Entscheider über eine Abteilung ermitteln
Wenn die Entscheider über eine bei der Bestellung angegebene Abteilung ermittelt werden sollen, nutzen Sie die folgenden Entscheidungsverfahren.
Tabelle 36: Entscheidungsverfahren, um Entscheider über eine Abteilung zu ermitteln
|
DP |
Bei der Bestellung wird eine Abteilung angegeben. Der Abteilung ist ein Manager zugeordnet.
Der Manager der angegebenen Abteilung wird als Entscheider ermittelt. |
|
DR |
Bei der Bestellung wird eine Abteilung angegeben. Der Abteilung ist im Eingabefeld Genehmiger eine Anwendungsrolle zugeordnet.
Es werden alle sekundär zugewiesenen Identitäten dieser Anwendungsrolle als Entscheider ermittelt.
Die Entscheider werden nach dem im Abschnitt Entscheider über eine Genehmigerrolle ermitteln beschriebenen Prinzip ermittelt. |
|
DI |
Bei der Bestellung wird eine Abteilung angegeben. Der Abteilung ist im Eingabefeld Genehmiger (IT) eine Anwendungsrolle zugeordnet.
Es werden alle sekundär zugewiesenen Identitäten dieser Anwendungsrolle als Entscheider ermittelt.
Die Entscheider werden nach dem im Abschnitt Entscheider über eine Genehmigerrolle ermitteln beschriebenen Prinzip ermittelt. |
Entscheider über die bestellte Rolle ermitteln
Wenn die Mitgliedschaft in oder die Zuweisung zu einer hierarchischen Rolle bestellt wird und der Manager der bestellten Rolle als Entscheider ermittelt werden soll, nutzen Sie das Entscheidungsverfahren MS. Es werden der Manager und Stellvertreter der bestellten Abteilung, Kostenstelle, Geschäftsrolle oder des Standorts als Entscheider ermittelt. Dieses Entscheidungsverfahren kann nur für Zuweisungsbestellungen genutzt werden.
Warten auf andere Entscheidung
Hinweis: Pro Entscheidungsebene kann nur ein Entscheidungsschritt mit dem Entscheidungsverfahren WC definiert werden.
Um innerhalb des Genehmigungsverfahrens sicherzustellen, dass vor der Entscheidung einer Bestellung eine definierte Voraussetzung erfüllt ist, nutzen Sie das Entscheidungsverfahren WC. So sollte die Genehmigung einer Berechtigungsgruppe nur erfolgen können, wenn sichergestellt ist, dass auch ein entsprechendes Benutzerkonto existiert. Der Einsatz von verzögerten Entscheidungen bietet sich an, wenn zusätzlich die Bestellungen hinsichtlich ihrer Regelkonformität überprüft werden. Ist bei der Überprüfung bestellter Berechtigungsgruppen das Benutzerkonto nicht vorhanden, so würden mögliche Regelverletzungen durch die Bestellung nicht protokolliert werden.
Durch eine entsprechend definierte Bedingung können Sie festlegen, welche Voraussetzungen erfüllt sein müssen, damit eine Bestellung zur Entscheidung vorgelegt wird. Die Bedingung wird als Funktionsaufruf ausgewertet. Die Funktion muss als Parameter die UID der Bestellung (PersonWantsOrg.UID_PersonWantsOrg) akzeptieren. Sie muss drei Rückgabewerte als Integer-Werte definieren. Abhängig vom Rückgabewert der Funktion wird eine der folgenden Aktionen ausgeführt.
Tabelle 37: Rückgabewerte für verzögerte Entscheidungen
|
Rückgabewert > 0 |
Die Bedingung ist erfüllt. Die verzögerte Entscheidung ist erfolgreich abgeschlossen. Der nächste Entscheidungsschritt (für den Erfolgsfall) wird ausgeführt. |
|
Rückgabewert = 0 |
Die Bedingung ist noch nicht erfüllt. Die Entscheidung wird zurückgestellt und beim nächsten Lauf des DBQueue Prozessors erneut geprüft. |
|
Rückgabewert < 0 |
Die Bedingung ist nicht erfüllt. Die verzögerte Entscheidung ist erfolglos abgeschlossen. Der nächste Entscheidungsschritt (für den Fehlerfall) wird ausgeführt. |
Um das Entscheidungsverfahren nutzen zu können
-
Erstellen Sie eine Datenbankfunktion, welche die Bedingung für die Bestellung prüft.
-
Erstellen Sie einen Entscheidungsschritt mit dem Entscheidungsverfahren WC. Erfassen Sie im Eingabefeld Bedingung den Funktionsaufruf.
Syntax: dbo.<Funktionsname>
-
Legen Sie einen Entscheidungsschritt für den Erfolgsfall fest. Verwenden Sie ein Entscheidungsverfahren, mit dem der One Identity Manager die Entscheider ermitteln kann.
-
Legen Sie bei Bedarf einen Entscheidungsschritt für den Fehlerfall fest.
Beispiel
Um zu prüfen, ob bei der Bestellung von Berechtigungsgruppen, das benötigte Benutzerkonto vorhanden ist, können Sie die mitgelieferte Funktion TSB_FGIPWODecisionForGroup verwenden.
Tabelle 38: Beispiel für einen Entscheidungsschritt mit verzögerter Entscheidung
|
Einzelschritt: |
Waiting Condition |
|
Entscheidungsverfahren: |
WC - Warten auf andere Entscheidung |
|
Bedingung: |
dbo.TSB_FGIPWODecisionForGroup |
|
Anzahl Entscheider: |
1 |
Tabelle 39: Rückgabewerte für verzögerte Entscheidungen in der Funktion TSB_FGIPWODecisionForGroup
|
Rückgabewert > 0 |
Das Benutzerkonto ist vorhanden, die Bedingung ist somit erfüllt. Die verzögerte Entscheidung wird positiv entschieden. Die Bestellung wird an den nächsten Entscheidungsschritt weitergereicht. Es muss nun ein Entscheidungsschritt folgen, über den die Entscheider für die Bestellung ermittelt werden. |
|
Rückgabewert = 0 |
Die Bedingung ist nicht erfüllt. Es gibt aber eine offene Bestellung für ein Benutzerkonto oder die Identität besitzt eine Kontendefinition, durch die ein Benutzerkonto entstehen könnte. Die Entscheidung wird daher zurückgestellt und beim nächsten Lauf des DBQueue Prozessors erneut geprüft. |
|
Rückgabewert < 0 |
Die Bedingung ist nicht erfüllt. Das Benutzerkonto ist nicht vorhanden, es gibt keine offene Bestellung für ein Benutzerkonto und die Identität besitzt auch keine Kontendefinition aus der ein Benutzerkonto resultieren könnte. Die verzögerte Entscheidung wird negativ entschieden. Die Bestellung wird an den nächsten Entscheidungsschritt weitergereicht. |
Errechnete Entscheidung
Hinweis: Pro Entscheidungsebene kann nur ein Entscheidungsschritt mit dem Entscheidungsverfahren CD definiert werden.
Es ist möglich, anhand einer definierten Bedingung zu bestimmen, wem die Bestellung zur Entscheidung vorgelegt werden soll. Liegt beispielsweise der Preis einer Bestellung unter einem definierten Limit, so kann der Abteilungsleiter die Entscheidung treffen. Bei Überschreitung des Preislimits ist die Bestellung dem Kostenstellenverantwortlichen zur Entscheidung vorzulegen. In einem anderen Anwendungsfall können Bestellungen von Mitarbeitern der Abteilung XY sofort genehmigt werden, sofern mit der Bestellung ein definiertes Preislimit nicht überschritten wird. Wird das Limit überschritten oder gehört der Mitarbeiter zu einer anderen Abteilung muss eine Entscheidung durch den Abteilungsleiter erfolgen.
Für die Berechnung einer Entscheidung (Entscheidungsverfahren CD) geben Sie bei der Einrichtung des Entscheidungsschrittes eine Bedingung an. Liefert die Bedingung ein Ergebnis, wird der Entscheidungsschritt durch den One Identity Manager genehmigt. Liefert die Bedingung kein Ergebnis, wird der Entscheidungsschritt durch den One Identity Manager abgelehnt. Folgen darauf keine weiteren Entscheidungsschritte wird die Bestellung endgültig genehmigt oder abgelehnt. Die Bedingung wird als gültige Where-Klausel für Datenbankabfragen definiert. Sie können diese direkt als SQL-Abfrage eingeben oder über einen Assistenten zusammenstellen. Die Bedingung wird immer für die aktuelle Bestellung und den aktuellen Besteller geprüft.
Beispiel für eine errechnete Entscheidung
Bestellungen mit einem Preis unter 1000 Euro werden vom Abteilungsleiter des Bestellers entschieden. Bestellungen mit einem Preis über 1000 Euro werden dem Kostenstellenverantwortlichen des Bestellers vorgelegt.
Tabelle 40: Entscheidungsschritt mit errechneter Entscheidung
|
Einzelschritt: |
Kalkulierte Entscheidung |
|
Entscheidungsverfahren: |
CD - Errechnete Entscheidung |
|
Bedingung: |
EXISTS ( |
SELECT 1 FROM ( |
SELECT UID_ITShopOrg FROM ITShopOrg WHERE EXISTS ( |
SELECT 1 FROM ( |
SELECT UID_AccProduct FROM AccProduct |
WHERE round(PurchasePrice, 13) < round(1.000000E+003, 13) |
) as X |
WHERE X.UID_AccProduct = ITShopOrg.UID_AccProduct |
) ) as X |
WHERE X.UID_ITShopOrg = PersonWantsOrg.UID_Org) | |
|
Anzahl Entscheider: |
1 |
Abbildung 7: Entscheidungsworkflow für das Beispiel einer errechneten Entscheidung
