01
03 · Gouverner · Des schémas d’accès aux rôles
Rôles & role mining
Trouvez des rôles utiles sans des mois d’ateliers.
Plusieurs méthodes de mining trouvent les schémas d’accès qui se répètent. RapidValue fusionne les propositions qui se recouvrent et décrit chacune en termes métier qu’un propriétaire peut juger. Un rôle ne peut être formalisé qu’une fois qu’il a un propriétaire.
Ce qui change
Ce que vous obtenez
02
Propositions qui se recoupent fusionnées
03
Voir qui un rôle couvre avant sa mise en service
04
Un propriétaire pour chaque rôle, jusqu’à son retrait
Fonctionnement
Cela fonctionne en trois étapes
Chaque étape enregistre son motif, et l’étape suivante s’en sert.
Proposer
Lire les schémas dans les accès que les personnes détiennent réellement.
Façonner
Comparer la couverture, les exceptions et la signification métier.
Formaliser
Exiger un propriétaire et un cycle de vie avant que le rôle ne gouverne des accès.
Ce qu’est une proposition
Chaque proposition vient avec les preuves qui la fondent
Un run lit les accès existants et applique huit règles de regroupement, chacune nommée. Aucun modèle n’apprend. La réponse à « pourquoi est-ce un rôle ? » tient en une phrase : ce groupe est le département Finance, trouvé par la règle d’unité organisationnelle.
Ce que vous voyez pour chaque proposition
- Qui l’a hors du groupe et qui ne l’a pas dans le groupe, listés sans action
- Couverture avant et après, avec une seule définition, jamais plus basse après
- Étiquette « déjà largement gouverné » si un rôle l’explique déjà
- Les rôles déjà formalisés ne sont jamais reproposés
Un nouveau rôle à partir d’un groupeDes personnes qui partagent une unité, une fonction, un contexte ou un type d’identité et ont les mêmes accès.
Étendre : un rôle existantDes membres d’un rôle existant qui ont tous acquis la même permission supplémentaire.
AutomatiserDes personnes qui ont presque tout un rôle sans l’avoir. Une politique d’accès est proposée, après confirmation du nombre d’autres personnes concernées.
Preuves par droitCombien de personnes du groupe l’ont, combien ne l’ont pas, et combien en dehors du groupe l’ont.
Une recommandationInclure à partir de 70 % de couverture et 50 % d’exclusivité, envisager entre 50 % et 70 %, ignorer en dessous. Vous pouvez modifier les seuils dans les paramètres.
Un indice de confianceUne formule affichée de couverture, d’exclusivité et de taille du groupe. Il classe les propositions sans annoncer de probabilité.
Avant que ce devienne un rôle
D’abord un propriétaire nommé et une chaîne de validation
Formaliser une proposition veut dire la soumettre à approbation. Rien n’est publié.
1
Un propriétaire est obligatoire
Le serveur refuse un rôle sans propriétaire : une personne, un groupe ou un propriétaire de contexte qui suit l’organigramme. Un type de rôle métier est aussi requis.
2
La chaîne vient du type de rôle
Les validateurs viennent du type de rôle, d’un défaut que vous avez défini ou d’une seule étape du manager. Le mining ne fixe aucune chaîne.
3
En approbation, politique désactivée
Le rôle démarre en approbation et sa politique d’accès est créée désactivée. Quand la chaîne est terminée, le rôle est actif et la politique en service. Une permission rejetée pendant la revue est d’abord retirée du rôle.
4
Le mining ne retire rien
Formaliser ajoute de la structure et n’enlève l’accès de personne. Que faire des personnes hors du groupe est une décision distincte.
Dans la durée
Lancez, acceptez ce qui tient, retirez ce qui est fini
01
Des runs et un balayage quotidien
Lancez un run pour toute l’organisation, un périmètre ou un système connecté. Un balayage en arrière-plan garde l’analyse des accès non gouvernés à jour, chaque jour par défaut, sans remplacer les propositions que vous examinez.
02
Une par une ou en masse
Les propositions de nouveaux rôles peuvent être acceptées en masse au-dessus d’un niveau de confiance, et chacune passe encore le contrôle du propriétaire. Les propositions d’extension et d’automatisation s’acceptent une par une.
03
Retirer avec une date de fin
Les nouvelles demandes s’arrêtent et les titulaires gardent leur accès pendant un délai de grâce, 30 jours par défaut. Puis l’accès est retiré par le provisioning habituel, avec une entrée d’audit par droit.
04
Retiré après une revue
Quand les évaluateurs rejettent un rôle lors de sa certification, le rôle peut être retiré de la même façon, pour qu’il ne survive pas au projet qui l’a demandé.
Il propose des candidats à partir des accès d’aujourd’hui, dans les systèmes que vous avez connectés et réconciliés. Un groupe qui partage un accès pour une mauvaise raison ressemble encore à un rôle, et c’est pour cela que les validateurs existent.
Ce dont nous répondons
Les décisions sur les rôles peuvent rester en place pendant des années, donc chacun les prend à son rythme.
Inclus
Inclus dans chaque prix
Il n’y a pas de module à acheter pour cela. Le prix ne dépend que du nombre d’identités que vous gouvernez.
Rôles & role mining