Attestierung und Rezertifizierung von Benutzern konfigurieren
Um die Attestierungs- und Rezertifizierungsfunktion für neue interne Benutzer nutzen zu können
-
Aktivieren Sie im Designer den Konfigurationsparameter QER | Attestation | UserApproval.
-
Weisen Sie der Anwendungsrolle Identity Management | Personen | Administratoren mindestens eine Person zu.
Alle Personen mit dieser Anwendungsrolle können im Verlauf der Attestierung einen Manager an die zu attestierenden Personen zuordnen.
Um die Attestierungs- und Rezertifizierungsfunktion für neue externe Benutzer nutzen zu können
-
Aktivieren Sie im Designer die folgenden Konfigurationsparameter:
-
QER | Attestation | ApproveNewExternalUsers: Wählen Sie den Wert 1.
-
QER | WebPortal | PasswordResetURL: Geben Sie als Wert die URL zum Kennwortrücksetzungsportal an.
-
QER | Attestation | MailTemplateIdents | NewExternalUserVerification: Mailvorlage für den Versand des Bestätigungslinks.
-
QER | Attestation | NewExternalUserTimeoutInHours: Legen Sie fest, wie viele Stunden der Bestätigungslink für neue externe Benutzer gültig ist.
Standardmäßig ist der Bestätigungslink 4 Stunden gültig. Wenn die Anmeldung am Kennwortrücksetzungsportal fehl schlägt, weil diese Zeit abgelaufen ist, kann der Benutzer sich einen neuen Bestätigungslink zusenden lassen. Um den Gültigkeitszeitraum des Bestätigungslinks zu ändern, passen Sie den Wert des Konfigurationsparameters an.
-
QER | Attestation | NewExternalUserFinalTimeoutInHours: Legen Sie fest, nach wie vielen Stunden die Selbstregistrierung neuer Benutzer abgebrochen wird, sofern die Registrierung noch nicht erfolgreich abgeschlossen wurde.
Wenn der Benutzer die Registrierung nicht innerhalb von 24 Stunden abgeschlossen hat, wird der Attestierungsvorgang abgebrochen. Um sich dennoch zu registrieren, muss sich der Benutzer erneut vollständig am Web Portal anmelden. Um die Gültigkeitsdauer der Registrierung zu ändern, passen Sie den Wert des Konfigurationsparameters an.
-
Weisen Sie der Anwendungsrolle Identity & Access Governance | Attestierung | Attestierer für externe Benutzer mindestens eine Person zu.
Detaillierte Informationen zum Thema
Attestierung neuer Benutzer
Für die Attestierung neuer Benutzer unterscheidet der One Identity Manager drei Anwendungsfälle:
-
Registrieren eines neuen externen Benutzers bei der Anmeldung im Web Portal
-
Anlegen neuer Personen im Manager oder durch einen Manager im Web Portal
-
Anlegen neuer Personen durch Import der Personenstammdaten
Das Ergebnis der Attestierung ist in allen drei Anwendungsfällen identisch.
-
Personen, die zertifiziert und aktiviert sind und damit über alle ihnen zugewiesenen Berechtigungen im One Identity Manager und den angeschlossenen Zielsystemen verfügen.
Unternehmensressourcen werden vererbt. Kontendefinitionen werden an interne Personen zugewiesen.
- ODER -
-
Personen, die abgelehnt und dauerhaft deaktiviert sind.
Deaktivierte Personen können sich nicht an den One Identity Manager Werkzeugen anmelden. Unternehmensressourcen werden nicht vererbt. Kontendefinitionen werden nicht automatisch zugewiesen. Mit der Person verbundene Benutzerkonten werden gegebenenfalls gesperrt oder gelöscht. Das gewünschte Verhalten können Sie unternehmensspezifisch konfigurieren.
Selbstregistrierung neuer Benutzer im Web Portal
Noch nicht registrierte Benutzer haben die Möglichkeit sich für die Nutzung des Web Portals selbst zu registrieren. Diese Benutzer können sich am Web Portal anmelden, sobald die verantwortlichen Personen die Stammdaten des Benutzers attestiert haben und die Benutzer ein Kennwort gesetzt haben. In der One Identity Manager-Datenbank wird eine externe Person angelegt.
Ablauf der Attestierung:
- Der Benutzer meldet sich erstmalig am Web Portal an und erfasst die benötigten Stammdaten.
Ein neues Personenobjekt wird in der One Identity Manager-Datenbank angelegt mit den Eigenschaften:
Tabelle 51: Eigenschaften einer neu angelegten Person
|
Zertifizierungsstatus |
Neu |
|
Extern |
aktiviert |
|
Kontakt-E-Mail-Adresse |
E-Mail-Adresse, an die der Bestätigungslink geschickt wird. |
|
Dauerhaft deaktiviert |
aktiviert |
|
Keine Vererbung |
aktiviert |
- Die Attestierung startet automatisch.
Genutzte Attestierungsrichtlinie: Zertifizierung neuer Benutzer
Hinweis: Die Attestierung startet nur dann automatisch, wenn der Konfigurationsparameter QER | Attestation | UserApproval aktiviert ist. Andernfalls bleibt der neue Benutzer dauerhaft deaktiviert, bis ein Verantwortlicher die Personenstammdaten manuell ändert.
- Die Attestierer werden ermittelt.
Wirksame Entscheidungsrichtlinie: Zertifizierung von Benutzern
-
Wenn der Konfigurationsparameter QER | Attestation | ApproveNewExternalUsers aktiviert ist und der Wert 1 eingestellt ist, wird der Attestierungsvorgang den Mitgliedern der Anwendungsrolle Identity & Access Governance | Attestierung | Attestierer für externe Benutzer vorgelegt.
- Wenn ein Attestierer für externe Benutzer die Attestierung ablehnt, ist der Attestierungsvorgang abgeschlossen. Die Eigenschaften des Personenobjekts werden in der Datenbank aktualisiert.
Tabelle 52: Eigenschaften einer externen Person mit abgelehnter Attestierung
|
Zertifizierungsstatus |
Abgelehnt |
|
|
Extern |
aktiviert |
|
|
Dauerhaft deaktiviert |
aktiviert |
Der Benutzer kann sich nicht am Web Portal anmelden. |
|
Keine Vererbung |
aktiviert |
Unternehmensressourcen werden nicht vererbt. |
-
Wenn ein Attestierer für externe Benutzer der Attestierung zustimmt, wird eine E-Mail mit einem Bestätigungslink an den neuen Benutzer versendet.
HINWEIS: Wenn der Konfigurationsparameter QER | Attestation | ApproveNewExternalUsers deaktiviert ist oder der Wert 0 eingestellt ist, wird sofort eine E-Mail mit dem Bestätigungslink an den neuen Benutzer versendet.
-
Sobald der Benutzer dem Bestätigungslink gefolgt ist und ein Kennwort sowie die Kennwortfragen festgelegt hat, wird der Attestierungsvorgang genehmigt. Die Eigenschaften des Personenobjekts werden in der Datenbank aktualisiert.
Tabelle 53: Eigenschaften einer externen Person mit genehmigter Attestierung
|
Zertifizierungsstatus |
Zertifiziert |
|
|
Extern |
aktiviert |
|
|
Dauerhaft deaktiviert |
deaktiviert |
Der Benutzer kann sich am Web Portal anmelden. |
|
Keine Vererbung |
deaktiviert |
Unternehmensressourcen werden vererbt. |
Standardmäßig ist der Bestätigungslink 4 Stunden gültig. Wenn die Anmeldung am Kennwortrücksetzungsportal fehl schlägt, weil diese Zeit abgelaufen ist, kann der Benutzer sich einen neuen Bestätigungslink zusenden lassen.
Wenn der Benutzer die Registrierung nicht innerhalb von 24 Stunden abgeschlossen hat, wird der Attestierungsvorgang abgebrochen. Um sich dennoch zu registrieren, muss sich der Benutzer erneut vollständig am Web Portal anmelden.
Verwandte Themen
Anlegen neuer Personen durch einen Manager oder Personenadministrator
Eine Attestierung neuer Benutzer ist auch dann möglich, wenn im Manager neue Personen angelegt werden oder wenn ein Manager im Web Portal einen neuen Mitarbeiter hinzufügt. Das gewünschte Verhalten wird am Konfigurationsparameter QER | Attestation | UserApproval | InitialApprovalState festgelegt. Standardmäßig hat der Konfigurationsparameter den Wert 0. Damit erhält jede neue Person den Zertifizierungsstatus Zertifiziert. Es wird keine automatische Attestierung durchgeführt.
Damit neue Benutzer automatisch attestiert werden können
-
Aktivieren Sie im Designer den Konfigurationsparameter QER | Attestation | UserApproval | InitialApprovalState und setzen Sie den Wert auf 1.
Alle Personen, die ab diesem Zeitpunkt neu in der Datenbank angelegt werden, erhalten den Zertifizierungsstatus Neu. Damit wird eine automatische Attestierung dieser Personen durchgeführt.
Für interne und externe Personen gelten jeweils unterschiedliche Abläufe.
Ablauf der Attestierung:
- Erfassen Sie die Stammdaten des neuen Benutzers und ordnen Sie einen Manager zu.
Ausführliche Informationen zum Anlegen von Personen finden Sie im One Identity Manager Administrationshandbuch für das Identity Management Basismodul und im One Identity Manager Web Designer Web Portal Anwenderhandbuch.
Der Zertifizierungsstatus entspricht dem Wert des Konfigurationsparameters QER | Attestation | UserApproval | InitialApprovalState. Wenn am Konfigurationsparameter der Wert 1 gesetzt ist, wird der Zertifizierungsstatus Neu gesetzt.
Die Person ist standardmäßig aktiviert. Sie kann sich daher sofort am One Identity Manager anmelden. Damit die Person sich erst dann am One Identity Manager anmelden kann, wenn ihre Stammdaten attestiert wurden, deaktivieren Sie die Person.
- Sobald die Personenstammdaten gespeichert wurden, startet die Attestierung.
Genutzte Attestierungsrichtlinie: Zertifizierung neuer Benutzer
- Die Attestierer werden ermittelt.
Wirksame Entscheidungsrichtlinie: Zertifizierung von Benutzern
-
Wenn an der Person die Option Extern aktiviert ist:
Die Attestierung läuft wie im Abschnitt Selbstregistrierung neuer Benutzer im Web Portal, Schritt 4 bis 5 beschrieben ab.
- Wenn an der Person die Option Extern deaktiviert ist:
- Der One Identity Manager prüft, ob der Person ein Manager zugeordnet wurde.
-
Wenn der Person ein Manager zugeordnet wurde, wird der Vorgang sofort diesem Manager zur Entscheidung zugewiesen.
-
Wenn der Person kein Manager zugeordnet wurde, wird der Vorgang den Personenadministratoren zur Entscheidung zugewiesen.
- Ein Personenadministrator prüft die Stammdaten des neuen Benutzers und ordnet gegebenenfalls einen Manager zu.
-
Ein Personenadministrator ordnet einen Manager zu und stimmt der Attestierung zu. Der Vorgang wird dem Manager zur Entscheidung zugewiesen.
-
Wenn ein Personenadministrator keinen Manager zuordnet und der Attestierung zustimmt, ist der Attestierungsvorgang abgeschlossen. Die Eigenschaften des Personenobjekts werden in der Datenbank aktualisiert.
Tabelle 54: Eigenschaften einer Person mit genehmigter Attestierung
|
Zertifizierungsstatus |
Zertifiziert |
|
|
Extern |
deaktiviert |
|
|
Dauerhaft deaktiviert |
deaktiviert |
|
|
Keine Vererbung |
deaktiviert |
Unternehmensressourcen werden vererbt. |
-
Wenn ein Personenadministrator die Attestierung ablehnt, ist der Attestierungsvorgang abgeschlossen. Die Eigenschaften des Personenobjekts werden in der Datenbank aktualisiert.
Tabelle 55: Eigenschaften einer Person mit abgelehnter Attestierung
|
Zertifizierungsstatus |
Abgelehnt |
|
|
Extern |
deaktiviert |
|
|
Dauerhaft deaktiviert |
aktiviert |
|
|
Keine Vererbung |
aktiviert |
Unternehmensressourcen werden nicht vererbt.
Benutzerkonten werden nicht automatisch erstellt. |
- Der Manager kann die Attestierung ablehnen, wenn er nicht der verantwortliche Manager dieses Benutzers ist.
-
Er kann eine andere Person als Manager zuordnen. Diesem wird der Vorgang sofort zur Entscheidung zugewiesen.
-
Wenn ihm der korrekte Manager nicht bekannt ist, wird die Entscheidung an die Personenadministratoren zurückgegeben. Diese können
-
einen anderen Manager zuordnen,
-
keinen neuen Manager zuordnen und der Attestierung zustimmen oder
-
die Attestierung ablehnen.
- Wenn der Manager der Attestierung zustimmt, ist der Attestierungsvorgang abgeschlossen. Die Eigenschaften des Personenobjekts werden in der Datenbank aktualisiert.
Tabelle 56: Eigenschaften einer Person mit genehmigter Attestierung
|
Zertifizierungsstatus |
Zertifiziert |
|
|
Extern |
deaktiviert |
|
|
Dauerhaft deaktiviert |
deaktiviert |
|
|
Keine Vererbung |
deaktiviert |
Unternehmensressourcen werden vererbt. |
HINWEIS: Die Attestierung endgültig ablehnen können nur die Personenadministratoren. Wenn ein Manager die Attestierung ablehnt, wird der Vorgang in jedem Fall an die Personenadministratoren zur Entscheidung zurückgewiesen.
Verwandte Themen
