Governance

Verwenden Sie in Omnissa Connect den Bereich Governance, um mit vielen grundlegenden Funktionen der Identitäts-Governance und -Administration (IGA) zu arbeiten, wie z.B. Steuern von Rollenanforderungen und Standardrollen in IGA-fähigen Organisationen, Verwalten von OAuth-App- und Admin-Zugriffsverletzungen und Verwalten von API-Token. Wenn Sie erweiterte IGA-Funktionen verwenden möchten, erfahren Sie, wie Sie diese Funktionen für Ihre Verbunddomänen aktivieren und verknüpfen können.

Anforderungen für die Verwendung von IGA-Funktionen

Damit Sie IGA-Funktionen verwenden können, muss Ihre Organisation über Verbunddomänen verfügen.

Vorteile der Verwendung von IGA-Funktionen

Als	Mit Standard-IGA	Mit erweiterter IGA
Besitzer	- Greifen Sie in Omnissa Connect auf die Seite IGA-Dashboard-Governance zu. - Aktivieren oder deaktivieren Sie die Fähigkeit Ihrer Mitglieder, Self-Service-Anforderungen für zusätzliche Rollen zu übermitteln. - Steuern Sie den Zugriff auf Dienste in Ihrer Organisation, indem Sie eingehende Anfragen zu Organisations- und Dienstrollen verwalten. - Überwachen Sie Verstöße und reagieren Sie sofort auf Bedrohungen.	Onboarding eines Diensts in jeder Governance-aktivierten Organisation, die mit Ihrem Unternehmensidentitätsanbieter verknüpft ist.
Mitglied	Wenn in der Organisation diese Option aktiviert ist, übermitteln Sie Self-Service-Zugriffsanforderungen für zusätzliche Organisations- und Dienstrollen.	Führen Sie das Onboarding in jeder Governance-aktivierten Organisation durch, die mit Ihrem Unternehmensidentitätsanbieter verknüpft ist.

Erweiterte IGA

Unternehmensadministratoren von Verbunddomänen können erweiterte IGA-Funktionen für Organisationen in ihrem Unternehmen über das Dashboard in der Organisation des Unternehmensverbunds aktivieren oder deaktivieren.

Im Abschnitt Zugehörige Organisationen des Dashboards „Unternehmensverbund“ können Sie eine Liste der Organisationen in Ihren Verbunddomänen anzeigen, für die erweiterte IGA-Funktionen aktiviert oder deaktiviert sind. Als Unternehmensadministrator können Sie den Zugriff auf die erweiterten IGA-Funktionen für alle Organisationen in Ihrem Unternehmen verwalten.

Aktivieren erweiterter IGA-Funktionen

Ein Unternehmensadministrator muss die erweiterten IGA-Funktionen für bestimmte oder alle Omnissa Connect Organisationen aktivieren, die mit dem Identitätsanbieter des Unternehmens verknüpft sind.

Melden Sie sich bei der Verwaltungsorganisation an.
Navigieren Sie im linken Navigationsbereich zu Identitätsverwaltung > Unternehmensverbund. Sie sehen nun das Dashboard Unternehmensverbund.
Wählen Sie die Kachel Mit Unternehmens-IdP verknüpfte Organisation aus.
Wählen Sie in der angezeigten Liste der Organisationen eine oder mehrere Organisationen aus, für die erweiterte IGA-Funktionen aktiviert werden sollen.
Wählen Sie Aktivieren erweiterter Funktionen.

Die Besitzer der ausgewählten Organisationen können jetzt die erweiterten IGA-Funktionen nutzen.

Einen Identitätsanbieter verknüpfen

Wenn es sich bei Ihrer Domäne um einen Verbund handelt, können Sie mit Hilfe der erweiterten Funktionen von Identitäts-Governance und -Administration (IGA) Nicht-Organisationsbenutzer problemlos in Omnissa Connect integrieren.

Verknüpfen Ihrer Organisation mit Ihrem Identitätsanbieter (IdP). Nur Besitzer von Verbunddomänen können ihre Organisationen mit ihrem IdP verknüpfen.

Melden Sie sich bei Omnissa Connect an und wählen Sie Organisationseinstellungen aus.
Scrollen Sie nach unten zum Abschnitt Mit Identitätsanbieter verknüpfte Domänen. Wählen Sie Identitätsanbieter verknüpfen.
Daraufhin werden der Identitätsanbieter und Ihrer Organisation zugeordnete Domänen in einem Popup-Fenster angezeigt.
Wählen Sie Verknüpfen und dann Weiter.

Für Ihre Organisation sind jetzt erweiterte IGA-Funktionen verfügbar, wenn der Unternehmensadministrator im Dashboard Unternehmensverbund erweiterte IGA-Funktionen aktiviert hat.

Anforderungen

Als Besitzer einer IGA-fähigen (Identitäts-Governance und -Administration) Organisation verwalten Sie Organisations- und Dienstrollenanforderungen im Abschnitt Administratorzugriff > Governance > Anforderungen.

Aktivieren oder Deaktivieren von Self-Service-Anforderungen

Navigieren Sie zu Administratorzugriff > Governance > Anforderungen > Einstellungen.
Aktivieren oder deaktivieren Sie im Bereich Anfordern zusätzlicher Rollen die Schiebeschaltfläche Status.
Wählen Sie Speichern.

Ausstehende Anforderungen für zusätzliche Rollen verarbeiten

Alle eingehenden Anforderungen für den Zugriff auf Organisations- und Dienstrollen werden auf der Seite Administratorzugriff > Governance > Anforderungen in der Liste Ausstehende Anforderungen aufgeführt. Unter Zurückliegende Anforderungen können Sie Verlaufsdaten für alle in Ihrer Organisation erstellten Anforderungen einsehen.

Um Anforderungen zu genehmigen oder abzulehnen, wählen Sie einen oder mehrere Einträge aus der Liste Ausstehende Anforderungen aus und klicken Sie auf die entsprechende Schaltfläche. Die Administratoren, die den Rollenzugriff anfordern, erhalten eine E-Mail-Benachrichtigung, wenn ihre Anforderung genehmigt oder abgelehnt wird.

Kann ich Zugriffsanforderungen ändern, bevor ich Sie genehmige?

Als Besitzer können Sie den Zeitraum für den Dienstrollenzugriff ändern, der von einem Mitglied angefordert wurde. Sie können den Zeitraum der ursprünglichen Anforderung anzeigen, indem Sie auf den Link Anforderungs-ID klicken. Um den angeforderten Zeitraum zu ändern, klicken Sie auf Genehmigen und dann auf Mit Änderung genehmigen. Ändern Sie die Einstellung und übermitteln Sie die vorgenommene Änderung.

Hinweis: Die Option Mit Änderung genehmigen ist nur für Dienstrollenzugriffsanforderungen verfügbar und gilt nicht für Organisationsrollen.

Besitzer können den Dienstrollenzugriff, der ursprünglich vom Mitglied angefordert wurde, nicht ändern. Wenn Sie den Antragsteller über die genehmigungsfähige Zugriffsebene informieren möchten, können Sie der abgelehnten Anforderung eine Nachricht hinzufügen. Der Anforderer erhält eine E-Mail-Benachrichtigung und kann eine neue Zugriffsanforderung mit den entsprechenden Organisations- und Dienstrollen übermitteln.

Anforderungen und Gewähren von Standardrollen (erweiterte IGA-Funktion)

Als Besitzer in einer IGA(Identity Governance and Administration)-aktivierten Organisation können Sie Administratoren in Ihrer Organisation durch Einrichten einer Richtlinie Standardorganisations- und Dienstrollen zuweisen.

Die über diese Richtlinie gewährten Standardrollen gelten für alle Administratoren, die sich in der Organisation über eine angegebene Verbunddomäne anmelden, und können auf Administratorenebene nicht bearbeitet werden. Um die Standardberechtigungen für Rollen zu ändern, müssen Sie die Richtlinie ändern.

Bekannte Einschränkung

Ein bekanntes Problem besteht darin, dass Sie als Besitzer nicht die Administratoren in Ihrer Organisation anzeigen können, denen gemäß der Richtlinie Standardrollen zugewiesen wurden und die in der Organisation keine weiteren Rollen innehaben. Diese Administratoren werden in Omnissa Connect nicht in der Liste „Administratoren“ angezeigt, es sei denn, sie fordern zusätzliche Rollen an und die Anforderungen werden genehmigt. Nachdem Administratoren mit Standardrollen in der Organisation zusätzliche Rollen erhalten haben, werden sie in der Liste „Administratoren“ angezeigt. Als Besitzer können Sie ihnen zusätzliche Rollen zuweisen.

Voraussetzungen

Ihr Unternehmensidentitätsanbieter ist mit Omnissa Connect verknüpft.
Erweiterte IGA-Funktionen werden in der Organisation aktiviert.
Sie verfügen in der Organisation über eine Rolle vom Typ Besitzer.

Verfahren

Melden Sie sich bei Omnissa Connect an.
Navigieren Sie zu Administratorzugriff > Governance und wählen Sie die Registerkarte Anforderungen aus.
Wählen Sie Einstellungen aus.
Klicken Sie im Abschnitt Standardrollen gewähren auf den Link Domänenrichtlinie hinzufügen.
Vervollständigen Sie das Widget Domänenrichtlinie hinzufügen.
1. Geben Sie einen Namen und eine Beschreibung für die neue Richtlinie ein.
2. Wählen Sie die Domäne aus, auf die Sie die Richtlinie anwenden möchten.
3. Wählen Sie die Organisationsrollen aus, die Sie automatisch allen Administratoren zuweisen möchten, die sich über die angegebene Domäne bei Ihrer Organisation anmelden.
4. Wählen Sie zusätzliche Rollen aus der Liste Zusätzliche Rollen aus.
  - Ein Mitglied benötigt die Rolle Entwickler, um OAuth-Apps erstellen und verwalten zu können.
  - Ein Administrator oder ein Mitglied benötigt die Rolle Schreibgeschützte Abrechnung zum Anzeigen der Abrechnung.
5. Wählen Sie Speichern.

Ergebnisse

Die von Ihnen angegebenen Rollen stehen allen Administratoren aus der angegebenen Domäne nach ihrer Anmeldung bei Omnissa Connect zur Verfügung.

Verstöße

Als Benutzer in einer IGA-fähigen (Identitäts-Governance und -Administration) Organisation überwachen Sie in Ihrer Organisation Zugriffsverletzungen bei Administratoranmeldungen sowie Anmeldungen mit OAuth-Apps und API-Token. Sie definieren und ändern die Richtlinien zum Auslösen von Verstößen.

Sie richten Richtlinien für Verstöße bei Anmeldungen in Ihrer IGA-fähigen Organisation ein, indem Sie verschiedene Auslöser für OAuth-Apps und API-Token aktivieren, wie z.B. inaktive API-Token, inaktive OAuth-Besitzer, breite Dienst-Geltungsbereiche oder unsichere oder nicht genehmigte URIs für OAuth-Apps.

Hinweis: Wenn eine Authentifizierungsrichtlinie Quelldomäne aktiviert ist, werden Benutzerzugriffsverletzungen für alle Anmeldeversuche erfasst, die von Domänen stammen, die gemäß der Richtlinieneinstellung nicht zulässig sind.

Konfigurieren von Richtlinien für Verstöße für OAuth-Apps

Navigieren Sie zu Administratorzugriff > Governance > Verstöße und verwenden Sie die Menüoption Einstellungen.
Ändern Sie auf der Seite OAuth-Apps-Einstellungen die Einstellungen für OAuth-Apps nach Ihren Wünschen.
Wählen Sie Speichern.

Behandlung von Verstößen

Als Besitzer in einer IGA-fähigen (Identitäts-Governance und -Administration) Organisation, die Verstöße überwacht, können Sie gegen die in Ihrer Organisation erkannten Verstöße Maßnahmen ergreifen. Sie können auf die vollständige Liste der Verstöße zugreifen, indem Sie zu Administratorzugriff > Governance > Verstöße navigieren.

Die in Ihrer Organisation erfassten Verstöße werden nach der Art der Authentifizierungsmethode gruppiert, die für die Anmeldung bei Omnissa Connect verwendet wurde und den Verstoß ausgelöst hat. Klicken Sie auf die entsprechende Registerkarte, um die vollständige Liste und mögliche Maßnahmen zur Reaktion auf einen Verstoß anzuzeigen.

Auf der Registerkarte Administratorzugriff > Governance > Verstöße > OAuth-Apps werden der Name der App, die den Verstoß ausgelöst hat, der Schweregrad, die Beschreibung und die E-Mail des Organisationsadministrators angezeigt, der die OAuth-App erstellt hat.
Die Registerkarte Administratorzugriff > Governance > Verstöße > Benutzerzugriff zeigt die E-Mail-Adresse des Organisationsadministrators, dessen Anmeldeversuch den Verstoß ausgelöst hat, den entsprechenden Schweregrad, das Datum des Verstoßes und die Quelldomäne, in der dieser aufgetreten ist. Administratorzugriffsverletzungen werden für Anmeldeversuche von jeder Domäne erfasst, die aufgrund der Authentifizierungsrichtlinie Quelldomäne nicht zulässig ist.
Auf der Registerkarte Administratorzugriff > Governance > API-Token werden der Name des API-Token, das den Verstoß ausgelöst hat, der Schweregrad, die Beschreibung und die E-Mail des Organisationsadministrators angezeigt, der das API-Token erstellt hat.

In der folgenden Tabelle werden die Aktionen beschrieben, die Sie als Reaktion auf Verstöße in Ihrer Organisation durchführen können.

Aktion...	Führen Sie Folgendes durch:
Sichtbarkeit eines Verstoßes ändern	Diese Aktion ändert den Sichtbarkeitsstatus eines Verstoßes von Aktiv in Ausgeblendet. Der Verstoß wird nicht gelöscht und kann rückgängig gemacht werden. 1. Suchen Sie den auszublendenden Verstoß und wählen Sie den entsprechenden Doppelpfeil, um dessen Details auszuklappen. 2. Aktivieren Sie das Kontrollkästchen neben dem aktiven Verstoß, den Sie ausblenden möchten. 3. Wählen Sie Ausblenden aus. Der Verstoß wird nicht mehr im Abschnitt mit den Details angezeigt.
Verstoß anzeigen, der ausgeblendet wurde	Diese Aktion zeigt Verstöße mit dem Status Ausgeblendet an. Klappen Sie den Abschnitt mit den Details eines Verstoßes aus und aktivieren Sie den Umschalter Alle anzeigen. Alle Verstöße, die ausgeblendet wurden, werden angezeigt.
OAuth-App aus Ihrer Organisation entfernen	Diese Aktion entfernt die OAuth-App und blockiert ihren Zugriff auf die Organisation. Die OAuth-App wird nicht gelöscht, jedoch werden von dieser keine weiteren Verstöße gemeldet. Die Entfernungsaktion kann über die Seite Verstöße nicht rückgängig gemacht werden. Um Verstöße von dieser OAuth-App zu überwachen, muss diese erneut zur Organisation hinzugefügt werden. 1. Öffnen Sie auf der Seite Verstöße die Registerkarte OAuth-Apps. 2. Suchen Sie die zu entfernende App. 3. Aktivieren Sie das Kontrollkästchen neben ihrem Namen. 4. Wählen Sie Entfernen aus.
Schweregrad eines Verstoßes bearbeiten	Basierend auf den Anforderungen Ihrer Organisation können Sie den Schweregrad für jedes Verstoßkriterium definieren. 1. Klicken Sie auf der Seite Verstöße auf Einstellungen. 2. Verwenden Sie das Dropdown-Menü Schweregrad, um die Einstellung für Verstoßkriterien nach Ihren Wünschen zu ändern. 3. Wählen Sie Speichern.

API-Token

Als Besitzer in einer Organisation, für die Identitäts-Governance und -Administration (IGA) aktiviert wurde, überwachen Sie die in Ihrer Organisation erstellten API-Token und legen Einschränkungen für Leerlauf und maximale Lebensdauer (Time To Live, TTL) für alle neu erstellten Token fest.

Um auf das Dashboard API-Token zuzugreifen, öffnen Sie Omnissa Connect und navigieren Sie zur Registerkarte Administratorzugriff > Governance > API-Token. Das angezeigte Dashboard enthält eine Liste aller API-Token, die von Administratoren in Ihrer Organisation erstellt wurden.

Für jedes API-Token können Sie Details wie Tokenname, Name des Organisationsadministrators, der das API-Token erstellt hat, Erstellungs- und Ablaufdatum, Datum der letzten Verwendung und Geltungsbereich des Tokens (die dem Token zugewiesenen Organisationsrollen) anzeigen.

Die Liste auf dem Dashboard API-Token zeigt ein Warnsymbol an, wenn gegen die TTL-Richtlinien Ihrer Organisation verstoßen wurde. Die für Ihre Organisation festgelegten TTL-Richtlinien gelten für alle neuen, von den Administratoren in Ihrer Organisation erstellten API-Token. Wenn Sie eine TTL-Richtlinie ändern, wird ein Warnsymbol neben allen zuvor erstellten API-Token angezeigt, die gegen die neue Einstellung verstoßen.

Es gibt zwei TTL-Richtlinieneinstellungen, die Sie aktivieren, deaktivieren oder ändern können:

Idle-Token-TTL: Diese Einstellung definiert die zulässige Lebensdauer im Leerlauf für ein API-Token, bevor es gegen die Richtlinie verstößt.
Max-Token-TTL: Diese Einstellung definiert die maximal zulässige Lebensdauer für alle in Ihrer Organisation erstellten API-Token. Organisationsadministratoren können keine API-Token erstellen, deren Wert für die maximale Token-TTL größer ist als der in dieser Einstellung festgelegte Wert.

Was kann ich tun, wenn ein API-Token gegen eine Richtlinie verstößt?

Wenn ein API-Token gegen eine TTL-Richtlinie in Ihrer Organisation verstößt oder irgendwie verdächtig erscheint, können Sie das Token über das Dashboard API-Token deaktivieren. In diesem Fall kann das Token nicht für den Zugriff auf Ressourcen in der Organisation verwendet werden.

Wählen Sie im Dashboard API-Token das zu deaktivierende API-Token aus.
Klicken Sie auf den Link Deaktivieren.
- Der Status des API-Tokens ändert sich von Aktiviert in Deaktiviert.
- Der Besitzer des API-Tokens erhält eine E-Mail-Benachrichtigung von Omnissa Connect mit dem Hinweis, dass ein für den Zugriff auf die Organisation verwendetes Token von einem Besitzer deaktiviert wurde.
Zum Reaktivieren eines deaktivierten API-Tokens wählen Sie dieses im Dashboard aus und klicken dann auf den Link Aktivieren.
- Der Besitzer des API-Tokens erhält eine E-Mail-Benachrichtigung, in der die erneute Aktivierung bestätigt wird.

Wie ändere ich die TTL-Richtlinien für API-Token?

Um die TTL-Richtlinien für API-Token zu ändern, gehen Sie wie folgt vor:

Wählen Sie auf der Registerkarte Administratorzugriff > Governance > API-Token die Option Einstellungen aus.
- Verwenden Sie zum Aktivieren oder Deaktivieren einer Richtlinie den Schieberegler Richtlinienstatus.
- Geben Sie zum Ändern einer TTL-Einstellung im entsprechenden TTL-Einstellungsabschnitt einen neuen Wert ein und wählen Sie aus der Dropdown-Liste eine Zeiteinheit aus. Die Zeit kann in Minuten, Stunden oder Tagen angegeben werden.
Wählen Sie Speichern.

API-Token-Validierungen finden alle 24 Stunden statt

Validierungen vorhandener Token anhand der Richtlinien finden alle 24 Stunden statt. Es kann einige Zeit dauern, bis die API-Token-Dashboard-Liste der Verstöße aufgrund der von Ihnen vorgenommenen Änderung aktualisiert wird.

War diese Seite hilfreich?