Hoe AD Account Provisioning beheren met een eAdm

Veel organisaties moeten bepalen welke gebruikers automatisch een Active Directory (AD) account krijgen. In deze handleiding wordt uitgelegd hoe u een specifieke toestemming binnen eAdm kunt gebruiken om het aanmaken van AD-accounts te beheren, zodat alleen aangewezen gebruikers automatisch een account krijgen.

Deze methode is nuttig in verschillende veelvoorkomende scenario's:

Verschillende typen medewerkers: Maak automatisch AD-accounts aan voor vaste werknemers, maar laat managers handmatig toegang verlenen aan tijdelijk personeel of personeel op uurbasis.
Bestaande gebruikers beheren: Wanneer u migreert naar eAdm, kunt u voorkomen dat het systeem automatisch AD accounts aanmaakt voor bestaande werknemers die er nog niet eerder een nodig hadden.

De volgende procedure gebruikt een toestemming met de naam "Actieve gebruikersaccount" om dit proces te regelen.

Procedure

Volg deze stappen om eAdm te configureren om AD account provisioning te beheren via een toestemming.

Stap 1: De machtiging "Actieve gebruikersaccount" aanmaken

Maak eerst een nieuwe toestemming aan die zal worden gebruikt om AD-toegang te verlenen.

Navigeer naar het rechtenbeheergebied in eAdm.
Maak een nieuwe machtiging aan. In de lijst met rechten configureer je de details. Voor deze handleiding gebruiken we het volgende voorbeeld:
- Naam: Aktiv drukkerij (Actief gebruikersaccount)
- ID: 8394 (Opmerking: het systeem wijst automatisch een ID toe; 8394 wordt in deze handleiding als voorbeeld gebruikt).
Wijs deze toestemming toe aan een groep die toegankelijk is voor managers of andere bevoegde medewerkers die verantwoordelijk zijn voor het handmatig verlenen van deze toegang.

Stap 2: Regels voor automatische toewijzing configureren

Definieer vervolgens de regels voor welke gebruikers de "Active User Account" rechten automatisch moeten krijgen. U kunt bijvoorbeeld de regel configureren om de rechten alleen toe te wijzen aan werknemers die na de go-live datum van eAdm zijn aangenomen.

Open de regelset voor de machtiging "Actief gebruikersaccount".
Maak regels om de criteria voor automatische toewijzing te definiëren.

Stap 3: De synchronisatiesjabloon voor actieve gebruikers voor AD bijwerken

Wijzig de synchronisatiesjabloon voor actieve AD-gebruikers zodat deze de machtiging "Actieve gebruikersaccount" vereist. Dit zorgt ervoor dat alleen gebruikers met deze machtiging als actief worden aangemaakt of onderhouden in AD.

Zoek de regelset die is gekoppeld aan de synchronisatiesjabloon voor actieve AD-gebruikers.
Voeg een nieuwe regel toe die vereist dat de gebruiker de machtiging "Actief gebruikersaccount" heeft. Je gebruikt de unieke ID van de permissie uit stap 1. Deze regel controleert of de gebruiker de permissie met ID 8394 heeft.

Stap 4: De gedeactiveerde gebruikerssynchronisatiesjabloon voor AD bijwerken

Werk tot slot het synchronisatiesjabloon voor gedeactiveerde gebruikers bij. Deze regel zorgt ervoor dat wanneer de "Active User Account" permissie van een gebruiker wordt verwijderd, zijn AD-account automatisch wordt gedeactiveerd.

Zoek de regelset voor het synchronisatiesjabloon voor gedeactiveerde gebruikers.
Voeg een combinatie van regels toe die gebruikers identificeert die de machtiging "Actief gebruikersaccount" zijn kwijtgeraakt.

De logica voor deze regelset is om gebruikers te vinden die:

Zijn niet gemarkeerd als verwijderd in het bronsysteem.
U hebt momenteel geen rechten voor "Actieve gebruikersaccounts".
Had voorheen de machtiging "Actief gebruikersaccount" (zoals geregistreerd in hun objectgeschiedenis).

Deze logica kan als volgt worden geconstrueerd in de regelset:

CODE

// Condition 1: The user is NOT marked for deletion.
   Slettet | Har ikke verdi

// OR

// Condition 2: A multi-part condition to identify a lost permission.
(
   // The user does NOT currently have the permission (ID 8394).
   [OBJECTPERMISSION.SYSTEMROLE;Name;Id;8394] | Har ikke verdi
   AND
   // The user's history shows they PREVIOUSLY had the permission (ID 8394).
   [OBJECTHISTORIES;OldValue;OldValue;8394] | Er lik | 8394
)

Opmerking: Vergeet niet om handmatig de machtiging "Actieve gebruikersaccount" toe te wijzen aan alle bestaande gebruikers die een AD-account nodig hebben, maar niet voldoen aan de criteria voor automatische toewijzing die je in stap 2 hebt geconfigureerd.