Viele Organisationen müssen steuern, welchen Benutzern automatisch ein Active Directory (AD)-Konto zugewiesen wird. In dieser Anleitung wird erläutert, wie Sie mithilfe einer bestimmten Berechtigung in eAdm die Erstellung von AD-Konten verwalten können, um sicherzustellen, dass nur bestimmte Benutzer automatisch ein Konto erhalten.
Diese Methode erweist sich in verschiedenen typischen Szenarien als nützlich:
-
Unterscheidung zwischen verschiedenen Mitarbeitergruppen: Für festangestellte Mitarbeiter werden automatisch AD-Konten angelegt, während Führungskräfte den Zugriff für befristete Mitarbeiter oder Stundenkräfte manuell gewähren müssen.
-
Verwaltung bestehender Benutzer: Bei der Migration zu eAdm können Sie verhindern, dass das System automatisch AD-Konten für bestehende Mitarbeiter anlegt, die bisher kein solches Konto benötigten.
Im folgenden Verfahren wird eine Berechtigung namens „Aktives Benutzerkonto“ verwendet, um diesen Vorgang zu steuern.
Vorgehensweise
Befolgen Sie diese Schritte, um eAdm so zu konfigurieren, dass die Bereitstellung von AD-Konten über eine Berechtigung verwaltet wird.
Schritt 1: Die Berechtigung „Aktives Benutzerkonto“ erstellen
Erstellen Sie zunächst eine neue Berechtigung, die zur Gewährung des AD-Zugriffs verwendet wird.
-
Wechseln Sie im eAdm zum Bereich „Berechtigungsverwaltung“.
-
Erstellen Sie eine neue Berechtigung. In der Liste der Berechtigungen können Sie die Details konfigurieren. Für diese Anleitung verwenden wir das folgende Beispiel:
-
Name:
Aktiv brukerkonto(Aktives Benutzerkonto) -
ID:
8394(Hinweis: Das System vergibt automatisch eine ID; in dieser Anleitung wird durchgehend die Nummer 8394 als Beispiel verwendet).
-
-
Weisen Sie diese Berechtigung einer Gruppe zu, auf die Manager oder andere befugte Mitarbeiter Zugriff haben, die für die manuelle Erteilung dieses Zugriffs zuständig sind.
Schritt 2: Regeln für die automatische Zuordnung konfigurieren
Legen Sie als Nächstes fest, welche Benutzer automatisch die Berechtigung „Aktives Benutzerkonto“ erhalten sollen. Sie können die Regel beispielsweise so konfigurieren, dass die Berechtigung nur Mitarbeitern zugewiesen wird, die nach dem Go-Live-Datum von eAdm eingestellt wurden.
-
Öffnen Sie den Regelsatz für die Berechtigung „Aktives Benutzerkonto“.
-
Erstellen Sie Regeln, um die Kriterien für die automatische Zuordnung festzulegen.
Schritt 3: Aktualisieren Sie die Synchronisierungsvorlage für aktive Benutzer für AD
Passen Sie die Synchronisierungsvorlage für aktive AD-Benutzer so an, dass die Berechtigung „Aktives Benutzerkonto“ erforderlich ist. Dadurch wird sichergestellt, dass nur Benutzer mit dieser Berechtigung in AD angelegt oder als aktiv geführt werden.
-
Suchen Sie den Regelsatz, der mit der Synchronisierungsvorlage für aktive AD-Benutzer verknüpft ist.
-
Fügen Sie eine neue Regel hinzu, die vorschreibt, dass der Benutzer über die Berechtigung „Aktives Benutzerkonto“ verfügen muss. Verwenden Sie dazu die eindeutige ID der Berechtigung aus Schritt 1. Diese Regel prüft, ob der Benutzer über die Berechtigung mit der ID 8394 verfügt.
Schritt 4: Aktualisieren Sie die Synchronisierungsvorlage für deaktivierte Benutzer für AD
Hinweis: Wenn Sie lediglich das Benutzerkonto und die Zugriffsrechte eines Benutzers nach der Deaktivierung für eine bestimmte Frist (beispielsweise 24 Stunden) aktiv halten möchten, benötigen Sie keinen benutzerdefinierten Regelsatz wie den unten beschriebenen. Verwenden Sie stattdessen die integrierte „ExtendLife“-Funktion, siehe https://docs.identum.no/eadm/how-to-automatically-extend-user-accounts-with-ext. Die Regel-Logik in diesem Schritt löst ein anderes Problem: die Steuerung, welchen Benutzern über die Berechtigung „Aktives Benutzerkonto“ automatisch ein AD-Konto zugewiesen wird.
Aktualisieren Sie abschließend die Synchronisierungsvorlage für deaktivierte Benutzer. Diese Regel stellt sicher, dass das AD-Konto eines Benutzers automatisch deaktiviert wird, sobald ihm die Berechtigung „Aktives Benutzerkonto“ entzogen wird.
-
Suchen Sie den Regelsatz für die Synchronisierungsvorlage für deaktivierte Benutzer.
-
Fügen Sie eine Regelkombination hinzu, die Benutzer identifiziert, denen die Berechtigung „Aktives Benutzerkonto“ entzogen wurde.
Die Logik hinter diesem Regelsatz besteht darin, Nutzer zu finden, die:
-
Sind im Quellsystem nicht als gelöscht gekennzeichnet.
-
Sie verfügen derzeit nicht über die Berechtigung „Aktives Benutzerkonto“.
-
Verfügte zuvor über die Berechtigung „Aktives Benutzerkonto“ (wie im Objektverlauf vermerkt).
Diese Logik lässt sich im Regelsatz wie folgt darstellen:
// Condition 1: The user is NOT marked for deletion.\n Slettet | Har ikke verdi\n\n// OR\n\n// Condition 2: A multi-part condition to identify a lost permission.\n(\n // The user does NOT currently have the permission (ID 8394).\n [OBJECTPERMISSION.SYSTEMROLE;Name;Id;8394] | Har ikke verdi\n AND\n // The user's history shows they PREVIOUSLY had the permission (ID 8394).\n [OBJECTHISTORIES;OldValue;OldValue;8394] | Er lik | 8394\n)\n
Hinweis: Denken Sie daran, allen bestehenden Benutzern, die ein AD-Konto benötigen, aber die von Ihnen in Schritt 2 konfigurierten Kriterien für die automatische Zuweisung nicht erfüllen, die Berechtigung „Aktives Benutzerkonto“ manuell zuzuweisen.