Salasanojen hallinta
Salasanojen hallinta
Salasanojen hallinta on osa Efecte IGA -ratkaisun käyttöoikeuksien hallintaprosessia (access right management, ARM), ja automaatiotasosta (toimitetut liittimet ja integraatiot) riippuu, hallitaanko salasanoja manuaalisesti vai automaattisesti.
Salasanojen hallinta liittyy myös todennukseen, ja useimmissa tapauksissa vahva todennus vaaditaan, kun salasanoja hallitaan.
Huomaa, että IGA-paketit (Starter, Growth, Enterprise) vaikuttavat tähän käyttötapaukseen ja siihen liittyviin toimintoihin, kuten käyttäjän etuoikeutettujen tai fyysisten käyttöoikeuksien hallintaan.
Käyttötapaukset lyhyesti,
1. Käyttäjä vaihtaa oman salasanansa Self-Servicessä
-
Käyttäjä todentautuu Self-Serviceen
- Useimmiten prosessiin lisätään vahva todennus silloin, kun käyttäjä vaihtaa unohtunutta salasanaa, mutta nykyistä salasanaa voi usein vaihtaa ilman vahvaa todennusta.
- Käyttäjä avaa "change my password" -palvelun Self-Servicessä
- Käyttäjä valitsee oikean tilin/sovelluksen, jonka salasanaa hän vaihtaa (jos käyttäjällä on vain yksi tili, tätä vaihtoehtoa ei näytetä)
- Käyttäjä kirjoittaa uuden salasanan ja vahvistaa pyynnön
- IGA-ratkaisu vaihtaa käyttäjän salasanan hakemistoihin ja/tai sovelluksiin automaatiotason mukaisesti
2. Keskitetty käyttäjäryhmä (salasanan hallinnoijat) voi vaihtaa muiden käyttäjien salasanoja Self-Servicessä (kuten esimerkiksi assistentit tai IT-tuki)
-
Salasanan hallinnoija todentautuu Self-Serviceen
- Prosessiin voidaan lisätä vahva todennus
- Salasanan hallinnoija avaa "change passwords" -palvelun Self-Servicessä
- Salasanan hallinnoija valitsee oikean käyttäjän
- Salasanan hallinnoija valitsee oikean tilin/sovelluksen, jos vaihtoehtoja on useita
- Salasanan hallinnoija kirjoittaa uuden salasanan ja vahvistaa pyynnön
- IGA-ratkaisu vaihtaa käyttäjän salasanan hakemistoihin ja/tai sovelluksiin automaatiotason mukaisesti
- Salasana voidaan lähettää käyttäjälle sähköpostitse tai tekstiviestillä (edellyttää, että SMS-yhdyskäytävä on käytössä)
3. Pääkäyttäjä vaihtaa käyttäjien salasanoja IGA-ratkaisussa
-
Pääkäyttäjä todentautuu IGA-ratkaisuun
- Prosessiin voidaan lisätä vahva todennus
- Pääkäyttäjä valitsee oikean IGA Account -tilin
- Pääkäyttäjä voi vaihtaa käyttäjän salasanan tai avata käyttäjän tilin
- Pääkäyttäjä kirjoittaa uuden salasanan ja tallentaa pyynnön
- IGA-ratkaisu vaihtaa käyttäjän salasanan hakemistoihin ja/tai sovelluksiin automaatiotason mukaisesti
- Salasana voidaan lähettää käyttäjälle sähköpostitse tai tekstiviestillä (edellyttää, että SMS-yhdyskäytävä on käytössä)
Käyttötapauksen kuvaus loppukäyttäjille
Tämä käyttötapaus on osa kaikkia IGA-paketteja, mutta sitä voidaan laajentaa Bank ID -todennuksella (vahva todennus) tai kaksivaiheisella todennuksella (2FA); nämä ovat aina paketin lisäosia.
Tämä käyttötapaus sisältää kaikki toiminnot kaikille Efecte IGA -paketeille, ja eri pakettien sisältö on merkitty erikseen
* User lifecycle management -lisäosa
** IGA Growth -paketti
*** Saatavilla vain IGA Enterprise -paketissa
| Kuvaus | |
Yleiskuvaus |
Tässä käyttötapauksessa kuvataan, miten käyttäjä voi pyytää salasanan vaihtoa tai nollata oman nykyisen tai unohtuneen salasanansa. |
Toimijat |
IGA-ratkaisu |
Edellytykset |
Salasanan vaihtopalvelut on julkaistu Self-Servicessä omalla sivullaan (ja mahdollinen vahvan todennuksen lisäosa on määritetty). Jos käyttäjän tulee päästä salasanan vaihtopalveluihin organisaation verkon ulkopuolelta, Self-Servicen tulee olla saatavilla julkisessa verkossa. Tarvittavat liittimet ja integraatiot on toimitettu, ja ne tukevat salasanan vaihtoa hakemistoihin ja sovelluksiin. |
Tulos |
Käyttäjän salasana on vaihdettu hakemistoon tai sovellukseen, tai salasanan vaihtoa varten on luotu manuaalinen tehtävä. Salasana on toimitettu käyttäjälle sähköpostitse, tekstiviestillä tai annettu suullisesti. |
Toimintaketju oman salasanan vaihtamiselle (ilman vahvaa todennusta) |
|
| Toimintaketju unohtuneen salasanan vaihtamiselle (vahvalla todennuksella) |
|
| Toimintaketju salasanan hallinnoijalle |
|
| Self-Service | Change my password Change passwords |
| Viestit | Käyttäjän salasana voidaan toimittaa sähköpostitse, tekstiviestillä tai suullisesti. Sähköposti-ilmoitus voidaan lähettää käyttäjälle, jonka salasana on vaihdettu. |
Delete
Käyttötapauksen kuvaus IGA-pääkäyttäjille
Tämä käyttötapaus sisältää kaikki toiminnot kaikille Efecte IGA -paketeille, ja eri pakettien sisältö on merkitty erikseen
* User lifecycle management -lisäosa
** IGA Growth -paketti
*** Saatavilla vain IGA Enterprise -paketissa
| Kuvaus | |
Yleiskuvaus |
IGA-ratkaisu on keskitetty piste käyttäjän elinkaaren ja käyttöoikeuksien hallinnalle. Tässä käyttötapauksessa kuvataan, miten IGA-pääkäyttäjä (tai muu valtuutettu ryhmä, esimerkiksi IT-tuki) voi nollata tai avata käyttäjien salasanoja. |
Toimijat |
IGA-ratkaisu |
Edellytykset |
Asiakas on osoittanut IGA admin -roolin vähintään yhdelle henkilölle, mieluiten kahdelle henkilölle. Tarvittavat liittimet ja integraatiot on toimitettu, ja ne tukevat salasanan vaihtoa hakemistoihin tai sovelluksiin. |
Tulos |
Käyttäjän salasana on vaihdettu ja toimitettu käyttäjälle. |
Toimintaketju |
|
Viestit |
Salasana voidaan lähettää käyttäjälle sähköpostitse tai tekstiviestillä. |
Laajennusmahdollisuudet
Laajennusmahdollisuudet on jaettu kolmeen kategoriaan, mutta on aina tärkeää arvioida, vaikuttaako pyydetty muutos toimitusaikatauluun tai työarvioihin.
| Kategoria | Kuvaus |
|
Pieni (alle tunti) |
Pienet muutokset eivät yleensä vaikuta toimitusaikatauluun tai työarvioihin, ja myös IGA-pääkäyttäjät voivat tehdä nämä muutokset,
|
|
Keskisuuri (0,5–2 työpäivää) |
Keskisuuria muutoksia voivat olla esimerkiksi,
|
|
Suuri (yli 2 työpäivää) |
Suuret muutokset vievät yleensä enemmän aikaa, koska ne vaativat tarkempaa määrittely- ja testaustyötä. Näitä voivat olla esimerkiksi,
|
Suhteet ja määritysohjeet
Suhteet muihin käyttötapauksiin,
Provisioning - vaaditaan salasanan automaattista vaihtamista varten hakemistoihin tai sovelluksiin, tai manuaalisesti luomalla IGA admin task.
Manage admin tasks - käyttötapaus, jonka avulla IGA-pääkäyttäjät saavat ilmoituksia, kun manuaalinen toimenpide on tarpeen
Manage IGA account - vaaditaan, kun salasana vaihdetaan IGA-ratkaisusta
Lock user account*** - jos käyttäjän tilit ja käyttöoikeudet tulee lukita välittömästi, salasanat vaihdetaan yleensä samanaikaisesti
Manage privilege accesses*** - käyttötapaus sisältää mahdollisuuden vaihtaa myös etuoikeutettujen tilien salasanoja
Manage physical accesses*** - fyysisillä käyttöoikeuksilla on yleensä oma erillinen PIN-koodinsa, jonka käyttäjä voi vaihtaa itse Self-Servicestä
Audits and reports - valmiit raportit ja koontinäytöt käyttöoikeuksien poistojen seurantaan
Manage IGA users - käyttötapaus vaaditaan, jotta loppukäyttäjät ja pääkäyttäjät pääsevät Self-Serviceen tai IGA-ratkaisuun.
Suhteet muihin tietokortteihin,
IGA Account
IGA Service Request
Huomio!
Määritys- ja järjestelmätestausohjeita on kaksi erilaista - varmista, että noudatat oikeaa.
1. Määritysohjeet IGA-pääkäyttäjän toiminnoille
1. Siirry kohtaan IGA Manage Passwords -malli ja etsi työnkulku nimeltä "Account Management Action Workflow"
2. Tarkista työnkulun solmut
3. Julkaise työnkulku
1.1 Järjestelmätestausohjeet IGA-pääkäyttäjän toiminnoille
1. Testikäyttäjän tulee olla Efecte ESM admin. Pääkäyttäjiä hallitaan yleensä Efecte_IGA_Admins-hakemistoryhmän kautta.
2. Ennen testausta ESM:n tulee sisältää:
- IGA Accounts
- Nollaa käyttäjän salasana IGA account -mallista
3. Testaa käyttäjän tilin salasana ja yritä kirjautua uudella salasanalla
4. Avaa käyttäjän tili IGA account -mallista
5. Tarkista kohdehakemistosta, että tili on avattu
2. Määritysohjeet loppukäyttäjille
- Julkaise palvelu "Change My Password" ESS:ssä
- Julkaise palvelu "Change Password" ESS:ssä
- Määritä EPEtask nimeltä "[Directory] IGA Service request: Verify, Add, Remove"
- Määritä yhteysasetukset ja testaa sen jälkeen yhteys EPEtaskista
- Määritä käyttäjä- ja ryhmäsuodattimet sekä asetukset
- Käyttäjän identiteettikartoituksia ei tarvitse muuttaa
- Siirry kohtaan IGA service request ja etsi työnkulku nimeltä "5. IGA Change Password"
- Julkaise työnkulku
2.1 Järjestelmätestausohjeet loppukäyttäjäpalveluille
- Luo testikäyttäjät, kaikki tyypit kuten admin, user ja password manager
- Todentaudu Self-Serviceen ja varmista, että näkyvissä ovat vain sovitut salasanaan liittyvät palvelut
- Testaa Change password -palvelut ESS:stä
- Tarkista ESM:stä, että IGA Service request on suoritettu onnistuneesti
- Testaa kirjautuminen hakemistokäyttäjällä, että uusi salasana on vaihdettu ja toimii