Benutzerkonten verwalten und Anwendungszugriff konfigurieren

Die Benutzerverwaltung verwaltet Konten, Gruppen, Status und Ablauf der Benutzer der einheitlichen Identitätsverwaltung. Kontoerstellung und Vergabe von Anwendungszugriff sind getrennte Vorgänge: Ein vorhandenes Konto hat nicht automatisch Zugriff auf eine Anwendung. Das folgende Beispiel erstellt einen lokalen Benutzer und konfiguriert den Zugriff auf eine vorhandene Anwendung, deren Authentifizierungsanbindung bereits eingerichtet ist.

Die Bedienelemente werden nachfolgend mit den geprüften englischen Oberflächenbezeichnungen und deutschen Erläuterungen beschrieben.

Vorbereitung

• Stellen Sie sicher, dass die Administration Benutzer anzeigen, erstellen und bearbeiten sowie die Zielanwendung konfigurieren darf. Zum Löschen können zusätzliche Rechte erforderlich sein.
• Legen Sie Person, Kontonamen, vorhandene Gruppe, Ablauf und sicheren Übergabeweg fest. Suchen Sie zunächst nach vorhandenen Benutzern, um Duplikate zu vermeiden.
• Bereiten Sie eine Pilotanwendung mit eingerichteter Authentifizierung und einen autorisierten Testbenutzer vor. Anwendungsstatus, Authentifizierung und anwendungsspezifische Anbindungsbedingungen beeinflussen den Zugriff; gespeicherte Konten oder Berechtigungen garantieren keine erfolgreiche Anmeldung.
• Administratorkonten werden in den Systemeinstellungen verwaltet. Verweist die Seite dorthin, verwenden Sie diesen Zugang und umgehen Sie die Beschränkung nicht.

Benutzer erstellen

1. IAM > Identity Directory > User Management: Öffnen Sie in der einheitlichen Identitätsverwaltung die Benutzerverwaltung und wählen Sie Add User (Benutzer hinzufügen).
2. Geben Sie unter Basic information (Basisinformationen) den Kontonamen ein und wählen Sie eine Verwaltungsgruppe. Der Name darf Buchstaben, Ziffern, Unterstriche, Punkte und Bindestriche enthalten. Anzeigename und E-Mail-Adresse sind optional; eine angegebene E-Mail-Adresse muss gültig sein.
3. Geben Sie unter Security (Sicherheit) das Passwort ein und bestätigen Sie es. Ein neues Passwort muss 8 bis 32 Zeichen lang sein und Großbuchstaben, Kleinbuchstaben und Ziffern enthalten. Beide Eingaben müssen übereinstimmen.
4. Prüfen Sie Kontostatus und Ablaufdatum und speichern Sie. Wählen Sie in der Benutzerliste die Gruppe oder suchen Sie das Konto und prüfen Sie Name, Gruppe und Status. Übermitteln Sie Kontoinformationen über einen von Ihrer Organisation freigegebenen sicheren Kanal.

Beispielsweise kann ein Pilotbenutzer in einer bestehenden Entwicklungsgruppe angelegt und anschließend für eine Testanwendung berechtigt werden. Diese Gruppe ist weder ein Standard noch eine automatische Anwendungsberechtigung.

Anwendungszugriff gewähren

1. IAM > Applications & Access > Applications: Öffnen Sie in der einheitlichen Identitätsverwaltung die Anwendungsliste und bearbeiten Sie eine Pilotanwendung mit eingerichteter Authentifizierung.
2. Wählen Sie bei Access mode (Zugriffsmodus) Specific users/groups only (nur bestimmte Benutzer/Gruppen). Öffnen Sie Access Permissions (Zugriffsberechtigungen), wählen Sie den Pilotbenutzer oder dessen tatsächliche Gruppe und bestätigen Sie. Speichern Sie die gesamte Anwendungskonfiguration.
3. Öffnen Sie die Konfiguration erneut und prüfen Sie Modus und Auswahl. Prüfen Sie bei Gruppenberechtigung die tatsächliche Zugehörigkeit; gehen Sie nicht davon aus, dass die Auswahl allein einer übergeordneten Gruppe sämtliche Untergruppen abdeckt.
4. Ist All users (alle Benutzer) erforderlich, bewerten Sie zuerst den erweiterten Umfang. Der Wechsel löscht die bisherige Liste bestimmter Zugriffsberechtigter. Für eine Rückkehr zum eingeschränkten Modus müssen Benutzer oder Gruppen erneut ausgewählt, geprüft und gespeichert werden.
5. Prüfen Sie die Anmeldung des Pilotbenutzers über den normalen Anwendungseinstieg und testen Sie kontrolliert auch ein nicht berechtigtes Konto. Untersuchen Sie bei Abweichungen Konto, Anwendungsberechtigung, Authentifizierungsanbindung und Anwendungskonfiguration getrennt. Erfolgreiches Speichern belegt keinen erfolgreichen Zugriff.

Zugriff einschränken und bestehende Sitzungen: Das Entfernen einer Benutzerberechtigung, Ändern der Gruppenzugehörigkeit oder Einschränken des Anwendungszugriffs beendet bestehende Anwendungssitzungen nicht garantiert sofort. Die Sitzungsbehandlung kann je Anwendung unterschiedlich sein. Bewerten Sie vor der Änderung bestehende Sitzungen und geschäftliche Auswirkungen und testen Sie danach sowohl bestehende Sitzungen als auch eine erneute Anmeldung. Muss der Zugriff sofort unterbunden werden, stimmen Sie zusätzliche Maßnahmen gemäß dem Sicherheitsverfahren der Organisation mit den Anwendungsverantwortlichen ab und überprüfen Sie das Ergebnis. Erfolgreiches Speichern allein belegt keine Zugriffssperre.

Bearbeiten, Passwort zurücksetzen und löschen

• Suchen Sie das Konto und ändern Sie bearbeitbare Angaben über Edit (Bearbeiten). Bewerten Sie vor Änderungen an Gruppe, Status oder Ablauf deren Auswirkungen und prüfen Sie danach Konto und Berechtigungen.
• Verwenden Sie Password (Passwort), um nach den angezeigten Regeln ein neues Passwort festzulegen und zu bestätigen. Übermitteln Sie es sicher und nicht in einer gemeinsam zugänglichen Nachricht.
• Prüfen Sie vor dem Löschen Person, Anwendungsabhängigkeiten und Aufbewahrungsvorgaben. Kontrollieren Sie anschließend den Zugriff. Nehmen Sie keine automatische Datenmigration oder Wiederherstellbarkeit an.
• Für Administratorkonten gelten Systemeinstellungen und Seitenhinweise. Wird ein Vorgang in der normalen Benutzerverwaltung abgelehnt, verwenden Sie die Systemeinstellungen.

Fehlerbehebung

• Benutzer nicht gefunden: Prüfen Sie Gruppe, Suche, Anzeigeberechtigung und Existenz des Kontos.
• Speichern schlägt fehl: Prüfen Sie Namen, E-Mail-Format, Gruppe und Passwort sowie Hinweise auf doppelte Konten oder E-Mail-Adressen.
• Benutzer kann nicht auf die Anwendung zugreifen: Prüfen Sie Status, Ablauf, Zugriffsmodus und ausgewählten Benutzer bzw. tatsächliche Gruppe sowie Status und Anbindung von Anwendung und Authentifizierungsanbieter.
• Unerwarteter Zugriffsumfang: Prüfen Sie den Modus für alle Benutzer, die Vollständigkeit der Auswahlliste und die tatsächliche Gruppe. Testen Sie berechtigte und unberechtigte Benutzer kontrolliert.
• Bearbeiten, Zurücksetzen oder Löschen nicht möglich: Prüfen Sie Berechtigung und Kontotyp. Verweist die Seite auf die Systemeinstellungen, verwenden Sie diese.