Rollenbasierte Zugriffskontrolle

RBAC (Roles Based Access Control) verfügt in Omnissa Intelligence über vordefinierte Rollen, die Sie Administratoren zuweisen können, um ihnen den Zugriff auf die von ihnen verwendeten Omnissa-Ressourcen zuzuweisen. Wenn Sie Berechtigungen benötigen, die durch die vordefinierten RBAC-Rollen nicht erfasst werden, können Sie eine benutzerdefinierte Rolle erstellen, um Ihren Anwendungsfall zu berücksichtigen.

Woher kommen Administratoren?

Das Einrichten von RBAC umfasst das Zuweisen von Administratoren zu ihren jeweiligen Rollen. Sie können Administratoren von mehreren Orten aus zuweisen.

Omnissa Workspace ONE UEM
Azure Active-Directory-Gruppen
Omnissa Connect

Informationen zu Datenzugriffsrichtlinien (DAP)

Wenn Sie eine DAP (Datenzugriffsrichtlinie) verwenden möchten, um Daten einzuschränken, die ein Analytiker oder ein Benutzer einer DAP-konformen benutzerdefinierten Rolle sieht, können Sie sie während des RBAC-Prozesses zuweisen, müssen aber zuerst die Richtlinie konfigurieren. Details finden Sie im Thema DAP.

Workspace ONE UEM

Intelligence kann Benutzerdaten von Workspace ONE UEM abrufen, sowohl von Standardbenutzern als auch von verzeichnisbasierten Benutzern.

Standardbenutzer sind einzelne Konten, die nicht über einen Identitätsdienst verwaltet werden.
- Sie benötigen keine Unternehmensinfrastruktur.
- Diese Anmeldedaten sind nur in Workspace ONE UEM vorhanden und weisen keine Verbundsicherheit auf.
Verzeichnisbasierte Benutzer werden in einem Identitätsdienst verwaltet und werden in Workspace ONE UEM hineingezogen.
- Diese Benutzer greifen mit ihren Verzeichnisdaten auf Ressourcen zu, und alle Änderungen an deren Konten werden mit Workspace ONE UEM synchronisiert.

Verfahren

Fügen Sie in UEM und in Intelligence zuerst eine Intelligence-Administratorrolle in UEM hinzu und weisen Sie diese Rolle dann Administratoren zu. Lassen Sie den Administrator versuchen, sich bei Intelligence anzumelden, um den Anforderungszugriffsmechanismus auszulösen. Das System schickt Ihnen die entsprechende Administratoranforderung per E-Mail. Mit der E-Mail können Sie Berechtigungen erteilen und RBAC-Konten in Intelligence konfigurieren.

Fügen Sie in der Workspace ONE UEM console eine Rolle für Administratoren hinzu, um auf Intelligence zuzugreifen.
1. Wählen Sie die Organisationsgruppe aus.
2. Navigieren Sie zu Konten > Administratoren > Administratorrollen > Rolle hinzufügen.
3. Geben Sie einen Namen und eine Beschreibung ein, damit Sie die Rolle in der Listenansicht finden können. Intelligence Admin - Grants admins access to the Intelligence console.
4. Geben Sie in das Textfeld Ressourcen durchsuchen Intelligence ein, um die Rolle „Intelligence“ anzuzeigen.
  - Diese Rolle befindet sich unter Kategorien > Monitor > Intelligence.
5. Geben Sie Administratoren Lese- und Bearbeiten-Berechtigungen.
  - Die Rolle Intelligence Admin ist jetzt verfügbar, um Administratoren in Workspace ONE UEM zuzuweisen.
Fügen Sie in der Workspace ONE UEM console Administratoren hinzu und weisen Sie Ihnen die Rolle Intelligence zu.
- Navigieren Sie zu Konten > Administratoren > Administratoren > Hinzufügen > Administrator hinzufügen.
- Wählen Sie Standard oder Verzeichnis aus.
  - Standard: Geben Sie auf der Registerkarte Standard die erforderlichen Einstellungen ein, einschließlich Benutzername, Kennwort, Vor- und Nachname.
    - Sie können die 2-Faktor-Authentifizierung aktivieren, bei der Sie zwischen E-Mail und SMS als Übermittlungsmethode und die Ablaufzeit für Token in Minuten wählen.
    - Sie können auch zwischen „Keine“, „E-Mail“ und „SMS“ als Option für die Benachrichtigung wählen.
    - Administratoren erhalten eine automatisch generierte Antwort.
  - Verzeichnis: Geben Sie den Domänen- und Benutzernamen für die Verzeichnisdaten des Administrators ein.
- Wählen Sie die Registerkarte Rollen und dann die Organisationsgruppe aus. Geben Sie die zuvor hinzugefügte Rolle Intelligence Admin ein.
Administratoren können sich bei Intelligence anmelden und den Vorgang Zugriff anfordern abschließen.
- Wenn Sie auf der Seite Beschränkter Zugriff die Schaltfläche Zugriff anfordern auswählen, sendet das System eine E-Mail-Benachrichtigung an zehn aktive Administratoren, die in der Konsole über die Rolle Administrator verfügen, um den Eintrag zu genehmigen.
- Wenn Benutzer bereits den Zugriff angefordert haben und Zugriff anfordern auswählen, werden sie von der Konsole zur Eingabe Ihrer vorherigen Anforderung aufgefordert, lässt sie aber auch eine andere Anforderung senden.
Überprüfen Sie Ihre E-Mail auf Benachrichtigungen mit dem Inhalt Anforderung auf Administratorzugriff und genehmigen Sie diese.
Fügen Sie Administratoren in Intelligence hinzu.
1. Navigieren Sie in Intelligence zu Konten > Administratoren.
2. Wählen Sie die Registerkarte Administrator.
3. Wählen Sie Hinzufügen aus, um auf das Widget Rollenbasierter Zugriff für Intelligence zuzugreifen.
4. Geben Sie auf der Registerkarte Administrator suchen den Namen des Administrators in das Textfeld ein.
5. Wählen Sie Weiter, um fortzufahren.
6. Wählen Sie auf der Registerkarte Rollenzuweisung die entsprechende Rolle aus und speichern Sie das Administratorkonto.
  - Sie können ein DAP einem Analysten oder einem DAP-konformen Benutzer einer benutzerdefinierten Rolle zuweisen.
7. Speichern Sie die Einstellungen.

Microsoft Azure Active Directory

Um Administratoren und Administratorgruppen aus Azure-Active-Directory (AD) für die rollenbasierte Zugriffssteuerung (RBAC) in Intelligence hinzuzufügen, müssen Sie die Kommunikation zwischen Intelligence und Ihrer Azure-Umgebung autorisieren. Anschließend können Sie Administratoren und Administratorgruppen aus Ihrer AD-Umgebung zu Intelligence hinzufügen.

Microsoft Graph-API für die Kommunikation

Intelligence verwendet die Microsoft Graph-API, um mit Ihrer Azure-Umgebung zu kommunizieren.

Intelligence speichert minimale Informationen aus Azure, etwa Vor- und Nachname des Benutzers, seine Kontakt-E-Mail-Adresse oder seine verbundenen Gruppen.
Die Integration umfasst keinen regulären Synchronisierungszeitplan oder Abfragevorgang, sondern validiert Informationen, wenn der Benutzer auf Intelligence zugreift.

Voraussetzungen

Sie müssen über die entsprechenden Berechtigungen verfügen, um ein öffentliches Azure AD-Konto zu konfigurieren. Verwenden Sie Ihre Azure AD-Administratoranmeldedaten für die Registrierung. Wenn Sie nicht über Administratorberechtigungen zum Einrichten von Azure AD verfügen, müssen Sie einen Azure AD-Admin bitten, Ihre Umgebung in Intelligence zu registrieren.

Autorisierungsverfahren

Navigieren Sie in Intelligence zu Konten > Administratoren und wählen Sie die Registerkarte Benutzeridentitätsverwaltung.
Wählen Sie Einrichten auf der Karte Microsoft Azure Active Directory aus.
Das System leitet Sie an den Microsoft-Bereich Ihrer Organisation weiter. Wenn Sie über Azure AD-Administratorberechtigungen verfügen, werden Sie vom System aufgefordert, Ihre Azure AD-Anmeldedaten einzugeben.
Klicken Sie im Microsoft-Fenster auf Akzeptieren, um Intelligence Berechtigungen für den Zugriff auf Daten in Azure zu erteilen. Wenn das System die Berechtigungen akzeptiert, wird die Microsoft Azure Active-Directory-Integration als Status: Autorisiert angezeigt.
- Erteilen Sie die Berechtigung zum Anmelden und Lesen von Benutzerprofilen in Azure.
- Erteilen Sie die Berechtigung zum Lesen aller Gruppen in Azure.
- Erteilen Sie die Berechtigung zum Lesen der vollständigen Profile aller Benutzer in Azure.

Hinzufügen von Administratoren und Administratorgruppen

Navigieren Sie in Intelligence zu Konten > Administratoren.
Wählen Sie Hinzufügen aus, um auf das Widget Rollenbasierter Zugriff für Intelligence zuzugreifen.
- Wenn Sie die Kommunikation zwischen den beiden Systemen nicht autorisiert haben, haben Sie keinen Zugriff auf die Schaltfläche Hinzufügen.
Geben Sie auf der Registerkarte Administrator suchen den Namen des Administrators in das Textfeld ein.
Wählen Sie Weiter, um fortzufahren.
Wählen Sie auf der Registerkarte Rollenzuweisung die entsprechende Rolle aus und speichern Sie das Administratorkonto.
- Sie können ein DAP einem Analysten oder einem DAP-konformen Benutzer einer benutzerdefinierten Rolle zuweisen.
Speichern Sie die Einstellungen.
Bewegen Sie Administratoren dazu, sich bei Intelligence anzumelden.
- Diese Administratoren werden in Intelligence auf der Seite Konten > Administratoren als Unbekannt (nicht angemeldet) angezeigt, da das System diese Daten nicht aus Azure abruft.
- Nachdem der Administrator sich bei Intelligence angemeldet hat, wird der Status aufgelöst.

Omnissa Connect

Omnissa Connect ist ein webbasierter Dienst, der einen zentralen Zugriffspunkt für alle Omnissa-Dienste und -Lösungen bietet. Er wurde entwickelt, um eine Reihe von gemeinsamen Funktionen bereitzustellen, um die sichere und verbesserte Nutzung von Omnissa-Produkten und -Plattformen zu ermöglichen.

Hinweis: Wenn Sie Administratoren mit Hilfe von Omnissa Connect hinzufügen, können Sie in Intelligence keine Administrator-Datensätze bearbeiten. Um Änderungen vorzunehmen, müssen Sie zu Omnissa Connect wechseln. Weitere Informationen finden Sie unter Administratoren.

Beschreibung der RBAC-Rollen

Die rollenbasierte Zugriffssteuerung (RBAC) enthält die Administratortitel „Analytiker“, „Auditor“, „Administrator“ und „Automatisierer“. Jede Rolle verfügt über spezifische Berechtigungen, um mit dem entsprechenden Zugriff auf Intelligence-Funktionen eine schnelle Zuweisung zu ermöglichen.

Um einen Super-Admin zu erstellen, weisen Sie dem Administratorkonto alle Rollen zu. Intelligence beinhaltet keine separate Rolle für einen Super-Admin.

Administrator: Der Administrator kann Identitäts- und Zugriffsverwaltung, Administratoren und Integrationen erstellen.
- Erkenntnis Berechtigung – Lesen
- Einstellungen Berechtigungen – Erstellen, aktualisieren und löschen
Analytiker: Analytiker können eigene Objekte erstellen, bearbeiten und löschen und in Abhängigkeit von ihren Berechtigungen andere Objekte bearbeiten. Sie können jedoch keine Einstellungen oder Workflows bearbeiten.
- Erkenntnis Berechtigung – Lesen
- Dashboards Berechtigungen – Erstellen, aktualisieren und löschen
- Berichte Berechtigungen – Erstellen, aktualisieren und löschen
Auditor: Auditoren können zu Prüfzwecken einsehen, welche Inhalte andere Administratoren erstellen. Sie haben Lesezugriff auf alle erstellten Inhalte. Wenn Sie über einen Auditor verfügen, der auch Objekte bearbeitet, fügen Sie dem Konto eine der anderen Rollen hinzu.
- Erkenntnis Berechtigung – Lesen
- Dashboards Berechtigung – Lesen
- Berichte Berechtigung – Lesen
- Workflows Berechtigung – Lesen
- Einstellungen Berechtigung – Lesen
Automatisierer: Automatisierer können Automatisierungen erstellen, bearbeiten und löschen. Sie können auch Integrationen in den Einstellungen konfigurieren, die in Automatisierungen verwendet werden. Indem Sie andere Administratoren am Erstellen von Automatisierungen hindern, können Sie die starken Auswirkungen der Automatisierungen auf die Endpoints besser steuern. Dies hilft auch, die Erstellung von sich überschneidenden oder in Konflikt stehenden Automatisierungen zu verringern.
- Erkenntnis Berechtigung – Lesen
- Workflows Berechtigungen – Erstellen, aktualisieren und löschen
- Integrationen Berechtigungen – Erstellen, aktualisieren und löschen

Benutzerdefinierte Rollen

Benutzerdefinierte Rollen bieten eine Alternative zu RBAC-Rollen, da Sie diesen Instanzen mit benutzerdefinierten Rollen präzise Berechtigungen zuweisen können, wenn die vordefinierten RBAC-Rollen keine Berechtigungen enthalten oder einschränken, die für spezielle oder gelegentliche Benutzer erforderlich sind. Fügen Sie benutzerdefinierte Rollen auf der Registerkarte Rollen hinzu, auf der Sie eine Liste der Rollen, deren zugewiesenen Benutzer, Rollentypen (System oder Benutzerdefiniert) finden und ob die Rolle Datenzugriffsrichtlinien (DAP) enstpricht.

Hinweis: Benutzerdefinierte Rollen können keine Datenzugriffsrichtlinien (DAP) verwenden, wenn sie nicht DAP-konform sind.

Erforderliche Berechtigungen

Um benutzerdefinierte Rollen zu verwenden, müssen Sie über eine der aufgelisteten Omnissa-Berechtigungen verfügen.

Mobile-Analytics-Add-On
Experience-Management-Add-On
Risikoanalyse-Add-On
Intelligence-Add-On oder Workspace ONE Enterprise

Hinzufügen einer benutzerdefinierten Rolle

Fügen Sie eine benutzerdefinierte Rolle hinzu, damit Sie sie Benutzern zuweisen können.

Navigieren Sie in Intelligence zu Konten > Administratoren und wählen Sie die Registerkarte Rollen.
Wählen Sie Hinzufügen und konfigurieren Sie dann die Berechtigungen für die benutzerdefinierte Rolle.

Sie können mehrere Berechtigungen konfigurieren.
Speichern Sie die benutzerdefinierte Rolle. Die Rolle ist jetzt für die Benutzerzuweisung verfügbar.

Zuweisen, Aufheben der Zuweisung, Bearbeiten oder Löschen einer benutzerdefinierten Rolle

Navigieren Sie in Intelligence zu Konten > Administratoren und wählen Sie die Registerkarte Rollen.
Wählen Sie aus der Liste eine Rolle aus.
Wählen Sie die Registerkarte Benutzer aus und verwenden Sie das Widget zum Zuweisen, Aufheben der Zuweisung, Bearbeiten oder Löschen der benutzerdefinierten Rolle. Sie können die Rolle bearbeiten und löschen, wenn Sie auch die Registerkarte Rollenberechtigungen auswählen.
- Weisen Sie die Rolle Benutzern zu.
  1. Wählen Sie Benutzer zuweisen aus.
  2. Wählen Sie aus der Liste Benutzer aus. Sie können im Suchfeld nach einem Benutzer suchen, indem Sie seine E-Mail-Adresse, seinen Vornamen oder seinen Nachnamen eingeben.
  3. Wählen Sie Benutzer zuweisen, um den Vorgang abzuschließen.
- Heben Sie die Benutzerzuweisung einer Rolle auf. Wenn keine Liste von Benutzern vorhanden ist, wurde die benutzerdefinierte Rolle dieses Mal keinem Benutzer zugewiesen.
  1. Wählen Sie einen einzelnen Benutzer oder mehrere Benutzer aus, bei dem/denen die benutzerdefinierte Rolle nicht mehr benötigt wird.
  2. Wählen Sie Benutzerzuweisung aufheben und bestätigen Sie Ihre Auswahl.
- Bearbeiten Sie Rollen.
  1. Wählen Sie Rolle bearbeiten aus.
  2. Nehmen Sie Änderungen am Namen, der Beschreibung oder den Berechtigungen der benutzerdefinierten Rolle vor und speichern Sie Ihre Änderungen.
- Löschen Sie Rollen.
  1. Wählen Sie Rolle löschen aus.
  2. Das System kann eine gelöschte benutzerdefinierte Rolle nicht zurückholen. Seien Sie sich daher sicher, dass Sie die Rolle löschen möchten, bevor Sie den Vorgang abschließen.
Wählen Sie die Registerkarte Rollenberechtigungen aus, um den aktuellen Geltungsbereich der ausgewählten benutzerdefinierten Rolle anzuzeigen. Von hier aus können Sie die Rolle bearbeiten oder löschen oder sie so belassen, wie sie ist.

Bearbeiten von RBAC-Berechtigungen

Wenn Sie RBAC-Berechtigungen in Intelligence ändern, sendet das System eine E-Mail mit dem Inhalt Rolle für Konto festgelegt an den RBAC-Benutzer. Die Benachrichtigung informiert darüber, wer die Berechtigungen geändert hat und welche Berechtigungen geändert wurden.

Übertragen der Zuständigkeit für Dashboards und Berichte

Sie können Dashboards und Berichte für andere Intelligence-Benutzer freigeben. Der Besitzer des Objekts (Dashboard oder Bericht) hat vollen Zugriff, während die Benutzer, mit denen er das Objekt gemeinsam nutzt, Lesezugriff oder Lese-/Schreibzugriff erhalten.

Als Erweiterung der Funktion zur gemeinsamen Nutzung können Administratoren mit der Rolle Administrator auch die Zuständigkeit für Dashboards und Berichte übertragen. Diese Funktion ist hilfreich, wenn Administratoren Ihre Organisation verlassen, weil ihren Intelligence-Objekten dann kein aktiver Administrator für die Verwaltung mehr zugewiesen ist. Um diese Objekte einem aktiven Administrator zuzuweisen, können Administratoren nach nicht zugewiesenen Objekten suchen und diese neu zuweisen.

Weitere Informationen zur Übertragung der Zuständigkeit für Dashboards finden Sie unter Übertragen der Zuständigkeit für Dashboards.
Weitere Informationen zur Übertragung der Zuständigkeit für Berichte finden Sie unter Übertragen der Zuständigkeit für Berichte.

War diese Seite hilfreich?