Anwendungen sollten mindestens einmal innerhalb eines definierten Zeitraums von mindestens einem OneLogin Benutzer genutzt werden. Über eine Standard-Unternehmensrichtlinie werden alle OneLogin Anwendungen ermittelt, die laut Änderungshistorie in diesem Zeitraum nicht genutzt wurden. Ausnahmegenehmiger werden über die betroffenen Anwendungen informiert. Über eine Rezertifizierung kann geklärt werden, ob die Anwendungen noch benötigt werden. Dabei erklären die Benutzer und deren Manager oder die Zielsystemverantwortlichen, ob die Anwendungen weiterhin benötigt werden. Falls nicht, kann der Zugang zu ungenutzten Anwendungen anschließend automatisch oder manuell entfernt werden. Die Standard-Richtlinien müssen aktiviert und unternehmensspezifisch konfiguriert werden.

Um ungenutzte Anwendungen zu ermitteln und zu rezertifizieren

1. (Optional) Konfigurieren Sie den automatischen Entzug von Berechtigungen.

   Abhängig vom Verfahren, mit dem OneLogin Benutzerkonten an OneLogin Rollen zugewiesen werden (direkt, per IT Shop-Bestellung, über hierarchische Rollen oder Systemrollen), müssen verschiedene Konfigurationsparameter aktiviert werden. Ausführliche Informationen dazu finden Sie im One Identity Manager Administrationshandbuch für Attestierungen.

2. (Optional) Prüfen Sie, ob Benachrichtigungen über Richtlinienverletzungen und Benachrichtigungen im Attestierungsvorgang eingerichtet sind.

   Ausführliche Informationen dazu finden Sie im One Identity Manager Administrationshandbuch für Unternehmensrichtlinien und im One Identity Manager Administrationshandbuch für Attestierungen.

3. (Optional) Weisen Sie der Anwendungsrolle Identity & Access Governance | Unternehmensrichtlinien | Ausnahmegenehmiger die Identitäten zu, die über ungenutzte OneLogin Anwendungen informiert werden sollen und gegebenenfalls Ausnahmen genehmigen dürfen.

   Ausnahmegenehmiger zuweisen

   1. Wählen Sie im Manager die Kategorie Unternehmensrichtlinien > Basisdaten zur Konfiguration > Ausnahmegenehmiger.

   2. Wählen Sie die Aufgabe Identitäten zuweisen.

   3. Weisen Sie im Bereich Zuordnungen hinzufügen die Identitäten zu.

      TIPP: Im Bereich Zuordnungen entfernen können Sie die Zuweisung von Identitäten entfernen.

      Um eine Zuweisung zu entfernen

      • Wählen Sie die Identität und doppelklicken Sie .

   4. Speichern Sie die Änderungen.

4. Aktivieren Sie die Arbeitskopie der Unternehmensrichtlinie Ungenutzte OneLogin Anwendungen können entfernt werden.

   Ausführliche Informationen dazu finden Sie im One Identity Manager Administrationshandbuch für Unternehmensrichtlinien.

   Arbeitskopie aktivieren

   1. Wählen Sie im Manager die Kategorie Unternehmensrichtlinien > Richtlinien > Arbeitskopien von Richtlinien > Vordefiniert.

   2. Wählen Sie in der Ergebnisliste die Arbeitskopie.

   3. Wählen Sie die Aufgabe Arbeitskopie aktivieren.

   4. Bestätigen Sie die Sicherheitsabfrage mit Ja.
   5. Aktivieren Sie die originale Richtlinie. Bestätigen Sie die Abfrage mit Ja.

   Die Richtlinienprüfung wird anschließend gestartet.

   TIPP: Wenn bereits eine aktive Unternehmensrichtlinie vorhanden ist, können Sie die Richtlinienprüfung über die Aufgabe Richtlinie neu berechnen starten.

   Durch den hinterlegten Zeitplan wird die Richtlinienprüfung einmal monatlich gestartet.

5. Bearbeiten Sie die Attestierungsrichtlinie Attestierung des Zugangs zu OneLogin Anwendungen im Web Portal.

   Ausführliche Informationen dazu finden Sie im One Identity Manager Web Portal Anwenderhandbuch.

   1. (Optional) Um ungenutzte Anwendungen regelmäßig zu rezertifizieren, weisen Sie im Auswahlfeld Zeitplan der Berechnung einen aktivierten Zeitplan zu.

   2. Legen Sie fest, welche Anwendungen rezertifiziert werden sollen. Fügen Sie im Bereich Objekte, die durch diese Attestierungsrichtlinie attestiert werden mindestens eine weitere Bedingung hinzu.

      Beispiel:

      1. Wählen Sie den Bedingungstyp Bestimmte Anwendungen und wählen Sie eine der Anwendungen aus, die durch die Unternehmensrichtlinie als ungenutzt identifiziert wurden.

      2. Fügen Sie eine weitere Bedingung mit dem Bedingungstyp Ungenutzt für x Tage hinzu und erfassen Sie die Anzahl der Tage, nach denen die Anwendung als ungenutzt identifiziert wird.

      3. Löschen Sie die Bedingung Alle Anwendungen.

      Wenn Sie keine Bedingung hinzufügen, werden Attestierungsvorgänge für alle Zuweisungen von OneLogin Anwendungen an OneLogin Benutzerkonten erzeugt.

   3. Aktivieren Sie die Attestierungsrichtlinie.

      • Deaktivieren Sie Deaktiviert.

   4. Speichern Sie die Änderungen.

Ablauf

1. Die Überprüfung der Unternehmensrichtlinie Ungenutzte OneLogin Anwendungen können entfernt werden wird zeitgesteuert oder über die Aufgabe Richtlinie neu berechnen im Manager gestartet.

   • Es werden alle OneLogin Anwendungen ermittelt, an denen sich innerhalb der festgelegten Zeitspanne kein Benutzerkonto angemeldet hat oder an denen sich noch nie ein Benutzerkonto angemeldet hat.

   • Ausnahmegenehmiger werden per E-Mail über die Richtlinienverletzungen benachrichtigt.

2. Die Attestierung mit der Attestierungsrichtlinie Attestierung des Zugangs zu OneLogin Anwendungen wird zeitgesteuert oder manuell im Web Portal gestartet.

   Es werden alle Zuweisungen von OneLogin Anwendungen an Benutzerkonten entsprechend der konfigurierten Bedingung ermittelt.

   Entscheidungsverlauf:

   1. Es wird geprüft, ob das Benutzerkonto mit einer Identität verbunden ist

      • Wenn nicht, wird die Zuweisung den Zielsystemverantwortlichen zur Attestierung vorgelegt.

   2. Die verbundene Identität bestätigt, ob die zugewiesene Anwendung benötigt wird.

   3. Der Manager der verbundenen Identität entscheidet, ob die Zuweisung erhalten bleiben soll.

   4. Wenn in einer Entscheidungsebene die Attestierung abgelehnt wurde, wird geprüft, ob die Zuweisung automatisch entfernt werden kann. Es werden alle OneLogin Rollen ermittelt, über welche die Anwendungen an das Benutzerkonto zugewiesen sind.

      • Wenn einer Rolle keine anderen Anwendungen zugewiesen sind, wird der automatische Entzug dieser Rolle initiiert. Dabei wird die Zuweisung der Rolle an das Benutzerkonto entfernt und die Änderung wird in das Zielsystem provisioniert. Damit wird dem OneLogin Benutzer die Berechtigung zur Nutzung der Anwendung entzogen.

        Mit der folgenden Synchronisation wird die Zuweisung der Anwendung an das Benutzerkonto, je nach Konfiguration der Synchronisation, in der One Identity Manager-Datenbank als ausstehend markiert oder gelöscht. Führen Sie einen Zielsystemabgleich durch, um ausstehende Zuweisungen endgültig zu löschen.

   5. Wenn die Anwendung direkt an das Benutzerkonto zugewiesen ist oder über eine OneLogin Rolle Zugang zu mehreren Anwendungen gewährt wird, wird der Attestierungsvorgang den Zielsystemverantwortlichen zur finalen Bearbeitung vorgelegt.

      • Wenn die Zielsystemverantwortlichen die Attestierung ablehnen, müssen sie dafür sorgen, dass die Zuweisungen manuell entfernt werden.

Wenn der Manager oder die Zielsystemverantwortlichen die Attestierung genehmigt haben, bleibt die Zuweisung erhalten und wird bei der folgenden zyklischen Prüfung erneut zur Rezertifizierung vorgelegt.

Verwandte Themen

• Behavior Driven Governance für OneLogin
• Voraussetzungen für den automatischen Entzug ungenutzter OneLogin Anwendungen
• Ungenutzte Zugänge zu OneLogin Anwendungen ermitteln
• Zuweisungen von OneLogin Anwendungen an OneLogin Rollen ermitteln