Роли и назначения ролей

Роль определяет набор полномочий, связанных с одним или несколькими целевыми системами или приложениями. Вкладка Роли и ресурсы позволяет пользователям запрашивать назначения роли, которые представляют собой связь между ролью и пользователем, группой или контейнером. Вкладка Роли и ресурсы позволяет также определять отношения ролей, т. е. устанавливать связи между ролями в иерархии ролей.

Вы можете назначить пользователю роль непосредственно, в этом случае прямые назначения предоставляют пользователю явный доступ к полномочиям, связанным с ролью. Вы также можете определить косвенные назначения, когда пользователи получают роли благодаря своей принадлежности к группе, контейнеру или связанной роли в иерархии ролей.

При запросе назначения роли у Вас есть возможность определить дату вступления в действие, которая указывает дату и время вступления назначения в силу. Если оставить данное значение пустым, это будет означать, что требуется немедленное назначение.

Вы можете также определить дату окончания срока действия, которая указывает дату и время автоматической отмены назначения.

Когда пользователь запрашивает назначение роли, подсистема "Роли и ресурсы" управляет жизненным циклом запроса о роли. Чтобы увидеть, какие действия по запросу были предприняты пользователями или подсистемой ролей, можно проверить состояние запроса на вкладке Состояние запроса в Каталоге ролей.

Каталог ролей и иерархия ролей

Прежде чем пользователи смогут назначать роли, эти роли должны быть определены в Каталоге ролей. Каталог ролей — это хранилище всех определений ролей и вспомогательных данных, необходимых подсистеме "Роли и ресурсы". Чтобы настроить Каталог ролей, администратор модуля ролей (или менеджер ролей) определяет роли и их иерархию.

Иерархия ролей устанавливает отношения между ролями справочника. Определяя отношения ролей, вы можете упростить задачу предоставления полномочий при назначении ролей. Например, вместо назначения 50 отдельных медицинских ролей всякий раз, когда сотрудником Вашей организации становится новый врач, вы можете определить роль "Врач" и указать отношение между ролью "Врач" и каждой из медицинских ролей. Назначая пользователям роль "Врач", Вы сможете предоставлять им полномочия, предусмотренные каждой из связанных медицинских ролей.

Иерархия ролей поддерживает три уровня. Роли, определенные на самом верхнем уровне (они называются бизнес-ролями), задают операции, имеющие смысл для бизнеса в рамках организации. Роли среднего уровня (или ИТ-роли) поддерживают технологические функции. Роли, определенные на самом нижнем уровне (это роли-разрешения), задают привилегии низкого уровня. Следующий пример демонстрирует образец иерархии ролей с тремя уровнями для медицинской организации. Самый верхний уровень иерархии показан слева, а самый нижний - справа:

Рисунок 15-1 Образец иерархии ролей

Роль более высокого уровня автоматически включает в себя привилегии ролей нижележащих уровней, которые она содержит. Например, бизнес-роль автоматически включает привилегии ИТ-ролей, которые она содержит. Аналогично, ИТ-роль автоматически включает привилегии ролей-разрешений, которые входят в ее состав.

Отношения между ролями одного уровня не допускаются. Кроме того, роли более низкого уровня не могут содержать роли более высокого уровня.

Определяя роль, Вы можете, при необходимости, назначить ей одного или нескольких владельцев. Владелец роли - это пользователь, назначенный владельцем определения роли. При формировании отчетов, связанных со справочником ролей, можно использовать фильтр с учетом владельца роли. Владелец роли не получает автоматически права на внесение изменений в определение роли. В некоторых случаях владелец должен запросить администратора ролей выполнить какие-либо административные действия в отношении роли.

Определяя роль, Вы можете, при необходимости, связать ее с одной или несколькими категориями ролей. Категория ролей позволяет систематизировать роли с целью организации системы ролей. После установления связи роли с категорией Вы можете использовать эту категорию как фильтр при просмотре справочника ролей.

Если запрос на назначение роли требует утверждения, в определении роли приводится подробное описание рабочего процесса, который используется для координации утверждений, а также список утверждающих. Утверждающие - это пользователи, имеющие право утвердить или отклонить запрос на назначение роли.

Разделение обязанностей

Ключевая особенность подсистемы ролей и ресурсов — ее способность определять ограничения разделения обязанностей (SoD). Ограничение разделения обязанностей (SoD) - это правило, определяющее две роли, которые рассматриваются как конфликтующие. Ограничения разделения обязанностей в рамках организации создают сотрудники системы безопасности. Определяя ограничения SoD, эти сотрудники могут предотвратить назначение пользователям конфликтующих ролей или обеспечить аудиторскую трассировку для отслеживания ситуаций, когда нарушения были санкционированы. Ограничение разделения обязанностей требует, чтобы конфликтующие роли находились на одном уровне иерархии ролей.

Некоторые ограничения разделения обязанностей можно переопределить без утверждения, тогда как другим оно необходимо. Конфликты, санкционированные без утверждения, называются нарушениями разделения обязанностей. Утвержденные конфликты называются исключениями разделения обязанностей. Подсистема ролей и ресурсов не требует утверждений для нарушений SoD, возникших в результате косвенных назначений ролей, например благодаря принадлежности к группе или контейнеру либо отношению ролей.

Если ограничение разделения обязанностей требует утверждения, в определении ограничения приводится подробное описание рабочего процесса, который используется для координации утверждений, а также список утверждающих. Утверждающие - это пользователи, имеющие право утвердить или отклонить исключение SoD. Список по умолчанию определяется как составная часть конфигурации подсистемы ролей и ресурсов. Однако в ограничении SoD этот список можно переопределить.

Отчеты и аудит ролей

Подсистема ролей и ресурсов предоставляет широкие возможности для формирования отчетности, чтобы помочь аудиторам при анализе каталога ролей и текущего состояния назначения ролей, а также ограничений, нарушений и исключений SoD. Средство отчетности для ролей позволяет аудиторам ролей и администраторам модуля ролей отобразить в формате PDF следующие типы отчетов:

В дополнение к информационному обеспечению через отчетность подсистема ролей и ресурсов может быть настроена для ведения протокола событий клиентов Novell или OpenXDAS.

Безопасность ролей

Для обеспечения безопасного доступа к функциям в рамках вкладки Роли и ресурсы подсистема ролей и ресурсов использует набор системных ролей. Каждое действие меню на вкладке Роли и ресурсы сопоставлено одной или нескольким системным ролям. Если пользователь не имеет отношения к одной из ролей, связанных с действием, то на вкладке Роли и ресурсы соответствующий элемент меню показываться не будет.

Системные роли - это административные роли, которые автоматически определяются во время установки с целью обеспечения делегирования административных функций. В них входят следующие элементы:

Ниже приводится подробное описание системных ролей:

Драйвер сервиса ролей и ресурсов

Для управления фоновой обработкой ролей подсистема ролей и ресурсов использует драйвер службы ролей и ресурсов. Например, он управляет всеми назначениями ролей, запускает рабочие процессы для запросов назначения ролей и конфликтов SoD, требующих утверждения, обслуживает косвенные назначения ролей в соответствии с принадлежностью к группе или контейнеру, а также к связанным ролям. Кроме того, драйвер предоставляет и отзывает полномочия пользователей с учетом их отношений к ролям, а также выполняет процедуры очистки для выполненных запросов.

Подробные сведения о драйвере службы ролей и ресурсов см. в документе Identity Manager User Application: руководство администратора.

Об обеспечении правами доступа, основанном на ресурсах

Цель функций User Application, связанных с ресурсами, в том, чтобы предоставить Вам удобный способ выполнения операций над ресурсами. Эти операции позволяют управлять определениями и назначениями ресурсов на Вашем предприятии. Назначения ресурсов можно сопоставлять пользователям или ролям внутри компании. Например, можно использовать ресурсы для:

Если запрос о назначении ресурса требует разрешения одного или нескольких должностных лиц предприятия, запускается рабочий процесс. Рабочий процесс координирует подтверждения, необходимые для выполнения запроса. Некоторые запросы о назначениях ресурсов требуют подтверждения одним должностным лицом; другие — подтверждения несколькими должностными лицами. В некоторых случаях запрос может быть выполнен без каких-либо подтверждений.

Поведением ресурсов в User Application управляют следующие бизнес-правила:

За настройку User Application для Вас и других пользователей предприятия отвечают проектировщик рабочего процесса и системный администратор. Схема управления для рабочего процесса, основанного на ресурсах, а также внешний вид форм могут варьироваться в зависимости от того, как определение подтверждения для рабочего процесса было сформулировано в модуле "Проектировщик для Identity Manager". Кроме того, то, что пользователь может видеть и делать, обычно определяется его должностными обязанностями и уровнем полномочий.

Ресурсы

Ресурс любого цифрового объекта (учетной записи пользователя, компьютера или базы данных), необходимого бизнес-пользователю, должен иметь возможность получения доступа. User Application предоставляет конечным пользователям удобный способ формирования запросов о необходимых ресурсах. Кроме того, приложение предоставляет инструменты, которые администраторы могут использовать для определения ресурсов.

Каждый ресурс сопоставляется наделению правами. С определением ресурса можно связать не более одного наделения правами. Определение ресурса может быть более одного раза связано с одним и тем же наделением правами с различными параметрами для каждого ресурса.

Запросы о ресурсах

Ресурсы могут назначаться только пользователям. Их нельзя назначить группе или контейнеру. Однако если группе или контейнеру назначена роль, пользователи из этой группы или контейнера могут автоматически получить доступ к ресурсам, связанным с данной ролью.

Запросы о ресурсах могут требовать подтверждения. Процесс подтверждения для ресурса может управляться определением запроса на обеспечение правами доступа или внешней системой путем задания кода состояния в запросе о ресурсе.

Если запрос о предоставлении ресурса инициирован путем назначения роли, возможно, что этот ресурс не будет предоставлен, даже если роль обеспечена правами доступа. Наиболее вероятной причиной этого является то, что не было предоставлено необходимых подтверждений.

Запрос о ресурсе может предоставить ресурс пользователю или аннулировать предоставление ресурса.

Драйвер сервиса ролей и ресурсов

Для управления фоновой обработкой ресурсов User Application использует драйвер сервиса ролей и ресурсов. Например, он управляет запросами о ресурсах, запускает рабочие процессы и инициирует процессы запросов обеспечения правами доступа к ресурсам.