Jedna osoba.
Viacero rolí na univerzite.

Študent môže byť zároveň zamestnancom aj výskumníkom

Doktorand môže zároveň vyučovať aj pracovať v zamestnaneckom pomere. Študent sa môže stať zamestnancom a hosťujúci akademik pokračovať vo výskume po skončení výučby. Pri takýchto súbežných vzťahoch nestačí riadiť prístupy jediným stavom „aktívny“ alebo „neaktívny“.

easyIGA umožňuje bežným používateľom žiadať, schvaľovať a kontrolovať prístupy do aplikácií. midPoint v pozadí zabezpečuje nakonfigurované údaje o identitách, pravidlá a zmeny v cieľových systémoch. Akademickí aj administratívni pracovníci sa tak môžu podieľať na rozhodovaní, zatiaľ čo špecialisti spravujú technický model.

Začnite konkrétnym vzťahom človeka k škole. Určte rozhodujúci záznam, súvisiace prístupy do aplikácií a osobu oprávnenú schváliť výnimku. Potom overte, čo sa má stať, keď sa jeden vzťah skončí, ale druhý pokračuje.

Vlastník služby potrebuje vedieť, aký súčasný vzťah človeka k inštitúcii odôvodňuje jeho oprávnenie. Výskumník môže potrebovať projektovú aplikáciu aj po skončení pedagogického pôsobenia. O prístupoch súvisiacich výlučne s výučbou však treba rozhodnúť znova. easyIGA pomáha zodpovedným ľuďom túto potrebu zrozumiteľne posúdiť. Nasledujúce príklady ukazujú súbežné pracovné vzťahy, prístupy hostí a zmeny semestrov: od zdrojových údajov cez rozhodnutia až po výsledky v aplikáciách.

Pred automatizáciou účtov opíšte vzťahy človeka k univerzite

Univerzita môže čerpať údaje zo študijného systému, personálnej evidencie aj miestnych registrov hostí. Každý zdroj opisuje inú časť vzťahu človeka k škole. Pri implementácii treba určiť, ktorý zdroj je pre daný údaj rozhodujúci a ako sa spoja záznamy tej istej osoby.

Začnite menším súborom vzťahov k inštitúcii. Človek, ktorý iba študuje, je iný prípad než študent, ktorý je zároveň zamestnancom. Čestná funkcia môže podliehať ďalším pravidlám. Význam každého vzťahu si vyjasnite skôr, než tím správy identít nastaví príslušné oprávnenia.

midPoint pracuje s nastaveným modelom identít a synchronizuje údaje z pripojených zdrojov. Škola však musí určiť, ako sa jednotlivé údaje premietnu do prístupov. Skončenie jedného vzťahu nesmie automaticky znamenať, že zanikli všetky ostatné.

Pri hodnotení použite testovaciu osobu s dvoma súbežnými vzťahmi k inštitúcii. Jeden ukončite a skontrolujte prístupy. Ktoré zostávajú oprávnené na základe druhého vzťahu? Ktoré treba odobrať? Ktorá výnimka vyžaduje výslovné rozhodnutie zodpovedného vlastníka?

Vyskúšajte aj rozporné údaje v zdrojoch. Podobné meno či zmena e-mailovej adresy nestačia na zlúčenie záznamov dvoch ľudí. Dohodnite postup preverovania neistých zhôd. Správnosť údajov a spoľahlivé párovanie záznamov sú technickým základom; prehľadná obrazovka nesprávne spojené osoby neopraví.

Zvládnite začiatok semestra z pohľadu ľudí aj systémov

Začiatok alebo koniec semestra môže priniesť veľa očakávaných zmien identít. Niektorí ľudia prichádzajú, iní sa vracajú a ďalší majú oproti minulému roku odlišný vzťah k inštitúcii. Potrebný je proces, ktorému používatelia rozumejú a ktorý dokáže tím správy identít prevádzkovo zvládnuť.

Dohodnite sa, od ktorého okamihu vzniká nárok na prístup. Podaná prihláška, prijatie na štúdium a zápis nie sú to isté. Nastavenie musí vychádzať z pravidiel školy; každý záznam v študijnom systéme neznamená rovnaké oprávnenia.

Pri oprávneniach prideľovaných podľa pravidiel životného cyklu otestujte zdrojovú udalosť aj zmenu v cieľovom systéme. Pre prístupy vyžadujúce žiadosť easyIGA poskytuje zrozumiteľný katalóg a schvaľovací postup. Oba spôsoby jasne vysvetlite, aby študenti a zamestnanci vedeli, kedy musia podať žiadosť.

Vyberte menšiu skupinu používateľov a typické aplikácie. Overte nového aj vracajúceho sa používateľa. Pridajte neúplný záznam a údaj doručený neskoro. Vopred určte, kto chybu opraví a ako sa dotknutý človek dozvie, čo má robiť.

Z malej ukážky nevyvodzujte výkonnosť celého riešenia. Nasadenie na začiatok semestra vyžaduje testovanie navrhovanej konfigurácie pri očakávanom zaťažení. Podklady pre kapacitu a obnovu oddeľte od používateľského hodnotenia žiadostí. Obe kontroly sú potrebné, ale odpovedajú na odlišné otázky.

Nech si akademickí pracovníci vyberajú prístupy podľa práce, ktorú robia

Vyučujúci môže potrebovať prístup k výučbovej aplikácii, výskumnému priestoru alebo administrátorskú rolu. Katalóg plný technických názvov skupín ho núti hádať. Ani schvaľovateľ z takých názvov nemusí zistiť, čo žiadosť umožní.

V katalógu easyIGA si zamestnanec vyberie zrozumiteľne opísaný prístup. Škola určí jeho väzbu na rolu a oprávneného schvaľovateľa. Špecialisti naďalej zodpovedajú za nastavenie midPointu a prepojenia s aplikáciami.

Príkladom môže byť žiadosť o správu výučbovej aplikácie katedry. Popis má jasne odlíšiť bežné používanie od administrátorských práv. Žiadosť musí dostať človek oprávnený o nich rozhodnúť, ktorým nemusí byť priamy nadriadený žiadateľa.

Nechajte vyučujúceho vybrať potrebnú rolu bez pomoci IAM špecialistu. Schvaľovateľ nech potom vysvetlí svoje rozhodnutie podľa zobrazených údajov. Takto overíte, či názvy aj postupy zodpovedajú tomu, ako sa o práci hovorí na vašej škole.

Výsledok sledujte aj po schválení. Kladné rozhodnutie nepreukazuje, že cieľová aplikácia zmenu prijala. easyIGA rozlišuje overené, čakajúce, neúspešné a neznáme výsledky, takže účastníci lepšie vidia postup spracovania. Určte tím, ktorý preverí operáciu bez potvrdeného výsledku.

Hosťujúcim výskumníkom určte garanta a dobu pôsobenia

Hosťa môže poznať konkrétna katedra, hoci nie je v hlavnom HR systéme. Taká spolupráca môže byť oprávnená, no stále potrebuje zodpovedne riadené prístupy. Základom je schválený záznam identity a zodpovedný interný garant.

Garant musí vedieť, prečo hosť prístup potrebuje a do ktorých aplikácií. Samotný názov katedry nestačí, ak nikto nezodpovedá za neskoršiu kontrolu. Určte správcu záznamu aj postup pri odchode garanta alebo zmene jeho pozície.

Použite nakonfigurovaný proces žiadosti pre aplikácie, ktoré vyžadujú rozhodnutie. easyIGA dokáže zabezpečiť, aby tieto požiadavky boli zrozumiteľné pre garanta a príslušného vlastníka aplikácie. Implementácia určuje podporovanú cestu schvaľovania a dôkazy dostupné v navrhovanom vydaní.

Do hodnotenia zahrňte predĺženie návštevy a zmenu hostiteľského oddelenia. Potrebné prístupy sa môžu zmeniť aj pri rovnakom mene a e-mailovej adrese. Otestujte udalosť životného cyklu; pokračujúca existencia účtu nedokazuje opodstatnenosť každého oprávnenia.

Pri ukončení vzťahu odlíšte prístupy, ktoré majú zaniknúť, od tých, ktorých pokračovanie bolo schválené samostatne. Spolupráca môže pokračovať aj po návšteve bez ponechania všetkých administrátorských práv. Inštitúcia potrebuje jasné pravidlo a spätne overiteľné rozhodnutie. Výsledné zmeny v cieľových systémoch treba skontrolovať.

Prístupy k výskumu posúdi zodpovedný vlastník

Centrálne IT môže evidovať účet bez toho, aby vedelo, či človek stále pracuje na výskumnom projekte. Vedúci projektu túto informáciu má, ale nemusí mať prehľad o oprávneniach v aplikáciách. Pravidelná kontrola spája tieto informácie na jednom mieste.

easyIGA zobrazuje posudzovaný prístup spolu s dostupnými súvislosťami. Údaje o poslednom použití, pridelení a schválení závisia od pripojených zdrojov a zaznamenanej histórie. Majú pomôcť posúdiť oprávnenie, pričom chýbajúce podklady musia zostať jasne označené.

Pri žiadostiach podaných cez easyIGA sa zaznamenáva žiadateľ aj zachytené schvaľovacie kroky. Prístupy pridelené mimo easyIGA sú označené osobitne podľa údajov, ktoré zaznamenal midPoint. V starších záznamoch môže chýbať schvaľovateľ alebo autor pridelenia; chýbajúce údaje sú jasne označené.

Pri výskumnom projekte určte, ktorý projekt a ktoré aplikačné prístupy sa kontrolujú. Človek môže zostať v inštitúcii aj po odchode z projektu. Posudzovateľ má podľa dostupných podkladov rozhodnúť, či jeho súčasný vzťah stále odôvodňuje dané oprávnenie.

Posledné použitie a oprávnená potreba nie sú to isté. Niektoré výskumné prístupy sa využívajú zriedka, no sú stále potrebné. Údaj o aktivite má rozhodnutiu pomôcť, nie ho nahradiť. Zaznamenajte záver kontroly a pri odobratí overte aj výsledok v aplikácii. Kontrola tak vedie k skutočnej úprave prístupov.

Prístupy absolventov a bývalých zamestnancov upravte jasnými pravidlami

Skončenie štúdia alebo pracovného pomeru nemusí ukončiť všetky vzťahy k univerzite naraz. Škola môže poskytovať vybrané služby absolventom alebo ponechať dočasný administratívny prístup. Takéto rozhodnutia treba presne upraviť pravidlami.

Spíšte služby a ich vlastníkov. Určte, ktoré prístupy vyplývajú z pokračujúceho vzťahu a ktoré potrebujú nové rozhodnutie. Ak pre bývalého zamestnanca a absolventa platia odlišné pravidlá, nepoužívajte pre nich jeden spoločný stav bez ďalšieho rozlíšenia.

Konfigurácia midPointu môže prepájať udalosti z rozhodujúcich zdrojov s požadovanými rolami a zmenami v cieľových systémoch. easyIGA pri podporovaných postupoch pridáva prostredie na žiadosti a kontroly prístupov. Pravidlá musí určiť inštitúcia a overiť operácie, ktorými sa vykonávajú.

Užitočný test sleduje testovaciu osobu pri prechode zo študenta na absolventa, zatiaľ čo jej pracovný pomer zostáva aktívny. Skontrolujte každú aplikáciu. Za úspech nepovažujte iba zachovanie centrálnej identity: niektoré oprávnenia môžu zostať a iné majú skončiť.

Určte aj postup pri chybách a oneskorených opravách. Zrušený odchod alebo opravený študijný záznam môžu vyžadovať obnovenie časti prístupov. Overte dohodnuté správanie bez predpokladu, že sa majú automaticky vrátiť všetky pôvodné oprávnenia. Pravidlá majú určovať požadovaný výsledok a záznamy ukazovať, čo sa skutočne stalo.

Rozlišujte integráciu aplikácií a jednotné prihlásenie

Úspešné prihlásenie nepotvrdzuje primeranosť oprávnení. Autentifikácia a riadenie identít riešia súvisiace, ale odlišné otázky. Architektúra univerzitného prostredia má vysvetľovať spoluprácu poskytovateľa identity, cieľových aplikácií a platformy na správu identít.

midPoint tvorí nakonfigurovaný základ správy identít a vykonávania zmien. Integrácia môže spravovať skupinu v adresári, ktorú aplikácia využíva, alebo meniť účty priamo cez aplikačné rozhranie. Pri implementácii treba určiť, ktorý mechanizmus riadi každé oprávnenie v dohodnutom rozsahu.

Katalóg konektorov midPointu pomôže pri technickom posúdení. Overte verziu študijného systému, adresára či cloudovej služby a požadované operácie. Známe logo nepotvrdzuje, že všetky vaše postupy budú fungovať bez ďalšieho nastavenia.

easyIGA pridáva prehľadné prostredie na rozhodovanie o prístupoch. Nenahrádza poskytovateľa identity školy ani nepreberá všetky administrátorské funkcie midPointu. Navrhovanú verziu posudzujte na konkrétnej aplikačnej role spolu s ľuďmi, ktorí ju používajú.

Obmedzenia integrácie zaznamenajte. Aplikácia môže poskytnúť zoznam účtov, ale nie históriu používania. Údaj o poslednej aktivite nemožno doplniť odhadom len preto, aby záznam pôsobil úplne. Jasný prehľad dostupných informácií pomôže pri kontrole aj pri rozhodovaní, ktoré prepojenia treba rozšíriť.

Dajte technickým účtom vlastný životný cyklus

Výskum a administratíva môžu závisieť od účtov aplikácií alebo naplánovaných úloh. Taký účet môže zostať potrebný aj po odchode svojho tvorcu. Má mať zdokumentovaný účel a zodpovedného vlastníka; nemožno s ním automaticky zaobchádzať ako s bežným zamestnaneckým účtom.

Vyberte typický účet v prostredí bez citlivých údajov. Určte službu, ktorá od neho závisí, potrebné oprávnenia a tím oprávnený rozhodovať o zmenách. Prepojenie účtu na človeka a zodpovednosť za službu môžu predstavovať odlišné vzťahy. Model identít ich má jasne rozlišovať.

Pri hodnotení easyIGA overte postup dostupný pre daný typ účtu v navrhovanej verzii. Potvrďte, ktoré informácie dodáva pripojený zdroj a ktoré vedie organizácia samostatne. Zo zoznamu účtov nevyvodzujte univerzálne zisťovanie strojových identít.

Otestujte zmenu v zodpovednom tíme. Technická služba môže pokračovať aj vtedy, keď výskumník alebo správca odíde. Správnou akciou môže byť skôr zmena zodpovednosti než okamžité odstránenie účtu. Toto rozhodnutie patrí niekomu, kto rozumie závislosti.

Stránka o účtoch bez vlastníka a strojových identitách vysvetľuje rozsah, ktorý treba prebrať. Prihlasovacie údaje, privilegované relácie a overovanie strojových identít môžu vyžadovať ďalšie opatrenia. Riadenie identít má s nimi prepájať zodpovednosti a rozhodnutia z kontrol; nenahrádza každú časť bezpečnostnej architektúry.

Určte náklady aj zodpovednosť za prevádzku

Za softvérovú licenciu midPointu sa neplatí. Niektoré funkcie midPointu, napríklad simulácie, klastrovanie pre vysokú dostupnosť alebo iná databáza ako PostgreSQL, vyžadujú predplatné od spoločnosti Evolveum. Zabezpečíme vám ho a zahrnieme do cenovej ponuky. easyIGA je komerčný produkt s ročným predplatným podľa počtu spravovaných identít a nasadením v dohodnutom rozsahu. Vyžiadajte si aktuálne podmienky pre skupiny používateľov a funkcie, ktoré škola potrebuje.

Počet identít si dohodnite zvlášť pozorne. Študent môže byť zároveň zamestnancom a hosť môže mať viac záznamov. Overte, ako sa počíta jeden človek s viacerými vzťahmi a ktoré servisné účty patria do rozsahu. Počet riadkov v jednom zdrojovom systéme nemusí zodpovedať počtu spoplatnených identít.

Do ponuky zahrňte skutočnú implementačnú prácu. Príprava údajov, popisy rolí a testovanie aplikácií sú potrebné aj pri existujúcom konektore. Určte systémy prvej fázy, zodpovednosti pri migrácii, podmienky prevzatia a samostatne rozsah neskorších etáp.

easyIGA sa štandardne prevádzkuje na vlastnej infraštruktúre. Ak ju nemáte, na požiadanie je dostupná spravovaná prevádzka v EÚ. Porovnajte prácu vlastného tímu s rozsahom ponúkanej služby vrátane údržby a obnovy. Samotné miesto prevádzky neurčuje všetky zmluvné ani bezpečnostné podmienky.

Použite informácie o cene a stránku o nasadení na prípravu diskusie o konkrétnom rozsahu. Akademická zľava či predplatné iného dodávateľa midPointu sa automaticky nevzťahujú na easyIGA. Obchodné podmienky si potvrďte osobitne.

Rozlišujte prístupové práva od akademických rozhodnutí

Systém má vykonávať schválené rozhodnutia školy, nie odhadovať postavenie študenta či zamestnanca. Zápis na štúdium, pracovný pomer a účasť na výskume majú vlastných správcov. Až spoľahlivé údaje od nich možno použiť na prideľovanie prístupov.

Oprava študijného záznamu môže viesť k zmene prístupu do výučbovej aplikácie. IAM tím musí vedieť, ktorý údaj je rozhodujúci a ako sa oprava potvrdí. Z existencie či chýbania aplikačného účtu nemožno odvodzovať, či človek má alebo nemá postavenie študenta.

Toto rozdelenie úloh zohľadnite aj pri podpore. Chýbajúci prístup môže vyžadovať opravu identity alebo rozhodnutie študijného oddelenia. Podpora musí vedieť, komu prípad odovzdať. Výsledok z aplikácie následne potvrdí, kedy sa zmena skutočne dokončila.

Vyhodnoťte pracovný postup s ľuďmi, ktorí ho budú používať

Do pilotu zapojte žiadateľa, schvaľovateľa aj špecialistu zodpovedného za integráciu. Každý vidí inú časť postupu. Ich spoločné hodnotenie ukáže viac než ukážka určená iba technickému správcovi.

Vyberte niekoľko typických situácií. Bežná žiadosť preverí ovládanie, súbežné vzťahy jednej osoby preveria model identít a zmena garanta hosťa preverí rozdelenie zodpovedností. Aplikácia bez potvrdeného výsledku ukáže, ako tím rieši výnimky.

Začnite fiktívnymi údajmi a vopred opíšte správny výsledok každého testu. Zaznamenajte verziu, nastavený rozsah a údaje, ktoré ukážka preukázala. Plánované funkcie odlíšte od tých, ktoré ste už overili.

Spoločnosť Evolveum na stránke o vysokom školstve poskytuje odvetvový kontext pre midPoint. 14+ nasadení midPointu nášho tímu dokladá skúsenosti s implementáciou, nie univerzitné referencie easyIGA. Produkt posudzujte podľa aktuálnych postupov a podkladov potrebných pre vašu inštitúciu.

Dohodnite si 30-minútovú ukážku s naším tímom. Vyberte zmenu vzťahu človeka k škole alebo kontrolu prístupu, ktorá vám dnes spôsobuje problémy. Na konkrétnom príklade zistíme, či má zmysel overiť easyIGA vo vašom prostredí.