Управление доступом и привилегиями
Управляйте запросами на доступ, правами, проверками, ограничениями ролей и временными привилегиями с сохранением подтверждающих записей.
- Задайте границыУкажите тенант, ресурс, владельца, согласующего и деловую причину.
- Настройте ограниченияПеред публикацией оцените политику назначения и правила разделения обязанностей.
- Запросите доступПодайте запрос с обоснованием, указав конкретные права и срок; решение должен принять независимый согласующий.
- Проведите проверку доступаПроверьте назначения в нужной области, зафиксируйте решения и убедитесь, что необходимые меры выполнены.
- Завершите привилегированный доступДождитесь истечения срока или отзовите временные права и проверьте запись аудита.
Запросы и согласование
В запросе указываются тенант, ресурс, роль или право, причина и период действия. Создание запроса и его согласование — отдельные действия; где это требуется, самосогласование и цели в другом тенанте блокируются. Отклонённый или просроченный запрос не даёт доступа. Согласующие принимают решение на основе зафиксированной необходимости и результата проверки политики, а не неформальных сообщений.
- Запросите конкретный ресурс и укажите причину и дату окончания.
- Направьте запрос уполномоченному независимому согласующему и проверьте записанное решение.
- После завершения работы отзовите доступ и убедитесь, что назначение стало неактивным.
Права и наборы разрешений
Каталоги и наборы разрешений поддерживают черновики с версиями, публикацию и откат в виде новой версии. Назначение пользователям или группам может иметь срок действия и требовать независимого решения. Устаревший режим и режим только для назначенных пользователей подчиняются опубликованной политике приложения. Наборы разрешений не отменяют границы тенантов и правила разделения обязанностей.
- Перед редактированием проверьте состав набора разрешений, владельца и целевое приложение.
- Проверьте и опубликуйте утверждённую версию; убедитесь, что она активна.
- Запросите назначение с обоснованием и сроком, затем проверьте его состояние.
Иерархия ролей и разделение обязанностей
Иерархия ролей и политика разделения обязанностей ограничивают сочетания прав. Проверяйте модель и версионируйте политики; для исключения нужен отдельный запрос, независимое согласование и последующий отзыв. Изменение родительской роли может повлиять на дочерние роли. Не расширяйте роль в обход конфликта: исключения должны быть узкими и ограниченными по времени.
- Смоделируйте предлагаемое сочетание ролей по действующей политике тенанта.
- Опубликуйте проверенную политику и убедитесь, что ожидаемые конфликты выявлены.
- Запросите исключение с обоснованием и сроком действия; отзовите его, когда необходимость отпадёт.
Проверки доступа и кампании
Проверки доступа подтверждают необходимость членства и назначенных прав. В кампании задаются состав участников, проверяющие и срок; проверяющие принимают решение по каждому пункту. Принятие решения и последующий отзыв доступа — разные этапы. Следите за просроченными задачами по состоянию кампании: отсутствие ответа не является согласием.
- Создайте кампанию для нужного тенанта, назначьте ответственных проверяющих и задайте срок.
- Подтвердите необходимость или отзовите каждое назначение, указав причину.
- Проверьте завершение кампании и отдельно убедитесь, что изменения применены к назначению.
PIM, усиленная проверка и экстренный доступ
Право на активацию через PIM ещё не означает, что привилегия включена. Для активации могут потребоваться причина, срок, согласование и свежая проверка, привязанная к пользователю, либо устойчивая к фишингу проверка. Не обходите защищённые проверки. Для экстренного доступа предусмотрены отдельное подтверждение и аудит; это не обычный способ обойти отсутствие роли или фактора.
- Проверьте право на активацию, фактор и разрешённый срок.
- Пройдите настоящую усиленную проверку и убедитесь, что роль активна до указанного срока.
- Завершите доступ или дождитесь его истечения; проверьте привилегированный сеанс и аудит.
Рабочие процессы и подтверждающие данные
Рабочие процессы жизненного цикла поддерживают триггеры, действия, версии, согласование, поэтапный выпуск, откат и мониторинг запусков. Проверяйте конфигурацию и используйте пробный запуск, если он доступен. При наличии прав запуски можно приостанавливать, возобновлять, отменять, повторять или согласовывать. Для аудиторских выгрузок, сроков хранения и юридических блокировок действуют отдельные правила; при исправлении рабочего процесса сохраняйте его историю.
- Проверьте триггеры и действия, выполните пробный запуск и изучите его последствия.
- Запросите согласование, подготовьте поэтапный выпуск и опубликуйте нужную версию.
- Следите за состоянием запуска; перед повтором оцените риск дублирования действий.
Часто задаваемые вопросы
Можно ли согласовать собственный запрос?
Нет, если процесс требует независимой проверки. Направьте запрос другому уполномоченному согласующему.
Назначение набора разрешений применяется сразу?
Оно может ожидать согласования и в любом случае зависит от членства, срока действия и политики.
Что делать, если политика разделения обязанностей блокирует доступ?
Изучите результаты моделирования и запросите узкое исключение, если политика это допускает.
Активна ли роль PIM, доступная для активации?
Нет. Активируйте её с требуемой усиленной проверкой и проверьте ограниченный срок действия.
Завершение проверки автоматически отзывает доступ?
Проверьте назначение отдельно: решение по итогам проверки и его применение — разные действия.
Можно ли удалить аудиторские данные после ошибки?
Нет. Исправьте настройку новой версией или откатом, сохранив историю аудита и юридические блокировки.