Chat now with support
Chat with Support

Identity Manager 8.2 - Administrationshandbuch für Attestierungen

Attestierung und Rezertifizierung
One Identity Manager Benutzer für die Attestierung Basisdaten für Attestierungen Attestierungsrichtlinien Unternehmensspezifische Mailvorlagen für Benachrichtigungen
Genehmigungsverfahren für Attestierungsvorgänge
Entscheidungsrichtlinien für Attestierungen Entscheidungsworkflows für Attestierungen Auswahl der verantwortlichen Attestierer Einrichten der Multifaktor-Authentifizierung für Attestierungen Attestierung durch die zu attestierende Person verhindern Attestierungen durch Peer-Gruppen-Analyse Attestierungsvorgang steuern
Ablauf einer Attestierung Standardattestierungen und der Entzug von Berechtigungen Attestierung und Rezertifizierung von Benutzern Risikomindernde Maßnahmen Konfigurationsparameter für die Attestierung

Andere Attestierer beauftragen

Sobald eine Entscheidungsebene im Entscheidungsverlauf erreicht ist, können die Attestierer dieser Entscheidungsebene eine andere Person mit der Entscheidung beauftragen. Dafür stehen folgende Möglichkeiten zur Verfügung.

  • Entscheidung umleiten

    Der Attestierer beauftragt eine andere Entscheidungsebene mit der Attestierung. Erstellen Sie dafür im Entscheidungsworkflow eine Verbindung zu der Entscheidungsebene, an die eine Entscheidung umgeleitet werden kann.

  • Zusätzlichen Attestierer beauftragen

    Der Attestierer beauftragt eine weitere Person mit der Attestierung. Der weitere Attestierer muss zusätzlich zu den bereits ermittelten Attestierern entscheiden. Aktivieren Sie dafür am Entscheidungsschritt die Option Zusätzliche Entscheider erlaubt.

    Der zusätzliche Attestierer kann die Entscheidung verweigern und den Attestierungsvorgang an den ursprünglichen Attestierer zurückgeben. Der ursprüngliche Attestierer wird darüber per E-Mail informiert. Der ursprüngliche Attestierer kann einen anderen zusätzlichen Attestierer beauftragen.

  • Entscheidung delegieren

    Der Attestierer beauftragt eine andere Person mit der Attestierung. Diese Person wird als Attestierer in den aktuellen Entscheidungsschritt aufgenommen. Sie entscheidet anstelle des delegierenden Attestierers. Aktivieren Sie dafür am Entscheidungsschritt die Option Entscheidung delegierbar.

    Der aktuelle Attestierer kann die Entscheidung verweigern und den Attestierungsvorgang an den ursprünglichen Attestierer zurückgeben. Der ursprüngliche Attestierer kann eine Delegierung zurücknehmen und an eine andere Person delegieren, beispielsweise wenn der andere Attestierer nicht verfügbar ist.

Es können E-Mail Benachrichtigungen an die anderen und die ursprünglichen Attestierer versendet werden.

Detaillierte Informationen zum Thema
Verwandte Themen

Eskalieren eines Attestierungsvorgangs

Entscheidungsschritte können bei Überschreitung eines festgelegten Zeitraumes automatisch eskaliert werden. Der Attestierungsvorgang wird einem weiteren Entscheiderkreis vorgelegt. Anschließend wird der Attestierungsvorgang wieder im normalen Entscheidungsworkflow weiter bearbeitet.

Um die Eskalation eines Entscheidungsschrittes zu konfigurieren

  1. Öffnen Sie den Entscheidungsworkflow im Workfloweditor.

  2. Fügen Sie eine zusätzliche Entscheidungsebene mit einem Entscheidungsschritt zur Eskalation ein.

  3. Verbinden Sie den Entscheidungsschritt, der bei Zeitüberschreitung eskaliert werden soll, mit dem neuen Entscheidungsschritt. Nutzen Sie dazu den Verbindungspunkt für Eskalation.

    Abbildung 3: Beispiel für einen Entscheidungsworkflow mit Eskalation

  4. Konfigurieren Sie am Entscheidungsschritt, der bei Zeitüberschreitung eskaliert werden soll, das Verhalten.

    Tabelle 30: Eigenschaften für die Eskalation bei Zeitüberschreitung
    Eigenschaft Bedeutung
    Timeout (Arbeitsstunden)

    Anzahl der Arbeitsstunden, nach deren Ablauf der Entscheidungsschritt automatisch entschieden wird.

    Das Timeout wird standardmäßig alle 30 Minuten geprüft. Um das Prüfintervall zu ändern, passen Sie den Zeitplan Erinnerungsintervall und Timeout von Attestierungsvorgängen prüfen an.

    Für die Zeitberechnung wird die gültige Arbeitszeit des jeweiligen Entscheiders berücksichtigt.

    HINWEIS: Für die Ermittlung der gültigen Arbeitszeiten stellen Sie sicher, dass in den Stammdaten der Personen ein Bundesland und/oder ein Bundesstaat eingetragen ist. Wenn diese Informationen fehlen, wird ein Fallback zur Berechnung der Arbeitszeit genutzt. Ausführliche Informationen zur Ermittlung der Arbeitszeit von Personen finden Sie im One Identity Manager Administrationshandbuch für das Identity Management Basismodul.

    TIPP: Wochenenden und Feiertage werden bei der Berechnung der Arbeitszeiten standardmäßig berücksichtigt. Wenn Wochenenden oder Feiertage wie Arbeitstage behandelt werden sollen, aktivieren Sie die Konfigurationsparameter QBM | WorkingHours | IgnoreHoliday oder QBM | WorkingHours | IgnoreWeekend. Ausführliche Informationen dazu finden Sie im One Identity Manager Konfigurationshandbuch.

    Wurden mehrere Entscheider ermittelt, dann wird der Entscheidungsschritt erst dann automatisch entschieden, wenn der Timeout für alle Entscheider überschritten ist. Gleiches gilt, wenn ein zusätzlicher Entscheider beauftragt wurde.

    Hat ein Entscheider die Entscheidung delegiert, wird der Zeitpunkt für die automatische Entscheidung für den neuen Entscheider neu berechnet. Wenn dieser die Entscheidung zurückweist, wird der Zeitpunkt für die automatische Entscheidung für den ursprünglichen Entscheider neu berechnet.

    Wenn ein Entscheider eine Anfrage stellt, muss die Entscheidung trotzdem innerhalb des definierten Timeouts getroffen werden. Der Zeitpunkt für die automatische Entscheidung wird nicht neu berechnet.

    Wenn durch eine Neuberechnung der verantwortlichen Entscheider zusätzliche Entscheider ermittelt werden, dann wird der Zeitpunkt für die automatische Entscheidung dadurch nicht verlängert. Die zusätzlichen Entscheider müssen innerhalb des Zeitraums entscheiden, der für die bisherigen Entscheider gültig ist.

    Verhalten bei Timeout

    Aktion, die im Falle einer Zeitüberschreitung ausgeführt wird.

    • Eskalation: Der Attestierungsvorgang wird eskaliert. Es wird die Entscheidungsebene zur Eskalation aufgerufen.

  5. (Optional) Wenn der Entscheidungsschritt auch dann eskaliert werden soll, wenn kein Attestierer ermittelt werden kann und kein Fallback-Entscheider zugeordnet ist, dann aktivieren Sie am Entscheidungsschritt zusätzlich die Option Eskalieren, wenn kein Entscheider ermittelbar ist.

    Der Attestierungsvorgang wird in diesem Fall weder abgebrochen noch an die zentrale Entscheidergruppe übergeben, sondern eskaliert.

Bei einer Eskalation können E-Mail-Benachrichtigungen an die neuen Attestierer und weitere Personen versendet werden.

Verwandte Themen

Attestierer können nicht ermittelt werden

Für den Fall, dass Attestierungsvorgänge nicht entschieden werden können, weil kein Attestierer verfügbar ist, können Sie Fallback-Entscheider festlegen. Ein Attestierungsvorgang wird immer dann an die Fallback-Entscheider zur Attestierung zugewiesen, wenn in einem Entscheidungsschritt über das festgelegte Entscheidungsverfahren kein Attestierer ermittelt werden kann.

Um Fallback-Entscheider festzulegen, definieren Sie Anwendungsrollen und weisen diese den Entscheidungsschritten zu. Unterschiedliche Attestiererkreise in den Entscheidungsschritten erfordern gegebenenfalls auch unterschiedliche Fallback-Entscheider. Legen Sie dafür verschiedene Anwendungsrollen an, denen Sie die Personen zuweisen, die als Fallback-Entscheider in den Genehmigungsverfahren ermittelt werden sollen. Ausführliche Informationen finden Sie im One Identity Manager Handbuch zur Autorisierung und Authentifizierung.

Um Fallback-Entscheider für einen Entscheidungsschritt festzulegen

  • Erfassen Sie am Entscheidungsschritt die folgenden Daten.

    Tabelle 31: Eigenschaften des Entscheidungsschritts für Fallback-Entscheider
    Eigenschaft Bedeutung

    Fallback-Entscheider

    Anwendungsrolle, deren Mitglieder berechtigt sind, die Attestierungsvorgänge zu entscheiden, wenn durch das Entscheidungsverfahren kein Attestierer ermittelt werden kann. Weisen Sie eine Anwendungsrolle aus der Auswahlliste zu.

    Um eine neue Anwendungsrolle zu erstellen, klicken Sie . Erfassen Sie die Bezeichnung der Anwendungsrolle und ordnen Sie die übergeordnete Anwendungsrolle zu. Ausführliche Informationen finden Sie im One Identity Manager Handbuch zur Autorisierung und Authentifizierung.

    HINWEIS: Die Anzahl der Entscheider wird nicht auf die Fallback-Entscheider angewendet. Der Entscheidungsschritt gilt als entschieden, sobald 1 Fallback-Entscheider entschieden hat.

Ablauf einer Attestierung mit Fallback-Entscheider

  1. In einem Genehmigungsverfahren kann für einen Entscheidungsschritt kein Attestierer ermittelt werden. Der Attestierungsvorgang wird allen Mitgliedern der Anwendungsrolle für Fallback-Entscheider zugewiesen.

  2. Sobald ein Fallback-Entscheider den Attestierungsvorgang genehmigt hat, wird der Attestierungsvorgang den Attestierern der nächsten Entscheidungsebene vorgelegt.

    HINWEIS: Am Entscheidungsschritt kann festgelegt werden, wie viele Attestierer diesen Entscheidungsschritt entscheiden müssen. Diese Beschränkung gilt nicht für die Fallback-Entscheider. Der Entscheidungsschritt gilt als entschieden, sobald ein Fallback-Entscheider die Attestierung entschieden hat.

  3. Wenn kein Fallback-Entscheider ermittelt werden kann, wird der Attestierungsvorgang abgebrochen.

Fallback-Entscheider können Attestierungsvorgänge für alle manuellen Entscheidungsschritte entscheiden. Für Entscheidungsschritte mit den Entscheidungsverfahren CD, EX und WC sind keine Fallback-Entscheidungen möglich.

Verwandte Themen

Automatische Entscheidung bei Zeitüberschreitung

Attestierungsvorgänge können bei Überschreitung eines festgelegten Zeitraumes automatisch entschieden werden.

Um die automatische Entscheidung nach Zeitüberschreitung zu konfigurieren

  • Erfassen Sie am Entscheidungsschritt die folgenden Daten.

    Tabelle 32: Eigenschaften für die automatische Entscheidung bei Zeitüberschreitung
    Eigenschaft Bedeutung

    Timeout (Arbeitsstunden)

    Anzahl der Arbeitsstunden, nach deren Ablauf der Entscheidungsschritt automatisch entschieden wird.

    Das Timeout wird standardmäßig alle 30 Minuten geprüft. Um das Prüfintervall zu ändern, passen Sie den Zeitplan Erinnerungsintervall und Timeout von Attestierungsvorgängen prüfen an.

    Für die Zeitberechnung wird die gültige Arbeitszeit des jeweiligen Entscheiders berücksichtigt.

    HINWEIS: Für die Ermittlung der gültigen Arbeitszeiten stellen Sie sicher, dass in den Stammdaten der Personen ein Bundesland und/oder ein Bundesstaat eingetragen ist. Wenn diese Informationen fehlen, wird ein Fallback zur Berechnung der Arbeitszeit genutzt. Ausführliche Informationen zur Ermittlung der Arbeitszeit von Personen finden Sie im One Identity Manager Administrationshandbuch für das Identity Management Basismodul.

    TIPP: Wochenenden und Feiertage werden bei der Berechnung der Arbeitszeiten standardmäßig berücksichtigt. Wenn Wochenenden oder Feiertage wie Arbeitstage behandelt werden sollen, aktivieren Sie die Konfigurationsparameter QBM | WorkingHours | IgnoreHoliday oder QBM | WorkingHours | IgnoreWeekend. Ausführliche Informationen dazu finden Sie im One Identity Manager Konfigurationshandbuch.

    Wurden mehrere Entscheider ermittelt, dann wird der Entscheidungsschritt erst dann automatisch entschieden, wenn der Timeout für alle Entscheider überschritten ist. Gleiches gilt, wenn ein zusätzlicher Entscheider beauftragt wurde.

    Hat ein Entscheider die Entscheidung delegiert, wird der Zeitpunkt für die automatische Entscheidung für den neuen Entscheider neu berechnet. Wenn dieser die Entscheidung zurückweist, wird der Zeitpunkt für die automatische Entscheidung für den ursprünglichen Entscheider neu berechnet.

    Wenn ein Entscheider eine Anfrage stellt, muss die Entscheidung trotzdem innerhalb des definierten Timeouts getroffen werden. Der Zeitpunkt für die automatische Entscheidung wird nicht neu berechnet.

    Wenn durch eine Neuberechnung der verantwortlichen Entscheider zusätzliche Entscheider ermittelt werden, dann wird der Zeitpunkt für die automatische Entscheidung dadurch nicht verlängert. Die zusätzlichen Entscheider müssen innerhalb des Zeitraums entscheiden, der für die bisherigen Entscheider gültig ist.

    Verhalten bei Timeout

    Aktion, die im Falle einer Zeitüberschreitung ausgeführt wird.

    • Genehmigung: Der Attestierungsvorgang wird in diesem Entscheidungsschritt genehmigt. Es wird die nächste Entscheidungsebene aufgerufen.

    • Ablehnung: Der Attestierungsvorgang wird in diesem Entscheidungsschritt abgelehnt. Es wird die Entscheidungsebene für Ablehnung aufgerufen.

Bei der automatischen Entscheidung eines Attestierungsvorgangs kann eine E-Mail Benachrichtigung an weitere Personen versendet werden.

Verwandte Themen
Related Documents

The document was helpful.

Select Rating

I easily found the information I needed.

Select Rating