asiakkaan kanssa ennen migraatioprojektin alkua.
Migraation esiselvitys tarvitaan, kun
1. Asiakas käyttää jotain muuta toiminnallisuutta tai todennustapaa, jota ei mainita tuotteistetussa migraatioprojektissa.
2. Tuotteistetun migraation vaatimukset eivät täyty
3. Asiakas (tai muu toimittaja) on tehnyt monimutkaisia käyttäjiin ja Efecte-ratkaisun todennukseen liittyviä määrityksiä, joista Efecte ei ole tietoinen
4. Asiakas haluaa uusia toiminnallisuuksia tai hakemistopalveluita migraation aikana
5. Asiakas käyttää paikallista käyttäjäkirjautumista käyttäjien todentamiseen Efecte-ratkaisuihin
6. Asiakas käyttää suomalaista HAKA-todennusta tai vastaavaa muissa maissa
7. Asiakas käyttää paikallisia käyttäjiä
8. Asiakas käyttää salasanan itsepalautusta Efecte Identity Managementissa (EIM)
9. Asiakas käyttää AD- tai Azure AD -ryhmiä Efecte Service Management -roolien (ESM roles) jakamiseen
Migraation esiselvityksen lopputulokset:
1. Efecten konsultit toteavat, että uudet pilvikomponentit voidaan migroida tuotteistetun migraation mukaisesti
2. Efecten konsultit toteavat, että migraatio on mahdollinen, mutta se vaatii lisämäärityksiä tai -asennuksia. Konsultit laskevat tarvittavat työmääräarviot, Efecten projektinhallintatoimisto laatii aikataulun migraatioprojektille, ja vastuista sovitaan asiakkaan kanssa.
3. Efecten konsultit toteavat, että migraatio vaatii kehitystä uusiin pilvikomponentteihin, ja keskustelevat Efecten tuoteyksikön kanssa uusien ominaisuuksien tiekartasta ja aikataulusta; asiakas saa arvion siitä, milloin migraatio olisi mahdollista toteuttaa.
DeleteMikä muuttuu?
Kaikki alla luetellut muutokset ovat osa tuotteistettua migraatioprojektia, ja ne pätevät myös useissa migraation esiselvitystapauksissa.
Uusi kirjautumisikkuna
Uusi kirjautumisikkuna asiakkaan Efecte Self-Service Portalin ja Efecte Service Managementin käyttäjille.
Kun Efecte Identity Management (EIM) poistetaan asiakkaan olemassa olevasta Efecte-ympäristöstä, uutta Efecte Secure Access -komponenttia käytetään sen sijaan käyttäjien todentamiseen Efecte-ratkaisuihin, jotka on rakennettu Efecte Service Management -alustan päälle. Lisätietoja Efecte Secure Access -komponenteista löytyy the component description.
Asiakas voi valita kirjautumissivulle taustakuvan ja logon.
Datavirrat
Uusien Efecte Cloud -komponenttien myötä data luetaan uusiin malleihin (katso myös luku "Kaksi uutta mallia") IGA Account ja IGA Entitlement, ja Person-mallissa näytetään vain pakolliset tiedot.
Aiemmin, kun käytössä oli Efecte Identity Management (EIM), data luettiin AD-group-malliin ja suoraan Person-malliin.
Huomio!
Myös datavirta asiakkaan Efecte Cloudin sisällä on muuttunut uusien pilvikomponenttien myötä. Tämä on kuvattu tarkemmin komponenttikuvauksissa.
Kaksi uutta mallia
Kun uudet pilvikomponentit migroidaan asiakkaan Efecte-ympäristöön, ne tuovat mukanaan myös muutoksia olemassa olevaan määritykseen sekä uusia mahdollisuuksia määrittää todennus ja datan lukeminen hakemistosta (kuten esimerkiksi AD tai Azure AD).
Uudet mallit: IGA Account ja IGA Entitlement
Tällä hetkellä asiakkaan hakemistodata tuodaan Person- ja AD Group -datakortteihin, mutta uusien komponenttien myötä data tuodaan IGA Account- ja IGA Entitlement -datakortteihin. Person-datakorttia käytetään edelleen tuotteistetun migraation jälkeen, mutta attribuuttitasolla tapahtuu muutoksia, ja osa tiedoista, jotka aiemmin näkyivät Person-datakortilla, näkyy IGA Account -datakortilla. IGA Entitlement -datakortti korvaa AD-group-datakortin, jota ei enää käytetä migraation jälkeen ja joka poistetaan tai inaktivoidaan.
1. Esimerkki Person-datakortista muutosten jälkeen
2. Esimerkki AD-Group-datakortista, joka poistetaan / inaktivoidaan
3. Esimerkki uudesta IGA Entitlement -datakortista
4. Esimerkki uudesta IGA Account -datakortista
Hyödyt
Uusien mallien käytöstä on useita hyötyjä, koska ne on suunniteltu erityisesti uusia Efecte Cloud -komponentteja varten. Ne mahdollistavat myös paremmin suojatun käyttäjähallinnan Efecte-ratkaisuille.
1. Uusien mallien avulla voidaan hallita tilanteita, joissa käyttäjillä voi olla useita tilejä samassa ja/tai eri hakemistoissa, mutta ne kaikki on liitettävä vain yhteen henkilöön Efectessä. Jos käyttäjällä on useita tilejä, voidaan määrittää, minkä tilin tietoja käytetään yleisesti Efecte-ratkaisuissa (esimerkiksi Person-datakortilla) ja mitä käytetään todennukseen.
2. Mallit tarjoavat asiakkaalle myös paremmat mahdollisuudet määrittää automaatiota Efecte-ratkaisun käyttäjähallinnalle jatkuvasti kasvavien tietoturvavaatimusten mukaisesti (kuten esimerkiksi pseudonymisointi, mikä tarkoittaa, että käyttäjään liittyvää tietoa voidaan säilyttää auditointitarkoituksessa ilman, että käyttäjä on tunnistettavissa henkilötiedoista).
3. Mahdollisuus määrittää parempia raportteja ja näkymiä asiakkaan hakemistosta luetulle datalle. Esimerkiksi lukemalla kaikki O365-lisensointiin liittyvät ryhmät, raporttinäkymiä voidaan käyttää arvioimaan, onko käyttämättömiä lisenssejä kohdistettu tileille, joiden viimeisin kirjautuminen oli esimerkiksi (1) kuukausi sitten.
Uusien komponenttien helppo määritys
Efecte Provisioning Engine määritetään kokonaan Efecte Service Management -alustalta. Tuotteistettu migraatioprojekti sisältää samat määritettävät attribuutit, joita käytettiin Efecte Identity Management (EIM) -komponentin kanssa.
Asiakas saa käyttää vain ajastettua provisiointia, joka on kuvattu tarkemmin komponenttikuvauksessa. Tapahtumapohjainen provisiointi vaatii IGA-lisenssejä.
Käyttäjien ja ryhmien attribuuttimapaukset määritetään samassa ajastettavassa tehtävässä.
Efecte Secure Access
Muutokset asiakkaan Efecte-arkkitehtuuriin
Efecte-pilviarkkitehtuuri pysyy samana muiden komponenttien osalta, paitsi että Efecte Identity Management (EIM) korvataan uusilla Efecte-pilvikomponenteilla (Efecte Secure Access ja Efecte Provisioning Engine).
Myös Efecte Self-Service Portalin ja Efecte Service Management -alustan välinen yhteys uudistuu, ja migraation jälkeen yhteys muodostetaan REST API -rajapinnan kautta.
Asiakkaan nykyinen Efecte-arkkitehtuuri
Asiakkaan nykyinen Efecte-pilviarkkitehtuuri sisältää useita komponentteja, joissa Efecte Identity Managementia (EIM) käytetään käyttäjien todentamiseen Efecte-ratkaisuihin ja asiakkaan hakemistodatan (kuten esimerkiksi AD) tarjoamiseen Efecte Self-Service Portalille ja Efecte Service Management -alustan päälle rakennetuille ratkaisuille (kuten esimerkiksi ITSM, HR jne.).
Asiakkaan Efecte Cloud -arkkitehtuuri tuotteistetun migraation jälkeen
Uusia Efecte Cloud -komponentteja (Efecte Secure Access ja Efecte Provisioning Engine) sekä uutta konnektoria Efecte Self-Service Portalin ja Efecte Service Management -alustan välillä käytetään korvaamaan kaikki Efecte Identity Managementin (EIM) tarjoamat toiminnot.
Kaikki nykyiset käyttäjien todennukseen ja asiakkaan käyttäjädatan hakemistosta lukemiseen liittyvät toiminnot määritetään toimimaan kuten ennenkin, mutta huomioi muutokset, jotka näkyvät asiakkaan loppukäyttäjille ja Efecte-pääkäyttäjille.
Efecte Cloud -komponentit tuotteistetun migraation jälkeen
Table of Contents