Hinweis: Pro Entscheidungsebene kann nur ein Entscheidungsschritt mit dem Entscheidungsverfahren WC definiert werden.
Wenn Sie sicherstellen wollen, dass ein definierter Datenzustand im One Identity Manager eingetreten ist, bevor ein Attestierungsvorgang endgültig entschieden wird, nutzen Sie das Entscheidungsverfahren WC. Durch eine Bedingung legen Sie fest, welche Voraussetzungen erfüllt sein müssen, damit eine Attestierung ausgeführt werden kann. Die Bedingung wird als Funktionsaufruf ausgewertet. Die Funktion muss als Parameter die UID des Attestierungsvorgangs (AttestationCase.UID_AttestationCase) akzeptieren. Über diese UID nehmen Sie auf das Attestierungsobjekt Bezug. Die Funktion muss drei Rückgabewerte als Integer-Werte definieren. Abhängig vom Rückgabewert der Funktion wird eine der folgenden Aktionen ausgeführt.
Tabelle 27: Rückgabewerte für verzögerte Entscheidungen
|
Rückgabewert > 0 |
Die Bedingung ist erfüllt. Die verzögerte Entscheidung ist erfolgreich abgeschlossen. Der nächste Entscheidungsschritt (für den Erfolgsfall) wird ausgeführt. |
|
Rückgabewert = 0 |
Die Bedingung ist noch nicht erfüllt. Die Entscheidung wird zurückgestellt und beim nächsten Lauf des DBQueue Prozessors erneut geprüft. |
|
Rückgabewert < 0 |
Die Bedingung ist nicht erfüllt. Die verzögerte Entscheidung ist erfolglos abgeschlossen. Der nächste Entscheidungsschritt (für den Fehlerfall) wird ausgeführt. |
Um das Entscheidungsverfahren nutzen zu können
-
Erstellen Sie eine Datenbankfunktion, welche die Bedingung für die Attestierung prüft.
-
Erstellen Sie einen Entscheidungsschritt mit dem Entscheidungsverfahren WC. Erfassen Sie im Eingabefeld Bedingung den Funktionsaufruf.
Syntax: dbo.<Funktionsname>
-
Legen Sie einen Entscheidungsschritt für den Erfolgsfall fest. Verwenden Sie ein Entscheidungsverfahren, mit dem der One Identity Manager die Attestierer ermitteln kann.
-
Legen Sie bei Bedarf einen Entscheidungsschritt für den Fehlerfall fest.
Sollten die Standard-Entscheidungsverfahren zur Ermittlung der verantwortlichen Attestierer nicht Ihren Anforderungen entsprechen, können Sie eigene Entscheidungsverfahren erstellen. Die Bedingung, über welche die Attestierer ermittelt werden, wird als Datenbankabfrage formuliert. Für eine Bedingung können mehrere Abfragen kombiniert werden.
Um ein Entscheidungsverfahren einzurichten
-
Wählen Sie im Manager die Kategorie Attestierung > Basisdaten zur Konfiguration > Entscheidungsverfahren.
-
Klicken Sie in der Ergebnisliste 
.
-
Bearbeiten Sie die Stammdaten des Entscheidungsverfahrens.
- Speichern Sie die Änderungen.
Um ein Entscheidungsverfahren zu bearbeiten
-
Wählen Sie im Manager die Kategorie Attestierung > Basisdaten zur Konfiguration > Entscheidungsverfahren > Kundendefiniert.
-
Wählen Sie in der Ergebnisliste das Entscheidungsverfahren und führen Sie die Aufgabe Stammdaten bearbeiten aus.
-
Bearbeiten Sie die Stammdaten des Entscheidungsverfahrens.
- Speichern Sie die Änderungen.
Um die Bedingung zu bearbeiten
-
Wählen Sie im Manager die Kategorie Attestierung > Basisdaten zur Konfiguration > Entscheidungsverfahren > Kundendefiniert.
-
Wählen Sie in der Ergebnisliste das Entscheidungsverfahren.
-
Wählen Sie die Aufgabe Abfragen zur Ermittlung der Entscheider bearbeiten.
Für ein Entscheidungsverfahren erfassen Sie folgende allgemeine Stammdaten.
Tabelle 28: Allgemeine Stammdaten von Entscheidungsverfahren
|
Entscheidungsverfahren |
Kurzbezeichnung des Entscheidungsverfahrens (maximal zwei Zeichen). |
|
Kurzbeschreibung |
Kurze Beschreibung des Entscheidungsverfahrens. |
|
DBQueue Prozessor Auftrag |
Entscheidungen können entweder automatisch durch einen Berechnungsauftrag des DBQueue Prozessors getroffen werden oder durch festgelegte Attestierer. Wenn das Entscheidungsverfahren eine automatische Entscheidung treffen soll, weisen Sie einen kundendefinierten DBQueue Prozessor Auftrag zu.
Wenn eine Abfrage zur Ermittlung der Attestierer erfasst ist, kann kein DBQueue Prozessor Auftrag zugewiesen werden. |
|
Max. Anzahl Entscheider |
Maximale Anzahl an Attestierern, die durch das Entscheidungsverfahren ermittelt werden. Wie viele Identitäten tatsächlich entscheiden müssen, legen Sie in den Entscheidungsschritten fest, die dieses Entscheidungsverfahren verwenden. |
|
Reihenfolge |
Wert für die Sortierung der Entscheidungsverfahren in Auswahllisten.
-
Um das Entscheidungsverfahren beim Einrichten eines Entscheidungsschrittes in der Auswahlliste an oberster Stelle anzuzeigen, legen Sie einen Wert kleiner 10 fest.
-
Um das Entscheidungsverfahren in Auswahllisten auszublenden, legen Sie einen negativen Wert fest. Diese Entscheidungsverfahren werden im Manager unter dem Filter Ausgeblendet im Workfloweditor angezeigt.
TIPP: Die Reihenfolge kann auch für Standard-Entscheidungsverfahren geändert werden. Häufiger genutzte Entscheidungsverfahren können Sie so nach oben rücken; ungenutzte Entscheidungsverfahren können Sie ausblenden. |
|
Beschreibung |
Ausführliche Beschreibung des Entscheidungsverfahrens. |
Die Bedingung, über welche die Attestierer ermittelt werden, wird als Datenbankabfrage formuliert. Für eine Bedingung können mehrere Abfragen kombiniert werden. Dabei werden alle Identitäten in den Kreis der Attestierer aufgenommen, die durch die Einzelabfragen ermittelt werden.
Um die Bedingung zu bearbeiten
-
Wählen Sie im Manager die Kategorie Attestierung > Basisdaten zur Konfiguration > Entscheidungsverfahren > Kundendefiniert.
-
Wählen Sie in der Ergebnisliste das Entscheidungsverfahren.
-
Wählen Sie die Aufgabe Abfragen zur Ermittlung der Entscheider bearbeiten.
Um eine einzelne Abfrage zu erstellen
- Klicken Sie Hinzufügen.
Es wird eine neue Zeile in die Tabelle eingefügt.
- Markieren Sie diese Zeile. Erfassen Sie die Eigenschaften der Abfrage.
- Fügen Sie bei Bedarf weitere Abfragen hinzu.
- Speichern Sie die Änderungen.
Um eine einzelne Abfrage zu bearbeiten
- Wählen Sie in der Tabelle die Abfrage, die Sie bearbeiten möchten. Bearbeiten Sie die Eigenschaften der Abfrage.
- Speichern Sie die Änderungen.
Um eine einzelne Abfrage zu entfernen
- Wählen Sie in der Tabelle die Abfrage, die Sie entfernen möchten.
- Klicken Sie Entfernen.
- Speichern Sie die Änderungen.
Tabelle 29: Eigenschaften einer Abfrage
|
Entscheiderauswahl |
Bezeichnung der Abfrage, die die Attestierer ermittelt. |
|
Abfrage |
Datenbankabfrage, die die Attestierer ermittelt.
Die Datenbankabfrage muss als Select-Anweisung formuliert werden. Die über die Datenbankabfrage ausgewählte Spalte muss eine UID_Person zurückgeben. Zusätzlich muss jede Abfrage einen Wert für UID_PWORulerOrigin übergeben. Ergebnis der Abfrage sind eine oder mehrere Identitäten, denen der Attestierungsvorgang zur Entscheidung vorgelegt wird. Liefert die Abfrage kein Ergebnis, wird das Attestierungsverfahren abgebrochen.
Eine Abfrage enthält genau eine Select-Anweisung. Um mehrere Select-Anweisungen zu kombinieren, erstellen Sie mehrere Abfragen.
Wenn eine DBQueue Prozessor Aufgabe zugewiesen ist, kann keine Abfrage zur Ermittlung der Attestierer erfasst werden. |
|
Abfrage zur Neuberechnung |
Datenbankabfrage zur Ermittlung der Attestierungsvorgänge, für die eine Neuberechnung der Attestierer notwendig ist. |
Die Abfrage kann beispielsweise vorher festgelegte Attestierer ermitteln (Beispiel 1). Die Attestierer können auch dynamisch in Abhängigkeit des Attestierungsvorgangs ermittelt werden. Dafür greifen Sie innerhalb der Datenbankabfrage über die Variable @UID_AttestationCase auf den Attestierungsvorgang zu (Beispiel 2).
Beispiel 1
Die Attestierungsvorgänge sollen durch einen fest benannten Attestierer entschieden werden.
Abfrage:
select UID_Person, null as UID_PWORulerOrigin from Person where InternalName='User, JB' |
Beispiel 2
Alle aktiven Complianceregeln sollen durch die jeweiligen Regelverantwortlichen attestiert werden.
Abfrage:
select pia.UID_Person, null as UID_PWORulerOrigin from AttestationCase ac |
join ComplianceRule cr on cr.XObjectKey = ac.ObjectKeyBase and cr.IsWorkingCopy = '0' |
join PersonInBaseTree pia on pia.UID_Org = cr.UID_OrgResponsible and pia.XOrigin > 0 |
where ac.UID_AttestationCase = @UID_AttestationCase |
Delegierungen berücksichtigen
Um bei der Ermittlung der Attestierer auch Delegierungen zu berücksichtigen, ermitteln Sie in der Abfrage auch die Identitäten, an die eine Verantwortlichkeit delegiert wurde. Wenn die Manager hierarchischer Rollen entscheiden sollen, ermitteln Sie die Attestierer aus der Tabelle HelperHeadOrg. Diese Tabelle vereinigt alle Manager, zweiten Verantwortlichen und alle zusätzlichen Manager von hierarchischen Rollen sowie deren Stellvertreter und die Identitäten, an die eine Verantwortlichkeit delegiert wurde.
Wenn die Mitglieder von Geschäfts- oder Anwendungsrollen entscheiden sollen, ermitteln Sie die Entscheider aus der Tabelle PersonInBaseTree. Diese Tabelle vereinigt alle Mitglieder von hierarchischen Rollen sowie die Identitäten, an die eine Mitgliedschaft delegiert wurde.
Um deaktiviert Identitäten auszuschließen, prüfen Sie den Wert für XOrigin auf den Wert größer als 0. Ausführliche Informationen zu den Werten der Spalte XOrigin finden Sie im One Identity Manager Administrationshandbuch für das Identity Management Basismodul.
Um den Delegierenden zu benachrichtigen, wenn der Empfänger der Delegierung einen Attestierungsvorgang entschieden hat, und damit im Web Portal angezeigt werden kann, ob der Attestierer aus einer Delegierung stammt, ermitteln Sie die UID_PWORulerOrigin.
Um die UID_PWORulerOrigin der Delegierung zu ermitteln
Um alle aktiven Manager und deren Stellvertreter einzuschließen
Angepasste Abfrage aus Beispiel 2:
select pia.UID_Person, dbo.QER_FGIPWORulerOrigin(pia.XObjectKey) as UID_PWORulerOrigin from AttestationCase ac |
join ComplianceRule cr on cr.XObjectKey = ac.ObjectKeyBase and cr.IsWorkingCopy = '0' |
join PersonInBaseTree pia on pia.UID_Org = cr.UID_OrgResponsible and pia.XOrigin > 0 |
where ac.UID_AttestationCase = @UID_AttestationCase |
