Kirjautumisprosessi Secure Accessin kanssa

Kuvaa prosessia, jossa ESM lukee ja käsittelee tietoja käyttäjän kirjautumispyynnöstä Secure Accessin (ESA) kanssa.

1. ESM tarkistaa, onko pyynnön userPrincipal-nimi NULL. Jos se on NULL, ESM hylkää kirjautumisen.
2. Seuraavaksi ESM lukee esm_userLevel-arvon pyynnöstä. Jos se on NOACCESS, ESM hylkää kirjautumisen. Userlevel tulee Secure Accessista (ESA), ja se voi puuttua, jos sitä ei käytetä. Tällöin tämä vaihe ohitetaan. Secure Access (ESA) lähettää UserLevel-arvon muodossa Normal, Root tai NOACCESS.
3. Jos käyttäjä (EI Henkilö) samalla principal-nimellä on jo olemassa, ESM tarkistaa seuraavaksi, onko servlet.auth.create.users-lippu asetettu arvoon FALSE. Jos näin on eikä käyttäjää löydy, ESM hylkää kirjautumisen.
4. Jos käyttäjää ei löydy, ESM yrittää luoda sen, jos servlet.auth.create.users-lippu on asetettu arvoon TRUE. Se tarkistaa vastaavan henkilön (principal-nimen perusteella) ja luo käyttäjän tietokortin, jos vastaavaa ei löydy. Jos käyttäjän luonnissa esiintyy virheitä tai samannimisiä kaksoiskappaleita, ESM hylkää kirjautumisen.
5. ESM varmistaa, että Käyttäjä ja Henkilö on yhdistetty ominaisuuden servlet.auth.person.user.attribute.code avulla (oletusarvo: efecte_user). Jos kyseisessä viittauksessa ei ole Käyttäjää, ESM hylkää kirjautumisen.
6. Jos Käyttäjän luonnissa esiintyy ongelmia, ESM hylkää kirjautumisen. Se kuitenkin tarkistaa, onko käyttäjän luonut tai muokannut asentaja tai pääkäyttäjä.
7. Jos Henkilöä, joka pitäisi yhdistää Käyttäjään, EI ole olemassa, ESM yrittää luoda Henkilön tietokortin ja yhdistää sen Käyttäjään.
8. ESM yrittää lukea käyttäjätason pyynnöstä (jos se on mukana SAML-viestissä). Jos Henkilöä ei ole vieläkään luotu, ESM antaa automaattisesti READONLY-tason. Muussa tapauksessa ESM käy läpi Henkilölle määritetyt ryhmät (ominaisuuden nimi on asetettu kohdassa servlet.auth.person.groups.attribute.code, oletusarvo: "groups").
   • Jos jokin ryhmistä vastaa arvoa servlet.auth.admin.ad.group (oletusarvo: "Matrix42 Administrator"), ESM antaa ROOT-tason käyttöoikeuden
   • Jos jokin ryhmistä vastaa arvoa servlet.auth.user.ad.group (oletusarvo: "Matrix42 User"), ESM antaa NORMAL-tason
   • Muussa tapauksessa ESM antaa READONLY-tason
9. Jos pyynnössä oli lähetetty mikä tahansa esm_userLevel-arvo, ESM määrittää roolit Käyttäjälle. ESM lukee roles SAML-attribuutin ja korvaa kaikki Käyttäjän roolit attribuutin arvoja vastaavilla rooleilla (kohdistus tehdään External Identifierin kautta). Aiemmin määritetyt roolit, joita ei ole SAML-viestissä, poistetaan.
10. Lopuksi ESM toimii eri tavoin sen mukaan, mikä Käyttäjätaso on aiemmin asetettu.
    • Jos Käyttäjätaso on asetettu arvoon NORMAL tai ROOT ja Käyttäjä todella luotiin pyynnön käsittelyn aikana, eikä esm_userLevel-arvoa lähetetty SAML-viestissä, ESM yrittää määrittää kyseiselle Käyttäjälle oletusroolin, joka on asetettu järjestelmäominaisuudella: servlet.auth.user.roles (oletusarvo: Support person).
    • Jos Käyttäjätaso on asetettu arvoon NORMAL tai ROOT, käyttäjä oli jo olemassa (ei luotu tämän pyynnön yhteydessä) eikä esm_userLevel-arvoa ollut SAML-viestissä, ESM ei muuta Käyttäjän rooleja. ESM:ssä aiemmin määritetyt roolit pysyvät ennallaan.
    • Jos Käyttäjätaso on asetettu arvoon READONLY ja esm_userLevel-arvoa EI lähetetty SAML-viestissä, ESM yrittää lisätä servlet.auth.user.readonly.roles-roolit kyseiselle Käyttäjälle.

Roolien määrityksen yhteenveto