# Quản lý ứng dụng và phạm vi truy cập

Canonical: https://www.nsecsoft.com/vi/docs/ping64-identity-access/iam/applications/manage-applications/

Language: vi-VN

Updated: 2026-11-15T04:10:51.611927Z

Trong Ping64, ứng dụng trong quản lý danh tính hợp nhất dùng để quản lý mục ứng dụng, liên kết nhà cung cấp xác thực và xác định phạm vi truy cập của người dùng. Đây là cấu hình riêng với công bố ứng dụng Zero Trust. Tạo mục hoặc liên kết nhà cung cấp không hoàn tất tích hợp đăng nhập một lần và không bảo đảm người dùng đăng nhập được.

Các nhãn tiếng Anh dưới đây là tên giao diện đã đối chiếu, kèm giải thích tiếng Việt.

## Chuẩn bị

-   Xác nhận quản trị viên có quyền xem, tạo và sửa ứng dụng. Xóa có thể cần thêm quyền.
-   Cùng người phụ trách xác nhận tên, tên nội bộ, yêu cầu xác thực, người dùng hoặc nhóm được phép, cấu hình phía ứng dụng và mạng. Chuẩn bị nhà cung cấp được cấu hình phù hợp và chưa được ứng dụng khác sử dụng; xem [cấu hình nhà cung cấp xác thực](https://www.nsecsoft.com/vi/docs/ping64-identity-access/iam/authentication/configure-authentication-provider/).
-   Thử trước bằng tài khoản được phép và phạm vi có kiểm soát. Trước khi mở rộng truy cập, đổi nhà cung cấp hoặc tắt ứng dụng, đánh giá ảnh hưởng đến người dùng và nghiệp vụ, rồi tuân theo quy trình phê duyệt của tổ chức.

## Tạo và kiểm tra ứng dụng

1.  **IAM > Applications & Access > Applications**: Trong quản lý danh tính hợp nhất, mở danh sách ứng dụng và chọn **Create** (tạo).
2.  Nhập **Name** (tên) và **Internal Application Name** (tên nội bộ ứng dụng). Cả hai bắt buộc; tên nội bộ theo quy định tổ chức và không trùng ứng dụng hiện có.
3.  Mở lựa chọn **Provider** (nhà cung cấp), chọn nhà cung cấp xác thực phù hợp và xác nhận. Cấu hình cần thiết phải hoàn tất trước; nếu đã được ứng dụng khác sử dụng, chuẩn bị nhà cung cấp khả dụng khác.
4.  Tại **Access mode** (chế độ truy cập), chọn **Specific users/groups only** (chỉ người dùng/nhóm chỉ định), mở **Access Permissions** (quyền truy cập), chọn người dùng được phép hoặc nhóm thực tế và xác nhận. Không giả định nhóm cha bao gồm mọi nhóm con. **All users** (tất cả người dùng) mở rộng phạm vi nên cần xác nhận yêu cầu nghiệp vụ và bảo mật trước.
5.  Kiểm tra trạng thái, thêm mô tả nếu cần, kiểm tra nhà cung cấp và phạm vi rồi lưu. Xem thông báo thành công hoặc thất bại; trở lại danh sách không tự chứng minh thành công.
6.  Mở lại ứng dụng, kiểm tra trạng thái, nhà cung cấp và phạm vi. Cùng người phụ trách hoàn tất cấu hình xác thực phía ứng dụng và kiểm thử tích hợp, rồi thử có kiểm soát tài khoản được phép và không được phép. Trạng thái tài khoản, nhà cung cấp, cấu hình ứng dụng và mạng đều có thể ảnh hưởng kết quả.

**Chuyển chế độ:** Chọn **All users** sẽ xóa người dùng và nhóm đã chọn. Khi trở lại chế độ chỉ định, phải chọn lại, kiểm tra và lưu; không giả định danh sách cũ còn nguyên.

**Thu hẹp truy cập và phiên hiện có:** Việc bỏ quyền người dùng, đổi nhóm hoặc thu hẹp phạm vi truy cập ứng dụng không bảo đảm phiên ứng dụng đã thiết lập chấm dứt ngay; cách xử lý phiên có thể khác nhau giữa các ứng dụng. Trước khi thay đổi, đánh giá phiên hiện có và ảnh hưởng nghiệp vụ; sau đó kiểm tra riêng phiên cũ và lần đăng nhập mới. Nếu phải chặn ngay, phối hợp với người phụ trách ứng dụng thực hiện và xác minh biện pháp bổ sung theo quy trình an ninh của tổ chức. Không chỉ dựa vào thông báo lưu thành công để kết luận truy cập đã dừng.

**Nhóm thư mục và quyền truy cập ứng dụng:** Với ứng dụng dùng OIDC, cấp quyền theo nhóm kiểm tra nhóm quản lý của người dùng trong hệ thống quản lý danh tính; cơ chế này không trực tiếp dùng quan hệ thành viên nhóm được đồng bộ từ thư mục. Người dùng mới được tạo qua đồng bộ ban đầu chưa có nhóm quản lý. Chỉ đồng bộ nhóm thư mục và chọn nhóm đó trong ứng dụng không đảm bảo các thành viên được truy cập. Để cấp quyền theo nhóm, trước tiên hãy kiểm tra và đặt nhóm quản lý của người dùng trong mục quản lý người dùng theo quy định của tổ chức, sau đó lưu phạm vi truy cập được chỉ định của ứng dụng. Cũng có thể chọn trực tiếp người dùng được phép trong ứng dụng khi cần. Đánh giá tác động trước khi thay đổi và kiểm tra bằng cả tài khoản được phép lẫn không được phép sau đó.

## Sửa và xóa

-   **Sửa cấu hình:** Mở hoặc chọn sửa ứng dụng, điều chỉnh thông tin có thể sửa, trạng thái, nhà cung cấp hoặc phạm vi. Sau khi lưu, mở lại kiểm tra từng kết quả thực tế và thử lại các tài khoản liên quan.
-   **Đổi nhà cung cấp thất bại:** Thông tin cơ bản và phạm vi truy cập có thể đã được lưu dù đổi nhà cung cấp thất bại. Không giả định toàn bộ thay đổi đã hoàn tác. Mở lại và kiểm tra riêng nhà cung cấp, trạng thái và phạm vi; khôi phục hoặc điều chỉnh theo kết quả thực tế rồi kiểm tra đăng nhập nghiệp vụ.
-   **Xóa ứng dụng:** Kiểm tra phụ thuộc của người dùng, hệ thống nghiệp vụ và nhà cung cấp; chuẩn bị phương án chuyển đổi hoặc khôi phục đã kiểm tra. Xóa ảnh hưởng cấu hình truy cập và nhà cung cấp liên kết, đồng thời có thể ảnh hưởng xác thực hiện có. Không giả định tự khôi phục; sau khi xóa kiểm tra truy cập thực tế cùng người phụ trách.

## Dùng sự kiện xác thực để kiểm tra truy cập

Quản trị viên có quyền xem quản lý danh tính có thể kiểm tra các sự kiện xác thực hiện có trong phạm vi được phép mà không cần cấu hình lại ứng dụng hoặc nhà cung cấp xác thực chỉ để tìm kiếm. Để xác minh cấu hình mới, kiểm tra ứng dụng, nhà cung cấp và phạm vi truy cập ở trên, rồi dùng tài khoản thử nghiệm đăng nhập có kiểm soát qua lối vào bình thường. Lưu cấu hình, phát sinh yêu cầu, ghi sự kiện và hiển thị kết quả là các giai đoạn khác nhau.

1.  Trong **IAM > Event Audit**, chọn ngày bao gồm thời gian của sự kiện cần điều tra. Truy vấn ban đầu gồm ngày hiện tại và 29 ngày trước đó. Khi cần, chọn nguồn và kết quả thành công hoặc thất bại, mở chi tiết và kiểm tra thời gian, ứng dụng, người dùng, giai đoạn xác thực và lỗi hiển thị. Bảo vệ thông tin cá nhân hoặc nhạy cảm theo quy định của tổ chức.
2.  Ô tìm kiếm đối chiếu mã định danh đăng nhập đầy đủ, không phải tìm kiếm một phần chung theo tên người dùng, tên ứng dụng hoặc IP. Nhập một phần có thể không tìm thấy. Có thêm bộ lọc ứng dụng, người dùng, máy khách và IP; kiểm tra giá trị trước khi dùng. Khi ô tìm kiếm có nội dung, định danh trong ô được ưu tiên hơn bộ lọc định danh. Không phải sự kiện nào cũng có đủ trường.
3.  Mỗi lần trang lấy tối đa 50 sự kiện phù hợp; phân trang bảng chỉ xem các bản ghi đã tải, không bảo đảm bao quát toàn bộ khoảng thời gian. Nếu không tìm thấy, thu hẹp ngày và điều chỉnh nguồn, kết quả hoặc điều kiện khác rồi truy vấn lại. Danh sách trống không chứng minh xác thực không xảy ra. Trang này không có thao tác xuất; liên hệ quản trị viên hoặc hỗ trợ nếu cần thêm bản ghi. Nếu truy vấn báo lỗi, danh sách có thể vẫn hiển thị kết quả đã tải trước đó. Không coi đó là kết quả của bộ lọc hiện tại. Kiểm tra mạng và quyền, truy vấn lại và xác nhận lần truy vấn mới thành công.
4.  Dựa vào giai đoạn sự kiện và phản hồi ứng dụng để kiểm tra riêng trạng thái người dùng, quyền ứng dụng, nhà cung cấp và cấu hình ứng dụng nghiệp vụ. Một sự kiện thành công không chứng minh toàn bộ đăng nhập thành công. Nếu không có bản ghi, cũng kiểm tra việc bật kiểm toán và trạng thái ghi, lưu giữ sự kiện trong môi trường triển khai.

## Khắc phục sự cố

-   **Không tìm thấy ứng dụng:** Tìm kiếm có thể không lọc đúng tên hiển thị. Xóa từ khóa, kiểm tra trực tiếp danh sách và quyền.
-   **Không lưu hoặc chọn được nhà cung cấp:** Kiểm tra trường bắt buộc, tên nội bộ trùng, quyền quản trị và cấu hình nhà cung cấp; nhà cung cấp có thể đã được ứng dụng khác dùng.
-   **Kết quả lưu không như dự kiến:** Xem thông báo và mở lại để kiểm tra nhà cung cấp, trạng thái, phạm vi. Các cài đặt khác có thể thay đổi dù đổi nhà cung cấp thất bại.
-   **Người được phép không đăng nhập được:** Kiểm tra trạng thái và nhóm thực tế của người dùng, trạng thái và phạm vi ứng dụng, nhà cung cấp, cấu hình ứng dụng và mạng. Lưu không chứng minh tích hợp thành công.
-   **Người không dự kiến truy cập được:** Kiểm tra chế độ tất cả người dùng, phạm vi người dùng hoặc nhóm chỉ định và quyền riêng của ứng dụng.