Administracja IGA
W tym artykule opisano zadania, funkcjonalności i obowiązki administratorów IGA , które umożliwiają zarządzanie tożsamościami i uprawnieniami dostępu oraz ich audyt. Artykuł nie zawiera instrukcji konfiguracji, a wszystkie czynności są wykonywane z poziomu interfejsu użytkownika administratora/agenta.
Administrator IGA to nowa rola dla organizacji wdrażających swoje pierwsze rozwiązanie IGA . Należy pamiętać, że prace administracyjne będą wymagały zaangażowania co najmniej jednej lub dwóch osób, nawet po zakończeniu wdrożenia. Niemniej jednak, równie ważne jest, aby pamiętać, że przydział czasu potrzebny na prace administracyjne IGA jest najwyższy zaraz po uruchomieniu rozwiązania. Stopniowo stanie się on częścią codziennej rutyny, pozwalając na wykorzystanie tego czasu również na inne zadania.
Rola administratora IGA różni się od roli administratora konfiguracji IGA , a różnica między nimi polega na tym, że ta druga ma dostęp do konfiguracji. Klient może zdecydować, czy te role są przypisane jednej osobie, czy też należy je rozdzielić.
Pierwsze zadania
Po zainstalowaniu rozwiązanie IGA działa dokładnie tak, jak opisano w przypadkach użycia, zanim rozpocznie się konfiguracja dostosowana do potrzeb klienta. Przypadki użycia związane z pracą administratora IGA działają od razu po instalacji, co oznacza, że po przetestowaniu odczytu danych w środowisku testowym, ważne jest, aby jak najszybciej wprowadzić dane do produkcji, ponieważ umożliwi to administratorowi IGA rozpoczęcie pierwszych zadań i korzystanie z gotowych raportów w celu zapewnienia jakości danych oraz uzupełnienia niezbędnych informacji dotyczących okresu pracy i zarządzania kontami.
Pierwszy odczyt danych
Ważne jest, aby oddzielić znaczenie pierwszych odczytów danych od znaczenia ciągłych odczytów danych.
Pierwszy odczyt danych jest potrzebny, aby upewnić się, że mapowania i relacje zostały ustanowione prawidłowo oraz aby administratorzy IGA mogli rozpocząć weryfikację jakości danych i budowę automatyzacji w kolejnej fazie.
Ciągły odczyt danych jest zwykle zaplanowany (jak na przykład podczas odczytu danych katalogowych), a w zależności od tego, czy i jaki typ integracji HR jest wdrożony, odczyt danych może się znacznie różnić.
W celu pierwszego odczytu danych klient musi podać:
| Dane | Opis | Typ |
| Konta i grupy (uprawnienia) |
Klient musi dostarczyć szczegóły dotyczące połączeń z katalogiem testowym i produkcyjnym. Harmonogram jest uzgadniany wspólnie z klientem. Konta katalogowe są odczytywane na kartach danych kont IGA , a grupy na kartach danych uprawnień IGA . Karty danych centrów kosztów, jednostek organizacyjnych i tytułów są generowane w rozwiązaniu IGA na podstawie wszystkich centrów kosztów, jednostek organizacyjnych i tytułów powiązanych z użytkownikami. Rekordy uprawnień dostępu IGA są generowane na podstawie powiązań między grupami a członkostwem. |
Zaplanowany odczyt danych przy użyciu natywnego łącznika |
| Lista aplikacji |
Jest niezbędny, aby administrator IGA mógł rozpocząć wypełnianie informacji o uprawnieniach, ponieważ każde prawo dostępu musi być powiązane z jakąś aplikacją/usługą/bazą danych itd. Zazwyczaj jest to jednorazowy import, a następnie lista aplikacji jest przechowywana w rozwiązaniu IGA . Możliwe jest odczytanie listy aplikacji za pomocą natywnych konektorów, jeśli klient przechowuje ją w innej aplikacji. |
Jednorazowy import |
| Plik HR (użytkownicy testowi) |
Jest to wymagane, gdy integracja HR wchodzi w zakres realizacji umowy IGA . Dane dotyczące użytkowników są odczytywane na kartach danych okresu roboczego IGA , a karty danych centrów kosztów, jednostek organizacyjnych i tytułów są generowane w rozwiązaniu IGA na podstawie wszystkich centrów kosztów, jednostek organizacyjnych i tytułów powiązanych z użytkownikami. Plik został odczytany w środowisku testowym.
Nawet jeśli integracja z rozwiązaniem HR zostanie wdrożona z inną opcją niż integracja oparta na plikach, przy pierwszym odczycie danych klient musi udostępnić plik użytkownikom testowym, a atrybuty muszą być zgodne z plikiem produkcyjnym. |
Jednorazowy import w celu pierwszego odczytu danych |
| Plik HR (prawdziwi użytkownicy) |
Jest to wymagane, gdy integracja HR wchodzi w zakres realizacji umowy IGA . Dane dotyczące użytkowników są odczytywane na kartach danych okresu roboczego IGA , a karty danych centrów kosztów, jednostek organizacyjnych i tytułów są generowane w rozwiązaniu IGA na podstawie wszystkich centrów kosztów, jednostek organizacyjnych i tytułów powiązanych z użytkownikami. Plik jest odczytywany w środowisku produkcyjnym.
Nawet jeśli integracja z rozwiązaniem HR zostanie wdrożona z inną opcją niż integracja oparta na plikach, przy pierwszym odczycie danych klient musi udostępnić plik użytkownikom testowym, a atrybuty muszą być zgodne z plikiem produkcyjnym. |
Jednorazowy import w celu pierwszego odczytu danych |
Sprawdź jakość danych
Jakość danych jest podstawą każdego przypadku użycia IGA . Jeśli dane nie są aktualne, niemożliwe jest zbudowanie trwałej i niezawodnej automatyzacji dla żadnego przypadku użycia IGA .
Rozwiązanie IGA zawiera narzędzia do sprawdzania jakości danych, co stanowi najważniejszy i pierwszy krok w rozwiązaniu IGA , ale stanowi również istotną część codziennych działań na wypadek, gdyby na przykład rozwiązanie IGA nie mogło sfinalizować procesów z powodu brakujących lub błędnych informacji.
W przypadku odczytu danych, provisioning w kierunku katalogu/katalogów jest wyłączany. Pro można rozpocząć dopiero po upewnieniu się, że jakość danych jest odpowiednia.
Co musi zrobić administrator IGA ?
To zadanie jest związane z danymi używanymi w organizacji, ale na przykład administrator IGA musi je zweryfikować,
- Dane organizacyjne są poprawne (jednostki organizacyjne, centra kosztów, tytuły itp.). Karty danych są generowane na podstawie danych odczytanych z katalogu i/lub rozwiązania HR.
- Na jednostkę organizacyjną, centrum kosztów i tytuł przypada tylko jedna karta danych
- Jeśli jest ich kilka, administrator IGA musi wyczyścić dane, tak aby odpowiadały rzeczywistym danym organizacji.
- Osoby i tożsamości są powiązane z prawidłowymi informacjami organizacyjnymi
- Istnieją tylko prawidłowe dane
- Na jednostkę organizacyjną, centrum kosztów i tytuł przypada tylko jedna karta danych
- Konta są powiązane z prawidłowymi osobami i tożsamościami
- Okresy pracy związane z tożsamościami, osobami i kontami.
- Rekordy praw dostępu IGA są generowane poprawnie na podstawie połączeń członkostwa w grupach w katalogu
- W przypadku wystąpienia problemów z jakością danych odczytanych z działu HR, należy je naprawić w systemie źródłowym i ponownie uruchomić odczyt danych w rozwiązaniu IGA
Ile czasu zajmie administratorowi IGA wykonanie tych zadań?
Czas potrzebny na poprawę jakości danych zależy wyłącznie od aktualnego stanu klienta w zakresie jakości danych i informacji dostępnych w rozwiązaniu HR i/lub katalogach. Dlatego zaleca się również zarezerwowanie czasu dla specjalisty HR na poprawę danych, zwłaszcza gdy informacje są otrzymywane z rozwiązania HR.
Zaleca się zarezerwowanie co najmniej dwóch (2) dni roboczych na analizę danych przez administratora IGA , ale w przypadku gdy zostanie już stwierdzone, że jakość danych jest niska i będzie wymagała wielu ulepszeń, zaleca się zarezerwowanie od pięciu (5) do ośmiu (8) dni roboczych.
Ustawienia okresu pracy i zarządzania kontem
Okres pracy i informacje dotyczące zarządzania kontem są obowiązkowe do zdefiniowania w rozwiązaniu IGA , a administrator IGA może łatwo zmienić lub utworzyć nowy zestaw reguł dla różnych typów użytkowników.
Zazwyczaj te ustawienia definiuje się na początku świadczenia IGA , ale na przykład w przypadku zmian w organizacji klienta lub konieczności przyznania mu większych praw z urodzenia itd. oznacza to, że czasami administrator IGA musi również zarządzać tymi ustawieniami.
- Zarządzanie okresem pracy
- Zawiera przykład ustawień dla
- Otrzymywanie danych osobowych i danych związanych z zatrudnieniem użytkowników.
- Ustawienia dla kilku okresów pracy i kont
- Ustawienia te rzadko się zmieniają, ale na przykład w przypadku pojawienia się nowego typu użytkownika, klient musi zdefiniować nowy zestaw reguł dla tego typu użytkownika.
- Zawiera przykład ustawień dla
- Zarządzanie kontami
- Zawiera ustawienia dostarczania (zarządzania) kont użytkowników i praw dostępu (połączeń członkostwa w grupie) do katalogu/katalogów, na przykład, jaki rodzaj adresu e-mail jest generowany dla różnych typów użytkowników, jakie prawa od urodzenia są przyznawane itp.
Budować i utrzymywać
Powszechnym założeniem jest, że po uruchomieniu środowiska produkcyjnego każdy proces i przypadek użycia działa, a automatyzacja działa z pełną wydajnością. Jednak w przypadku rozwiązania IGA , użytkowanie produkcyjne rozpoczyna się od udostępnienia narzędzi do tworzenia i stopniowego zwiększania poziomu automatyzacji. Oznacza to, że zamiast zarządzania rolami w Excel , odbywa się to w rozwiązaniu IGA , a po utworzeniu ról administrator IGA może je przypisać, tworząc zautomatyzowane reguły lub publikując role biznesowe i prawa dostępu w trybie samoobsługi, aby użytkownicy końcowi mogli o nie wnioskować.
Faza budowy stanowi najwięcej pracy dla administratorów IGA , ale dalsza praca jest konieczna. Praca administratorów IGA zmniejsza się do poziomu konserwacji.
Rozwiązanie IGA początkowo udostępnia narzędzia administratorom IGA , a stopniowo, w miarę jak kończą oni zadania, poziom automatyzacji wzrasta, a użytkownikom końcowym udostępniane są kolejne usługi w trybie samoobsługi.
Budowanie i utrzymanie automatyki
Administrator IGA ma do dyspozycji różne narzędzia służące do zwiększania poziomu automatyzacji, ważne jest jednak, aby budowanie odbywało się we właściwej kolejności, aby zapewnić dostępność danych niezbędnych dla każdej funkcjonalności.
| Przypadek użycia | Budynek | Konserwacja | Potrzebny czas |
| Zarządzaj uprawnieniami | Wszystko w rozwiązaniu IGA jest związane z uprawnieniami, które odzwierciedlają jeden dostęp odczytany z katalogu/katalogów (grupy), uprawnienia ręcznie utworzone przez administratora IGA lub dowolny inny dostęp do aplikacji. Największa masa zazwyczaj pochodzi z grup katalogów, a administrator IGA musi uzupełnić informacje, których nie można odczytać z katalogu, na przykład podać przyjazną nazwę i opis. |
Praca administracyjna IGA jest potrzebna, gdy:
To zadanie można delegować uprawnionemu lub właścicielowi aplikacji. |
Gdy wykorzystanie produkcyjne zacznie się rozwijać, zaleca się zarezerwowanie co najmniej 4 dni roboczych, co zapewni administratorom IGA dobry start do dalszego wypełniania informacji o uprawnieniach. Całkowity potrzebny czas zależy od aktualnego statusu klienta w zakresie zarządzania uprawnieniami dostępu, a jako że AG uid eline będzie wymagało cotygodniowego czasu od administratorów IGA , przez co najmniej 4 do 6 miesięcy. |
| Zarządzaj rolami biznesowymi |
Są zbiorem uprawnień, które mogą być przyznawane użytkownikom automatycznie za pomocą zautomatyzowanych reguł lub mogą być publikowane w usłudze samoobsługi, aby użytkownicy końcowi mogli o nie poprosić lub je usunąć. Administrator IGA może natychmiast rozpocząć tworzenie ról biznesowych, gdy rozwiązanie jest w użyciu produkcyjnym. Zaleca się jednak, aby przed utworzeniem ról biznesowych upewnić się, że uprawnienia zawierają wystarczającą ilość informacji i że jakość danych jest zapewniona. |
Praca administracyjna IGA jest potrzebna, gdy:
To zadanie można delegować uprawnionemu lub właścicielowi aplikacji. |
Utworzenie jednej (1) roli biznesowej zajmuje kilka minut, a czas jej przygotowania zależy od liczby przyznanych lub usuniętych praw dostępu. |
| Zarządzaj regułami automatycznymi |
Reguły automatyczne służą do automatycznego przyznawania i odbierania uprawnień oraz ról biznesowych na podstawie informacji o zatrudnieniu użytkowników. Reguła może być ciągła lub jednorazowa. Gdy tworzone są nowe reguły lub aktualizowane albo usuwane są istniejące, administrator IGA może wyświetlić podgląd zmian w procesie udostępniania przed rozpoczęciem faktycznego udostępniania.
|
Praca administracyjna IGA jest potrzebna, gdy:
Zazwyczaj zadanie to nie jest delegowane właścicielom, których prawa dostępu są ujęte w regule. |
Utworzenie jednej (1) zautomatyzowanej reguły zajmuje kilka minut, a czas jej przygotowania zależy od liczby przyznanych lub usuniętych praw dostępu. |
| Zarządzaj katalogiem żądań |
Jest widoczny dla użytkowników końcowych i uid im znaleźć i zażądać prawidłowych praw dostępu w ramach samoobsługi. Podczas tworzenia katalogu żądań ważne jest zaangażowanie użytkowników końcowych (użytkowników i menedżerów) w proces planowania, ponieważ to właśnie użytkownicy końcowi z niego korzystają. Może to wymagać kilku iteracji, a administrator IGA może być zmuszony zmienić kategoryzację na podstawie opinii użytkowników końcowych. |
Praca administracyjna IGA jest potrzebna, gdy:
Administrator lub właściciel IGA może definiować, w których kategoriach prawa dostępu lub role biznesowe są widoczne z kart danych powiązanych z tymi elementami, ale administrator IGA zarządza całym katalogiem i kategoriami. |
Utworzenie nowej kategorii zajmuje kilka minut, po czym można opublikować w niej uprawnienia i role biznesowe. |
Codzienne działania
Codzienne działania nie oznaczają, że zadanie będzie pojawiać się codziennie, lecz że mogą istnieć zadania wymagające ingerencji administratora IGA . Codzienne zadania zależą od ustawień klienta i przypadków użycia włączonych w rozwiązaniu IGA .
Instrukcje dotyczące codziennych czynności
Poniżej wymieniono i opisano funkcjonalności i zadania, które administrator IGA powinien wykonać, gdy tylko się pojawią lub gdy będzie to potrzebne.
Codzienne działania są podzielone na trzy (3) kategorie i jeśli scenariusz zadania ma zastosowanie w przypadkach użycia przez klienta, zaleca się codzienne przeglądanie tych zadań.
Rozwiązywanie Pro – zadania te są wykonywane w przypadku problemów z przepływami pracy, logiką lub dostarczaniem zasobów.
Działania administratora zależą od ustawień klienta, takich jak na przykład konieczność ręcznej ingerencji podczas tworzenia użytkownika lub konieczność ręcznego żądania uprawnień dostępu, konieczność raportowania/audytu itp.
Wyjątki dotyczące danych to sytuacje, w których rozwiązanie IGA działa poprawnie, ale nie może sfinalizować procesów z powodu problemów z danymi, np. brakujących informacji o menedżerze itp.
| Zadanie/akcja | Opis | Nawrót |
| Symuluj dane przed ich udostępnieniem |
To zadanie jest ważne w przypadku zarządzania cyklem życia użytkownika i zaleca się jego włączenie (przynajmniej na jakiś czas), gdy integracja HR jest już w użyciu, a po upewnieniu się, że jakość danych jest odpowiednia, można je wyłączyć.
|
Działanie administratora |
| Użytkownicy o tej samej nazwie |
Dotyczy to przypadków użycia zarządzania cyklem życia użytkownika, gdy klient wymaga, aby w przypadkach dotyczących nazwy obaj użytkownicy otrzymali prefiks lub sufiks w unikalnych atrybutach, takich jak adres e-mail.
|
Działanie administratora |
| Unikalnych atrybutów nie można określić automatycznie na potrzeby zarządzania kontem |
Dotyczy to przypadków użycia w zarządzaniu cyklem życia użytkownika, w których nie można automatycznie wygenerować unikalnych atrybutów związanych z katalogiem i administrator IGA musi ręcznie ingerować w proces (na przykład w przypadku, gdy wyczerpały się opcje generowania adresów e-mail).
|
Rozwiązywanie Pro |
| Zmiana głównego okresu pracy |
Dotyczy to przypadków zarządzania cyklem życia użytkownika, w których użytkownik może mieć wiele okresów pracy.
|
Działanie administratora |
| Zmień informacje o koncie głównym |
Dotyczy to przypadków zarządzania kontami, w których użytkownik może posiadać wiele kont.
|
Działanie administratora |
| Ponowne uruchomienie nieudanego provisionowania w celu utworzenia lub aktualizacji użytkownika. |
Dotyczy to przypadków użycia zarządzania cyklem życia użytkownika.
|
Rozwiązywanie Pro |
| Ponowne uruchomienie nieudanego żądania usługi w celu żądania lub usunięcia uprawnienia |
Dotyczy to sytuacji, gdy podczas wnioskowania o prawa dostępu lub ich usuwania w ramach samoobsługi nie powiedzie się. Dodawanie i usuwanie członkostwa w grupie odbywa się na żądanie usługi IGA . Jeśli zapewnienie członkostwa w grupie nie powiedzie się (np. wystąpią problemy z połączeniem, certyfikatem, poświadczeniami itd.), przepływ pracy zostanie zatrzymany i utworzona zostanie karta danych zadania administracyjnego IGA .
|
Rozwiązywanie Pro |
| Ponowne uruchomienie nieudanego rekordu praw dostępu IGA |
Dotyczy to kilku przypadków użycia i administrator IGA może musieć to zrobić, gdy:
|
Pro problemami |
| Sprawozdawczość i audyt | Więcej informacji na temat audytu i raportowania można znaleźć w osobnym rozdziale. |
Działanie administratora |
| Ręczne żądanie uprawnień dostępu |
Jeśli w ustawieniach uprawnień typ aprowizacji jest ustawiony na ręczny lub łączony, a żądanie ręczne jest wybrane jako zespołowe, a zespół administratorów IGA jest wybrany jako zespołowy.
|
Działanie administratora |
| Brak menedżera w prośbach o prawa dostępu/usunięciach |
Dotyczy to przypadków użycia żądania/usuwania praw dostępu, gdy w żądaniach wymagających zatwierdzenia przez menedżera brakuje informacji o menedżerze.
|
Wyjątek danych |
| Brak ustawień zarządzania kontem |
Dzieje się tak, gdy brakuje karty danych konta IGA i nie można ustalić ani przekazać informacji o użytkowniku do katalogu/katalogów.
|
Rozwiązywanie Pro |
| Użytkownik znaleziony w katalogu, ale nie w IGA |
Dzieje się tak w przypadku przypadków użycia zarządzania cyklem życia użytkownika, ale jest częścią przypadków użycia zarządzania, szczególnie w przypadku raportowania dzieł użytkowników utworzonych w ramach procesu. Taka sytuacja ma miejsce tylko wtedy, gdy podczas tworzenia użytkownika w katalogu zostanie znalezione konto użytkownika o takim samym identyfikatorze pracownika.
|
Wyjątek danych |
| Informacje o użytkowniku odchodzącym nie są zgodne między IGA a katalogiem |
Dzieje się to w trakcie zarządzania cyklem życia użytkownika w przypadku użycia użytkownika odchodzącego, a także jest częścią przypadków użycia zarządzania, ponieważ wskazuje sytuację, w której konto użytkownika jest aktywne w katalogu, a na podstawie informacji rozwiązania IGA użytkownik powinien zostać wyłączony.
|
Wyjątek danych |
| W przypadku niepowodzenia wyłączenia lub przeniesienia do jednostki organizacyjnej (użytkownik odchodzący) |
Dotyczy to zarządzania cyklem życia użytkownika, zwłaszcza w przypadku użytkowników odchodzących, gdy katalog klientów korzysta ze struktury OU (np. Active Directory AD ).
|
Rozwiązywanie Pro |
Sprawozdawczość i audyt
Dostępnych jest 70–100 gotowych raportów, widoków i pulpitów nawigacyjnych dla administratorów IGA , a potrzeby w zakresie raportowania i audytu różnią się w zależności od poziomu dojrzałości rozwiązania IGA , na przykład od czasu jego użytkowania lub fazy, na której znajduje się wdrożenie.
Administrator IGA może edytować, usuwać, reorganizować, zmieniać nazwy itp. gotowych raportów, widoków i pulpitów nawigacyjnych. Może też z łatwością tworzyć nowe raporty, widoki i pulpity IGA i zapisywać je do własnego użytku lub publikować dla innych użytkowników.
- Po pierwszym odczytaniu danych administrator IGA ma gotowe raporty, widoki i pulpity nawigacyjne umożliwiające przeglądanie otrzymanych danych i zapewnienie ich jakości.
- Podczas tworzenia i utrzymywania automatyzacji administrator IGA będzie potrzebował raportów, takich jak relacje między rolami biznesowymi (przeglądanie ról), katalogi żądań, zautomatyzowane reguły, tytuły, centra kosztów itd.
- Codzienne zadania administracyjne są niezbędne podczas wykonywania czynności administracyjnych lub rozwiązywania problemów i wyjątków danych.
- Potrzeba trochę czasu, aby raporty statystyczne zebrały wystarczającą ilość informacji, np. najczęściej używane usługi, najczęściej żądane prawa dostępu itp.
- Raporty dotyczące zarządzania różnią się w zależności od wymagań audytu klienta. Przykładowo raporty dotyczące ponownej certyfikacji i działania związane z bezpieczeństwem są widoczne w raportach dotyczących zarządzania.
- Rozszerzone raporty dotyczące zarządzania prawami dostępu zawierają informacje na przykład o prawach dostępu fizycznego, zarządzaniu uprawnieniami dostępu uprzywilejowanego itp.
- Raporty z danymi przeglądu zawierają informacje:
- Jakiego typu dane dotyczące użytkownika, zatrudnienia, konta itp. zostały przekazane do rozwiązania IGA .
- Administrator IGA ma obowiązek przejrzeć wszystkie raporty przy pierwszym otrzymaniu danych w rozwiązaniu IGA .
- W przypadku gdy dane okażą się nieprawidłowe lub nieaktualne, administrator IGA musi dokonać w nich zmian.
- Zaleca się, aby raz w tygodniu lub miesiącu przeglądać przynajmniej raporty dotyczące kont osieroconych i inne raporty związane z bezpieczeństwem (lub przenieść je np. do codziennych raportów administracyjnych).
- Przejrzyj dane HR i/lub katalogowe
- Przeprowadź analizę danych przed wysłaniem raportów, jeśli są potrzebne: gdy administrator IGA symuluje odebrane dane przed ich wysłaniem do katalogu/katalogów.
- Raporty z eksploracji ról służą do tworzenia ról biznesowych i reguł automatycznych. Administrator IGA może przeglądać na przykład:
- Użytkownicy o tym samym tytule, centrum kosztów lub jednostce organizacyjnej.
- Konta o takich samych uprawnieniach.
- Raporty dotyczące katalogu żądań kompilacji pomagają administratorom IGA w tworzeniu katalogu żądań uprawnień dostępu do samoobsługi, na przykład:
- Uprawnienia nie zawierają obowiązkowych informacji.
- Uprawnienia opublikowane w ramach samoobsługi.
- Uprawnienia związane z wnioskami.
- W przypadku stosowania roztworu IGA w środowisku produkcyjnym konieczne jest ciągłe monitorowanie codziennego administrowania:
- Żądania oczekujące na realizację.
- Opublikowane uprawnienia nie zawierają informacji o zatwierdzającym.
- Wskaźnik powodzenia dziennego provisionowania.
- Działania na koncie (zmiana hasła itp.).
- Raporty audytu służą do wyszukiwania szczegółowych informacji o użytkownikach i ich prawach dostępu, na przykład:
- Kto miał aktywne prawo dostępu X w okresie 1.1-31.12.2024.
- Kto zatwierdził prośbę X.
- Historia użytkowników i uprawnień dostępu.
- Raporty statystyczne są przydatne, gdy rozwiązanie IGA jest używane przez pewien czas i dostępne są dane, które można uwzględnić w raporcie:
- Całkowity wskaźnik powodzenia zaopatrzenia.
- Najczęściej używane usługi w ramach samoobsługi.
- Wszystkie utworzone przez użytkownika obiekty, aktualizacje, użytkownicy odchodzący (%).
- Raporty dotyczące zarządzania służą na przykład do zapewnienia braku szkodliwych działań oraz do zarządzania ponownymi certyfikacjami itd.
- Prośby zgłoszone i zatwierdzone przez tego samego użytkownika.
- Prośby, różni zatwierdzający, którzy o nie prosili.
- Konta nie utworzone przez IGA .
- Wszystkie działania administracyjne IGA .
Zarządzanie
Zadania związane z zarządzaniem zwykle powtarzają się co miesiąc lub rok, ale zawsze są powiązane z polityką klienta i wymogami bezpieczeństwa.
Często zdarza się, że np. pracownik ochrony klienta ma dostęp do rozwiązania IGA i może raportować i weryfikować niezbędne informacje dotyczące tożsamości i praw dostępu i/lub może rozpoczynać wnioski o ponowną certyfikację.
Zarządzanie stanowi część każdego przypadku użycia i procesu IGA , ale istnieją różne funkcjonalności, które mają na celu na przykład zapewnienie spełnienia wymagań dotyczących zgodności.
- Ponowna certyfikacja
- Toksyczne kombinacje
- Obliczanie poziomu ryzyka i przegląd użytkowników i dostępów wysokiego ryzyka
- Audyt zgodnie z wymaganiami organizacji klienta
- Utwórz nowe raporty
- Raport dla interesariuszy
- Spełnianie wymagań audytowych
Rozwijać
Monitoruj, w jaki sposób Twoje rozwiązanie IGA automatyzuje procesy organizacyjne i udoskonalaj je na podstawie ustaleń, prowadź listę zaległych elementów w rozwiązaniu IGA i upewnij się, że zmiany w organizacji są zauważane również w procesach IGA .
Ważne jest, aby przekazywać opinie na temat produktu, komentować go, a także, podobnie jak inni użytkownicy, proponować ulepszenia i śledzić aktualizacje wersji produktu, które wprowadzą nowe funkcje do Twojego rozwiązania IGA !
Bądź na bieżąco z zaległościami i interesariuszami
Ważne jest, aby rozpoznawać zmiany, które mają wpływ na rozwiązanie IGA , jego konfigurację lub automatyzację, ponieważ zmiany te mogą spowodować uruchomienie dużej liczby operacji provisioningu w kierunku katalogu/katalogów lub zmienić konfigurację w sposób, który uniemożliwi provisioning.
Nadążaj za zaległościami
W fazie dostaw, narzędzie Efecte Delivery Management (EDM) jest wykorzystywane do realizacji zadań, przypadków testowych, ustaleń testowych, a także do pozyskiwania pomysłów na dalszy rozwój. Jest to niezwykle przydatne do gromadzenia zaległości na potrzeby rozwoju IGA . Narzędzie jest instalowane w środowisku testowym IGA klienta i nie wiąże się z żadnymi dodatkowymi kosztami (przydaje się również do przechowywania przypadków testowych itp. podczas testowania nowych funkcji/funkcjonalności).
- Administrator IGA
- Tworzy nowy element dostawy, którego typ jest dalszym rozwojem
- Nadaje priorytet elementom
- Przydziela nowy element administratorowi konfiguracji IGA (może być również konsultantem Efecte)
- Administrator konfiguracji IGA dokonuje przeglądu i dodaje oszacowanie pracy do elementu
- Większe elementy mogą również wymagać przeglądu przez kierownika projektu
- Administrator IGA rozmawia z interesariuszami
- Jeśli element zostanie zatwierdzony do wdrożenia, administrator IGA planuje zmiany z uwzględnieniem potrzebnych uczestników i zmienia status elementu na gotowy.
- Jeśli przedmiot zostanie odrzucony, administrator IGA zmienia status przedmiotu na Anulowany (niepotrzebny/usunięty).
- Administrator IGA może używać Kanban lub dowolnego innego widoku do raportowania elementów zaległości i ustalania priorytetów.
Ważne jest, aby najpierw wdrożyć i przetestować wszystkie zmiany w środowisku testowym, zwłaszcza jeśli powodują one zmiany w konfiguracji lub generują wiele żądań dotyczących katalogu/katalogów.
Bądź na bieżąco z interesariuszami
Krok 1 to rozpoznanie wszystkich interesariuszy i zorganizowanie cyklicznych spotkań, podczas których omawiane są zmiany, szacowane są skutki i uzgadniany jest harmonogram. Najczęściej potrzebni interesariusze to:
Specjaliści ds. HR są potrzebni przy wdrażaniu integracji HR
Zaleca się organizowanie cyklicznych spotkań przed zmianami organizacyjnymi, zwykle trzy (3) do czterech (4) razy w roku.
- Zmiany w strukturze organizacyjnej (nowe jednostki organizacyjne, usuwanie starych jednostek itd.) mogą wiązać się z koniecznością dokonywania wielu ustawień w katalogu, a w niektórych przypadkach ustawienia te niekoniecznie są prawidłowe.
- Nowe centrum kosztów, jednostka organizacyjna lub tytuł (jeśli reguły automatyczne muszą udzielać dostępu)
- Zakończenie wszelkich informacji organizacyjnych będzie miało również wpływ na reguły automatyczne, jeśli przyznają one dostęp na podstawie usuniętych informacji
- Przejrzyj planowane zmiany wspólnie ze specjalistami ds. HR i
- Wypisz w rejestrze wszystkie zmiany wpływające na rozwiązanie IGA
- Zarezerwuj niezbędne zasoby do wdrożenia zmian
- Zawsze rezerwuj dostęp administratora IGA w trakcie i po zmianach związanych z rozwiązaniem HR
Symuluj zmiany przed ich wprowadzeniem
Zdecydowanie zaleca się włączenie ustawień przeglądania danych przed ich udostępnieniem (na karcie danych informacji o koncie IGA należy ustawić informacje o wszystkich typach użytkowników pochodzących z rozwiązania HR). Dzięki temu ustawieniu przepływ pracy będzie otrzymywał informacje z rozwiązania HR, ale przed udostępnieniem administrator IGA sprawdza, czy wszystkie zmiany są poprawne i ważne, zanim przejdzie do udostępniania.
Specjaliści od katalogów,
Często pełnią również funkcję administratorów IGA i odpowiadają za wszelkie zmiany zachodzące w katalogu, które mogą mieć wpływ na rozwiązanie IGA i jego automatyzację.
Zaleca się organizowanie cyklicznych spotkań ze specjalistą ds. katalogów co najmniej raz (1) w miesiącu oraz włączanie specjalisty ds. katalogów do spotkań ze specjalistami ds. HR.
Najczęstsze zmiany w katalogu powodujące błędy w aprowizacji
- Nowe jednostki organizacyjne (OU) dotyczą katalogów wykorzystujących strukturę OU.
- Administrator IGA sprawdza, czy dane konta IGA wymagają aktualizacji lub utworzenia nowych kart.
- Administrator konfiguracji IGA potwierdza, że nowe jednostki organizacyjne (OU) zostały odczytane z katalogu i użytkownik techniczny ma uprawnienia do zapisu w nowej jednostce organizacyjnej.
- Atrybuty nowego konta użytkownika
- Administrator IGA weryfikuje, czy nowe atrybuty są odczytywane w celu poprawienia atrybutów na kartach danych konta IGA
- Administrator konfiguracji IGA potwierdza, że nowe atrybuty zostały uwzględnione w mapowaniach łączników służących do odczytu (zadania zaplanowane) i zapisu (zadania zdarzeń) danych.
- Nowe atrybuty grupy
- Administrator IGA weryfikuje, czy nowe atrybuty są odczytywane w celu poprawienia atrybutów na kartach danych uprawnień IGA
- Administrator konfiguracji IGA potwierdza, że nowe atrybuty zostały uwzględnione w mapowaniach łączników służących do odczytu (zadania zaplanowane) i zapisu (zadania zdarzeń) danych.
- Zmiany dotyczą certyfikatów, kluczy tajnych itp.
- Administrator konfiguracji IGA może aktualizować certyfikaty, klucze tajne itp. z poziomu ustawień łącznika
- Zmiany w koncie użytkownika technicznego (z którego korzysta rozwiązanie IGA )
- Wszystkie zmiany na koncie usługi, którego rozwiązanie IGA używa do odczytu i zapisu danych do/z katalogu, muszą zostać omówione z administratorem IGA , aby zapobiec wystąpieniu poważnych incydentów, takich jak na przykład usunięcie z katalogu konta użytkownika technicznego (konta usługi), co spowodowałoby błędy we wszystkich konfiguracjach.
Właściciele
Zaleca się organizowanie cyklicznych spotkań ze wszystkimi właścicielami raz w miesiącu lub co najmniej raz na kwartał.
Istnieją różne typy właścicieli, którzy mogą potrzebować być informowani o zmianach zachodzących w rozwiązaniach HR lub katalogu/katalogach, ponieważ mogą one np. wymagać zatwierdzenia zmiany reguł automatyzacji.
Zadania właściciela zależą od sposobu, w jaki obowiązki zostaną uzgodnione między administratorem IGA , inspektorem bezpieczeństwa i właścicielami w organizacji klienta. Poniżej wymieniono przykłady zadań dla różnych właścicieli, ale jak wspomniano, wszystkie one mogą być obowiązkami administratora IGA .
- Właściciele aplikacji są odpowiedzialni za:
- Zachowaj informacje dotyczące aplikacji, na przykład jeśli zmienią się nazwa aplikacji lub szczegóły techniczne/zależności.
- Poinformuj interesariuszy o zmianach w aplikacji
- Raport zgodny z wymogami audytu organizacji
- Właściciele praw są odpowiedzialni za:
- Przechowuj informacje dotyczące uprawnień, które posiada właściciel, na przykład informacje o osobie zatwierdzającej, widoczność w katalogu żądań, nazwę, opisy itp.
- Zbadaj, czy zmiany w aplikacji będą miały wpływ na rozwiązanie IGA
- Dodaj elementy do listy oczekujących i ustal priorytety
- Ponowna certyfikacja uprawnień (których właścicielem jest właściciel)
- Raport zgodny z wymogami audytu organizacji
- Właściciele ról biznesowych są odpowiedzialni za:
- Przechowuj informacje związane z rolami biznesowymi przypisanymi właścicielowi, takie jak na przykład informacje o osobie zatwierdzającej, widoczność w katalogu żądań, nazwa, opisy itp.
- Zbadaj, czy zmiany w dziale HR będą miały wpływ na treść lub odbiorców roli biznesowej
- Ponowna certyfikacja ról biznesowych (których właścicielem jest właściciel)
- Raport zgodny z wymogami audytu organizacji
Oficer Bezpieczeństwa
Specjalista ds. bezpieczeństwa często odpowiada za rozwiązanie IGA i wszystkie jego procesy. Zazwyczaj jest on odpowiedzialny za definiowanie wymogów audytowych dotyczących raportów dziennych, tygodniowych, miesięcznych, kwartalnych i rocznych oraz niezbędnych działań, na przykład w przypadku wykrycia szkodliwych działań.
Ponowna certyfikacja i toksyczne kombinacje mogą być odpowiedzialnością administratora IGA , oficera ds. bezpieczeństwa lub jednego z właścicieli; zależy to całkowicie od podziału obowiązków między oficerem ds. bezpieczeństwa, administratorem IGA i właścicielami.
Nowe funkcje i funkcjonalności produktu
Nowa wersja jest wydawana 2-3 razy w roku i automatycznie instalowana w środowiskach klientów zgodnie z komunikatami dotyczącymi wydania (klient jest powiadamiany przed aktualizacją wersji w fazie testowej lub produkcyjnej). Po aktualizacji warto przeprowadzić podstawową walidację, aby upewnić się, że wszystko działa poprawnie. W przypadku problemów po aktualizacji prosimy o kontakt pod adresem servicedesk@efecte.com.
Pamiętaj o kontynuacji,
Notatki o wydaniu – szczegóły techniczne dotyczące ulepszeń i nowych funkcjonalności w rozwiązaniu IGA , platformie, samoobsłudze, łącznikach itp.
Społeczność – zawiera szczegółowy opis wydanych produktów i przyszłych elementów planu działania. Społeczność to również odpowiednie miejsce do proponowania nowych funkcji produktu lub recenzowania próśb innych klientów.