Zuweisungsbestellungen erzeugen
Zuweisungsbestellungen können für bestehende Zuweisungen von Unternehmensressourcen an hierarchische Rollen und für Mitgliedschaften von Personen, Geräten oder Arbeitsplätzen in hierarchischen Rollen erzeugt werden. Dafür stehen die folgenden Methoden zur Verfügung.
Tabelle 23: Methoden zur Umwandlung von Direktzuweisungen in Zuweisungsbestellungen
|
CreateITShopOrder (string uidOrgProduct, string uidPersonOrdered, string CustomScriptName) |
Erzeugt aus einer Zuweisung oder einer Mitgliedschaft eine Zuweisungsbestellung. Diese Methode kann auch auf Tabellen angewendet werden, über die keine UID_Person ermittelt werden kann. |
|
CreateITShopOrder (string uidOrgProduct, string uidWorkdeskOrdered, string uidPersonOrdered, string CustomScriptName) |
Erzeugt aus einer Zuweisung oder einer Mitgliedschaft eine Zuweisungsbestellung und speichert am Bestellvorgang zusätzlich eine UID_WorkdeskOrdered. |
Damit die Bestellungen erzeugt werden können, muss der IT Shop entsprechend vorbereitet sein.
Um Zuweisungsbestellungen aus Direktzuweisungen an hierarchische Rollen und Rollenmitgliedschaften zu erzeugen
-
Wählen Sie eine Zuweisungsressource aus dem Regal IT Shop | Identity & Access Lifecycle | Regal: Identity Lifecycle aus.
-
Wählen Sie eine Person aus dem Kundenknoten des Shops IT Shop | Identity & Access Lifecycle als Besteller für die Zuweisungsbestellung aus.
-
(Optional) Erstellen Sie ein Skript, das weitere Eigenschaften der Bestellungen besetzt.
-
Erstellen Sie ein Skript, das die Methode CreateITShopOrder (string uidOrgProduct, string uidPersonOrdered, string CustomScriptName) für die betroffenen Tabellen ausführt.
Der One Identity Manager erzeugt folgendermaßen die Zuweisungsbestellungen aus vorhandenen Zuweisungen an hierarchische Rollen:
-
Ermitteln der hierarchischen Rollen und ihrer zugewiesenen Unternehmensressourcen oder Mitglieder (Personen, Geräte oder Arbeitsplätze).
-
Ermitteln des Bestellers aus dem Parameter uidPersonOrdered.
-
Ermitteln der Zuweisungsressource aus dem Parameter uidOrgProduct.
-
Ermitteln des Shops, dem die Zuweisungsressource und der Besteller zugewiesen sind.
- Erzeugen der Bestellungen mit initialen Daten.
- Ausführen kundenspezifischer Skripte.
- Speichern der Bestellungen (Eintrag in Tabelle PersonWantsOrg).
-
Umwandeln der direkten Zuweisungen der Unternehmensressourcen an die hierarchischen Rollen in indirekte Zuweisungen (zum Beispiel in der Tabelle DepartmentHasQERResource). Umwandeln der direkten Mitgliedschaften in den hierarchischen Rollen in indirekte Mitgliedschaften (zum Beispiel in der Tabelle PersonInDepartment).
Soll die Zuweisungsbestellung für einen Arbeitsplatz erzeugt werden, übergeben Sie der Methode zusätzlich die UID_WorkDesk des Arbeitsplatzes als Parameter uidWorkdeskOrdered. Die Methode speichert diese UID als UID_WorkdeskOrdered in der Bestellung (Tabelle PersonWantsOrg).
Detaillierte Informationen zum Thema
Verwandte Themen
Active Directory und SharePoint Gruppen automatisch in den IT Shop aufnehmen
Tabelle 24: Konfigurationsparameter für die automatische Aufnahme von Gruppen in den IT Shop
|
QER | ITShop | GroupAutoPublish |
Präprozessorrelevanter Konfigurationsparameter zur automatischen Übernahme von Gruppen in den IT Shop. Der Konfigurationsparameter legt fest, ob alle Gruppen der Zielsysteme Active Directory und SharePoint automatisch in den IT Shop übernommen werden. Die Änderung des Parameters erfordert eine Kompilierung der Datenbank.
Wenn Sie den Konfigurationsparameter zu einem späteren Zeitpunkt deaktivieren, werden die nicht benötigten Modellbestandteile und Skripte deaktiviert. SQL Prozeduren und Trigger werden weiterhin ausgeführt. Ausführliche Informationen zum Verhalten präprozessorrelevanter Konfigurationsparameter und zur bedingten Kompilierung finden Sie im One Identity Manager Konfigurationshandbuch.
Wirksam in den Modulen: SharePoint Modul, Active Directory Modul, Active Roles Modul |
|
QER | ITShop | GroupAutoPublish | ADSGroupExcludeList |
Auflistung aller Active Directory Gruppen, für die keine automatische Zuordnung zum IT Shop erfolgen soll. Angabe der Namen in einer Pipe (|) getrennten Liste, die als reguläres Suchmuster verarbeitet wird.
Beispiel:
.*Administrator.*|Exchange.*|.*Admins|.*Operators|IIS_IUSRS
Wirksam in den Modulen: Active Directory Modul, Active Roles Modul |
|
TargetSystem | ADS | ARS_SSM |
Präprozessorrelevanter Konfigurationsparameter zur Steuerung der Modellbestandteile für die Überführung der Funktionalität von Self-Service Manager in den One Identity ManagerIT Shop. Ist der Parameter aktiviert, sind die Bestandteile verfügbar. Die Änderung des Parameters erfordert eine Kompilierung der Datenbank.
Wenn Sie den Konfigurationsparameter zu einem späteren Zeitpunkt deaktivieren, werden die nicht benötigten Modellbestandteile und Skripte deaktiviert. SQL Prozeduren und Trigger werden weiterhin ausgeführt. Ausführliche Informationen zum Verhalten präprozessorrelevanter Konfigurationsparameter und zur bedingten Kompilierung finden Sie im One Identity Manager Konfigurationshandbuch.
Wirksam im Modul: Active Roles Modul |
Um Gruppen automatisch in den IT Shop aufzunehmen
-
Abhängig von den vorhandenen Modulen, aktivieren Sie im Designer die Konfigurationsparameter für die automatische Aufnahme von Gruppen in den IT Shop.
-
Kompilieren Sie die Datenbank.
Die Gruppen werden ab diesem Zeitpunkt automatisch in den IT Shop aufgenommen.
-
Die Synchronisation sorgt dafür, dass die Gruppen in den IT Shop aufgenommen werden. Bei Bedarf können Sie die Synchronisation im Synchronization Editor sofort starten.
-
Gruppen, die im One Identity Manager neu erstellt werden, werden in den IT Shop aufgenommen.
Folgende Schritte werden bei der Aufnahme einer Gruppe in den IT Shop automatisch ausgeführt.
-
Es wird eine Leistungsposition für die Gruppe ermittelt.
Für jede Gruppe wird die Leistungsposition geprüft und bei Bedarf angepasst. Die Bezeichnung der Leistungsposition entspricht der Gruppenbezeichnung. Die Leistungsposition wird einer der Standard-Servicekategorien zugeordnet.
-
Es wird eine Anwendungsrolle für Produkteigner ermittelt und der Leistungsposition zugeordnet. Die Produkteigner können Bestellungen von Mitgliedschaften in diesen Gruppen genehmigen. Standardmäßig wird der Kontomanager oder Eigentümer einer Gruppe als Produkteigner ermittelt.
HINWEIS: Die Anwendungsrolle für Produkteigner muss der Anwendungsrolle Request & Fulfillment | IT Shop | Produkteigner untergeordnet sein.
-
Ist der Kontomanager oder Eigentümer der Gruppe bereits Mitglied einer Anwendungsrolle für Produkteigner, dann wird diese Anwendungsrolle der Leistungsposition zugewiesen. Alle Mitglieder dieser Anwendungsrolle werden dadurch Produkteigner der Gruppe.
-
Ist der Kontomanager oder Eigentümer der Gruppe noch kein Mitglied einer Anwendungsrolle für Produkteigner, dann wird eine neue Anwendungsrolle erzeugt. Die Bezeichnung der Anwendungsrolle entspricht der Bezeichnung des Kontomanagers oder Eigentümers.
-
Handelt es sich beim Kontomanager oder Eigentümer um ein Benutzerkonto, wird die Person des Benutzerkontos in die Anwendungsrolle aufgenommen.
-
Handelt es sich um eine Gruppe von Kontomanagern oder Eigentümern, werden die Personen aller Benutzerkonten dieser Gruppe in die Anwendungsrolle aufgenommen.
-
Besitzt die Gruppe keine Kontomanager oder Eigentümer wird die Standard-Anwendungsrolle Request & Fulfillment | IT Shop | Produkteigner | Ohne Eigentümer im AD/SharePoint verwendet.
-
Die Gruppe wird mit der Option IT Shop gekennzeichnet und dem IT Shop Regal Active Directory Gruppen oder SharePoint Gruppen im Shop Identity & Access Lifecycle zugewiesen.
Anschließend können die Kunden des Shops Gruppenmitgliedschaften über das Web Portal bestellen.
HINWEIS: Wenn eine Gruppe endgültig aus der One Identity Manager-Datenbank gelöscht wird, wird auch die zugehörige Leistungsposition gelöscht.
Verwandte Themen
Ungenutzte Anwendungsrollen für Produkteigner löschen
Da bei der automatischen Übernahme von Gruppen in den IT Shop für jeden Kontomanager einer Gruppe eine eigene Anwendungsrolle angelegt wird, wird die Liste der Anwendungsrollen für Produkteigner schnell unübersichtlich. Wenn Gruppen gelöscht werden, werden diese Anwendungsrollen gegebenenfalls nicht mehr benötigt.
Nicht benötigte Anwendungsrollen für Produkteigner können über einen zeitgesteuerten Prozessauftrag gelöscht werden. Dabei werden alle Anwendungsrollen aus der Datenbank gelöscht, für die Folgendes gilt:
-
Die übergeordnete Anwendungsrolle ist Request & Fulfillment | IT Shop | Produkteigner.
-
Die Anwendungsrolle ist keiner Leistungsposition zugeordnet.
-
Die Anwendungsrolle ist keiner Servicekategorie zugeordnet.
-
Die Anwendungsrolle hat keine Mitglieder.
Um Anwendungsrollen automatisiert zu löschen
Verwandte Themen
Privileged Account Management Benutzergruppen automatisch in den IT Shop aufnehmen
Mit den folgenden Schritten können Sie lokale PAM Benutzergruppen automatisch in den IT Shop aufnehmen. Die Synchronisation sorgt dafür, dass die Benutzergruppen in den IT Shop aufgenommen werden. Bei Bedarf können Sie die Synchronisation im Synchronization Editor sofort starten.
HINWEIS: Verzeichnisgruppen werden nicht automatisch in den IT Shop aufgenommen.
Um lokale PAM Benutzergruppen automatisch in den IT Shop aufzunehmen
-
Aktivieren Sie im Designer den Konfigurationsparameter QER| ITShop | PAGUsrGroupAutoPublish.
Die lokalen PAM Benutzergruppen werden ab diesem Zeitpunkt automatisch in den IT Shop aufgenommen.
-
Um einzelne lokale PAM Benutzergruppen nicht automatisch in den IT Shop aufzunehmen, aktivieren Sie im Designer den Konfigurationsparameter QER | ITShop | PAGUsrGroupAutoPublish | PAGUsrGroupExcludeList.
Der Konfigurationsparameter enthält eine Auflistung aller PAM Benutzergruppen, die nicht automatisch zum IT Shop zugeordnet werden sollen.
Bei Bedarf können Sie die Liste erweitern. Erfassen Sie dazu im Wert des Konfigurationsparameters die Namen der Benutzergruppen. Die Angabe der Namen erfolgt in einer Pipe (|) getrennten Liste.
-
Weisen Sie die Personen, die über die Bestellung der lokalen Benutzergruppen entscheiden dürfen, der Anwendungsrolle Request & Fulfillment | IT Shop | Produkteigner | PAM Benutzergruppen zu.
Über die Entscheidungsrichtlinie Entscheidung der Bestellungen von PAM Benutzergruppenmitgliedschaften werden die Produkteigner der Benutzergruppen als Entscheider ermittelt. Können keine Produkteigner ermittelt werden, werden die Bestellungen den Zielsystemverantwortlichen zur Entscheidung vorgelegt.
Folgende Schritte werden bei der Aufnahme einer lokalen PAM Benutzergruppe in den IT Shop automatisch ausgeführt.
-
Es wird eine Leistungsposition für die Benutzergruppe ermittelt.
Für jede Benutzergruppe wird die Leistungsposition geprüft und bei Bedarf angepasst. Die Bezeichnung der Leistungsposition entspricht der Gruppenbezeichnung.
-
Die Leistungsposition wird der Standard-Servicekategorie PAM Benutzergruppen zugeordnet.
-
Die Anwendungsrolle Request & Fulfillment | IT Shop | Produkteigner | PAM Benutzergruppen wird als Produkteigner an die Leistungsposition zugeordnet.
-
Die Benutzergruppe wird mit der Option IT Shop gekennzeichnet und dem IT Shop Regal PAM Benutzergruppen im Shop Identity & Access Lifecycle zugewiesen.
Anschließend können die Kunden des Shops Gruppenmitgliedschaften über das Web Portal bestellen.
Verwandte Themen
