Utilisez la zone Gouvernance dans Omnissa Connect pour utiliser de nombreuses fonctionnalités de base de Gouvernance et administration d'identité (IGA), telles que le contrôle des demandes de rôles et des rôles par défaut dans les organisations où IGA est activé, la gestion des violations d'accès d'administration et d'application OAuth et la gestion des jetons d'API. Si vous souhaitez utiliser des fonctionnalités IGA avancées, découvrez comment les activer et les lier pour vos domaines fédérés.
Conditions requises pour utiliser les fonctionnalités IGA
Votre organisation doit disposer de domaines fédérés pour utiliser les fonctionnalités IGA.
Avantages de l'utilisation des fonctionnalités IGA
| En tant que | avec IGA de base | avec IGA avancée |
|---|---|---|
| Propriétaire | - Accéder à la page Gouvernance du tableau de bord IGA dans Omnissa Connect. - Activer ou désactiver la capacité de vos membres à envoyer des demandes en libre-service pour des rôles supplémentaires. - Régir l'accès aux services dans votre organisation en gérant les demandes de rôle d'organisation et de service entrantes. - Surveiller les violations et répondre immédiatement aux menaces. | Intégrez un service dans toute organisation sur laquelle la gouvernance est activée et liée à votre fournisseur d'identité d'entreprise. |
| Membre | S'il est activé dans l'organisation, envoyez des demandes d'accès en libre-service pour des rôles d'organisation et de service supplémentaires. | Intégrez-vous à toute organisation sur laquelle la gouvernance est activée, liée à votre fournisseur d'identité d'entreprise. |
IGA avancée
Les administrateurs d'entreprise de domaines fédérés peuvent activer ou désactiver les fonctionnalités IGA avancées pour les organisations de leur entreprise à partir du tableau de bord Fédération d'entreprise dans l'organisation de gestion.
La section Organisations associées du tableau de bord Fédération d'entreprise vous permet d'afficher la liste des organisations de vos domaines fédérés pour lesquelles les fonctionnalités IGA avancées sont activées ou désactivées. En tant qu'administrateur d'entreprise vous gérez l'accès aux fonctionnalités IGA avancées pour toutes les organisations de votre entreprise.
Activer les fonctionnalités IGA avancées
Un Administrateur d'entreprise doit activer les fonctionnalités IGA avancées pour une partie ou l'ensemble des organisations Omnissa Connect liées à leur fournisseur d'identité d'entreprise.
- Connectez-vous à l'organisation de gestion.
- Dans le volet de navigation de gauche, accédez à Gestion des identités > Fédération d'entreprise. Vous êtes maintenant dans le tableau de bord Fédération d'entreprise.
- Sélectionnez la vignette Organisation liée au fournisseur d'identité d'entreprise.
- Dans la liste des organisations qui s'affiche, sélectionnez une ou plusieurs organisations pour lesquelles activer les fonctionnalités IGA avancées.
- Sélectionnez Activer les fonctionnalités IGA avancées.
Les propriétaires des organisations sélectionnées peuvent désormais utiliser les fonctionnalités IGA avancées.
Lier un fournisseur d'identité
Si votre domaine est fédéré, vous pouvez utiliser les fonctionnalités IGA (Identity Governance and Administration) pour intégrer facilement des non-administrateurs d'organisation à Omnissa Connect.
Liez votre organisation à votre fournisseur d'identité (IdP). Seuls les Propriétaire de domaines fédérés peuvent lier leurs organisations à leur fournisseur d'identité.
- Connectez-vous à Omnissa Connect et sélectionnez Paramètres de l'organisation.
- Faites défiler jusqu'à la section Domaines liés au fournisseur d'identité et sélectionnez Lier un fournisseur d'identité.
Le fournisseur d'identité et les domaines associés à votre organisation s'affichent dans une fenêtre contextuelle. - Sélectionnez Lier, puis choisissez Continuer.
Les fonctionnalités IGA avancées sont désormais disponibles pour votre organisation si l'Administrateur d'entreprise a activé les fonctionnalités IGA avancées dans le tableau de bord Fédération d'entreprise.
Demandes
En tant que propriétaire d'une organisation dans laquelle le service Gouvernance et administration d'identité (IGA) est activé, vous gérez les demandes de rôles d'organisation et de service via la zone Accès administrateur > Gouvernance > Demandes.
Activer ou désactiver les demandes en libre-service
- Accédez à Accès administrateur > Gouvernance > Demandes > Paramètres.
- Dans la zone Demander des rôles supplémentaires, activez ou désactivez le bouton de la diapositive État.
- Cliquez sur Enregistrer.
Traiter les demandes de rôles supplémentaires en attente
Toutes les demandes entrantes d'accès aux rôles d'organisation et de service sont répertoriées dans la section Demandes en attente de la page Accès administrateur > Gouvernance > Demandes. La zone Demandes passées vous permet d'afficher les données historiques de toutes les demandes créées dans votre organisation.
Pour approuver ou refuser des demandes, sélectionnez une ou plusieurs entrées dans la liste Demandes en attente et cliquez sur le bouton correspondant. Les administrateurs demandant l'accès au rôle reçoivent une notification par e-mail lorsque leur demande est approuvée ou refusée.
Pouvez-vous modifier les demandes d'accès avant de les approuver ?
En tant que Propriétaire, vous pouvez modifier la période d'accès au rôle de service demandée par un Membre. Vous pouvez afficher la période de la demande d'origine en cliquant sur le lien ID de la demande. Pour modifier la période demandée, cliquez sur Approuver, puis sélectionnez Approuver avec modification. Modifiez le paramètre et envoyez la modification que vous avez effectuée.
Remarque : L'option Approuver avec modification est disponible uniquement pour les demandes d'accès à un rôle de service et ne s'applique pas aux rôles d'organisation.
Les Propriétaires ne peuvent pas modifier l'accès aux rôles de service initialement demandés par le Membre. Si vous souhaitez fournir des instructions au demandeur sur le niveau d'accès approprié que vous souhaitez approuver, vous avez la possibilité d'inclure un message lors du refus de leur demande. Le demandeur reçoit une notification par e-mail et peut envoyer une nouvelle demande d'accès avec les rôles d'organisation et de services appropriés.
Demandes et octroi de rôles par défaut (fonctionnalité IGA avancée)
En tant que Propriétaire d'une organisation dans laquelle Gouvernance et administration des identités (IGA) est activée, vous pouvez attribuer des rôles d'organisation et de service par défaut aux administrateurs de votre organisation en configurant une stratégie.
Les rôles par défaut accordés via cette stratégie s'appliquent à tous les administrateurs qui se connectent à l'organisation à partir d'un domaine fédéré spécifié et ne peuvent pas être modifiés au niveau de l'administrateur. Pour modifier les droits de rôle par défaut, vous devez modifier la stratégie.
Restriction connue
Il existe un problème connu qui fait que, en tant que Propriétaire, vous ne pouvez pas afficher les administrateurs de votre organisation qui se sont vus accorder des rôles par défaut en fonction de la stratégie et qui ne disposent d'aucun autre rôle dans l'organisation. Ces administrateurs ne figurent pas dans la liste Administrateurs dans Omnissa Connect sauf s'ils demandent des rôles supplémentaires et si les demandes sont approuvées. Une fois que les administrateurs disposant de rôles par défaut obtiennent des rôles supplémentaires dans l'organisation, ceux-ci apparaissent dans la liste Administrateurs. En tant que propriétaire, vous pouvez leur accorder des rôles supplémentaires.
Conditions prérequises
- Le fournisseur d'identité de votre entreprise est lié à Omnissa Connect.
- Les fonctionnalités IGA avancées sont activées dans l'organisation.
- Vous disposez d'un rôle de Propriétaire dans l'organisation.
Procédure
- Connectez-vous à Omnissa Connect.
- Accédez à Accès administrateur > Gouvernance et sélectionnez l'onglet Demandes.
- Sélectionnez Paramètres.
- Dans la section Accorder les rôles par défaut, cliquez sur le lien Ajouter une stratégie de domaine.
- Complétez le widget Ajouter une stratégie de domaine.
- Entrez le nom et la description de la nouvelle stratégie.
- Sélectionnez le domaine auquel vous souhaitez appliquer la stratégie.
- Sélectionnez les rôles d'organisation que vous souhaitez attribuer automatiquement à tous les administrateurs se connectant à votre organisation à partir du domaine spécifié.
- Sélectionnez des rôles supplémentaires dans la liste Rôles supplémentaires.
- Un membre a besoin du rôle de Développeur pour créer et gérer des applications OAuth.
- Un administrateur ou un membre a besoin du rôle Facturation en lecture seule pour afficher la facturation.
- Cliquez sur Enregistrer.
Résultats
Les rôles que vous avez spécifiés deviennent disponibles pour tous les administrateurs du domaine spécifié lors de leur connexion à Omnissa Connect.
Violations
En tant que Propriétaire dans une organisation sur laquelle la solution Gouvernance et administration des identités (IGA) est activée, vous surveillez les violations d'accès pour les connexions d'administrateurs, les connexions avec des applications OAuth et les jetons d'API dans votre organisation. Vous définissez et modifiez les stratégies pour déclencher des violations.
Vous définissez des stratégies de violation pour les connexions dans votre organisation sur laquelle le service IGA est activé en activant différents déclencheurs pour les applications OAuth et les jetons d'API, tels que des jetons d'API inactifs, les propriétaires OAuth inactifs, les portées de service étendues, ainsi que les URI non sécurisés ou non approuvés pour les applications OAuth.
Remarque : Si la stratégie d'authentification du domaine source est activée, les violations d'accès utilisateur sont capturées pour toutes les tentatives de connexion provenant de domaines non autorisés par le paramètre de stratégie.
Configurer des stratégies de violation pour les applications OAuth
- Accédez à Accès administrateur > Gouvernance > Violations et utilisez l'option de menu Paramètres.
- Configurez la page Paramètres des applications OAuth qui s'ouvre, modifiez les paramètres pour les applications OAuth de manière appropriée.
- Cliquez sur Enregistrer.
Gérer les violations
En tant que propriétaire d'une organisation dans laquelle la gouvernance d'identité et l'administration (IGA) est activée et qui surveille les violations, vous pouvez prendre des mesures contre les violations détectées dans votre organisation. Affichez la liste complète des violations en accédant à Accès administrateur > Gouvernance > Violations.
Les violations capturées dans votre organisation sont regroupées par type de méthode d'authentification utilisée pour se connecter à l'instance de Omnissa Connect qui a déclenché la violation. Sélectionnez l'onglet correspondant pour afficher la liste complète des actions possibles que vous pouvez entreprendre pour répondre à une violation.
- L'onglet Accès administrateur > Gouvernance > Violations > Applications OAuth affiche le nom de l'application qui a déclenché la violation, sa gravité, sa description et l'e-mail de l'administrateur de l'organisation qui a créé l'application OAuth.
- L'onglet Accès utilisateur > Gouvernance > Violations > Accès utilisateur affiche l'e-mail de l'utilisateur de l'organisation dont la tentative de connexion a déclenché la violation, sa gravité, la date à laquelle la violation a eu lieu et le domaine source à partir duquel elle s'est produite. Une violation d'accès administrateur est capturée pour les tentatives de connexion à partir de n'importe quel domaine non autorisé par la stratégie d'authentification du domaine source.
- L'onglet Accès administrateur > Gouvernance > Jetons d'API affiche le nom du jeton d'API qui a déclenché la violation, sa gravité, sa description et l'e-mail de l'administrateur de l'organisation qui a créé le jeton d'API.
Le tableau suivant décrit les actions que vous pouvez effectuer en réponse aux violations de votre organisation.
| Pour… | Procédez comme suit… |
|---|---|
| Modifier la visibilité d'une violation | Cette action modifie l'état de visibilité d'une violation de Actif à Masqué. Elle ne supprime pas la violation et peut être annulée. 1. Localisez la violation que vous souhaitez masquer et cliquez sur sa double flèche correspondante pour développer ses détails. 2. Cochez la case en regard de la violation active que vous souhaitez masquer. 3. Sélectionnez Masquer. La violation ne s'affiche plus dans la section Détails. |
| Afficher une violation qui a été masquée | Cette action affiche les violations présentant l'état Masqué. Développez la section des détails d'une violation et activez l'option Afficher tout. Toutes les violations qui ont été masquées s'affichent. |
| Supprimer une application OAuth de votre organisation | Cette action supprime l'application OAuth et l'empêche d'accéder à l'organisation. L'application OAuth n'est pas supprimée, mais aucune autre violation ne sera signalée par cette application. L'action de suppression ne peut pas être annulée de la page Violations ; pour surveiller les violations à partir de cette application OAuth, elle doit être de nouveau ajoutée à l'organisation. 1. Sur la page Violations ouvrez l'onglet Applications OAuth. 2. Localisez l'application que vous souhaitez supprimer. 3. Cochez la case en regard de son nom. 4. Sélectionnez Supprimer. |
| Modifier la gravité d'une violation | En fonction des besoins de votre organisation, vous pouvez définir la gravité de tout critère de violation. 1. Sur la page Violations, cliquez sur Paramètres. 2. Utilisez le menu déroulant Gravité pour modifier le paramètre de chaque critère de violation que vous souhaitez modifier. 3. Cliquez sur Enregistrer. |
Jetons d'API
En tant que propriétaire d'une organisation dans laquelle le service Administration et gouvernance d'identité (IGA) est activé, vous surveillez les jetons d'API créés dans votre organisation et définissez des stratégies de durée de vie (TTL) d'inactivité et maximale pour tous les jetons récemment créés.
Pour accéder au tableau de bord Jetons d'API, ouvrez Omnissa Connect et accédez à l'onglet Accès administrateur > Gouvernance >Jetons d'API. Le tableau de bord qui s'ouvre vous fournit une liste de tous les jetons d'API créés par les administrateurs de votre organisation.
Pour chaque jeton d'API, vous pouvez afficher des détails, tels que le nom du jeton, le nom de l'administrateur d'organisation qui a créé le jeton d'API, les dates de création et d'expiration, la date à laquelle le jeton a été utilisé pour la dernière fois et les étendues du jeton (rôles d'organisation attribués au jeton).
Le tableau de bord Jetons d'API affiche une icône d'alerte si les stratégies TTL de votre organisation ont été enfreintes. Les stratégies TTL définies pour votre organisation s'appliquent à tous les nouveaux jetons d'API créés par les administrateurs de votre organisation. Si vous modifiez une stratégie TTL, une icône d'alerte s'affiche en regard de tous les jetons d'API créés précédemment qui enfreignent le nouveau paramètre.
Il existe deux paramètres de stratégie TTL que vous pouvez activer, désactiver ou modifier :
- TTL de jeton inactif : Ce paramètre définit la durée de vie d'inactivité autorisée pour un jeton d'API avant qu'il n'enfreigne la stratégie.
- TTL de jeton maximale : Ce paramètre définit la durée de vie maximale autorisée pour tout jeton d'API créé dans votre organisation. Les administrateurs de l'organisation ne pourront pas générer de jetons d'API si la valeur de TTL maximale du jeton est supérieure à celle définie par ce paramètre.
Que puis-je faire si un jeton d'API enfreint une stratégie ou une directive ?
Si un jeton d'API enfreint une stratégie de TTL dans votre organisation qu'il ne semble pas valide, vous pouvez désactiver ce jeton dans le tableau de bord Jetons d'API. Ainsi, il ne peut pas être utilisé pour accéder aux ressources de l'organisation.
- Dans le tableau de bord Jetons d'API, sélectionnez le jeton d'API que vous souhaitez désactiver.
- Cliquez sur le lien Désactiver.
- L'état du jeton d'API passe d'Activé à Désactivé.
- Le propriétaire du jeton d'API reçoit une notification par e-mail de Omnissa Connect qu'un jeton qu'il a utilisé pour accéder à l'organisation a été désactivé par un Propriétaire.
- Pour réactiver un jeton d'API qui a été désactivé, sélectionnez ce jeton d'API sur le tableau de bord, puis cliquez sur le lien Activer.
- Le propriétaire du jeton d'API reçoit une notification par e-mail confirmant la réactivation.
Comment modifier des stratégies de TTL pour les jetons d'API ?
Pour modifier les stratégies TTL des jetons d'API, procédez comme suit :
- Dans l'onglet Accès administrateur > Gouvernance > Jetons d'API, sélectionnez Paramètres.
- Pour activer ou désactiver une stratégie, utilisez le curseur État de la stratégie.
- Pour modifier un paramètre de TTL, entrez une nouvelle valeur dans la section du paramètre de TTL correspondant et sélectionnez une unité de temps dans la liste déroulante. L'unité de temps peut être en minutes, en heures ou en jours.
- Cliquez sur Enregistrer.
La validation du jeton d'API s'exécute toutes les 24 heures
La validation des jetons existants par rapport aux stratégies toutes les 24 heures. Un certain temps peut être nécessaire pour que la liste des violations du tableau de bord Jetons d'API soit mise à jour suite à une modification que vous avez apportée.
Cette page vous a-t-elle été utile ?