Zeitweilige Deaktivierung von Personen
Die Person ist momentan nicht im Unternehmen, mit der Rückkehr wird zu einem definierten Termin gerechnet. Das gewünschte Verhalten kann sein, dass die Benutzerkonten gesperrt werden und alle Gruppenmitgliedschaften entzogen werden. Oder es sollen die Benutzerkonten gelöscht, bei Wiedereintritt jedoch wieder hergestellt werden, wenn auch mit einer neuen System Identifikationsnummer (SID).
Die zeitweilige Deaktivierung einer Person wird ausgelöst durch:
HINWEIS:
-
Konfigurieren Sie im Designer den Zeitplan Benutzerkonten ausgeschiedener Personen sperren. Dieser Zeitplan prüft das Startdatum der Deaktivierung und setzt bei Erreichen des Startdatums die Option Zeitweilig deaktiviert.
-
Konfigurieren Sie im Designer den Zeitplan Zeitweise deaktivierte Benutzerkonten aktivieren. Dieser Zeitplan überwacht das Enddatum der Deaktivierung und aktiviert bei Ablauf des Datums die Person und ihre Benutzerkonten wieder. Benutzerkonten einer Person, die bereits vor einer zeitweiligen Deaktivierung der Person deaktiviert waren, werden nach Ablauf des Zeitraumes ebenfalls wieder aktiviert.
Szenario: Benutzerkonten sind mit Personen verbunden und werden über Kontendefinitionen verwaltet.
Szenario: Benutzerkonten sind mit Personen verbunden. Es sind keine Kontendefinitionen zugeordnet.
-
Legen Sie das gewünschte Verhalten über den Konfigurationsparameter QER | Person | TemporaryDeactivation fest. Ist der Konfigurationsparameter aktiviert, werden für die Zeit der zeitweiligen Deaktivierung die Benutzerkonten der Person gesperrt. Ist der Konfigurationsparameter deaktiviert, haben die Eigenschaften der verbundenen Person keinen Einfluss auf die Benutzerkonten.
Verwandte Themen
Dauerhafte Deaktivierung von Personen
Personen können dauerhaft deaktiviert werden, beispielsweise wenn sie aus dem Unternehmen ausscheiden. Dabei kann es erforderlich sein, dass diesen Personen ihre Berechtigungen in den angeschlossenen Zielsystem und ihre Unternehmensressourcen entzogen werden.
Die Auswirkungen der dauerhaften Deaktivierung einer Person sind:
-
Die Person kann nicht als Manager an Personen zugewiesen werden.
-
Die Person kann nicht als Verantwortlicher an Rollen zugewiesen werden.
-
Die Person kann nicht als Eigentümer an Attestierungsrichtlinien zugewiesen werden.
-
Es erfolgt keine Vererbung von Unternehmensressourcen über Rollen, wenn zusätzlich die Option Keine Vererbung an der Person aktiviert ist.
-
Benutzerkonten der Person werden gesperrt oder gelöscht und den Benutzerkonten werden die Gruppenmitgliedschaften entzogen.
Die dauerhafte Deaktivierung einer Person wird ausgelöst über:
-
die Aufgabe Person dauerhaft deaktivieren
Die Aufgabe sorgt dafür, dass die Option Dauerhaft deaktiviert aktiviert wird und das Austrittsdatum und das Datum des letzten Arbeitstages auf den aktuellen Tag gesetzt werden.
-
das Erreichen des Austrittsdatums
HINWEIS:
-
Prüfen Sie im Designer den Zeitplan Benutzerkonten ausgeschiedener Personen sperren. Dieser Zeitplan prüft das Austrittsdatum und setzt bei Erreichen des Austrittsdatums die Option Dauerhaft deaktiviert.
-
Die Aufgabe Person erneut aktivieren sorgt dafür, dass die Person wieder aktiviert wird.
-
den Zertifizierungsstatus Abgelehnt
Wenn der Zertifizierungsstatus einer Person durch Attestierung oder manuell auf Abgelehnt gesetzt wird, wird die Person sofort dauerhaft deaktiviert. Wird der Zertifizierungsstatus auf Zertifiziert geändert, wird die Person wieder aktiviert.
HINWEIS: Diese Funktion steht zur Verfügung, wenn das Modul Attestierung vorhanden ist.
Szenario: Benutzerkonten sind mit Personen verbunden und werden über Kontendefinitionen verwaltet.
Szenario: Benutzerkonten sind mit Personen verbunden. Es sind keine Kontendefinitionen zugeordnet.
-
Legen Sie das gewünschte Verhalten über den Konfigurationsparameter QER | Person | TemporaryDeactivation fest. Ist der Konfigurationsparameter aktiviert, werden für die Zeit der zeitweiligen Deaktivierung die Benutzerkonten der Person gesperrt. Ist der Konfigurationsparameter deaktiviert, haben die Eigenschaften der verbundenen Person keinen Einfluss auf die Benutzerkonten.
Verwandte Themen
Verzögertes Löschen von Personen
Beim Löschen einer Person wird geprüft, ob der Person noch Benutzerkonten und Unternehmensressourcen zugeordnet sind oder ob Bestellungen im IT Shop offen sind. Die Person wird zum Löschen markiert und somit für jede weitere Bearbeitung gesperrt.
Standardmäßig werden Personen mit einer Löschverzögerung von 30 Tagen endgültig aus der Datenbank entfernt. Während dieser Zeit besteht die Möglichkeit die Person wieder zu aktivieren. Nach Ablauf der Löschverzögerung ist ein Wiederherstellen nicht mehr möglich.
Bevor eine Person endgültig aus der One Identity Manager Datenbank gelöscht werden kann, müssen sämtliche Zuweisungen von Unternehmensressourcen entfernt und Bestellungen abgeschlossen werden. Führen Sie diese Aufgabe manuell durch oder implementieren Sie unternehmensspezifische Prozesse.
Alle mit einer Person verbundenen Benutzerkonten können unter bestimmten Voraussetzung standardmäßig durch den One Identity Manager gelöscht werden, sobald eine Person gelöscht wird. Wenn der Person keine weiteren Unternehmensressourcen zugewiesen sind, wird danach auch die Person endgültig gelöscht.
Szenario: Benutzerkonten sind mit Personen verbunden und werden über Kontendefinitionen verwaltet.
- Legen Sie an den Kontendefinitionen fest, welche Auswirkungen das Löschen der Person auf die Benutzerkonten haben soll. Für jeden Automatisierungsgrad können Sie über die Option Benutzerkonten bei verzögertem Löschen sperren festlegen, ob die Benutzerkonten für die Zeit der Löschverzögerung gesperrt werden oder aktiviert bleiben. In jedem Fall werden die Benutzerkonten nach Ablauf der Löschverzögerung aus der One Identity Manager-Datenbank gelöscht.
-
Legen Sie an den Kontendefinitionen fest, welche Auswirkungen das Löschen der Person auf die Gruppenmitgliedschaften der Benutzerkonten haben soll. Für jeden Automatisierungsgrad können Sie über die Option Gruppen bei verzögertem Löschen beibehalten festlegen, ob beim Löschen einer Person die Gruppenmitgliedschaften der Benutzerkonten erhalten bleiben oder entfernt werden.
Szenario: Benutzerkonten sind mit Personen verbunden. Es sind keine Kontendefinitionen zugeordnet.
Verwandte Themen
Deaktivieren und Löschen über Kontendefinitionen
Werden die Benutzerkonten über Kontendefinitionen verwaltet, dann können Sie das gewünschte Verhalten für die Behandlung der Benutzerkonten und Gruppenmitgliedschaften bei zeitweiliger Deaktivierung, dauerhafter Deaktivierung, Löschen und Sicherheitsgefährdung von Personen über die Kontendefinitionen und Automatisierungsgrade festlegen.
Durch den Zusammenhang eines Zielsystems mit einer Kontendefinition können Sie für jedes Zielsystem eines Zielsystemtyps eine gesonderte Behandlung definieren. Weitere Informationen finden Sie unter Verwenden von Kontendefinitionen zum Erzeugen von Benutzerkonten.
Folgende Verhalten können konfiguriert werden:
-
Zuweisung von Kontendefinitionen an Personen
Für jede Kontendefinition wird festgelegt, wie sich die zeitweilige Deaktivierung, die dauerhafte Deaktivierung, das Löschen und die Sicherheitsgefährdung einer Person auf Zuweisung der Kontendefinition selbst auswirken soll. Die Einstellungen eventueller Vorgängerkontendefinitionen werden dabei überschrieben.
Die Zuweisung von Kontendefinitionen an deaktivierte Personen kann beispielsweise gewünscht sein, um bei späterer Aktivierung der Person sicherzustellen, dass sofort alle erforderlichen Berechtigungen ohne Zeitverlust zur Verfügung stehen.
WICHTIG: Solange eine Kontendefinition für eine Person wirksam ist, behält die Person ihre verbundenen Benutzerkonten. Wird die Zuweisung einer Kontendefinition nicht mehr wirksam, dann wird das Benutzerkonto, das aus dieser Kontendefinition entstanden ist, gelöscht.
Zur Abbildung des Verhaltens stehen an einer Kontendefinition die folgenden Optionen zur Verfügung.
Tabelle 6: Stammdaten einer Kontendefinition zum Zuweisungsverhalten der Kontendefinition
|
Kontendefinition bei dauerhafter Deaktivierung beibehalten |
Angabe zur Zuweisung der Kontendefinition an dauerhaft deaktivierte Personen.
Option aktiviert: Die Zuweisung der Kontendefinition bleibt wirksam. Das Benutzerkonto bleibt erhalten.
Option nicht aktiviert: Die Zuweisung der Kontendefinition ist nicht wirksam.Das zugehörige Benutzerkonto wird gelöscht. |
|
Kontendefinition bei zeitweiliger Deaktivierung beibehalten |
Angabe zur Zuweisung der Kontendefinition an zeitweilig deaktivierte Personen.
Option aktiviert: Die Zuweisung der Kontendefinition bleibt wirksam. Das Benutzerkonto bleibt erhalten.
Option nicht aktiviert: Die Zuweisung der Kontendefinition ist nicht wirksam.Das zugehörige Benutzerkonto wird gelöscht. |
|
Kontendefinition bei verzögertem Löschen beibehalten |
Angabe zur Zuweisung der Kontendefinition bei verzögertem Löschen von Personen.
Option aktiviert: Die Zuweisung der Kontendefinition bleibt wirksam. Das Benutzerkonto bleibt erhalten.
Option nicht aktiviert: Die Zuweisung der Kontendefinition ist nicht wirksam.Das zugehörige Benutzerkonto wird gelöscht. |
|
Kontendefinition bei Sicherheitsgefährdung beibehalten |
Angabe zur Zuweisung der Kontendefinition an sicherheitsgefährdende Personen.
Option aktiviert: Die Zuweisung der Kontendefinition bleibt wirksam. Das Benutzerkonto bleibt erhalten.
Option nicht aktiviert: Die Zuweisung der Kontendefinition ist nicht wirksam.Das zugehörige Benutzerkonto wird gelöscht. |
-
Behandlung von Benutzerkonten von Personen
Für jeden Automatisierungsgrad wird festgelegt, wie sich die zeitweilige Deaktivierung, die dauerhafte Deaktivierung, das Löschen und die Sicherheitsgefährdung einer Person auf deren Benutzerkonten auswirken soll.
Um bei Deaktivierung oder Löschen einer Person die Berechtigungen zu entziehen, können die Benutzerkonten der Person gesperrt werden. Wird die Person zu einem späteren Zeitpunkt wieder aktiviert, werden ihre Benutzerkonten ebenfalls wieder freigeschaltet.
Zur Behandlung der Benutzerkonten sind an einer Kontendefinition für jeden Automatisierungsgrad die folgenden Optionen verfügbar.
Tabelle 7: Stammdaten eines Automatisierungsgrades zur Behandlung von Benutzerkonten
|
Benutzerkonten bei zeitweiliger Deaktivierung sperren |
Gibt an, ob die Benutzerkonten zeitweilig deaktivierter Personen gesperrt werden sollen. |
|
Benutzerkonten bei dauerhafter Deaktivierung sperren |
Gibt an, ob die Benutzerkonten dauerhaft deaktivierter Personen gesperrt werden sollen. |
|
Benutzerkonten bei verzögertem Löschen sperren |
Gibt an, ob die Benutzerkonten zum Löschen markierter Personen gesperrt werden sollen. |
|
Benutzerkonten bei Sicherheitsgefährdung sperren |
Gibt an, ob die Benutzerkonten von sicherheitsgefährdenden Personen gesperrt werden sollen. |
-
Vererbung von Gruppenmitgliedschaften an die Benutzerkonten der Personen
Für jeden Automatisierungsgrad wird festgelegt, wie sich die zeitweilige Deaktivierung, die dauerhafte Deaktivierung, das Löschen und die Sicherheitsgefährdung einer Person auf die Gruppenmitgliedschaften der Benutzerkonten auswirken soll.
Ist eine Person deaktiviert oder zum Löschen markiert, so können Sie für das Zielsystem einer Kontendefinition die Vererbung der Gruppenmitgliedschaften unterbinden. Dieses Verhalten kann gewünscht sein, wenn die Benutzerkonten und Postfächer einer Person gesperrt sind und somit auch nicht in Verteilerlisten Mitglied sein dürfen. Während der Zeit der Deaktivierung sollten keine Vererbungsvorgänge für diese Personen berechnet werden. Bestehende Gruppenmitgliedschaften werden gelöscht.
Zur Behandlung der Gruppenmitgliedschaften sind an einer Kontendefinition für jeden Automatisierungsgrad die folgenden Optionen verfügbar.
Tabelle 8: Stammdaten einer Automatisierungsgrades zur Behandlung von Gruppenmitgliedschaften
|
Gruppen bei zeitweiliger Deaktivierung beibehalten |
Gibt an, ob die Benutzerkonten zeitweilig deaktivierter Personen ihre Gruppenmitgliedschaften behalten sollen. |
|
Gruppen bei dauerhafter Deaktivierung beibehalten |
Gibt an, ob Benutzerkonten dauerhaft deaktivierter Personen Gruppenmitgliedschaften erben sollen. |
|
Gruppen bei verzögertem Löschen beibehalten |
Gibt an, ob die Benutzerkonten zum Löschen markierter Personen ihre Gruppenmitgliedschaften behalten sollen. |
|
Gruppen bei Sicherheitsgefährdung beibehalten |
Gibt an, ob die Benutzerkonten von sicherheitsgefährdenden Personen ihre Gruppenmitgliedschaften behalten sollen. |
|
Gruppen bei deaktiviertem Benutzerkonto beibehalten |
Gibt an, ob deaktivierte Benutzerkonten ihre Gruppenmitgliedschaften behalten sollen. |
