Verarbeitung einer Attestierungsmail

Der Zeitplan "Verarbeiten der Genehmigungen von Attestierungen per E-Mail" startet den Prozess VI_Attestation_Process Approval Inbox. Dieser Prozess führt das Skript VI_MailApproval_ProcessInBox aus, welches das Postfach nach neuen Attestierungsmails durchsucht und die Attestierungsvorgänge in der One Identity Manager Datenbank aktualisiert. Danach wird der Inhalt der Attestierungsmail verarbeitet.

Attestierungsmails werden durch das Skript VI_MailApproval_ProcessMail verarbeitet. Das Skript ermittelt die getroffene Entscheidung, setzt die Option Genehmigt und hinterlegt die Begründung für die Entscheidung an den Attestierungsvorgängen. Über die Absenderadresse wird der Attestierer ermittelt. Danach wird die Attestierungsmail abhängig vom gewählten Aufräumverfahren aus dem Postfach entfernt.

Standardattestierungen und der Entzug von Berechtigungen

Standardattestierungen und der Entzug von Berechtigungen

Der One Identity Manager stellt für verschiedene Datensituationen Standard-Attestierungsverfahren und Standard-Attestierungsrichtlinien bereit.

Datensituationen für Standardattestierungen

• Systemberechtigungen, die eine Person besitzt
• Systemberechtigungen, die an Systemberechtigungen zugewiesen sind
• Mitgliedschaften in Geschäftsrollen und Anwendungsrollen
• Systemrollen, die einer Person zugewiesen sind
• Personenstammdaten eines neuen One Identity Manager Benutzers
• Personenstammdaten vorhandener One Identity Manager Benutzer

Für die Attestierung von Personenstammdaten werden die erforderlichen Attestierungsrichtlinien standardmäßig bereitgestellt. Sie können diese Attestierungsrichtlinien ohne weitere Anpassungen nutzen. Voraussetzungen und Ablauf der Attestierung von Personenstammdaten ist im Abschnitt Attestierung und Rezertifizierung von Benutzern beschrieben.

Mit den Standard-Attestierungsverfahren für die übrigen Datensituationen können Sie auf einfachem Wege im Web Portal Attestierungsrichtlinien erstellen. Sie können auch die mitgelieferten Standard-Attestierungsrichtlinien ohne weitere Anpassungen nutzen. Darüber hinaus können Sie konfigurieren, wie mit abgelehnten Attestierungen weiter verfahren werden soll, die auf diesen Standard-Attestierungsverfahren basieren. Wenn es Ihre spezielle Datensituation zulässt, können abgelehnte Berechtigungen sofort im Anschluss an die Attestierung durch den One Identity Manager entzogen werden.

Um abgelehnte Berechtigungen automatisch zu entziehen

• Aktivieren Sie im Designer den Konfigurationsparameter "QER\Attestation\AutoRemovalScope".

Der automatische Entzug von Berechtigungen wird durch einen zusätzlichen Entscheidungsschritt mit dem Entscheidungsverfahren "EX" in den Standard-Entscheidungsworkflows angestoßen.

Ablauf der Attestierung mit anschließendem Entzug abgelehnter Berechtigungen

1. Eine Attestierung mit einem der folgenden Attestierungsverfahren wird durchgeführt.
   • Attestierung von Mitgliedschaften in Systemberechtigungen
   • Attestierung der Zuweisung von Systemberechtigungen an Systemberechtigungen
   • Attestierung von Mitgliedschaften in Systemrollen
   • Attestierung von Mitgliedschaften in Anwendungsrollen
   • Attestierung von Mitgliedschaften in Geschäftsrollen
2. Der Attestierer lehnt die Attestierung ab. Der Entscheidungsschritt wird negativ entschieden und die Entscheidung an die nächste Entscheidungsebene mit dem Entscheidungsverfahren "EX" übergeben.
3. Der Entscheidungsschritt löst das Ereignis AUTOREMOVE aus. Dadurch wird der Prozess VI_Attestation_AttestationCase_AutoRemoveMemberships ausgeführt.
4. Der Prozess führt das Skript VI_AttestationCase_RemoveMembership aus. Dieses entfernt die betroffene Berechtigung abhängig von den aktivierten Konfigurationsparametern.
5. Das Skript setzt den Status des Entscheidungsschritts auf "abgelehnt". Dadurch wird der gesamte Attestierungsvorgang endgültig abgelehnt.
6. Aufträge zur Neuberechnung der Vererbung werden in die DBQueue eingestellt.

Detaillierte Informationen zum Thema

• Attestierung von Systemberechtigungen
• Attestierung von Systemrollen
• Attestierung von Anwendungsrollen
• Attestierung von Geschäftsrollen

Attestierung von Systemberechtigungen

Attestierung von Systemberechtigungen

Wenn Sie die Standard-Attestierungsrichtline "Attestierung von Mitgliedschaften in Systemberechtigungen" nutzen oder Attestierungsrichtlinien mit dem Standard-Attestierungsverfahren "Attestierung von Mitgliedschaften in Systemberechtigungen" erstellt haben, können Sie den automatischen Entzug der Systemberechtigungen über den Konfigurationsparameter "QER\Attestation\AutoRemovalScope\GroupMembership" konfigurieren. Der One Identity Manager prüft im Anschluss an eine abgelehnte Attestierung, über welche Zuweisungsart das Benutzerkonto Mitglied in der Systemberechtigung wurde.

Wenn Sie die Standard-Attestierungsrichtline "Attestierung von Zuweisungen zu Systemberechtigungen" nutzen oder Attestierungsrichtlinien mit dem Standard-Attestierungsverfahren "Attestierung der Zuweisung von Systemberechtigungen an Systemberechtigungen" erstellt haben, können Sie den automatischen Entzug der Systemberechtigungen über den Konfigurationsparameter "QER\Attestation\AutoRemovalScope\UNSGroupInUNSGroup" konfigurieren.

Attestierung von Systemrollen

Attestierung von Systemrollen

Wenn Sie die Standard-Attestierungsrichtline "Attestierung von Mitgliedschaften in Systemrollen" nutzen oder Attestierungsrichtlinien mit dem Standard-Attestierungsverfahren "Attestierung von Mitgliedschaften in Systemrollen" erstellt haben, können Sie den automatischen Entzug der Systemrollen über den Konfigurationsparameter "QER\Attestation\AutoRemovalScope\ESetAssignment" konfigurieren. Der One Identity Manager prüft im Anschluss an eine abgelehnte Attestierung, über welche Zuweisungsart die Person die Systemrolle erhalten hat.