Viele Cloud-Anwendungen nutzen verschiedene Berechtigungstypen, um Benutzerberechtigungen zu administrieren. Das können neben Gruppen beispielsweise auch Rollen oder Berechtigungssets sein. Über Synchronisationsprojekte, die mit der Standard-Projektvorlage erstellt wurden, werden die verschiedenen Typen folgendermaßen im One Identity Manager abgebildet.
Tabelle 16: Abbildung von Systemberechtigungen im Modul Cloud Systems Management
|
UCIGroup |
CSMGroup |
Gruppen |
|
UCIGroup1 |
CSMGroup1 |
Systemberechtigungen 1 |
|
UCIGroup2 |
CSMGroup2 |
Systemberechtigungen 2 |
|
UCIGroup3 |
CSMGroup3 |
Systemberechtigungen 3 |
|
UCIItem |
CSMItem |
Berechtigungselemente |
Ein Benutzerkonto erhält über seine Zuweisungen zu den Gruppen oder Systemberechtigungen die nötigen Berechtigungen zum Zugriff auf die Zielsystemressourcen. Abhängig vom Zielsystem werden die Zuweisungen entweder an den Benutzerkonten (benutzerbasierte Zuweisung) oder an den Systemberechtigungen (berechtigungsbasierte Zuweisung) gepflegt. Beim Einrichten der Synchronisation mit der Standard-Projektvorlage ermittelt der Universal Cloud Interface Konnektor, an welchem Objekttyp die Zuweisungen gespeichert sind. Die Zuweisungen werden in den folgenden Tabellen abgebildet:
Tabelle 17: Benutzerbasierte Zuweisung
|
CSMUserHasGroup |
Gruppen: Zuweisungen zu Benutzerkonten |
|
CSMUserHasGroup1 |
Systemberechtigungen 1: Zuweisungen zu Benutzerkonten |
|
CSMUserHasGroup2 |
Systemberechtigungen 2: Zuweisungen zu Benutzerkonten |
|
CSMUserHasGroup3 |
Systemberechtigungen 3: Zuweisungen zu Benutzerkonten |
|
CSMUserHasItem |
Benutzerkonten: Zuweisungen Berechtigungselemente |
Tabelle 18: Berechtigungsbasierte Zuweisung
|
CSMUserInGroup |
Benutzerkonten: Zuweisungen zu Gruppen |
|
CSMUserInGroup1 |
Benutzerkonten: Zuweisungen zu Systemberechtigungen 1 |
|
CSMUserInGroup2 |
Benutzerkonten: Zuweisungen zu Systemberechtigungen 2 |
|
CSMUserInGroup3 |
Benutzerkonten: Zuweisungen zu Systemberechtigungen 3 |
Zuweisungen zu Berechtigungselementen sind immer benutzerbasiert.
An den Cloud Zielsystemen ist hinterlegt, welche Typen von Systemberechtigungen verwendet werden und ob die Zuweisungen an den Benutzerkonten oder den Systemberechtigungen gespeichert werden.
Um die verwendeten Typen von Systemberechtigungen anzuzeigen
-
Wählen Sie im Manager die Kategorie Cloud Zielsysteme > Basisdaten zur Konfiguration > Cloud Zielsysteme.
-
Wählen Sie in der Ergebnisliste ein Cloud Zielsystem und wählen Sie die Aufgabe Stammdaten bearbeiten.
-
Typen der verwendeten Systemberechtigungen: Liste der im Cloud Zielsystem verwendeten Typen von Systemberechtigungen.
-
Benutzerkonto enthält Mitgliedschaften: Liste der Typen von Systemberechtigungen mit benutzerbasierten Zuweisungen. Für Typen, die hier nicht aufgelistet sind, werden die Zuweisungen an den Systemberechtigungen gespeichert.
TIPP: Wenn das Schema der Cloud-Anwendung nicht durch die Standard-Projektvorlage ausreichend abgebildet werden kann, passen Sie die Synchronisationskonfiguration an. Definieren Sie dabei, wie die Systemberechtigungen im One Identity Manager Schema abgebildet werden. Stellen Sie sicher, dass bei der Einrichtung der Synchronisation das Basisobjekt für die Cloud-Anwendung (CSMRoot) in der Datenbank angelegt wird und die Eigenschaften Typen der verwendeten Systemberechtigungen (GroupUsageMask) und Benutzerkonto enthält Mitgliedschaften (UserContainsGroupList) korrekt gesetzt werden.
HINWEIS: Wenn Sie Attestierungsverfahren, Complianceregeln oder Unternehmensrichtlinien über Systemberechtigungen einrichten, achten Sie darauf, die korrekten Zuweisungstabellen auszuwählen, um sowohl benutzerbasierte als auch berechtigungsbasierte Zuweisungen zu betrachten.
Um die Funktionen unabhängig von der Konfiguration der Zielsysteme einzurichten, nutzen Sie die Abbildung der Zielsysteme im Unified Namespace. In der Tabelle UNSAccountInUNSGroup sind sowohl benutzerbasierte als auch berechtigungsbasierte Zuweisungen für alle Typen von Systemberechtigungen abgebildet; die Tabelle UNSGroup enthält alle Systemberechtigungen unabhängig vom Typ.
Ausführliche Informationen zum Unified Namespace finden Sie im One Identity Manager Administrationshandbuch für das Zielsystem-Basismodul.
Ausführliche Informationen zur Attestierungsfunktion, zu Complianceregeln und Unternehmensrichtlinien finden Sie in folgenden Handbüchern:
One Identity Manager Administrationshandbuch für Attestierungen
One Identity Manager Administrationshandbuch für Complianceregeln
One Identity Manager Administrationshandbuch für Unternehmensrichtlinien
Verwandte Themen
Cloud Gruppen und Systemberechtigungen können direkt oder indirekt an Personen zugewiesen werden.
Bei der indirekten Zuweisung werden Personen sowie Gruppen und Systemberechtigungen in hierarchische Rollen eingeordnet. Aus der Position innerhalb der Hierarchie und der Vererbungsrichtung berechnet sich die Menge der Gruppen und Systemberechtigungen, die einer Person zugewiesen ist. Wenn Sie eine Person in hierarchische Rollen aufnehmen und die Person ein Cloud Benutzerkonto besitzt, dann wird dieses Benutzerkonto an die Cloud Gruppen und Systemberechtigungen zugewiesen.
Des Weiteren können Cloud Gruppen und Systemberechtigungen im Web Portal bestellt werden. Dazu werden Personen als Kunden in einen Shop aufgenommen. Alle Cloud Gruppen und Systemberechtigungen, die als Produkte diesem Shop zugewiesen sind, können von den Kunden bestellt werden. Bestellte Cloud Gruppen und Systemberechtigungen werden nach erfolgreicher Genehmigung den Personen zugewiesen.
Über Systemrollen können Cloud Gruppen und Systemberechtigungen zusammengefasst und als Paket an Personen zugewiesen werden. Sie können Systemrollen erstellen, die ausschließlich Cloud Gruppen oder Systemberechtigungen enthalten. Ebenso können Sie in einer Systemrolle beliebige Unternehmensressourcen zusammenfassen.
Um auf Sonderanforderungen schnell zu reagieren, können Sie die Cloud Gruppen und Systemberechtigungen auch direkt an Benutzerkonten zuweisen.
|
Grundlagen zur Zuweisung von Unternehmensressourcen und zur Vererbung von Unternehmensressourcen |
One Identity Manager Administrationshandbuch für das Identity Management Basismodul
One Identity Manager Administrationshandbuch für Geschäftsrollen |
|
Zuweisung von Unternehmensressourcen über IT Shop-Bestellungen |
One Identity Manager Administrationshandbuch für IT Shop |
|
Systemrollen |
One Identity Manager Administrationshandbuch für Systemrollen |
Detaillierte Informationen zum Thema
Bei der indirekten Zuweisung werden Personen sowie Cloud Gruppen Systemberechtigungen in hierarchische Rollen eingeordnet. Für die indirekte Zuweisung von Cloud Gruppen und Systemberechtigungen prüfen Sie folgende Einstellungen und passen Sie die Einstellungen bei Bedarf an.
-
Für die Rollenklassen (Abteilung, Kostenstelle, Standort oder Geschäftsrollen) ist die Zuweisung von Personen und Cloud Gruppen und Systemberechtigungen erlaubt.
Ausführliche Informationen finden Sie im One Identity Manager Administrationshandbuch für das Identity Management Basismodul.
Um die Zuweisungen zu Rollen einer Rollenklasse zu konfigurieren
-
Wählen Sie im Manager in der Kategorie Organisationen > Basisdaten zur Konfiguration > Rollenklassen die Rollenklasse.
- ODER -
Wählen Sie im Manager in der Kategorie Geschäftsrollen > Basisdaten zur Konfiguration > Rollenklassen die Rollenklasse.
-
Wählen Sie die Aufgabe Rollenzuweisungen konfigurieren und konfigurieren Sie die erlaubten Zuweisungen.
-
Um eine Zuweisung generell zu erlauben, aktivieren Sie die Spalte Zuweisungen erlaubt.
-
Um die direkte Zuweisung zu erlauben, aktivieren Sie die Spalte Direkte Zuweisungen erlaubt.
- Speichern Sie die Änderungen.
-
Einstellungen für die Zuweisung von Cloud Gruppen und Systemberechtigungen an Cloud Benutzerkonten.
-
Die Cloud Benutzerkonten sind mit Personen verbunden.
-
Die Cloud Benutzerkonten sind mit der Option Gruppen erbbar, Systemberechtigungen 1 erbbar, Systemberechtigungen 2 erbbar, Systemberechtigungen 3 erbbar gekennzeichnet.
-
Die Cloud Benutzerkonten, Cloud Gruppen und Systemberechtigungen gehören zum selben Zielsystem.
HINWEIS: Bei der Vererbung von Unternehmensressourcen über Abteilungen, Kostenstellen, Standorte und Geschäftsrollen spielen unter Umständen weitere Konfigurationseinstellungen eine Rolle. So kann beispielsweise die Vererbung für eine Rolle blockiert sein oder die Vererbung an Personen nicht erlaubt sein. Ausführliche Informationen über die Grundlagen zur Zuweisung von Unternehmensressourcen finden Sie im One Identity Manager Administrationshandbuch für das Identity Management Basismodul.
Verwandte Themen
Weisen Sie die Gruppe an Abteilungen, Kostenstellen oder Standorte zu, damit sie über diese Organisationen an Benutzerkonten zugewiesen wird.
Um eine Gruppe an Abteilungen, Kostenstellen oder Standorte zuzuweisen (bei nicht-rollenbasierter Anmeldung)
-
Wählen Sie im Manager die Kategorie Cloud Zielsysteme > <Zielsystem> > Gruppen.
-
Wählen Sie in der Ergebnisliste die Gruppe.
-
Wählen Sie die Aufgabe Organisationen zuweisen.
-
Weisen Sie im Bereich Zuordnungen hinzufügen die Organisationen zu.
-
Weisen Sie auf dem Tabreiter Abteilungen die Abteilungen zu.
-
Weisen Sie auf dem Tabreiter Standorte die Standorte zu.
-
Weisen Sie auf dem Tabreiter Kostenstellen die Kostenstellen zu.
TIPP: Im Bereich Zuordnungen entfernen können Sie die Zuweisung von Organisationen entfernen.
Um eine Zuweisung zu entfernen
- Speichern Sie die Änderungen.
Um Gruppen an eine Abteilung, eine Kostenstelle oder einen Standort zuzuweisen (bei nicht-rollenbasierter Anmeldung oder bei rollenbasierter Anmeldung)
-
Wählen Sie im Manager die Kategorie Organisationen > Abteilungen.
- ODER -
Wählen Sie im Manager die Kategorie Organisationen > Kostenstellen.
- ODER -
Wählen Sie im Manager die Kategorie Organisationen > Standorte.
-
Wählen Sie in der Ergebnisliste die Abteilung, die Kostenstelle oder den Standort.
-
Wählen Sie die Aufgabe Cloud Gruppen und Systemberechtigungen zuweisen.
-
Wählen Sie den Tabreiter Cloud Gruppen.
-
Weisen Sie im Bereich Zuordnungen hinzufügen die Gruppen zu.
TIPP: Im Bereich Zuordnungen entfernen können Sie die Zuweisung von Gruppen entfernen.
Um eine Zuweisung zu entfernen
- Speichern Sie die Änderungen.
Verwandte Themen
Zuweisungen an Rollenklassen von Abteilungen, Kostenstellen, Standorte oder Geschäftsrollen erlauben
.