Funções e atribuições de funções

Uma função define um conjunto de permissões relacionadas a um ou mais aplicativos ou sistemas de destino. A guia Funções e Recursos permite aos usuários solicitarem atribuições de funções, que são associações entre uma função e um usuário, grupo ou container. A guia Funções e Recursos também permite definir relacionamentos de funções, que estabelecem associações entre as funções na hierarquia de funções.

Você pode atribuir funções diretamente a um usuário e, nesse caso, essas atribuições diretas permitem acesso explícito do usuário às permissões associadas à função. Você também pode definir atribuições indiretas, que permitem que os usuários adquiram funções por meio da participação em um grupo, em um container ou em uma função relacionada na hierarquia de funções.

Ao solicitar uma atribuição de função, você pode definir uma data efetiva de atribuição de função, que especifica a data e o horário em que a atribuição entrará em vigor. Se você deixar isso em branco, a atribuição será imediata.

Você também pode definir uma data de vencimento da atribuição de função, que especifica a data e o horário em que a atribuição será automaticamente removida.

Quando um usuário solicita uma atribuição de função, o Subsistema de Função e Recurso gerencia o ciclo de vida da solicitação de função. Para ver quais ações foram executadas na solicitação pelos usuários ou pelo próprio subsistema, você pode verificar o status da solicitação na guia Status da Solicitação do Catálogo de Funções.

Catálogo de funções e hierarquia de funções

Para que os usuários possam começar a atribuir funções, as funções devem ser definidas no Catálogo de Funções. O Catálogo de Funções é o repositório para armazenamento de todas as definições de função e os dados de suporte que o Subsistema de Função e Recurso precisa. Para configurar o Catálogo de Funções, o Administrador do Módulo de Funções (ou Gerente de Função) define as funções e a hierarquia de funções.

A hierarquia de funções estabelece relacionamentos entre as funções no catálogo. Com a definição de relacionamentos de funções, você consegue simplificar a tarefa de concessão de permissões por meio das atribuições de funções. Por exemplo, em vez de atribuir 50 funções médicas separadas toda vez que um médico ingressar em sua organização, você pode definir uma função Médico e especificar um relacionamento de função entre essa função e cada uma das funções médicas. Ao atribuir usuários à função Médico, você consegue fornecer a eles as permissões definidas para cada uma das funções médicas relacionadas.

A hierarquia de funções suporta três níveis. As funções definidas no nível mais alto (denominado Funções Comerciais) especificam as operações com senso comercial dentro da organização. As funções de nível intermediário (chamadas Funções TI) oferecem suporte a funções tecnológicas. As funções definidas no nível mais baixo da hierarquia (chamado Funções de Permissão) especificam privilégios de nível inferior. O exemplo a seguir mostra uma hierarquia de funções com três níveis para uma organização médica. O nível mais alto da hierarquia está localizado à esquerda, e o nível mais baixo é exibido à direita:

Figura 15-1 Exemplo de hierarquia de funções

Uma função de nível superior inclui automaticamente privilégios das funções de nível inferior que ela contém. Por exemplo, uma Função Comercial inclui automaticamente privilégios das Funções TI que ela contém. Do mesmo modo, uma Função TI inclui automaticamente privilégios das Funções de Permissão que ela contém.

Os relacionamentos de funções não são permitidos entre as funções peer da hierarquia. As funções de nível inferior também não podem conter funções de nível superior.

Ao definir uma função, você pode opcionalmente designar um ou mais proprietários dessa função. Um proprietário de função é um usuário designado como o proprietário da definição de função. Ao gerar relatórios relacionados ao Catálogo de Funções, você pode filtrar esses relatórios com base no proprietário da função. O proprietário de função não recebe autorização automaticamente para administrar as mudanças feitas em uma definição de função. Em alguns casos, o proprietário deve solicitar a um administrador de função para executar qualquer ação de administração na função.

Ao definir uma função, você pode opcionalmente associá-la a uma ou mais categorias de função. Uma categoria de função permite classificar as funções para organizar o sistema de funções. Depois que uma função tiver sido associada a uma categoria, você poderá usar essa categoria como filtro ao procurar o Catálogo de Funções.

Se uma solicitação de atribuição de função exigir aprovação, a definição da função especificará os detalhes sobre o processo de workflow usado para coordenar as aprovações, bem como a lista de aprovadores. Os aprovadores são os indivíduos capazes de aprovar ou negar uma solicitação de atribuição de função.

Separação de tarefas

O recurso principal do Subsistema de Função e Recurso é a capacidade de definir restrições de separação de tarefas (SoD). Uma restrição SoD é uma regra que define duas funções consideradas em conflito. Os Gestores em Segurança criam as restrições de separação de tarefas para uma organização. Com a definição de restrições SoD, esses gestores conseguem impedir que usuários sejam atribuídos a funções conflitantes ou manter uma trilha de auditoria para monitorar as situações nas quais foram permitidas violações. Em uma restrição de separação de tarefas, as funções conflitantes devem estar no mesmo nível na hierarquia de funções.

Algumas restrições de separação de tarefas podem ser anuladas sem aprovação, enquanto outras exigem aprovação. Os conflitos permitidos sem aprovação são chamados de violações de separação de tarefas. Os conflitos aprovados são chamados de exceções aprovadas de separação de tarefas. O Subsistema de Função e Recurso não exige aprovações de violações de SoD resultantes de atribuições indiretas, como participação de um grupo ou container, ou relacionamentos de funções.

Se um conflito de separação de tarefas exigir aprovação, a definição da restrição especificará os detalhes sobre o processo de workflow usado para coordenar as aprovações, bem como a lista de aprovadores. Os aprovadores são as pessoas que podem aprovar ou negar uma exceção SoD. Uma lista padrão é definida como parte da configuração do Subsistema de Função e Recurso. Entretanto, essa lista pode ser anulada na definição de uma restrição SoD.

Auditoria e geração de relatórios de função

O Subsistema de Função e Recurso oferece um avançado recurso gerador de relatórios que ajuda os auditores a analisarem o Catálogo de Funções, além do estado atual das atribuições de funções e restrições, violações e exceções de SoD. O recurso permite que Auditores de Funções e Administradores do Módulo de Funções exibam os seguintes tipos de relatórios em formato PDF:

Além de apresentar informações pelo recurso gerador de relatórios, o Subsistema de Função e Recurso pode ser configurado para registrar eventos nos clientes de auditoria da Novell ou OpenXDAS.

Segurança das funções

O Subsistema de Função e Recurso usa um conjunto de funções do sistema para proteger o acesso às funções da guia Funções e Recursos. Cada ação de menu da guia Funções e Recursos é mapeada a uma ou mais funções do sistema. Se o usuário não for membro de nenhuma das funções associadas a uma ação, o item de menu correspondente não será exibido na guia Funções e Recursos.

As funções do sistema são funções administrativas automaticamente definidas pelo sistema no momento da instalação para uma administração delegada. Essas mudanças incluem:

As funções do sistema são descritas abaixo em detalhes:

Driver Função e Serviço de Recurso

O Subsistema de Função e Recurso usa o driver Serviço de Função e Recurso para gerenciar o processamento back end das funções. Por exemplo, ele gerencia todas as atribuições de funções, inicia workflows para solicitações de atribuição de função e conflitos SoD que requerem aprovações e mantém as atribuições indiretas de funções de acordo com a participação em grupo e containers, bem como a participação nas funções relacionadas. O driver também concede e revoga direitos de usuários com base em suas participações em funções e executa procedimentos de limpeza das solicitações concluídas.

Para obter detalhes sobre o driver de Serviço de Função e Recurso, consulte o Identity Manager User Application: Administration Guide (Aplicativo de Usuário do Identity Manager: Guia de Administração).

Sobre o aprovisionamento baseado em recursos

O propósito da funcionalidade de recurso no Aplicativo de Usuário é oferecer uma maneira prática de executar ações de aprovisionamento baseado em recursos. Essas ações permitem gerenciar as definições e atribuições de recurso em sua organização. É possível mapear as atribuições de recurso aos usuários ou funções de uma empresa. Por exemplo, é possível usar os recursos para:

Quando uma solicitação de atribuição de recurso exige permissão de uma ou mais pessoas na organização, a solicitação inicia um workflow. O workflow coordena as aprovações necessárias para atender à solicitação. Algumas solicitações de atribuição de recurso requerem aprovação de uma única pessoa; outras requerem aprovação de várias pessoas. Em algumas situações, uma solicitação pode ser atendida sem aprovações.

As seguintes regras de negócios controlam o comportamento dos recursos no Aplicativo de Usuário:

O designer do workflow e o administrador do sistema são responsáveis pela configuração do Aplicativo de Usuário para você e as outras pessoas da sua organização. O fluxo de controle de um workflow baseado em recursos, bem como a aparência dos formulários, pode variar dependendo do modo como a definição de aprovação do workflow foi especificada no Designer for Identity Manager. Além disso, o que você pode ver e fazer é normalmente determinado pelos requisitos de seu cargo e pelo seu nível de autoridade.

Recursos

Um recurso é qualquer entidade digital, como uma conta de usuário, um computador ou um banco de dados que o usuário comercial precisa para obter acesso. O Aplicativo de Usuário oferece uma maneira prática para os usuários finais solicitarem os recursos necessários. Além disso, ele dispõe de ferramentas que os administradores podem usar para definir recursos.

Cada recurso é mapeado a um direito. Uma definição de recurso não pode ter mais de um direito vinculado a ela. Uma definição de recurso pode ser vinculada ao mesmo direito mais de uma vez, com diferentes parâmetros de direitos para cada recurso.

Solicitações de recurso

É possível atribuir os recursos apenas a usuários. Eles não podem ser atribuídos a grupos nem containers. No entanto, se uma função for atribuída a um grupo ou container, os usuários do grupo ou container poderão automaticamente receber acesso aos recursos associados à função.

As solicitações de recurso podem exigir aprovações. O processo de aprovação de um recurso pode ser controlado por uma definição de solicitação de aprovisionamento, ou por um sistema externo definindo o código de status na solicitação de recurso.

Se a solicitação de concessão de recurso for iniciada por uma atribuição de função, pode ser que o recurso não seja concedido, mesmo que a função seja aprovisionada. Não fornecer as aprovações necessárias seria o motivo mais provável para essa situação.

Uma solicitação de recurso pode conceder ou revogar um recurso de um usuário.

Driver Função e Serviço de Recurso

O Aplicativo de Usuário usa o Driver Função e Serviço de Recurso para gerenciar o processamento back end dos recursos. Por exemplo, ele gerencia todas as solicitações de recurso, inicia workflows e o processo de aprovisionamento para solicitações de recurso.