11장 아이디 감사

이 장에서는 감사 제어를 설정하여 엔터프라이즈 정보 시스템 및 응용 프로그램에서 감사 및 준수를 모니터링하고 관리할 수 있도록 해주는 Identity Manager의 기능에 대해 설명합니다.

여기서 설명하는 기능은 보안 제어를 유지하면서 관련 규정의 준수를 관리할 수 있도록 감사 검토를 실시하고 적절한 방안을 구현하는 방법에 중점을 둡니다.

아이디 감사의 목표

아이디 감사 솔루션은 다음 방법을 통해 개선된 감사 성능을 제공합니다.

준수 위반을 자동으로 검색하고 즉각적인 알림을 통해 신속하게 수정합니다.

요구에 따라 내부 감사 제어의 효율성에 대한 주요 정보를 제공합니다.

운영상의 위험을 줄이기 위해 아이디 제어의 인증서 검토를 자동화합니다.

사용자 작업을 세부적으로 기술하고 규제 요구 사항을 충족하는 종합적인 보고서를 준비합니다.

정기 검토의 프로세스를 단순화하여 보안 및 규정 준수를 유지

사용자 계정에 대한 잠재적 이해 관계 충돌 기능 확인

아이디 감사 이해

Identity Manager에서는 사용자 계정 및 액세스 권한을 감사하고 준수를 유지 및 확인하기 위한 두 가지 고유한 기능, 즉 정책 기반 준수와 정기 액세스 검토 기능을 제공합니다.

정책 기반 준수

Identity Manager에서 관리자는 감사 정책 시스템을 사용하여 회사에서 모든 사용자 계정에 대해 설정한 요구 사항의 준수를 유지할 수 있습니다.

감사 정책을 사용하면 지속적 준수와 정기적 준수라는 두 가지의 다른 보완적인 방식으로 준수를 보장할 수 있습니다.

이 두 기술은 Identity Manager 외부에서 공급 작업을 수행할 수 있는 환경에서 특히 보완적입니다. 기존 감사 정책을 실행하거나 사용하지 않는 프로세스에서 언제든지 계정을 변경할 수 있으므로 정기적 준수가 필요합니다.

지속적 준수

지속적 준수는 모든 준비 작업에 정책이 적용되므로 현재 정책을 준수하지 않는 방식으로는 계정을 수정할 수 없음을 의미합니다.

지속적 준수는 조직 및/또는 사용자에게 감사 정책을 할당하면 활성화됩니다. 사용자에 대한 모든 준비 작업은 사용자가 할당한 정책과 조직에서 할당한 정책을 둘 다 호출합니다.

조직에서 할당된 정책은 단일 값을 갖고 계층적으로 가져온 정책입니다. 즉, 모든 사용자에 대해 유효한 조직 정책은 하나뿐이며 정책은 가장 낮은 수준의 조직에 할당됩니다. 예를 들면 다음과 같습니다.

정기적 준수

정기적 준수는 Identity Manager가 요구에 따라 정책을 평가하여 호환되지 않는 조건을 준수 위반으로 캡처함을 의미합니다.

정기적 준수 검색을 실행할 때 검색에서 사용할 정책을 선택할 수 있습니다. 검색 프로세스에서는 직접 할당한 정책(사용자 및 조직에서 할당한 정책)과 임의로 선택한 정책 집합을 통합합니다.

조직	직접 할당된 정책	유효 정책
Austin	정책 A	정책 A
마케팅		정책 A
개발	정책 B	정책 B
지원		정책 B
테스트	정책 C	정책 C
경리		정책 A
Houston		<없음>


주	앞의 예에서는 직접 할당된 정책이 정책 목록일 수 있습니다.

감사자 관리자 기능이 있는 Identity Manager 관리자는 감사 정책을 생성하고 정기적 검토를 통해 정책 준수 및 정책 위반을 모니터링할 수 있습니다. 수정 및 완화 절차를 통해 위반을 관리할 수 있습니다. 감사자 관리자 기능에 대한 자세한 내용은 기능 이해 및 관리를 참조하십시오.

Identity Manager 감사를 통해 사용자를 정기적으로 검색하고 감사 정책을 실행하여 설정된 계정 제한에 대한 위반을 검색할 수 있습니다. 위반이 검색되면 수정 활동이 시작됩니다. 규칙은 Identity Manager에서 제공되는 표준 감사 정책 규칙이거나 사용자 정의 규칙일 수 있습니다 .

정책 기반 준수의 논리적 작업 흐름

다음 그림은 이 절에서 설명하는 감사 작업을 완료하는 논리적 작업 흐름을 보여 줍니다.

정기적 액세스 검토


주	감사 검토를 실행하고 준수를 관리하려면 감사를 활성화한 다음 준수 관리를 위해 구성해야 합니다. 자세한 내용은 감사 사용을 참조하십시오.

Identity Manager는 관리자와 기타 담당자가 사용자 액세스 권한을 특별히 또는 정기적으로 검토하여 확인할 수 있도록 정기적 액세스 검토 기능을 제공합니다. 이 기능에 대한 자세한 내용은 정기 액세스 검토 및 증명 절을 참조하십시오.

감사 사용

준수 및 액세스 검토 관리를 시작하려면 먼저 Identity Manager 감사 로깅 시스템을 활성화한 후 감사 이벤트를 수집하도록 구성해야 합니다. 기본적으로 감사 시스템이 활성화됩니다. 감사 구성 기능이 있는 Identity Manager 관리자는 감사를 구성할 수 있습니다.

Identity Manager는 준수 관리 감사 구성 그룹을 제공합니다. 준수 관리 그룹에서 저장한 이벤트를 보거나 수정하려면 메뉴 표시줄에서 구성을 선택한 다음 감사를 누릅니다. 감사 구성 페이지에서 준수 관리 감사 그룹 이름을 선택합니다.

감사 시스템에서 이벤트를 기록하는 방법에 대한 자세한 내용은 12장, "감사 기록"을 참조하십시오.

인터페이스의 준수 영역

Identity Manager 관리자 인터페이스의 준수 영역에서 감사 정책을 생성 및 관리할 수 있습니다. 메뉴 표시줄에서 준수를 선택하여 정책 관리 페이지를 액세스합니다. 이 페이지에는 보고 편집할 수 있는 권한이 있는 정책이 나열됩니다. 이 영역에서 액세스 검색을 관리할 수도 있습니다.

정책 관리

정책 관리 페이지에서 감사 정책 작업을 통해 다음과 같은 작업을 수행할 수 있습니다.

새 감사 정책 생성

보거나 편집할 수 있는 정책 선택

정책 삭제

이러한 작업에 대한 자세한 내용은 감사 정책 작업 절을 참조하십시오.

액세스 검색 관리

준수 영역의 액세스 검색 관리 탭을 사용하여 액세스 검토 검색을 정의, 수정 및 실행할 수 있습니다. 정기적 액세스 검토를 실행하거나 예약하려는 검색을 정의하려면 이 영역을 사용합니다. 이 기능에 대한 자세한 내용은 정기 액세스 검토 및 증명을 참조하십시오.

액세스 검토

준수 영역의 이 탭에서는 액세스 검토 작업의 진행률을 모니터링하는 데 유용한 정보에 액세스할 수 있습니다. 이 탭은 검토 상태 및 보류 중인 활동에 대한 자세한 정보에 액세스할 수 있는 정보 링크(웹 기반 인터페이스에서 사용 가능)가 있는 검색 결과 요약 보고서를 표시합니다.

감사 정책 정보

감사 정책은 하나 이상의 리소스로 이루어진 사용자 집합에 대한 계정 제한의 정의입니다. 감사 정책은 정책 제한을 정의하는 규칙과 발생한 위반을 처리하는 작업 흐름으로 구성됩니다. 감사 검색에서는 감사 정책에 정의된 기준을 사용하여 사용자 조직에서 위반이 발생했는지 여부를 평가합니다.

정책 규칙 - XPRESS, XML 객체 또는 JavaScript 언어로 작성된 기능을 포함하며, 특정 위반을 정의합니다.

수정 작업 흐름 - 감사 검색에서 정책 규칙 위반을 식별할 때 선택적으로 시작됩니다.

수정자 또는 지정된 관리자 - 정책 위반에 응답할 권한이 있습니다. 수정자는 개별 사용자 또는 사용자 그룹입니다.

조직 할당 - 이 정책을 사용할 수 있는 조직을 정의합니다.

사용자 할당 - 이 정책을 적용해야 하는 사용자를 정의합니다.

감사 정책 규칙

감사 정책 내에서 규칙은 속성을 기반으로 잠재적 충돌을 정의합니다. 감사자 규칙에서 변수는 사용자와 연관된 특정 자원의 속성으로 제한됩니다. 감사 정책은 광범위한 자원을 참조하는 수백 개의 규칙을 포함할 수 있습니다.

인수를 규칙에 전달하여 해당 동작을 제어할 수 있으며 규칙은 양식 또는 수정 작업 흐름을 통해 유지되는 변수를 참조하고 수정할 수 있습니다.

규칙은 SUBTYPE_AUDIT_POLICY_RULE 유형 정의를 포함해야 합니다. 감사 정책 마법사에서 생성되거나 참조되는 규칙에는 이 유형이 자동으로 할당됩니다.

규칙 논리에 대한 자세한 내용은 Identity Manager Deployment Tools의 규칙 작업을 참조하십시오.

수정 작업 흐름

정책 위반을 정의하는 규칙을 만든 후 감사 검색 중에 위반이 감지될 때마다 실행될 작업 흐름을 선택합니다. Identity Manager는 감사 정책 검색을 위한 기본 수정 처리를 제공하는 기본 표준 수정 작업 흐름을 제공합니다. 다른 작업 중에 이 기본 수정 작업 흐름은 지정된 각 수준 1 수정자 및 후속 수준 수정자(필요한 경우)에 대한 전자 메일 알림을 생성합니다.

수정자


주	Identity Manager 작업 흐름 프로세스와 달리 수정 작업 흐름에는 AuthType=AuditorAdminTask and the SUBTYPE_REMEDIATION_WORKFLOW 유형이 할당되어야 합니다. 감사 검색에 사용할 작업 흐름을 가져올 경우 이 속성을 수동으로 추가해야 합니다. 자세한 내용은 (선택 사항) Identity Manager로 작업 흐름 가져오기를 참조하십시오.

수정 작업 흐름을 할당하는 경우 하나 이상의 수정자를 지정해야 합니다. 최대 세 개 수준의 인증된 수정자를 지정할 수 있습니다. 수정에 대한 자세한 내용은 이 장의 수정 및 완화를 참조하십시오.

수정자를 할당하려면 먼저 수정 작업 흐름을 할당해야 합니다.

감사 정책 시나리오 예제

여러분은 매입채무와 매출채권을 담당하고 있고, 이 두 가지 책임이 경리부의 직원에게 결합될 경우의 잠재적인 위험성을 방지하기 위한 절차를 구현해야 합니다. 이 정책은 네 개의 규칙을 구현하여 매입채무를 담당하는 직원이 매출채권 책임까지 갖고 있지 않은지 여부를 확인합니다.

각각 정책 위반을 일으키는 조건을 지정하는 네 개의 규칙

수정 작업을 실행하는 연결된 작업 흐름

이전 규칙에서 지정한 정책 위반을 검토하고 이에 대응할 수 있는 권한을 가진 지정된 관리자 또는 수정자 그룹

규칙이 정책 위반(이 경우 과도한 권한을 가진 사용자)을 확인하면 관련 작업 흐름은 지정된 수정자에게 자동으로 이를 알리는 것을 포함하여 수정과 관련된 특정 작업을 시작하게 됩니다.

수준 1 수정자는 감사 검색에서 정책 위반이 확인되는 경우 가장 먼저 연락을 받는 수정자입니다. 감사 정책에 대해 두 개 이상의 수준이 지정되어 있을 때 이 영역에서 확인된 단계적 전달 시간이 초과되면 Identity Manager는 다음 수준의 수정자에게 알립니다.

조직 및 수정 작업 흐름 영역

이 정책에 현재 액세스하거나, 액세스할 가능성이 있는 조직이 표시됩니다.

또한 이 영역에는 감사 정책과 연결된 수정 작업 흐름의 목록이 표시됩니다. 표준 수정 작업 흐름은 작업 항목과 각 수준 1 수정자에게 보낼 전자 메일 알림을 생성합니다. 위반 사항에 대한 작업 항목을 수행하는 첫 수정자가 처리를 계속하도록 허용합니다. 정책에 지정된 제한 시간 내에 아무런 수정자 작업이 없으면 Identity Manager는 해당 위반 사항을 정책 내의 다음 수준 수정으로 전송합니다(새로운 수정자와 제한 시간 적용).

감사 정책 작업

Identity Manager는 감사 정책을 쉽게 설정할 수 있도록 도와주는 감사 정책 마법사를 제공합니다. 감사 정책을 정의한 후 정책 수정 또는 삭제와 같은 다양한 정책 관련 작업을 수행할 수 있습니다. 이 절의 항목에서는 감사 정책과 감사 정책 규칙을 생성 및 관리하는 방법을 설명합니다.

감사 정책 만들기

감사 정책 마법사가 감사 정책을 만드는 과정을 안내합니다. 감사 정책 마법사에 액세스하려면 인터페이스의 준수 영역에서 정책 관리를 누르고 새 감사 정책을 만듭니다.

감사 정책을 만들려면 마법사를 사용하여 다음 작업을 수행합니다.

정책 제한을 정의하는 데 사용할 규칙 선택 또는 만들기

승인자 할당 및 단계적 전달 제한 설정

수정 작업 흐름 할당

각 마법사 화면에 표시된 작업을 완료한 후 다음을 눌러 다음 단계로 이동합니다.

시작하기 전에

감사 정책을 만들기에 앞서 다음 작업과 같은 중요 계획을 수립하십시오.

감사 정책 마법사로 정책을 만들 때 사용할 규칙을 확인합니다. 이 규칙은 만들 정책의 유형과 정의하려는 특정 제한에 따라 결정됩니다.

새 정책에 포함시킬 수정 작업 흐름 또는 규칙을 가져옵니다.

감사 정책을 만드는 데 필요한 관리자 기능이 있는지 확인합니다. 필요한 기능은 기능 이해 및 관리를 참조하십시오.

필요한 규칙 확인

정책에서 지정한 제한은 새로 만들거나 가져오는 규칙 세트로 구현됩니다. 감사 정책 마법사를 사용하여 규칙을 만드는 경우 다음과 같은 작업을 수행합니다.

작업할 특정 자원 확인

속성 목록에서 자원에 유효한 계정 속성 선택

속성에 부여할 조건 선택

비교할 값 입력

(선택 사항) Identity Manager로 직무 분리 규칙 가져오기

감사 정책 마법사로는 직무 분리 규칙을 만들 수 없습니다. 이러한 규칙은 Identity Manager 외부에서 만든 후 구성 탭의 교환 파일 가져오기 옵션을 사용하여 가져와야 합니다.

(선택 사항) Identity Manager로 작업 흐름 가져오기

Identity Manager에서 현재 사용할 수 없는 수정 작업 흐름을 사용하려면 다음 작업을 완료하여 외부 작업 흐름을 가져옵니다.

authType=’AuditorAdminTask’로 설정하고 subtype=’SUBTYPE_REMEDIATION_WORKFLOW’를 추가합니다. Identity Manager IDE 또는 원하는 XML 편집기를 사용하여 이 구성 객체를 설정할 수 있습니다.

교환 파일 가져오기 옵션을 사용하여 작업 흐름을 가져옵니다. 이 기능은 구성 탭에서 액세스할 수 있습니다.

작업 흐름을 성공적으로 가져오면 감사 정책 마법사의 수정 작업 흐름 옵션 목록에 해당 작업 흐름이 나타납니다.

감사 정책 이름 지정 및 설명

감사 정책 마법사 화면에서 새 정책의 이름과 간략한 설명을 입력합니다(그림 11-1 참조).

규칙 이름을 지정하지 않도록 선택하면 Identity Manager에서 Policy_Name::Rule1 형식으로 기본 이름을 할당합니다.

검색을 실행할 때 선택한 자원만 액세스할 수 있게 하려면 대상 자원 제한 옵션을 활성화합니다.

규칙 선택

이 화면에서 정책 내 규칙을 정의하거나, 규칙을 정책에 포함시키는 과정을 시작합니다. 규칙을 정의하고 만드는 작업은 정책을 만드는 과정에서 큰 비중을 차지합니다.


주	감사 정책에서 자원을 제한하지 않으면 검색 중에 사용자의 계정이 있는 모든 자원에 액세스하게 됩니다. 규칙에서 일부 자원만 사용하는 경우 정책을 해당 자원으로만 제한하는 것이 더 효율적입니다.

그림 11-2에 표시된 것처럼 Identity Manager 규칙 마법사를 사용하여 직접 규칙을 만들거나, 또는 기존 규칙을 포함하도록 선택할 수 있습니다. 기본적으로 Rule Wizard 옵션이 선택됩니다. Next를 눌러 규칙 마법사를 시작합니다. 규칙 만들기에 대한 자세한 내용은 규칙 마법사를 사용하여 새 규칙 만들기를 참조하십시오.

기존 규칙 선택

규칙 옵션을 선택할 때 Existing Rule을 눌러 새 정책에 기존 규칙을 포함시킵니다. 그리고 나서 Next를 눌러 액세스 권한이 있는 기존 감사 정책 규칙을 표시한 후 선택합니다.

규칙 옵션 목록에서 추가 규칙을 선택한 후 다음을 누릅니다.

규칙 추가

기존 규칙을 가져오거나 추가 규칙을 만들 수 있습니다. 규칙 마법사에서는 하나의 규칙에 하나의 자원만 사용할 수 있습니다. 가져온 규칙은 필요한 만큼의 자원을 참조할 수 있습니다.


주	Identity Manager로 이전에 가져온 규칙의 이름이 표시되지 않는 경우 감사 정책 규칙에 설명된 추가 속성을 규칙에 추가했는지 확인합니다.

필요에 따라 AND 또는 OR를 눌러 규칙을 계속 추가합니다. 규칙을 제거하려면 해당 규칙을 선택한 다음 제거를 누릅니다.

모든 규칙의 부울 표현식이 true로 평가되는 경우에만 정책 위반이 발생합니다. AND/OR 연산자로 규칙을 그룹화하여 모든 규칙은 아니더라도 정책이 true로 평가되도록 할 수 있습니다. Identity Manager는 true로 평가되는 규칙에 대해 정책 표현식이 true로 평가되는 경우에만 위반을 생성합니다.

수정 작업 흐름 선택

이 화면을 사용하여 이 정책에 연결할 수정 작업 흐름을 선택할 수 있습니다. 여기서 할당하는 작업 흐름에 따라 감사 정책 위반이 검색된 경우에 Identity Manager에서 수행되는 작업이 결정됩니다.


주	XML 편집기 또는 Identity Manager Integrated Development Environment(IDE)에서 만든 작업 흐름을 가져오는 방법에 대한 자세한 내용은 (선택 사항) Identity Manager로 작업 흐름 가져오기를 참조하십시오.

이 수정 작업 흐름에 연결할 수정자를 지정하려면 수정자 지정 여부를 누릅니다. 이 확인란을 활성화한 후 다음을 누르면 수정자 할당 페이지가 표시됩니다. 이 확인란을 활성화할 수 없는 경우 감사 정책 마법사에 조직 할당 화면이 표시됩니다.

수정에 대한 관리자 및 시간 초과 선택

수정자를 지정하도록 선택한 경우 해당 정책에 대한 위반이 탐지되면 이 감사 정책에 할당된 수정자에게 알립니다.

하나 이상의 수준 1 수정자 또는 지정된 관리자를 할당하도록 선택할 수 있습니다. 정책 위반이 탐지될 경우 수정 작업 흐름에 의해 실행되는 전자 메일을 통해 수준 1 수정자에게 먼저 연락됩니다. 수준 1 수정자가 응답하기 이전에 지정된 단계적 전달 제한 시간에 도달하면 Identity Manager는 여기에서 지정하는 수준 2 수정자에게 연락합니다. Identity Manager는 단계적 전달 제한 시간이 경과하기 이전에 수준 1 또는 수준 2 수정자가 응답하지 않는 경우에만 수준 3 수정자에게 연락합니다.

수정자 할당은 선택 사항입니다. 이 옵션을 선택하는 경우 설정 값을 지정한 이후에 다음을 눌러 다음 화면을 계속합니다.

이 정책에 액세스할 수 있는 조직 선택

이 화면(그림 11-5 참조)에서는 이 정책을 보고 편집할 수 있는 조직을 선택합니다.

만든 정책은 준수 탭에서 사용할 수 있는 정책 보기에 나열됩니다.

규칙 마법사를 사용하여 새 규칙 만들기

감사 정책 마법사에서 규칙 마법사 옵션을 사용하여 규칙을 만들 경우 다음 절에서 설명하는 화면에 정보를 입력하여 계속합니다.

새 규칙 이름 지정 및 설명

(선택 사항) 이 화면에서는 Identity Manager에 규칙이 표시될 때마다 규칙 이름 옆에 나타나는 설명 텍스트를 입력합니다. 규칙을 설명하는 의미 있는 설명을 간결하고 명확하게 입력합니다. 이 설명은 Identity Manager의 정책 위반 검토 페이지에 표시됩니다.

예를 들어, Oracle ERP responsibilityKey 속성 값에 Payable User와 Receivable User 속성 값을 모든 갖고 있는 사용자를 확인하는 규칙을 작성하는 경우 Description 필드에 다음과 같은 텍스트를 입력할 수 있습니다.
Identifies users with both Payable User and Receivable User responsibilities.

규칙에서 참조되는 자원 선택

이 화면에서는 규칙에서 참조되는 자원을 선택합니다. 각 규칙 변수는 이 자원에 대한 속성과 일치해야 합니다. 보기 액세스 권한이 있는 모든 자원이 이 옵션 목록에 표시됩니다. 이 예에서는 Oracle ERP가 선택됩니다.

규칙 표현식 만들기


주	전부는 아니지만 대부분의 사용 가능한 자원 어댑터가 지원됩니다. 사용 가능한 특정 속성에 대한 자세한 내용은 Identity Manager Resources Reference를 참조하십시오.

이 화면에서는 새 규칙에 대한 규칙 표현식을 입력합니다. 이 예제에서 Oracle ERP responsibilityKey에 Payable User 속성 값을 가진 사용자는 Receivable User 속성 값을 가질 수 없다는 규칙을 만듭니다.

사용할 수 있는 속성 목록에서 사용자 속성을 선택합니다. 이 속성은 규칙 변수로 직접 사용됩니다.

목록에서 논리 조건을 선택합니다. 유효한 조건으로는 = (같음), != (같지 않음), < (작음), <= (작거나 같음), > (큼), >= (크거나 같음), is true(참임), is null(null임), is not null(null이 아님), contains(포함함) 등이 있습니다. 이 예제의 목적에 맞춰 가능한 속성 조건 목록에서 contains를 선택합니다.

표현식의 값을 입력합니다. 예를 들어, Payable user를 입력하면 responsibilityKeys 속성에 Payable user 값을 갖는 Oracle ERP 사용자를 지정하는 것입니다.

(선택 사항) 줄을 추가하고 다른 표현식을 만들려면 AND 또는 OR 연산자를 누릅니다.

그림 11-8 감사 정책 마법사: 규칙 표현식 선택 화면
규칙 구문 선택 화면에서는 새 규칙에 대한 규칙 구문을 지정합니다.

이 규칙은 부울 값을 반환합니다. 두 문이 모두 참이면 규칙은 TRUE 값을 반환하며 정책 위반이 성립됩니다.

다음은 이 화면에서 만든 규칙에 대한 XML을 보여주는 코드 예제입니다.


주	Identity Manager는 규칙 중첩의 제어를 지원하지 않습니다. 여러 규칙을 지정할 경우 정책 평가자는 항상 AND 연산자를 먼저 따른 다음 OR 연산자를 따릅니다. 예를 들어, R1 AND R2 AND R3 또는 R4 AND R5 (R1 + R2 + R3) \| (R4 + R5)의 경우입니다.

규칙에서 표현식을 제거하려면 속성 조건을 선택하고 제거를 누릅니다.

감사 정책 마법사를 계속하려면 다음을 누릅니다. 그런 다음 마법사로 새 규칙을 만들거나 기존 규칙을 추가하여 규칙을 추가할 수 있습니다.

감사 정책 편집

규칙 추가 또는 삭제

이 정책에 액세스할 수 있는 조직 목록 조정

각 수정 수준에 연결된 단계적 전달 제한 시간 변경

이 정책에 연결된 수정 작업 흐름 변경

정책 편집 페이지

감사 정책 편집 페이지를 열려면 감사 정책 이름 열에서 정책 이름을 누릅니다. 감사 정책 편집 페이지가 열립니다. 이 페이지는 감사 정책 정보를 다음 영역으로 분류합니다.

확인 및 규칙 영역

수정자 및 단계적 전달 제한 시간 영역

작업 흐름 및 조직 영역

그림 11-9 감사 정책 편집 페이지: 확인 및 규칙 영역
정책 편집 페이지에서는 정책 이름과 설명을 편집하고 규칙을 추가 및 삭제할 수 있습니다.

페이지의 이 영역을 사용하여 다음과 같은 작업을 할 수 있습니다.

정책 이름 및 설명 편집

규칙 추가 및 삭제



주	기존 규칙을 직접 편집하는 데는 이 제품을 사용할 수 없습니다. Identity Manager IDE 또는 XML 편집기를 사용하여 기존 규칙을 편집한 다음 Identity Manager로 가져오십시오. 그 다음 이전 버전을 제거하고 새로 개정된 버전을 추가할 수 있습니다.

감사 정책 이름 및 설명 편집

필드 내의 텍스트를 선택하고 새 텍스트를 입력하여 정책 설명 필드와 규칙 이름 필드를 편집합니다.

정책에서 규칙 삭제

규칙 이름 앞에 있는 Select 버튼을 누르고 Remove를 누릅니다.

정책에 규칙 추가

Add를 눌러 새 필드를 만들고, 이를 사용하여 규칙을 추가할 수 있습니다.

정책에 사용되는 규칙 변경

수정자 영역

그림 11-10은 정책에 대한 수정자를 할당하는 수정자 영역을 보여 줍니다.

페이지의 이 영역을 사용하여 다음과 같은 작업을 할 수 있습니다.

정책에서 수정자 제거 또는 할당

단계적 전달 제한 시간 조정

수정자 제거 또는 할당

이름을 선택하고 각 수정 수준에 대해

을 사용하여 선택한 이름을 왼쪽 열에서 오른쪽 열로 이동함으로써 하나 이상의 수정 수준에 대한 수정자를 선택합니다. 하나 이상의 수정자를 선택해야 합니다.

단계적 전달 제한 시간 조정

시간 초과 값을 선택한 다음 새 값을 입력합니다. 기본 시간 초과 값은 60분입니다.

수정 작업 흐름 및 조직 영역

그림 11-11은 감사 정책에 대한 수정 작업 흐름 및 조직을 지정하는 영역을 보여 줍니다.

페이지의 이 영역을 사용하여 다음과 같은 작업을 할 수 있습니다.

정책 위반이 발생하는 경우 실행되는 수정 작업 흐름 변경

이 정책에 액세스할 수 있는 조직 조정

수정 작업 흐름 변경

옵션 목록에서 대체 작업 흐름을 선택하여 정책에 할당된 작업 흐름을 변경할 수 있습니다. 감사 정책에는 기본적으로 작업 흐름이 할당되지 않습니다.

조직에 가시성 할당 및 제거


주	감사 정책에 작업 흐름이 할당되지 않은 경우 위반이 수정자에게 할당되지 않습니다.

이 감사 정책을 사용할 수 있는 조직을 조정한 다음 저장을 누릅니다.

감사 정책 삭제

감사 정책을 시스템에서 삭제하면 해당 정책을 참조하는 모든 위반 사항도 함께 삭제됩니다.

정책 관리를 눌러 정책을 표시할 때 인터페이스의 준수 영역에서 정책을 삭제할 수 있습니다. 감사 정책을 삭제하려면 정책 보기에서 정책 이름을 선택한 다음 삭제를 누릅니다.

감사 정책 문제 해결

감사 정책의 문제는 보통 정책 규칙 디버깅으로 찾는 것이 가장 효과적입니다.

디버깅 규칙

규칙을 디버깅하려면 규칙 코드에 다음 추적 요소를 추가합니다.

<block trace='true'>
<and>
<contains>
  <ref>accounts[AD].firstname</ref>
  <s>Sam</s>
</contains>
<contains>
  <ref>accounts[AD].lastname</ref>
  <s>Smith</s>
</contains>
</and>
</block>

문제: Identity Manager 인터페이스에서 특정 작업 흐름을 볼 수 없습니다.

작업 흐름에 subtype='SUBTYPE_REMEDIATION_WORKFLOW' 속성을 추가했는지 확인하십시오. 이 subtype 속성이 없는 작업 흐름은 Identity Manager 인터페이스에서 볼 수 없습니다.

감사 정책 할당

조직에 감사 정책을 할당하려면 최소한 조직 감사 정책 할당 기능이 있어야 합니다. 사용자에게 감사 정책을 할당하려면 사용자 감사 정책 할당 기능이 있어야 합니다. 감사 정책 할당 기능이 있는 사용자는 이 두 기능을 모두 갖습니다.

조직 수준 정책을 할당하려면 계정 탭에서 조직을 선택한 다음 할당된 감사 정책 목록에서 정책을 선택합니다.

사용자 수준 정책을 할당하려면 계정 탭에서 사용자를 누릅니다. 그런 다음 사용자 양식에서 준수 탭을 선택하고 할당된 감사 정책 목록에서 정책을 선택합니다.

감사 정책 검색 및 보고서

이 절에서는 감사 정책 검색에 대한 정보를 제공하고 감사 검색을 실행하고 관리하는 절차를 설명합니다.

사용자 및 조직 검색

검색은 개별 사용자 또는 조직을 대상으로 감사 정책을 선택하여 실행하는 방법입니다. 사용자 또는 조직에서 특정 위반을 검색하거나 사용자 또는 조직에 할당되지 않은 정책을 실행할 수 있습니다. 인터페이스의 계정 영역에서 검색을 실행할 수 있습니다.

계정 영역에서 사용자 계정이나 조직에 대한 검색을 시작하려면 다음을 수행합니다.


주	서버 작업 탭에서 감사 정책 검색을 실행할 수도 있습니다.

계정 탭을 누릅니다.

계정 목록에서 다음 중 하나를 수행합니다.

하나 이상의 사용자를 선택한 다음 사용자 작업 옵션 목록에서 검색을 선택합니다.

하나 이상의 조직을 선택한 다음 조직 작업 옵션 목록에서 검색을 선택합니다.

Report Title 필드에 검색의 제목을 입력합니다. 필수 필드입니다. 보고서 요약 필드에 검색에 대한 설명을 입력할 수 있습니다. 이 필드는 선택 사항입니다.

실행하려는 감사 정책을 하나 이상 선택합니다. 하나 이상의 정책을 지정해야 합니다.

Policy Mode를 선택합니다. 이 정책 모드에 따라 선택한 정책이 이미 정책을 할당 받은 사용자와 상호 작용하는 방식이 결정됩니다. 할당은 사용자로부터 직접 가져올 수도 있고 사용자가 존재하는 조직에서 가져올 수도 있습니다.

감사 정책에 할당된 수정 작업 흐름을 실행하려면 Execute Remediation Workflow?를 선택합니다. 감사 정책이 수정 작업 흐름을 정의하지 않는 경우 수정이 실행되지 않습니다.

Email Report를 선택하여 보고서의 수신자를 지정합니다. Identity Manager에서 CSV(쉼표로 분리된 값) 형식의 보고서 파일을 첨부하도록 할 수도 있습니다.

기본 PDF 옵션을 대체하려면 Override default PDF options 확인란을 선택합니다.

Launch를 눌러 검색을 시작합니다.

감사 검색의 결과로 나타나는 보고서를 보려면 감사자 보고서를 봅니다.

감사자 보고서 작업

Identity Manager는 많은 감사자 보고서를 제공합니다. 다음 표에서는 이러한 보고서에 대해 설명합니다.

표 11-1 감사자 보고서 설명
감사자 보고서 유형	설명
액세스 검토 세부 내용 보고서	모든 사용자 자격 부여 레코드의 현재 상태를 표시합니다. 사용자 조직, 액세스 검토 및 액세스 검토 인스턴스, 자격 부여 레코드 상태, 입증인 등을 기준으로 이 보고서를 필터링할 수 있습니다.
액세스 검토 요약 보고서	모든 액세스 검토에 대한 요약 정보를 제공합니다. 또한 나열된 각 액세스 검토 검색에 대해 검색된 사용자의 상태, 검색된 정책 및 증명 활동을 요약합니다.
감사 정책 요약 보고서	각 정책에 대한 규칙, 수정자, 작업 흐름 등 모든 감사 정책의 핵심 요소를 요약합니다.
감사된 속성 보고서	지정된 자원 계정 속성의 변경을 나타내는 모든 감사 레코드를 표시합니다. 이 보고서는 저장된 감사 가능한 속성의 감사 데이터를 분석합니다. 분석하는 데이터는 확장된 속성을 기반으로 하며, 이 속성은 WorkflowServices 또는 감사 가능한 것으로 표시된 자원에 의해 지정됩니다.
감사 정책 위반 내역	지정된 기간 동안 생성된 모든 준수 위반을 정책별로 나타내는 그래픽 보기입니다. 이 보고서를 정책별로 필터링하고 일, 주, 월, 분기별로 그룹화할 수 있습니다.
사용자 액세스 보고서	지정된 사용자에 대한 감사 레코드 및 사용자 속성을 보여 줍니다.
조직 위반 내역	특정 기간 동안 생성된 모든 준수 위반을 자원별로 나타내는 그래픽 보기입니다. 조직별로 필터링하고 일, 주, 월, 분기별로 그룹화할 수 있습니다.
자원 위반 내역	지정된 기간 동안 생성된 모든 준수 위반을 자원별로 나타내는 그래픽 보기입니다.
직무 분리 보고서	충돌 테이블에 정렬된 직무 분리 위반을 보여 줍니다. 웹 기반 인터페이스를 사용하여 링크를 눌러 추가 정보에 액세스할 수 있습니다. 이 보고서는 조직별로 필터링하고 일, 주, 월, 분기별로 그룹화할 수 있습니다.
위반 요약 보고서	모든 현재 준수 위반을 보여 줍니다. 이 보고서는 수정자, 자원, 규칙, 사용자 또는 정책별로 필터링할 수 있습니다.

이 보고서는 Identity Manager 인터페이스의 보고서 탭에서 사용할 수 있습니다.

감사자 보고서 만들기

보고서를 생성하려면 먼저 보고서를 만들어야 합니다. 보고서 결과를 수신할 전자 메일 수신자 지정 등과 같은 다양한 보고서 기준을 지정할 수 있습니다. 보고서를 만들어 저장한 후 보고서 실행 페이지에서 해당 보고서를 사용할 수 있습니다.

그림 11-13은 정의된 감사자 보고서 목록이 있는 보고서 실행 페이지의 예입니다.

메뉴 표시줄에서 보고서를 선택합니다.

보고서 유형으로 감사자 보고서를 선택한 다음 새로 만들기 보고서 목록에서 다음 보고서 옵션 중 하나를 선택합니다.

액세스 검토 세부 내용 보고서

액세스 검토 요약 보고서

감사 정책 요약 보고서

감사된 속성 보고서

감사 정책 위반 내역

사용자 액세스 보고서

조직 위반 내역

자원 위반 내역

직무 분리 보고서

위반 요약 보고서

보고서 대화 상자가 표시됩니다. 보고서 대화 상자의 필드와 레이아웃은 보고서 유형별로 다양합니다. 보고서 기준 지정에 대한 자세한 내용은 온라인 도움말을 참조하십시오.

보고서 유형을 입력하고 선택한 이후 다음 작업을 할 수 있습니다.

저장하지 않고 보고서 실행 — 실행을 눌러 보고서를 실행합니다. Identity Manager는 보고서(새 보고서를 정의한 경우) 또는 변경된 보고서 기준(기존 보고서를 편집한 경우)을 저장하지 않습니다.

보고서 저장 — 저장을 눌러 보고서를 저장합니다. 저장된 보고서는 보고서 실행 페이지(보고서 목록)에서 실행할 수 있습니다.

보고서 실행 페이지에서 보고서를 실행한 후 출력을 즉시 보거나 나중에 보고서 보기 탭에서 확인할 수 있습니다.

보고서 예약에 대한 자세한 내용은 보고서 예약을 참조하십시오.

수정 및 완화

이 절에서는 Identity Manager 수정을 사용하여 중요 자산을 보호하는 방법을 설명합니다. 다음 항목에서는 Identity Manager 수정 과정의 요소에 대해 설명합니다.

수정 정보

Identity Manager는 해결되지 않은(완화되지 않은) 감사 정책 위반을 탐지하면 수정자가 해결해야 하는 수정 요청을 생성합니다. 수정자는 감사 정책 위반을 검사하고 대응하도록 권한을 부여 받은 지정된 관리자입니다.

Identity Manager에서 수정자를 세 수준으로 정의할 수 있습니다. 수정 요청은 먼저 수준 1 수정자에게 전송됩니다. 만료 제한 시간 안에 수준 1 수정자의 대응이 없으면 Identity Manager는 수준 2 수정자에게 요청을 전송하고 제한 시간을 새로 시작합니다. 만료 제한 시간 안에 수준 2 수정자의 응답이 없으면 요청은 다시 수준 3 수정자에게 전송됩니다.

수정을 수행하려면 회사에 대해 한 명 이상의 수정자를 지정해야 합니다. 선택 사항이지만 각 수준에 두 명 이상의 수정자를 지정하는 것이 좋습니다. 여러 명의 수정자를 지정하면 작업 흐름이 지연되거나 중단되지 않도록 방지할 수 있습니다.

수정 작업 흐름 프로세스

기본적으로 Identity Manager는 표준 수정 작업 흐름을 구현하여 감사 정책 검색을 위한 수정을 처리합니다.

표준 수정 작업 흐름은 준수 위반 정보를 포함하는 수정 요청(검토 유형의 작업 항목)을 생성하고 감사 정책에 지정된 각 수준 1 수정자에게 전자 메일 알림을 보냅니다. 수정자가 위반을 완화하면 작업 흐름은 기존 준수 객체의 상태를 변경하고 만료일을 다시 할당합니다.

준수 위반은 사용자, 정책 이름 및 규칙 이름을 조합하여 고유하게 식별됩니다. 감사 정책이 true로 평가되면 이 조합에 대한 기존 위반이 아직 없는 경우 각 사용자/정책/규칙 조합에 대해 새 준수 위반이 생성됩니다. 해당 조합에 대한 위반이 존재하고 위반이 완화된 상태인 경우 작업 흐름 프로세스는 아무런 조치도 취하지 않습니다. 기존 위반이 완화되지 않은 경우 반복 횟수가 증가합니다.

수정 작업 흐름에 대한 자세한 내용은 감사 정책 정보를 참조하십시오.

수정 응답

기본적으로 각 수정자에게 부여되는 응답 옵션은 다음 세 가지입니다.

수정됨: 수정자가 자원의 문제를 해결하기 위한 동작을 했음을 나타냅니다.


주	다음에 감사 검색을 수행할 때 위반이 삭제됩니다.

완화: 수정자가 해당 위반을 허용하고 사용자에게 일정 시간 동안 위반 면제를 부여합니다.


주	Identity Manager는 면제 만료를 탐지하면 완화된 위반을 보류 중인 위반으로 되돌립니다.

전달: 위반 해결 책임을 다른 사람에게 재할당합니다.

예를 들어 회사에서 매입 계정과 매출 계정에 대한 책임을 한 사람이 갖지 못한다는 규칙을 설정한 경우 사용자가 이 규칙을 위반하고 있다는 알림을 받게 됩니다.

해당 사용자가 다른 직원을 채용할 때까지만 두 역할에 대한 책임을 갖는 관리자인 경우라면, 이 위반을 완화하고 6개월간 위반 면제를 부여할 수 있습니다.

사용자가 이 규칙을 위반하고 있을 경우 Oracle ERP 관리자에게 충돌 문제를 수정할 것을 요청한 다음, 해당 자원에서 이 문제가 수정되면 위반을 수정할 수 있습니다.

수정 전자 메일 서식 파일

Identity Manager는 정책 위반 알림 전자 메일 서식 파일을 제공합니다. 구성 탭을 선택하고 전자 메일 서식 파일 하위 탭을 선택합니다. 이 서식 파일을 구성하여 보류 중인 위반을 수정자에게 알리도록 할 수 있습니다. 자세한 내용은 전자 메일 서식 파일 사용자 정의를 참조하십시오.

수정 기능 할당

회사 내 관리자에게 수정 기능을 할당하려면 다음 단계를 수행합니다.

계정 탭을 선택하고 계정 목록에서 관리 계정을 눌러 사용자 편집 페이지를 엽니다.

사용자 편집 페이지에서 보안 하위 탭을 누릅니다.

사용 가능한 기능 목록에서 감사자 수정자를 선택한 다음

버튼을 사용하여 할당된 기능 목록으로 이동시킵니다.

완료했으면 저장을 누릅니다.



주	감사자 수정자 기능에 대한 자세한 내용은 기능 이해 및 관리를 참조하십시오.

수정 작업 페이지

작업 항목을 선택한 다음 Identity Manager에서 수정 탭을 선택하여 수정 페이지에 액세스합니다.

보류 중이거나 완료된 모든 수정 요청 보기

하나 이상의 수정 요청 완화

하나 이상의 수정 요청 수정

하나 이상의 수정 요청 전달

수정 요청 보기

수정 페이지를 사용하면 수정 요청에 대한 조치를 취하기 이전에 해당 요청에 대한 정보를 볼 수 있습니다.


주	기능에 따라 다른 수정자 또는 관리자에게 전송된 수정 요청을 보고 이에 대한 작업을 할 수 있습니다.

보류 중인 요청 보기

기본적으로 로그인 이름과 보류 중인 요청이 수정 테이블에 표시됩니다.

다음에 대한 수정 나열 옵션을 사용하여 다른 수정자에 대한 보류 중인 수정 요청을 볼 수 있습니다.

다른 수정자의 보류 중인 요청을 보려면 해당 수정자의 이름을 선택합니다.

보류 중인 모든 요청을 보려면 모든 수정자를 선택합니다.

수정자: 할당된 수정자의 이름입니다.



주	자신의 수정 요청을 보고 있는 경우에는 이 열이 표시되지 않습니다.

요청: 수정자에게 요청된 작업입니다. 요청 문장을 누르면 정책 위반에 대한 자세한 내용을 보고 요청을 처리할 수 있습니다.

요청 날짜: 수정 요청이 발생한 날짜와 시간입니다.

설명: 정책 위반에 대한 간단한 설명입니다.

완료된 요청 보기

완료된 수정 요청을 보려면 내 작업 항목 탭을 누른 다음 내역 탭을 누릅니다. 이전에 수정된 작업 항목 목록이 표시됩니다.

AuditLog 보고서에 의해 생성되는 결과 테이블에는 각 수정 요청에 대해 다음과 같은 정보가 제공됩니다.

타임스탬프: 요청이 수정된 날짜와 시간입니다.

주체: 요청을 처리한 수정자의 이름입니다.

작업: 수정자가 요청을 완화했는지 수정했는지 여부를 나타냅니다.

유형: 항상 준수 위반을 나타냅니다.

객체 이름: 위반된 감사 정책의 이름입니다.

자원: 수정자의 계정 아이디를 제공합니다(해당 없음으로 표시될 수도 있음).

아이디: 항상 N/A를 나타냅니다.

결과: 항상 성공을 표시합니다.

테이블에서 타임스탬프를 누르면 감사 이벤트 세부 내용 페이지가 열립니다.

감사 이벤트 세부 내용 페이지는 완료된 요청에 대한 정보를 제공합니다. 이 내용에는 수정 또는 완화, 이벤트 매개 변수(해당하는 경우) 및 감사할 수 있는 속성에 대한 정보가 포함됩니다.

확인을 누르면 구성자가 이전에 수정한 페이지로 돌아갑니다. 이 페이지에서 확인을 누르면 수정 페이지로 돌아갑니다.

수정 테이블의 요청 정렬

테이블 헤더를 눌러 수정 테이블의 내용을 정렬할 수 있습니다. 한 번 누르면 오름차순으로, 다시 누르면 내림차순으로 정렬됩니다.

수정 탭에서 보류 중인 요청을 정렬하려면 다음을 수행합니다.

수정자를 누르면 수정자 이름의 알파벳 순서로 테이블을 정렬합니다.

요청을 누르면 요청 이름의 알파벳 순서로 테이블을 정렬합니다.

요청 날짜를 누르면 날짜와 시간 순서로 테이블을 정렬합니다.

설명을 누르면 요청 설명의 알파벳 순서로 테이블을 정렬합니다.

타임스탬프를 누르면 날짜와 시간 순서로 테이블을 정렬합니다.

주체를 누르면 해당 요청을 처리한 수정자 이름의 알파벳 순서로 테이블을 정렬합니다.

작업을 누르면 작업의 알파벳 순서로 테이블을 정렬합니다.

객체 이름을 누르면 위반된 정책 이름의 알파벳 순서로 테이블을 정렬합니다.



주	유형, 자원, 아이디 및 결과 열에는 항상 같은 값이 표시되므로 이들 열에는 정렬할 값이 없습니다.

테이블 업데이트

수정 테이블에서 제공되는 내용을 업데이트하려면 새로 고침을 누릅니다. 새 정책 위반이 업데이트된 테이블이 수정 페이지에 다시 로드됩니다.

정책 위반 완화

수정 페이지 또는 정책 위반 검토 페이지에서 정책 위반을 완화할 수 있습니다.

수정 페이지에서

수정 페이지에서 보류 중인 정책 위반을 완화하려면 다음을 수행합니다.

테이블의 행을 선택하여 완화할 요청을 지정합니다.

하나 이상의 개별 확인란을 선택하여 완화할 요청을 지정합니다.

테이블 헤더의 확인란을 선택하여 테이블에 나열된 모든 요청을 완화합니다.



주	Identity Manager에서는 한 번의 완화 작업 당 하나의 주석만을 입력할 수 있음을 유의하십시오. 대량 완화는 위반이 서로 관련된 것이거나 하나의 주석으로 충분히 설명되는 경우에만 수행하는 것이 좋습니다.

완화를 누릅니다.

정책 위반 완화 페이지 또는 여러 정책 위반 완화 페이지가 다음과 같이 표시됩니다.

그림 11-14 정책 위반 완화 페이지
정책 위반 완화 페이지에 액세스합니다.

설명 필드에 완화에 대한 주석을 입력합니다. 필수 필드입니다.

입력한 주석은 이 작업에 대한 감사 추적에 사용된다는 점에 유의하여 완전하고 의미 있는 정보를 입력하십시오. 예를 들어 이 정책 위반을 완화하는 이유와 날짜를 입력하고 면제 기간을 선택한 이유를 설명합니다.

면제 만료 날짜를 제공하려면 만료 날짜 필드에 직접 날짜(YYYY-MM-DD)를 입력하거나

버튼을 눌러 달력에서 날짜를 선택합니다.



주	날짜를 제공하지 않으면 면제가 영구히 유효하게 됩니다.

완료했으면 OK를 눌러 변경 사항을 저장하고 수정 페이지로 돌아갑니다.

정책 위반 수정

테이블의 확인란을 사용하여 수정할 요청을 지정합니다.

테이블에서 하나 이상의 개별 확인란을 선택하여 수정할 요청을 지정합니다.

테이블 헤더의 확인란을 사용하여 테이블에 나열된 모든 요청을 수정합니다.

요청을 두 개 이상 선택할 경우 Identity Manager에서는 수정 작업을 설명하는 주석을 하나만 입력할 수 있음을 유의하십시오. 대량 수정은 위반이 서로 관련된 것이거나 하나의 주석으로 충분히 설명되는 경우에만 수행하는 것이 좋습니다.

수정됨을 누릅니다.

정책 위반 수정 페이지 또는 여러 정책 위반 수정 페이지가 표시됩니다.

주석 필드에 수정에 대한 주석을 입력합니다.

입력한 주석은 이 작업에 대한 감사 추적에 사용된다는 점에 유의하여 완전하고 의미 있는 정보를 입력하십시오. 예를 들어, 정책 위반을 수정하는 이유와 날짜를 설명합니다.

완료했으면 확인을 눌러 변경 사항을 저장하고 수정 페이지로 돌아갑니다.

수정 요청 전달

필요한 경우 다음과 같은 방법으로 하나 이상의 수정 요청을 다른 수정자에게 전달할 수 있습니다.

테이블에서 확인란을 사용하여 전달할 요청을 지정합니다.

테이블 헤더의 확인란을 선택하여 테이블에 나열된 모든 요청을 전달합니다.

테이블의 개별 확인란을 선택하여 하나 이상의 요청을 전달합니다.

전달을 누릅니다.

Select and Confirm Forwarding 페이지가 표시됩니다.

그림 11-15 전달 선택 및 확인 페이지
요청이 관리자에게 전달되고 테이블이 업데이트됩니다.

전달 대상 옵션 목록에서 다른 수정자의 이름을 선택한 다음 OK를 누릅니다.

수정 페이지가 다시 표시되면 새 수정자의 이름이 테이블의 수정자 열에 표시됩니다.

정기 액세스 검토 및 증명

Identity Manager에서는 관리자나 기타 담당자가 사용자 액세스 권한을 검토하고 확인할 수 있도록 액세스 검토 과정을 제공합니다. 이 과정을 사용하면 시간의 경과에 따라 누적되는 사용자 권한을 식별하여 관리하고, Sarbanes-Oxley, HIPAA 및 기타 관련 규정을 준수할 수 있습니다.

액세스 검토는 특별히 수행하거나 일정에 따라 정기적으로 수행할 수 있습니다. 예를 들어, 분기별로 정기 액세스 검토를 수행하여 올바른 수준의 사용자 권한을 유지할 수 있습니다. 액세스 검토에는 감사 검색이 포함될 수 있습니다.

정기 액세스 검토 정보

정기 액세스 검토는 일련의 직원이 특정 시점에서 해당 자원에 대한 적절한 권한이 있는지를 주기적으로 증명하는 과정입니다.

액세스 검토 검색 — 직접 정의한 후 실행하거나 실행 예약하는 검색이며, 지정된 사용자에 대한 사용자 자격 부여를 평가하고 규칙 기반 평가를 통해 증명이 필요한지 여부를 결정합니다.

증명 — 사용자 자격 부여를 승인하거나 거부하여 증명 요청에 응답하는 과정입니다.

사용자 자격 부여는 사용자 계정이나 특정 자원에 대한 정보를 나타내는 레코드입니다.

액세스 검토 검색

정기 액세스 검토를 시작하려면 먼저 하나 이상의 액세스 검색을 정의해야 합니다.

액세스 검색에서는 검색할 대상, 검색에 포함될 자원, 검색 중에 평가할 감사 정책, 수동으로 증명할 자격 부여 레코드를 결정하는 규칙 및 그 주체 등을 정의합니다.

액세스 검토 작업 흐름 프로세스

일반적으로 Identity Manager 액세스 검토 프로세스 작업은 다음과 같습니다.

사용자 목록 만들기, 각 사용자에 대한 계정 정보 수집, 감사 정책 평가

사용자 자격 부여 레코드 생성

각 사용자 자격 부여 레코드에 대해 증명이 필요한지 여부 결정

각 입증인에게 작업 항목 할당

모든 입증인이 승인하거나 첫 번째 거부가 있을 때까지 대기

지정된 시간 제한 기간 동안 요청에 대한 응답이 없을 경우 다음 입증인으로 단계적 이동

해결 내용으로 사용자 자격 부여 레코드 업데이트

필수 관리자 기능

정기 액세스 검토를 수행하고 검토 프로세스를 관리하려면 사용자에게 감사자 정기 액세스 검토 관리자 기능이 있어야 합니다. 감사자 액세스 검색 관리자 기능이 있는 사용자는 액세스 검색을 만들고 관리할 수 있습니다.

이러한 권한을 할당하려면 사용자 계정을 편집하고 보안 속성을 수정합니다. 감사자 기능에 대한 자세한 내용은 기능 이해 및 관리를 참조하십시오.

증명

증명은 하나 이상의 지정된 입증인이 특정 날짜의 사용자 자격 부여를 확인하기 위해 수행하는 인증 프로세스입니다. 액세스 검토 중에 입증인은 전자 메일 알림을 통해 액세스 검토 증명 요청에 대한 알림을 받습니다. 입증인은 반드시 Identity Manager 사용자여야 하지만 Identity Manager 관리자가 아니어도 됩니다.

증명 작업 흐름

Identity Manager는 액세스 검색에서 검토가 필요한 자격 부여 레코드를 식별한 경우에 실행되는 증명 작업 흐름을 사용합니다. 이 작업 흐름은 액세스 검색에 정의된 규칙을 기반으로 결정합니다.

액세스 검색에서 평가되는 규칙에 따라 사용자 자격 부여 레코드를 수동으로 증명할지 자동으로 승인하거나 거부할지 여부가 결정됩니다. 사용자 자격 부여 레코드를 수동으로 증명해야 하는 경우 액세스 검색에서는 두 번째 규칙을 사용하여 적절한 입증인을 결정합니다.

수동으로 증명할 각 사용자 자격 부여 레코드가 작업 흐름에 할당됩니다. 작업 항목은 입증인별로 하나씩 제공됩니다. 항목을 검색 당 하나의 알림으로 번들화하는 ScanNotification 작업 흐름을 사용하여 이러한 작업 항목의 알림을 보낼 수 있습니다. ScanNotification 작업 흐름을 선택하지 않은 경우 사용자 자격 부여 당 알림이 제공됩니다. 즉, 입증인이 검색별로 여러 알림을 받을 수 있습니다. 검색 대상 사용자 수가 많을수록 더 많은 알림을 받게 됩니다.

증명 보안 액세스

다음 Identity Manager 사용자는 증명 작업 항목에 대한 액세스 권한이 있습니다.

작업 항목 소유자

작업 항목 소유자의 직접/간접 관리자

작업 항목 소유자가 소속된 조직을 제어하는 관리자

인증 검사를 통해 유효성을 검사한 사용자

이러한 인증 옵션은 authType AttestationWorkItem 작업 항목을 위한 것입니다. 기본적으로 인증 검사 동작은 다음과 같습니다.

소유자는 작업을 시도하는 사용자이거나

작업을 시도하는 사용자가 제어하는 조직에 소속되거나

작업을 시도하는 사용자의 부하 직원입니다.

다음 옵션을 수정하여 두 번째 및 세 번째 검사를 개별적으로 구성할 수 있습니다.

controlOrg — 유효한 값은 "true" 또는 "false"입니다.

subordinate — 유효한 값은 "true" 또는 "false"입니다.

firstLevel — 결과에 포함시킬 첫 번째 하위 수준입니다. 0은 직접 보고자를 의미합니다.

lastLevel — 결과에 포함시킬 마지막 하위 수준입니다. -1은 모든 수준을 의미합니다.

firstLevel 및 lastLevel의 정수 기본값은 0(직접 부하 직원) 및 -1(간접 부하 직원)입니다.

이러한 옵션을 다음과 같이 추가하거나 수정할 수 있습니다.

위임된 증명

기본적으로 액세스 검색 작업 흐름은 증명 작업 항목 및 알림에 대해 사용자가 생성한 위임을 참조합니다. 액세스 검색 관리자는 위임 따르기 옵션을 선택 취소하여 위임 설정을 무시할 수 있습니다. 입증인이 모든 작업 항목을 다른 사용자에게 위임했지만 액세스 검토 검색에 대해 위임 따르기 옵션이 설정되어 있지 않은 경우 입증인(위임이 할당된 사용자가 아님)이 증명 요청 알림과 작업 항목을 받게 됩니다.

정기 액세스 검토 계획

액세스 검토는 비즈니스 환경에서 노동 집약적이고 시간이 많이 소요되는 프로세스입니다. Identity Manager 정기 액세스 검토 프로세스를 사용하면 프로세스의 많은 부분을 자동화하여 소요되는 비용과 시간을 최소화할 수 있습니다. 그렇지만 일부 프로세스는 여전히 많은 시간이 소요됩니다. 예를 들어, 많은 위치에서 수천 명의 사용자에 대한 사용자 계정 데이터를 불러오려면 매우 많은 시간이 소요될 수 있습니다. 레코드를 수동으로 증명하는 작업도 많은 시간이 소요될 수 있습니다. 적절한 계획은 프로세스의 효율성을 향상시키고 노력을 크게 줄일 수 있습니다.

정기 액세스 검토를 계획할 경우 다음과 같은 사항을 고려해야 합니다.

검색 시간은 관련된 자원 및 사용자 수에 따라 많은 차이가 날 수 있습니다.

병렬 처리를 위해 여러 Identity Manager 서버를 사용하면 액세스 검토 프로세스가 단축될 수 있습니다.

증명 작업 흐름과 규칙을 사용자 정의하여 제어 능력을 강화하고 효율성을 향상시킬 수 있습니다.

입증인 단계 규칙을 사용하면 증명 요청에 대한 응답 시간을 향상시킬 수 있습니다.

검토 결정 규칙을 사용하여 수동으로 검토해야 할 자격 부여 레코드를 자동으로 결정함으로써 시간을 절약하는 방법을 이해해야 합니다.

검색 수준 알림 작업 흐름을 지정하여 검색에 대한 증명 요청 알림을 번들화합니다.

액세스 검색 만들기

준수 > 액세스 검색 관리를 선택합니다.

새 액세스 검색 만들기 페이지에서 액세스 검색에 이름을 할당합니다.

선택적으로 검색을 식별하는 데 중요한 설명을 추가합니다.

다음 옵션 중에서 사용자 범위 유형을 선택합니다. 필수 필드입니다.

조직 구성원 — 하나 이상의 선택된 조직의 모든 구성원을 검색하려면 이 옵션을 선택합니다.

관리자에게 보고 — 선택된 관리자에게 보고하는 모든 사용자를 검색하려면 이 옵션을 선택합니다. 관리자 계층은 사용자 Lighthouse 계정의 Identity Manager 속성에 따라 결정됩니다.

속성 조건 규칙에 따라 — 검색할 사용자 유형을 지정할 규칙을 선택하려면 이 옵션을 선택합니다. Identity Manager는 다음과 같은 규칙을 제공합니다.

모든 관리자

관리자가 아닌 모든 사용자

관리자가 없는 사용자



주	IDE(Identity Manager Integrated Development Environment)를 사용하여 사용자 범위 지정 규칙을 추가할 수 있습니다. 자세한 내용은 Identity Manager Deployment Tools를 참조하십시오.

사용자 범위가 조직 또는 관리자인 경우 재귀적 범위 옵션을 사용할 수 있습니다. 이 옵션을 사용하면 제어된 구성원 체계를 통해 사용자를 재귀적으로 선택할 수 있습니다.

또한 액세스 검토 검색 중에 위반을 탐지할 감사 정책을 검색하도록 선택하는 경우, 선택한 항목을 사용 가능한 감사 정책에서 현재 감사 정책 목록으로 이동하여 이 검색에 적용할 감사 정책을 선택합니다.

액세스 검색에 감사 정책을 추가하면 동일한 사용자 집합에 대해 감사 검색을 수행할 때와 동일한 동작이 발생합니다. 또한 검사 정책에서 탐지된 위반이 사용자 자격 부여 레코드에 저장됩니다. 규칙에서는 사용자 자격 부여 레코드에 위반이 존재하는지 여부를 논리의 일부로 사용할 수 있기 때문에 이 정보는 자동 승인 또는 거부 과정을 간소화합니다.

이전 단계의 감사 정책도 검색하도록 선택한 경우 정책 모드 옵션을 사용하여 지정한 사용자에 대해 실행할 감사 정책을 액세스 검색 시 결정하는 방법을 지정할 수 있습니다. 사용자 수준 및/또는 조직 수준 양쪽에서 정책을 사용자에게 할당할 수 있습니다. 기본 액세스 검색 동작에서는 사용자에게 할당된 정책이 아직 없는 경우에만 액세스 검색에 대해 지정된 정책을 적용합니다.

선택한 정책 적용 및 다른 할당 무시

사용자에게 할당된 정책이 없는 경우에만 선택한 정책 적용

사용자 할당과 함께 선택한 정책 적용

(선택 사항) 검토 프로세스 소유자를 지정합니다. 이 옵션을 사용하여 정의 중인 액세스 검토 작업의 소유자를 지정합니다. 검토 프로세스 소유자를 지정하면 증명 요청에 응답할 때 잠재적 충돌이 발생하는 입증인은 사용자 자격 부여를 승인하거나 거부하는 대신 중단할 수 있습니다. 그러면 증명 요청이 검토 프로세스 소유자에게 전달됩니다. 선택(타원) 상자를 눌러 사용자 계정을 검색한 후 선택합니다.

위임 따르기 — 액세스 검색에 대한 위임을 활성화하려면 이 옵션을 선택합니다. 이 옵션을 선택한 경우 액세스 검색에서 위임 설정만 사용합니다. 위임 따르기는 기본적으로 활성화됩니다.

대상 자원 제한 — 검색을 대상 자원으로 제한하려면 이 옵션을 선택합니다.

이 설정은 액세스 검색의 효율성에 직접적인 영향을 미칩니다. 대상 자원을 제한하지 않으면 각 사용자 자격 부여 레코드에 사용자가 연결되는 모든 자원에 대한 계정 정보가 포함됩니다. 즉, 검색 중에 각 사용자에 대해 할당된 모든 자원이 쿼리됩니다. 이 옵션을 사용하여 자원 하위 집합을 지정하면 Identity Manager에서 사용자 자격 부여 레코드를 생성하는 데 필요한 처리 시간을 크게 단축할 수 있습니다.

위반 수정 실행 — 위반이 탐지될 경우 감사 정책의 수정 작업 흐름을 활성화하려면 이 옵션을 선택합니다.

이 옵션을 선택하면 할당된 감사 정책에 대해 위반이 탐지될 경우 해당 감사 정책의 수정 작업 흐름이 실행됩니다.

액세스 승인 작업 흐름 — 기본 표준 증명 작업 흐름을 선택하거나 사용자 정의 작업 흐름(사용 가능한 경우)을 선택합니다.

이 작업 흐름은 입증인 규칙에 따라 결정된 해당 입증인에게 검토할 사용자 자격 부여 레코드를 표시하는 데 사용됩니다. 기본 표준 증명 작업 흐름은 입증인별로 하나의 작업 항목을 생성합니다. 액세스 검색에서 단계적 전달을 지정하는 경우 이 작업 흐름은 너무 오래 동안 사용되지 않는 작업 항목을 단계적으로 전달합니다. 작업 흐름이 지정되어 있지 않은 경우에는 사용자 증명이 보류 중인 상태로 무기한 유지됩니다.

입증인 규칙 — 기본 입증인 규칙을 선택하거나 사용자 정의 입증인 규칙(사용 가능한 경우)을 선택합니다.

입증인 규칙은 사용자 자격 부여 레코드에 입력으로 제공되며 입증인 이름 목록을 반환합니다. 위임 따르기를 선택한 경우 액세스 검색에서는 원본 이름 목록에 있는 각 사용자가 구성한 위임 정보에 따라 이름 목록을 해당 사용자로 변환합니다. Identity Manager 사용자의 위임이 라우팅 사이클을 생성하는 경우 위임 정보가 삭제되고 작업 항목이 최초 입증인에게 제공됩니다. 기본 입증인 규칙에서는 입증인이 자격 부여 레코드가 표시된 사용자의 관리자(idmManager)이거나 구성자 계정(사용자의 idmManager가 null인 경우)이어야 합니다. 증명에서 자원 소유자와 관리자를 모두 포함해야 하는 경우 사용자 정의 규칙을 사용해야 합니다. 규칙 사용자 정의에 대한 자세한 내용은 Identity Manager Deployment Tools 설명서를 참조하십시오.

입증인 단계 규칙 — 이 옵션을 사용하여 기본 단계 입증인 규칙을 지정하거나 사용자 정의 규칙(사용 가능한 경우)을 선택합니다. 규칙에 대한 단계적 전달 제한 시간 값을 지정할 수도 있습니다.

이 규칙은 단계적 전달 제한 시간 기간이 경과한 작업 항목에 대한 단계적 전달 체계를 지정합니다. 기본 단계 입증인 규칙은 할당된 입증인의 관리자(idmManager) 또는 구성자(입증인의 idmManager 값이 null인 경우)에게 단계적으로 전달됩니다.

단계적 제한 시간 값(분, 시간 또는 일)을 지정할 수 있습니다.

검토 결정 규칙 — 다음 규칙 중 하나를 선택하여 검색 프로세스에서 자격 부여 레코드의 배포를 결정하는 방법을 지정할 수 있습니다. 필수 필드입니다.

변경된 사용자 거부 — 사용자 자격 부여 레코드가 동일한 액세스 검색 정의의 마지막 사용자 자격 부여와 달라서 마지막 사용자 자격 부여가 승인된 경우 사용자 자격 부여 레코드가 자동으로 거부됩니다. 그렇지 않은 경우 수동 증명을 실행하여 이전에 승인된 사용자 자격 부여에서 변경되지 않은 모든 사용자 자격 부여를 승인해야 합니다.

변경된 사용자 검토 — 사용자 자격 부여 레코드가 동일한 액세스 검색 정의의 마지막 사용자 자격 부여와 달라서 마지막 사용자 자격 부여가 승인된 경우 해당 사용자 자격 부여 레코드를 수동으로 증명해야 합니다. 이전에 승인된 사용자 자격 부여에서 변경되지 않은 모든 사용자 자격 부여를 승인합니다.

모든 사용자 검토 — 모든 사용자 자격 부여 레코드를 수동으로 증명해야 합니다.



주	변경된 사용자 거부 및 변경된 사용자 검토 규칙은 자격 부여 레코드가 승인된 것과 같은 액세스 검색의 마지막 인스턴스와 사용자 자격 부여를 비교합니다. 규칙을 복사한 후 비교를 선택된 계정 데이터 부분으로 제한하도록 수정하여 이 동작을 변경할 수 있습니다. 규칙 사용자 정의에 대한 자세한 내용은 Identity Manager Deployment Tools를 참조하십시오.

알림 작업 흐름 — 다음 옵션 중 하나를 선택하여 각 작업 항목에 대한 알림 동작을 지정합니다.

없음 — 기본 설정입니다. 이 옵션을 선택하면 입증인은 증명해야 하는 각 개별 사용자 자격 부여에 대한 전자 메일 알림을 받게 됩니다.

ScanNotification — 이 옵션은 선택하면 여러 증명 요청을 단일 알림으로 번들화합니다. 알림은 수신자에게 할당된 증명 요청 수를 나타냅니다.

액세스 검색에서 검토 프로세스 소유자를 지정한 경우 ScanNotification 작업 흐름은 검색이 시작될 때와 종료될 때 검토 프로세스 소유자에게도 알림을 보냅니다. 단계 7을 참조하십시오.

ScanNotification 작업 흐름에서는 다음과 같은 전자 메일 서식 파일을 사용합니다.

액세스 검색 시작 알림

액세스 검색 종료 알림

대량 증명 알림

ScanNotification 작업 흐름을 사용자 정의할 수 있습니다.

위반 제한 — 검색을 중단하기 전에 이 검색에서 생성할 수 있는 최대 준수 위반 수를 지정하려면 이 옵션을 사용합니다. 기본 제한은 1000이고, 값 필드가 비어 있는 경우 제한이 없음을 나타냅니다.

일반적으로 감사 검색 또는 액세스 검색 중에는 사용자 수에 비해 정책 위반 수가 작지만, 이 값을 설정하면 위반 수를 크게 증가시키는 잘못된 정책의 영향으로부터 보호할 수 있습니다. 예를 들어, 다음과 같은 시나리오를 고려합니다.

액세스 검색에 5만 명의 사용자가 포함되고 사용자별로 2-3개의 위반을 생성할 경우 각 준수 위반에 대한 수정 비용이 Identity Manager 시스템에 결정적인 영향을 미칠 수 있습니다.

조직 — 이 액세스 검색 객체를 사용할 수 있는 조직을 선택합니다. 필수 필드입니다.

액세스 검색 삭제

하나 이상의 액세스 검색을 삭제할 수 있습니다. 액세스 검색을 삭제하려면 준수 탭에서 액세스 검색 관리를 선택하고, 검색 이름을 선택한 다음 삭제를 누릅니다.

액세스 검토 관리

액세스 검색을 정의한 후 해당 검색을 액세스 검토의 일부로 사용하거나 예약할 수 있습니다. 액세스 검토를 시작한 후 여러 작업을 사용하여 검토 프로세스를 관리할 수 있습니다.

다음과 같은 작업을 사용하여 액세스 검토를 실행하고 관리합니다.

액세스 검토 실행

액세스 검토를 실행하려면 관리자 인터페이스의 서버 작업 > 작업 실행 영역에서 액세스 검토 작업을 선택합니다. 작업 실행 페이지에서 액세스 검토에 대한 이름을 지정합니다. 사용 가능한 액세스 검색 목록에서 검색을 선택한 후 선택 항목 목록으로 이동합니다. 검색을 두 개 이상 선택할 경우 다음 실행 옵션 중 하나를 선택할 수 있습니다.

즉시 — 이 옵션은 실행 버튼을 누르면 검색을 즉시 실행합니다. 실행 작업에서 여러 검색에 대해 이 옵션을 선택하면 검색이 병렬로 실행됩니다.

대기 후 — 이 옵션을 사용하면 액세스 검토 작업 실행을 기준으로 검색을 실행하기 이전에 대기할 시간을 지정할 수 있습니다.



주	액세스 검토 세션 중에 검색을 두 개 이상 시작할 수 있습니다. 그러나 각 검색이 많은 사용자를 포함할 수 있으므로 검색 프로세스를 완료하는 데 몇 일이 소요될 수도 있습니다. 따라서 검색을 적절하게 관리하는 것이 좋습니다. 예를 들어, 하나의 검색은 즉시 실행하고 다른 검색은 간격에 따라 단계적으로 실행하도록 예약할 수 있습니다.

액세스 검토를 실행하면 프로세스 단계를 나타내는 작업 흐름 프로세스 그림이 표시됩니다.

액세스 검토 작업 예약


주	액세스 검토에 할당하는 이름은 중요합니다. 동일한 이름으로 정기적으로 실행되는 액세스 검토가 일부 보고서에서 비교될 수 있습니다.

서버 작업 영역에서 액세스 검토 작업을 예약할 수 있습니다. 예를 들어, 정기적으로 액세스 검토 작업을 설정하려면 일정 관리 탭을 사용하여 일정을 정의합니다. 매일 또는 분기별로 수행하도록 작업을 예약할 수도 있습니다.

일정을 정의하려면 작업 예약 페이지에서 작업을 선택한 다음 작업 예약 만들기 페이지에서 정보를 완성합니다.

액세스 검토 진행률 관리


주	Identity Manager는 기본적으로 액세스 검토 작업의 결과를 1주일 동안 보관합니다. 한 주에 두 번 이상 검토하도록 예약할 경우 결과 옵션을 삭제로 설정합니다. 결과 옵션을 삭제로 설정하지 않으면 이전 작업 결과가 존재하기 때문에 새 검토가 실행되지 않습니다.

액세스 검토 탭을 사용하여 액세스 검토 진행률을 모니터링합니다. 준수 탭을 통해 이 기능에 액세스합니다.

이전 그림에 표시된 것처럼 액세스 검토 탭에서 이전에 처리된 모든 활성 액세스 검토에 대한 요약을 검토할 수 있습니다. 나열된 각 액세스 검토에 대해 다음과 같은 정보가 제공됩니다.

Status — 검토 프로세스의 현재 상태: 초기화, 종료, 종료됨, 진행 중인 검색 수, 예약된 검색 수, 증명 대기 중, 완료됨.

Launch Date — 액세스 검토 작업이 시작된 날짜(타임스탬프)

Total Users — 검색할 총 사용자 수

Total Entitlements — 검토를 위해 생성된 총 자격 부여 레코드 수

Pending Entitlements — 아직 증명되지 않은 자격 부여 레코드 수

검토에 대한 자세한 내용을 보려면 해당 검토를 선택하여 요약 보고서를 엽니다.

웹 기반 인터페이스에서 링크를 눌러 각 액세스 검색, 조직 및 입증인에 대한 상태 정보에 액세스할 수 있습니다.

액세스 검토 요약 보고서를 실행하여 보고서에서 이 정보를 검토하고 다운로드할 수도 있습니다.

검색 속성 수정

액세스 검색을 설정한 후 검색을 편집하여 새 옵션을 지정할 수 있습니다. 예를 들어, 검색할 대상 자원을 지정하거나 액세스 검색을 실행하는 동안 위반을 검색할 감사 정책을 지정할 수 있습니다.

검색 정의를 편집하려면 액세스 검색 목록에서 해당 검색을 선택하고 액세스 검토 검색 편집 페이지에서 속성을 수정합니다.

검색 정의에 대한 변경 사항을 저장하려면 저장을 눌러야 합니다.

액세스 검토 취소


주	액세스 검색 범위를 변경하면 새로 수집된 사용자 자격 부여 레코드의 정보가 변경될 수 있습니다. 이는 검토 결정 규칙에서 사용자 자격 부여를 이전 사용자 자격 부여 레코드와 비교하는 경우에 해당 규칙에 영향을 미칠 수 있기 때문입니다.

액세스 검토 탭에서 종료를 눌러 처리 중인 선택된 검토를 중지할 수 있습니다. 검토를 종료하면 다음 작업이 발생합니다.

예약된 검색이 예약 취소됩니다.

활성 검색이 중지됩니다.

모든 보류 중인 작업 흐름과 작업 항목이 삭제됩니다.

모든 보류 중인 사용자 자격 부여가 취소됨으로 표시됩니다.

사용자가 완료한 증명이 변경되지 않은 상태로 유지됩니다.

액세스 검토 작업 삭제

작업의 상태가 종료됨 또는 완료됨인 경우 액세스 검토 작업을 삭제할 수 있습니다. 진행 중인 액세스 검토 작업을 삭제하려면 먼저 종료해야 합니다.

액세스 검토 작업을 삭제하면 해당 검토에서 생성된 모든 사용자 자격 부여 레코드가 삭제됩니다. 삭제 작업은 감사 로그에 기록됩니다.

액세스 검토 작업을 삭제하려면 메뉴 표시줄에서 서버 작업을 선택한 다음 작업 실행 > 액세스 검토 삭제를 선택합니다.

증명 직무 관리

Identity Manager 관리자 또는 사용자 인터페이스에서 증명 요청을 관리할 수 있습니다. 이 절에서는 증명 요청에 응답하는 방법과 증명과 관련된 직무에 대해 자세히 설명합니다.

액세스 검토 알림

검색 중에 Identity Manager는 증명 요청에 대한 입증인의 승인이 필요할 경우 입증인에게 알림을 보냅니다. 입증인의 책임이 위임된 경우에는 증명 요청이 해당 위임자에게 전송됩니다. 여러 입증인이 정의되어 있는 경우 각 입증인이 전자 메일 알림을 받습니다.

요청은 Identity Manager 인터페이스에 증명 작업 항목으로 표시됩니다. 할당된 입증인이 Identity Manager에 로그인하면 보류 중인 증명 작업 항목이 표시됩니다.

보류 중인 요청 보기

인터페이스의 작업 항목 영역에서 증명 작업 항목을 볼 수 있습니다. 작업 항목 영역에서 증명 탭을 선택하면 승인이 필요한 모든 자격 부여 레코드가 나열됩니다. 증명 페이지에서 직접 또는 간접 제어되는 지정된 사용자에 대한 자격 부여 레코드와 모든 직접 보고서에 대한 자격 부여 레코드를 나열할 수도 있습니다.

내 작업 항목 탭에는 각 할당 범주와 각 범주에 대해 보류 중인 작업 항목의 수가 표시됩니다.

자격 부여 레코드 검토 및 승인

증명 작업 항목은 검토가 필요한 사용자 자격 부여 레코드를 포함합니다. 자격 부여 레코드에는 사용자 액세스 권한, 할당된 자원 및 정책 위반에 대한 정보가 제공됩니다.

승인 — 자격 부여 레코드가 기록된 날짜를 기준으로 해당 자격 부여가 적합함을 증명합니다.

거부 — 자격 부여 레코드에 현재 유효성을 검사할 수 없는 불일치가 있을 수 있음을 나타냅니다.

전달 — 검토할 다른 수신자를 지정할 수 있습니다.

중단 — 이 레코드에 대한 증명이 적합하지 않고 더 적합한 입증인이 알려져 있지 않습니다. 증명 작업 항목이 검토 프로세스 소유자에게 전달됩니다. 이 옵션은 검토 프로세스 소유자가 액세스 검토 작업에 정의된 경우에만 사용할 수 있습니다.

입증인이 지정한 단계적 전달 제한 시간이 경과하기 이전에 이러한 옵션 중 하나를 사용하여 요청에 응답하지 않으면 단계적 전달 체계의 다음 입증인에게 알림을 보냅니다. 알림 프로세스는 응답이 기록될 때까지 계속됩니다.

준수 > 액세스 검토 탭에서 증명 상태를 모니터링할 수 있습니다.

액세스 검토 보고서

Identity Manager는 액세스 검토 결과를 평가할 수 있도록 다음과 같은 보고서를 제공합니다.

액세스 검토 세부 내용 보고서 — 이 보고서는 다음과 같은 정보를 표 형식으로 제공합니다.

이름 — 사용자 자격 부여 레코드의 이름

상태 — 검토 프로세스의 현재 상태: 초기화, 종료, 종료됨, 진행 중인 검색 수, 예약된 검색 수, 증명 대기 중, 완료됨

입증인 — 레코드에 대한 입증인으로 할당된 Identity Manager 사용자

검색 날짜 — 검색이 발생했을 때 기록된 타임스탬프

배포 날짜 — 자격 부여 레코드가 증명된 날짜(타임스탬프)

조직 — 자격 부여 레코드의 사용자 조직

관리자 — 검색된 사용자의 관리자

자원 — 사용자가 이 사용자 자격 부여에 대해 캡처한 계정을 갖는 자원

위반 — 검토 중에 검색된 위반 수

보고서에서 이름을 눌러 사용자 자격 부여 레코드를 엽니다. 그림 11-18은 사용자 자격 부여 레코드 보기에 제공되는 예제 정보입니다.

액세스 검토 요약 보고서 — 이 보고서(액세스 검토 진행률 관리 및 그림 11-17 참조)는 보고서에 대해 선택한 액세스 검색에 대해 다음과 같은 요약 정보를 표시합니다.

검토 이름 — 액세스 검색의 이름

상태 — 검토가 실행된 시간에 대한 타임스탬프

사용자 수 — 검토에 대해 검색된 사용자 수

자격 부여 수 — 생성된 자격 부여 레코드 수

승인됨 — 승인된 자격 부여 레코드 수

거부됨 — 거부된 자격 부여 레코드 수

보류 중 — 아직 보류 중인 자격 부여 레코드 수

취소됨 — 취소된 자격 부여 레코드 수

이러한 보고서는 보고서 실행 페이지에서 PDF(Portable Document Format) 또는 CSV(쉼표로 분리된 값) 형식으로 다운로드할 수 있습니다.

아이디 감사 작업 참조

표 11-2는 일반적으로 수행되는 아이디 감사 작업에 대한 빠른 참조를 제공합니다. 이 표에는 각 작업을 시작하는 기본 Identity Manager 인터페이스 위치뿐 아니라 해당 작업을 수행하는 데 사용할 수 있는 대체 위치 또는 방법(있는 경우)도 표시됩니다.

표 11-2 아이디 감사 작업 참조
원하는 작업:	위치:
감사 정책 만들기, 편집, 삭제	준수 탭, 정책 관리 하위 탭
수정자 정의 및 수정 작업 흐름 할당	준수 탭, 정책 관리 하위 탭
하나 이상의 사용자 또는 조직에 대한 감사 검색 수행	계정 탭의 사용자 작업 또는 조직 작업 목록에서 검색 선택
정책 위반 수정 요청에 응답	작업 항목 탭, 수정 하위 탭
정책 위반 완화	작업 항목 탭, 수정 하위 탭
수정된 정책 위반 검토	작업 항목 탭, 수정 하위 탭
감사 정책 보고서 생성	보고서 탭, 보고서 실행 하위 탭
감사 비활성화 또는 활성화	구성 탭, 감사 하위 탭
캡처할 감사 이벤트 설정	구성 탭, 감사 하위 탭
관리자 감사 기능 편집	보안 탭, 기능 하위 탭
감사 알림을 위한 전자 메일 서식 파일 설정	구성 탭, 전자 메일 서식 파일 하위 탭
데이터 파일/규칙(XML 형식 양식 등) 가져오기	구성 탭, 교환 파일 가져오기 하위 탭
액세스 검토 검색 정의	준수 탭, 검색 관리 하위 탭
액세스 검토 실행	서버 작업 탭, 작업 실행 하위 탭
액세스 검토 종료	준수 탭, 액세스 검토 하위 탭
액세스 검토 예약	서버 작업 탭, 일정 관리 하위 탭
정기 액세스 검토 설정	준수 탭, 액세스 검색 관리 하위 탭
액세스 검토 상태 모니터링	준수 탭, 액세스 검토 하위 탭
입증인 할당	준수 탭, 액세스 검색 관리 하위 탭
입증인 직무 수행(사용자 자격 부여 검토 및 확인)	작업 항목 탭, 내 작업 항목 탭, 증명 하위 탭
직무 분리 보고서 검토	보고서 탭, 보고서 실행 하위 탭

이전 목차 색인 다음
Sun Java™ System Identity Manager 7.0 관리