11장 아이디 감사

이 장에서는 감사 제어를 설정하여 엔터프라이즈 정보 시스템 및 응용 프로그램에서 감사 및 준수를 모니터링하고 관리할 수 있도록 해주는 Identity Manager의 기능에 대해 설명합니다.

아이디 감사 정보

Identity Manager에서는 아이디 데이터에 대한 전사적인 시스템 수집, 분석 및 응답으로 감사를 정의하여 내부 및 외부 정책과 규정 준수를 보장합니다.

회계 및 데이터 개인 정보 규정을 준수하는 것은 간단한 작업이 아닙니다. Identity Manager의 감사 기능은 기업에 맞는 준수 솔루션을 구현할 수 있도록 유연한 접근법을 제공합니다.

대부분의 환경에서는 서로 다른 그룹, 즉 감사를 주 업무로 하는 내부 및 외부 감사 팀과 감사를 일종의 소동으로 생각하는 비감사 직원이 규정 준수에 관련되어 있습니다. IT도 종종 내부 감사 팀의 요구 사항을 선택한 솔루션의 구현으로 전환하도록 돕는 역할로서 규정 준수에 관여합니다. 감사 솔루션을 성공적으로 구현하기 위한 핵심은 감사 외 직원의 지식, 제어 및 프로세스를 정확하게 수집하여 해당 정보의 적용을 자동화하는 것입니다.

이 장에서 설명하는 기능은 보안 제어를 유지하면서 관련 규정의 준수를 관리할 수 있도록 감사 검토를 실시하고 적절한 방안을 구현하는 방법에 중점을 둡니다.

아이디 감사의 목표

아이디 감사 솔루션은 다음 방법을 통해 개선된 감사 성능을 제공합니다.

준수 위반을 자동으로 검색하고 즉각적인 알림을 통해 신속하게 수정합니다.

요구에 따라 내부 감사 제어의 효율성에 대한 주요 정보를 제공합니다.

운영상의 위험을 줄이기 위해 아이디 제어의 인증서 검토를 자동화합니다.

사용자 작업을 세부적으로 기술하고 규제 요구 사항을 충족하는 종합적인 보고서를 준비합니다.

정기 검토의 프로세스를 단순화하여 보안 및 규정 준수 유지

사용자 계정에 대한 잠재적 이해 관계 충돌 기능 확인

아이디 감사 이해

Identity Manager에서는 사용자 계정 및 액세스 권한을 감사하고 준수를 유지 및 확인하기 위한 두 가지 고유한 기능, 즉 정책 기반 준수와 정기 액세스 검토 기능을 제공합니다.

정책 기반 준수

Identity Manager에서 관리자는 감사 정책 시스템을 사용하여 회사에서 모든 사용자 계정에 대해 설정한 요구 사항의 준수를 유지할 수 있습니다.

감사 정책을 사용하면 지속적 준수와 정기적 준수라는 두 가지의 다른 보완적인 방식으로 준수를 보장할 수 있습니다.

이 두 기술은 Identity Manager 외부에서 공급 작업을 수행할 수 있는 환경에서 특히 보완적입니다. 기존 감사 정책을 실행하거나 사용하지 않는 프로세스에서 계정을 변경할 수 있으며 정기적 준수가 필요합니다.

지속적 준수

지속적 준수는 모든 준비 작업에 정책이 적용되므로 현재 정책을 준수하지 않는 방식으로는 계정을 수정할 수 없음을 의미합니다.

감사 정책을 조직, 사용자 또는 모두에 할당하여 지속적 준수를 활성화합니다. 사용자에 대해 수행되는 모든 준비 작업은 사용자 및 조직에 할당된 정책을 평가합니다. 정책을 준수하지 않은 것으로 평가 결과가 나오면 준비 작업이 중단됩니다.

조직 기반 정책 집합은 계층적으로 정의됩니다. 모든 사용자에 대해 적용되는 조직 정책 집합은 한 개뿐입니다. 적용된 정책 집합은 가장 낮은 수준의 조직에 할당된 집합입니다. 예:

정기적 준수

조직	직접 할당된 정책 집합	유효 정책
Austin	정책 A1, A2	정책 A1, A2
마케팅		정책 A1, A2
개발	정책 B, C2	정책 B, C2
지원		정책 B, C2
테스트	정책 D, E5	정책 D, E5
경리		정책 A1, A2
Houston		<없음>

정기적 준수는 Identity Manager가 필요 시 정책을 평가하는 것입니다. 정책을 위반하는 모든 조건은 준수 위반으로 캡처됩니다.

정기적 준수 검색을 실행할 때 검색에서 사용할 정책을 선택할 수 있습니다. 검색 프로세스에서는 직접 할당한 정책(사용자 및 조직에서 할당한 정책)과 임의로 선택한 정책 집합을 통합합니다.

감사자 관리자 기능이 있는 Identity Manager 관리자는 감사 정책을 만들고 정책 위반의 정기적 검색 및 검토 실행을 통해 정책 준수를 모니터링할 수 있습니다. 수정 및 완화 절차를 통해 위반을 관리할 수 있습니다.

감사자 관리자 기능에 대한 자세한 내용은 기능 이해 및 관리를 참조하십시오.

Identity Manager 감사를 통해 사용자를 정기적으로 검색하고 감사 정책을 실행하여 설정된 계정 제한에 대한 위반을 검색할 수 있습니다. 위반이 검색되면 수정 활동이 시작됩니다. 규칙은 Identity Manager에서 제공되는 표준 감사 정책 규칙이거나 사용자 정의 규칙일 수 있습니다.

정책 기반 준수의 논리적 작업 흐름

다음 그림은 이 절에서 설명하는 감사 작업을 완료하는 논리적 작업 흐름을 보여 줍니다.

정기적 액세스 검토

Identity Manager는 관리자와 기타 담당자가 사용자 액세스 권한을 특별히 또는 정기적으로 검토하여 확인할 수 있도록 정기적 액세스 검토 기능을 제공합니다. 이 기능에 대한 자세한 내용은 정기 액세스 검토 및 증명을 참조하십시오.

감사 로깅 활성화

준수 및 액세스 검토 관리를 시작하려면 먼저 Identity Manager 감사 로깅 시스템을 활성화한 후 감사 이벤트를 수집하도록 구성해야 합니다. 기본적으로 감사 시스템이 활성화됩니다. 감사 구성 기능이 있는 Identity Manager 관리자는 감사를 구성할 수 있습니다.

Identity Manager는 준수 관리 감사 구성 그룹을 제공합니다. 준수 관리 그룹에서 저장한 이벤트를 보거나 수정하려면 메뉴 표시줄에서 구성을 선택한 다음 감사를 누릅니다. 감사 구성 페이지에서 준수 관리 감사 그룹 이름을 선택합니다.

감사 시스템에서 이벤트를 기록하는 방법에 대한 자세한 내용은 12장, "감사 기록"을 참조하십시오.

전자 메일 템플리트

아이디 감사 기능은 다양한 작업에 대해 전자 메일 기반 알림을 사용합니다. 이러한 각 알림에는 전자 메일 템플리트 객체가 사용됩니다. 전자 메일 템플리트를 사용하면 전자 메일 메시지의 헤더 및 본문을 사용자 정의할 수 있습니다.

표 11-1 아이디 감사 전자 메일 템플리트
템플리트 이름	용도
액세스 검토 수정 알림	초기에 사용자 자격이 수정 상태에서 만들어지면 수정자에게 액세스 검토별로 보냅니다.
대량 증명 알림	액세스 검토에서 보류 중인 증명이 있는 증인에게 보냅니다.
정책 위반 알림	위반 발생 시 감사 정책 검색에서 수정자에게 보냅니다.
액세스 검색 시작 알림	액세스 검토가 검색을 시작할 때 액세스 검색 소유자에게 보냅니다.
액세스 검색 종료 알림	액세스 검색이 완료되면 액세스 검색 소유자에게 보냅니다.

관리자 인터페이스 준수 영역

Identity Manager 관리자 인터페이스의 준수 영역에서 감사 정책을 만들고 관리합니다. 메뉴 표시줄에서 준수를 선택하여 정책 관리 페이지에 액세스합니다. 이 페이지에는 보고 편집할 수 있는 권한이 있는 정책이 나열됩니다. 이 영역에서 액세스 검색을 관리할 수도 있습니다.

정책 관리

정책 관리 페이지에서 감사 정책 작업을 통해 해당 작업을 수행할 수 있습니다.

감사 정책 만들기

보거나 편집할 수 있는 정책 선택

정책 삭제

이러한 작업에 대한 자세한 내용은 감사 정책 작업 절을 참조하십시오.

액세스 검색 관리

준수 영역의 액세스 검색 관리 탭을 사용하여 액세스 검색을 만들고 수정 및 삭제합니다. 여기에서 정기적 액세스 검토를 실행하거나 예약하려는 검색을 정의할 수 있습니다. 이 기능에 대한 자세한 내용은 정기 액세스 검토 및 증명을 참조하십시오.

액세스 검토

준수 영역의 이 탭에서는 액세스 검토 작업의 진행을 실행, 종료, 삭제 및 모니터링할 수 있습니다. 이 탭은 검토 상태 및 보류 중인 활동에 대한 자세한 정보에 액세스할 수 있는 정보 링크가 있는 검색 결과 요약 보고서를 표시합니다.

감사 정책 정보

감사 정책은 하나 이상의 자원으로 이루어진 사용자 집합에 대한 계정 제한을 정의합니다. 감사 정책은 정책 제한을 정의하는 규칙과 발생한 위반을 처리하는 작업 흐름으로 구성됩니다. 감사 검색에서는 감사 정책에 정의된 기준을 사용하여 사용자 조직에서 위반이 발생했는지 여부를 평가합니다.

정책 규칙 - XPRESS, XML 객체 또는 JavaScript 언어로 작성된 기능을 포함하며, 특정 위반을 정의합니다.

수정 작업 흐름 - 감사 검색에서 정책 규칙 위반을 식별할 때 선택적으로 시작됩니다.

수정자 또는 지정된 관리자 - 정책 위반에 응답할 권한이 있습니다. 수정자는 개별 사용자 또는 사용자 그룹입니다.

감사 정책 규칙

감사 정책 내에서 규칙은 속성을 기반으로 잠재적 충돌을 정의합니다. 감사 정책은 광범위한 자원을 참조하는 수백 개의 규칙을 포함할 수 있습니다. 규칙 평가 시 규칙은 하나 이상의 자원에서 사용자 계정 데이터에 액세스합니다. 감사 정책은 해당 규칙에 사용할 수 있는 자원을 제한할 수 있습니다.

단일 자원에서 단일 속성만 확인하는 규칙 또는 여러 자원에서 여러 속성을 확인하는 규칙이 있을 수 있습니다.

규칙은 SUBTYPE_AUDIT_POLICY_RULE 또는 SUBTYPE_AUDIT_POLICY_SOD_RULE subType이어야 합니다. 감사 정책 마법사에서 생성되거나 참조되는 규칙에는 이 subType이 자동으로 할당됩니다.

규칙은 AuditPolicyRule authType이어야 합니다. 감사 정책 마법사에서 생성되는 규칙에는 이 authType이 자동으로 할당됩니다.

규칙 논리에 대한 자세한 내용은 Identity Manager Deployment Tools의 규칙 작업을 참조하십시오.

수정 작업 흐름

정책 위반을 정의하는 규칙을 만든 후 감사 검색 중에 위반이 검색될 때마다 실행될 작업 흐름을 선택합니다. Identity Manager는 감사 정책 검색을 위한 기본 수정 처리를 제공하는 기본 표준 수정 작업 흐름을 제공합니다. 다른 작업 중에 이 기본 수정 작업 흐름은 지정된 각 수준 1 수정자 및 후속 수준 수정자(필요한 경우)에 대한 전자 메일 알림을 생성합니다.

수정자


주	Identity Manager 작업 흐름 프로세스와 달리 수정 작업 흐름에는 AuthType=AuditorAdminTask 및 SUBTYPE_REMEDIATION_WORKFLOW subtype이 할당되어야 합니다. 감사 검색에 사용할 작업 흐름을 가져올 경우 이 속성을 수동으로 추가해야 합니다. 자세한 내용은 (선택 사항) Identity Manager로 작업 흐름 가져오기를 참조하십시오.

수정 작업 흐름을 할당하는 경우 하나 이상의 수정자를 지정해야 합니다. 감사 정책의 수정자를 최대 세 개 수준까지 지정할 수 있습니다. 수정에 대한 자세한 내용은 이 장의 준수 위반 수정 및 완화를 참조하십시오.

수정자를 할당하려면 먼저 수정 작업 흐름을 할당해야 합니다.

감사 정책 시나리오 예제

여러분은 매입채무와 매출채권을 담당하고 있고, 이 두 가지 책임이 경리부의 직원에게 결합될 경우의 잠재적인 위험성을 방지하기 위한 절차를 구현해야 합니다. 이 정책은 매입채무를 담당하는 직원이 매출채권 책임까지 갖고 있지 않은지 확인해야 합니다.

네 개의 규칙 집합. 각 집합은 정책 위반을 구성하는 조건을 지정합니다.

수정 작업을 실행하는 작업 흐름

이전 규칙에서 만든 정책 위반을 검토하고 이에 응답할 수 있는 권한을 가진 지정된 관리자 또는 수정자 그룹

규칙이 정책 위반(이 경우 과도한 권한을 가진 사용자)을 확인하면 관련 작업 흐름은 지정된 수정자에게 자동으로 이를 알리는 것을 포함하여 수정과 관련된 특정 작업을 실행할 수 있습니다.

수준 1 수정자는 감사 검색에서 정책 위반이 확인되는 경우 가장 먼저 연락을 받는 수정자입니다. 감사 정책에 대해 둘 이상의 수준이 지정된 경우 이 영역에서 확인된 단계적 전달 시간이 초과되면 Identity Manager는 다음 수준의 수정자에게 알립니다.

감사 정책 작업

Identity Manager는 감사 정책을 설정할 수 있도록 도와주는 감사 정책 마법사를 제공합니다. 감사 정책을 정의한 후 정책 수정 또는 삭제와 같은 다양한 정책 관련 작업을 수행할 수 있습니다. 이 절의 항목에서는 감사 정책과 감사 정책 규칙을 생성 및 관리하는 방법을 설명합니다.

감사 정책 마법사는 규칙을 추가로 만들 수 있지만 마법사가 만들 수 있는 규칙 유형은 제한되어 있습니다. Identity Manager IDE를 사용하여 마법사에서 사용할 보다 강력한 규칙을 만듭니다.

기본적으로 이 마법사로 만들어진 모든 규칙은 AuditPolicyRule authType입니다. 마법사 또는 Identity Manager IDE를 사용하여 만든 모든 감사 정책 규칙은 이 authType을 지정해야 합니다.

규칙은 SUBTYPE_AUDIT_POLICY_RULE subType이어야 합니다. 감사 정책 마법사에서 생성되는 규칙에는 이 subType이 자동으로 할당됩니다.

감사 정책 만들기

감사 정책 마법사가 감사 정책을 만드는 과정을 안내합니다. 감사 정책 마법사에 액세스하려면 인터페이스의 준수 영역에서 정책 관리를 누르고 새 감사 정책을 만듭니다.

감사 정책을 만들려면 마법사를 사용하여 다음 작업을 수행합니다.

정책 제한을 정의하는 데 사용할 규칙 선택 또는 만들기

승인자 할당 및 단계적 전달 제한 설정

수정 작업 흐름 할당

각 마법사 화면에 표시된 작업을 완료한 후 다음을 눌러 다음 단계로 이동합니다.

시작하기 전에

감사 정책을 만들기 전에 다음 작업과 같은 중요 계획을 수립하십시오.

감사 정책 마법사로 정책을 만들 때 사용할 규칙을 확인합니다. 선택한 규칙은 만들고 있는 정책 유형과 정의하려는 특정 제한에 따라 결정됩니다.

새 정책에 포함시킬 수정 작업 흐름 또는 규칙을 가져옵니다.

감사 정책을 만드는 데 필요한 기능이 있는지 확인합니다. 필요한 기능은 기능 이해 및 관리를 참조하십시오.

필요한 규칙 확인

정책에서 지정한 제한은 새로 만들거나 가져오는 규칙 세트로 구현됩니다. 감사 정책 마법사를 사용하여 규칙을 만들 경우 다음을 수행합니다.

작업할 특정 자원 확인

속성 목록에서 자원에 유효한 계정 속성 선택

속성에 부여할 조건 선택

비교할 값 입력

(선택 사항) Identity Manager로 직무 분리 규칙 가져오기

감사 정책 마법사로는 직무 분리 규칙을 만들 수 없습니다. 이러한 규칙은 Identity Manager 외부에서 만든 후 구성 탭의 교환 파일 가져오기 옵션을 사용하여 가져와야 합니다.

(선택 사항) Identity Manager로 작업 흐름 가져오기

Identity Manager에서 현재 사용할 수 없는 수정 작업 흐름을 사용하려면 다음 작업을 완료하여 외부 작업 흐름을 가져옵니다.

authType='AuditorAdminTask'를 설정하고 subtype='SUBTYPE_REMEDIATION_WORKFLOW'를 추가합니다. Identity Manager IDE 또는 원하는 XML 편집기를 사용하여 이 구성 객체를 설정할 수 있습니다.

교환 파일 가져오기 옵션을 사용하여 작업 흐름을 가져옵니다. 이 기능은 구성 탭에서 액세스할 수 있습니다.

작업 흐름을 성공적으로 가져오면 감사 정책 마법사의 수정 작업 흐름 옵션 목록에 해당 작업 흐름이 나타납니다.

감사 정책 이름 지정 및 설명

감사 정책 마법사에서 새 정책의 이름과 간략한 설명을 입력합니다(그림 11-1 참조).


주	감사 정책 이름에는 '(아포스트로피), .(마침표), \|(세로선), [(왼쪽 대괄호), ](오른쪽 대괄호), ,(쉼표), :(콜론), $(달러 기호), "(큰따옴표) 또는 =(등호 기호)를 사용할 수 없습니다.

검색을 실행할 때 선택한 자원만 액세스할 수 있게 하려면 대상 자원 제한 옵션을 활성화합니다.

위반 수정으로 사용자를 즉시 다시 검색하려면 위반 다시 검색 허용 옵션을 활성화합니다.

규칙 유형 선택

이 페이지에서 정책 내 규칙을 정의하거나, 규칙을 정책에 포함시키는 과정을 시작합니다. 규칙을 정의하고 만드는 작업은 정책을 만드는 과정에서 큰 비중을 차지합니다.


주	감사 정책에서 자원을 제한하지 않으면 검색 중에 사용자의 계정이 있는 모든 자원에 액세스하게 됩니다. 규칙에서 일부 자원만 사용하는 경우 정책을 해당 자원으로만 제한하는 것이 더 효율적입니다.

그림 11-2에 표시된 것처럼 Identity Manager 규칙 마법사를 사용하여 직접 규칙을 만들거나, 기존 규칙을 포함하도록 선택할 수 있습니다. 기본적으로 규칙 마법사 옵션이 선택됩니다. 다음을 눌러 규칙 마법사를 실행합니다. 규칙 만들기에 대한 자세한 내용은 규칙 마법사를 사용하여 새 규칙 만들기를 참조하십시오.

기존 규칙 선택

규칙 옵션을 선택할 때 기존 규칙을 눌러 새 정책에 기존 규칙을 포함시킵니다. 그리고 나서 다음을 눌러 액세스 권한이 있는 기존 감사 정책 규칙을 표시한 후 선택합니다.

규칙 옵션 목록에서 추가 규칙을 선택한 후 다음을 누릅니다.

규칙 추가

마법사로 추가 규칙을 만들거나 규칙을 가져올 수 있습니다. 규칙 마법사에서는 하나의 규칙에 하나의 자원만 사용할 수 있습니다. 가져온 규칙은 필요한 만큼의 자원을 참조할 수 있습니다.


주	Identity Manager로 이전에 가져온 규칙의 이름이 표시되지 않는 경우 감사 정책 규칙에 설명된 추가 속성을 규칙에 추가했는지 확인합니다.

필요에 따라 AND 또는 OR를 눌러 규칙을 계속 추가합니다. 규칙을 제거하려면 해당 규칙을 선택한 다음 제거를 누릅니다.

모든 규칙의 부울 표현식이 true로 평가되는 경우에만 정책 위반이 발생합니다. AND/OR 연산자로 규칙을 그룹화하여 모든 규칙은 아니더라도 정책이 true로 평가되도록 할 수 있습니다. Identity Manager는 true로 평가되는 규칙에 대해 정책 표현식이 true로 평가되는 경우에만 위반을 생성합니다. 감사 정책 마법사는 부울 표현식 중첩에 대해 명시적인 컨트롤을 제공하지 않으므로 긴 표현식을 구성하지 않는 것이 가장 좋습니다.

수정 작업 흐름 선택

이 화면을 사용하여 이 정책에 연결할 수정 작업 흐름을 선택할 수 있습니다. 여기서 할당하는 작업 흐름에 따라 감사 정책 위반이 검색된 경우에 Identity Manager에서 수행되는 작업이 결정됩니다.


주	한 개의 작업 흐름이 실패한 각 감사 정책에 대해 시작됩니다. 각 작업 흐름에는 특정 정책의 정책 검색으로 만들어진 각 준수 위반에 대해 하나 이상의 작업 항목이 포함됩니다.


주	XML 편집기 또는 Identity Manager Integrated Development Environment(IDE)에서 만든 작업 흐름을 가져오는 방법에 대한 자세한 내용은 (선택 사항) Identity Manager로 작업 흐름 가져오기를 참조하십시오.

수정 작업을 통해 사용자를 편집할 때 적용된 사용자 양식을 계산하기 위해 사용되는 규칙을 선택하려면 수정 사용자 양식 규칙을 선택합니다. 기본적으로 수정 작업 항목에 대한 응답으로 사용자를 편집하는 수정자는 수정자에게 할당된 사용자 양식을 사용합니다. 감사 정책이 수정 사용자 양식을 지정하는 경우에는 이 양식이 대신 사용됩니다. 따라서 감사 정책이 이에 해당하는 특정 문제를 나타낼 때 특정 양식을 사용할 수 있습니다.

이 수정 작업 흐름에 연결할 수정자를 지정하려면 수정자 지정 여부를 선택합니다. 이 옵션을 활성화한 후 다음을 누르면 수정자 할당 페이지가 표시됩니다. 이 옵션을 활성화하지 않으면 감사 정책 마법사에 조직 할당 화면이 표시됩니다.

수정에 대한 수정자 및 시간 초과 선택

수정자를 지정하도록 선택한 경우 해당 정책에 대한 위반이 탐지되면 이 감사 정책에 할당된 수정자에게 알립니다. 또한, 기본 작업 흐름은 수정자에 수정 작업 항목을 할당합니다. 모든 Identity Manager 사용자는 수정자가 될 수 있습니다.

하나 이상의 수준 1 수정자 또는 지정된 사용자를 할당하도록 선택할 수 있습니다. 정책 위반이 검색되면 수정 작업 흐름에 의해 실행되는 전자 메일을 통해 수준 1 수정자에게 먼저 연락됩니다. 수준 1 수정자가 응답하기 이전에 지정된 단계적 전달 제한 시간에 도달하면 Identity Manager는 여기에서 지정하는 수준 2 수정자에게 연락합니다. Identity Manager는 단계적 전달 제한 시간이 경과하기 이전에 수준 1 또는 수준 2 수정자가 응답하지 않는 경우에만 수준 3 수정자에게 연락합니다.


주	선택된 가장 높은 수준의 수정자에 대해 단계적 전달 제한 시간 값을 지정하면 작업 항목은 단계적 전달 시간이 초과될 때 목록에서 제거됩니다. 기본적으로 단계적 전달 제한 시간은 0 값으로 설정됩니다. 이 경우, 작업 항목은 만료되지 않고 수정자 목록에 남아 있습니다.

수정자 할당은 선택 사항입니다. 이 옵션을 선택하는 경우 설정을 지정한 후에 다음을 눌러 다음 화면을 계속합니다.

사용 가능한 수정자 목록에 사용자를 추가하려면 사용자 아이디를 입력하고 추가를 누릅니다. 또는, ... (자세히)를 눌러 사용자 아이디를 검색합니다. 그런 다음 시작 필드에 하나 이상의 문자를 입력하고 찾기를 누릅니다. 검색 목록에서 사용자를 선택한 후에 추가를 눌러 사용자를 수정자 목록에 추가합니다. 해제를 눌러 검색 영역을 닫습니다.

수정자 목록에서 사용자 아이디를 제거하려면 목록에서 아이디를 선택한 다음 제거를 누릅니다.

이 정책에 액세스할 수 있는 조직 선택

이 화면(그림 11-5 참조)에서는 이 정책을 보고 편집할 수 있는 조직을 선택합니다.

조직을 선택한 후에 마침을 눌러 감사 정책을 만들고 정책 관리 페이지로 돌아갑니다. 이제 새로 만든 정책이 이 목록에 표시됩니다.

규칙 마법사를 사용하여 새 규칙 만들기

감사 정책 마법사에서 규칙 마법사 옵션을 사용하여 규칙을 만들 경우 다음 절에서 설명하는 페이지에 정보를 입력하여 계속합니다.

새 규칙 이름 지정 및 설명

선택적으로 새 규칙에 이름을 지정하고 이에 대해 설명합니다. 이 페이지에서는 Identity Manager에 규칙이 표시될 때마다 규칙 이름 옆에 나타나는 설명 텍스트를 입력합니다. 규칙을 설명하는 의미 있는 설명을 간결하고 명확하게 입력합니다. 이 설명은 Identity Manager의 정책 위반 검토 페이지에 표시됩니다.

예를 들어, Oracle ERP responsibilityKey 속성 값에 Payable User와 Receivable User 속성 값을 모두 갖고 있는 사용자를 확인하는 규칙을 작성하는 경우 설명 필드에 다음과 같은 텍스트를 입력할 수 있습니다. Payable User와 Receivable User 기능을 동시에 갖고 있는 사용자 확인

규칙에서 참조되는 자원 선택

이 페이지에서는 규칙에서 참조되는 자원을 선택합니다. 각 규칙 변수는 이 자원에 대한 속성과 일치해야 합니다. 보기 액세스 권한이 있는 모든 자원이 이 옵션 목록에 표시됩니다. 이 예에서는 Oracle ERP가 선택됩니다.

규칙 표현식 만들기


주	전부는 아니지만 대부분의 사용 가능한 자원 어댑터가 지원됩니다. 사용 가능한 특정 속성에 대한 자세한 내용은 Identity Manager Resources Reference를 참조하십시오.

이 화면에서는 새 규칙에 대한 규칙 표현식을 입력합니다. 이 예제에서는 Oracle ERP responsibilityKey에 Payable User 속성 값을 가진 사용자는 Receivable User 속성 값을 가질 수 없다는 규칙을 만듭니다.

사용할 수 있는 속성 목록에서 사용자 속성을 선택합니다. 이 속성은 규칙 변수로 직접 사용됩니다.

목록에서 논리 조건을 선택합니다. 유효한 조건으로는 = (같음), != (같지 않음), <(작음), <=(작거나 같음), >(큼), >=(크거나 같음), is true(참임), is null(null임), is not null(null이 아님), is empty(비어 있음), contains(포함함) 등이 있습니다. 이 예제의 목적에 맞춰 가능한 속성 조건 목록에서 contains를 선택합니다.

표현식의 값을 입력합니다. 예를 들어, Payable user를 입력하면 responsibilityKeys 속성에 Payable user 값을 갖는 Oracle ERP 사용자를 지정하는 것입니다.

(선택 사항) 줄을 추가하고 다른 표현식을 만들려면 AND 또는 OR 연산자를 누릅니다.

그림 11-8 감사 정책 마법사: 규칙 표현식 선택 화면
규칙 구문 선택 화면에서는 새 규칙에 대한 규칙 구문을 지정합니다.

이 규칙은 부울 값을 반환합니다. 두 문이 모두 참이면 정책 규칙은 TRUE 값을 반환하며 정책 위반이 성립됩니다.

다음은 이 화면에서 만든 규칙에 대한 XML을 보여주는 코드 예제입니다.


주	Identity Manager는 규칙 중첩의 제어를 지원하지 않습니다. 여러 규칙을 지정할 경우 정책 평가자는 항상 AND 연산자를 먼저 따른 다음 OR 연산자를 따릅니다. 예를 들어, R1 AND R2 AND R3 또는 R4 AND R5 (R1 + R2 + R3) \| (R4 + R5)의 경우입니다.

규칙에서 표현식을 제거하려면 속성 조건을 선택하고 제거를 누릅니다.

감사 정책 마법사를 계속하려면 다음을 누릅니다. 그런 다음 마법사로 새 규칙을 만들거나 기존 규칙을 추가하여 규칙을 추가할 수 있습니다.

감사 정책 편집

규칙 추가 또는 삭제

대상 자원 변경

정책에 액세스할 수 있는 조직 목록 조정

각 수정 수준에 연결된 단계적 전달 제한 시간 변경

정책에 연결된 수정 작업 흐름 변경

정책 편집 페이지

감사 정책 편집 페이지를 열려면 감사 정책 이름 열에서 정책 이름을 누릅니다. 이 페이지는 감사 정책 정보를 다음 영역으로 분류합니다.

확인 및 규칙 영역

수정자 및 단계적 전달 제한 시간 영역

작업 흐름 및 조직 영역

그림 11-9 감사 정책 편집 페이지: 확인 및 규칙 영역
정책 편집 페이지에서는 정책 이름과 설명을 편집하고 규칙을 추가 및 삭제할 수 있습니다.

페이지의 이 영역을 사용하여 다음과 같은 작업을 할 수 있습니다.

정책 설명 편집

규칙 추가 및 삭제



주	기존 규칙을 직접 편집하는 데는 이 제품을 사용할 수 없습니다. Identity Manager IDE 또는 XML 편집기를 사용하여 규칙을 편집한 다음 Identity Manager로 가져옵니다. 그 다음 이전 버전을 제거하고 새로 개정된 버전을 추가할 수 있습니다.

감사 정책 설명 편집

설명 필드에서 텍스트를 선택한 다음 새 텍스트를 입력하여 감사 정책 설명을 편집합니다.

옵션 편집

선택적으로 대상 자원 제한 또는 위반 다시 검색 허용 옵션을 선택하거나 선택 취소합니다.

정책에서 규칙 삭제

정책에서 규칙을 삭제하려면 규칙 이름 앞에 있는 선택 버튼을 누른 다음 제거를 누릅니다.

정책에 규칙 추가

추가를 눌러 새 필드를 만들고, 이를 사용하여 규칙을 추가할 수 있습니다.

정책에 사용되는 규칙 변경

수정자 영역

그림 11-10은 정책에 대해 수준 1, 수준 2 및 수준 3 수정자를 할당하는 수정자 영역 부분을 보여줍니다.

페이지의 이 영역을 사용하여 다음과 같은 작업을 할 수 있습니다.

정책에서 수정자 제거 또는 할당

단계적 전달 제한 시간 조정

수정자 제거 또는 할당

사용자 아이디를 입력한 다음 추가를 눌러 하나 이상의 수정 수준에 대한 수정자를 선택합니다. 사용자 아이디를 검색하려면 ... (자세히)를 누릅니다. 하나 이상의 수정자를 선택해야 합니다.

수정자를 제거하려면 목록에서 사용자 아이디를 선택한 다음 제거를 누릅니다.

단계적 전달 제한 시간 조정

시간 초과 값을 선택한 다음 새 값을 입력합니다. 기본적으로 시간 초과 값은 설정되지 않습니다.

수정 작업 흐름 및 조직 영역


주	선택된 가장 높은 수준의 수정자에 대해 단계적 전달 제한 시간 값을 지정하면 작업 항목은 단계적 전달 시간이 초과될 때 목록에서 제거됩니다.

그림 11-11은 감사 정책에 대한 수정 작업 흐름 및 조직을 지정하는 영역을 보여 줍니다.

페이지의 이 영역을 사용하여 다음과 같은 작업을 할 수 있습니다.

정책 위반이 발생하는 경우 실행되는 수정 작업 흐름 변경

수정 사용자 양식 규칙 선택

이 정책에 액세스할 수 있는 조직 조정

수정 작업 흐름 변경

옵션 목록에서 대체 작업 흐름을 선택하여 정책에 할당된 작업 흐름을 변경할 수 있습니다. 감사 정책에는 기본적으로 작업 흐름이 할당되지 않습니다.

수정 사용자 양식 규칙 선택

선택적으로 수정 작업을 통해 사용자를 편집할 때 적용된 사용자 양식을 계산할 규칙을 선택합니다.

조직에 가시성 할당 및 제거


주	감사 정책에 작업 흐름이 할당되지 않은 경우 위반이 수정자에게 할당되지 않습니다.

이 감사 정책을 사용할 수 있는 조직을 조정한 다음 저장을 누릅니다.

샘플 정책

Identity Manager에는 감사 정책 목록에서 액세스할 수 있는 샘플 정책이 제공됩니다.

IDM 역할 비교 정책

IDM 계정 누적 정책

IDM 역할 비교 정책

이 샘플 정책을 사용하면 사용자의 현재 액세스를 Identity Manager 역할에 지정된 액세스와 비교할 수 있습니다. 정책은 역할에 지정된 모든 자원 속성이 사용자에 대해 설정되었는지 확인합니다.

사용자가 역할에 지정된 모든 자원 속성을 누락한 경우

사용자의 자원 속성이 역할에 지정된 자원 속성과 다른 경우

IDM 계정 누적 정책

이 샘플 정책은 사용자가 보유한 모든 계정이 해당 사용자가 보유한 하나 이상의 역할에서 참조되는지 확인합니다.

이 정책은 사용자에게 할당된 역할에서 명시적으로 참조하지 않는 자원에 대한 계정이 해당 사용자에게 있는 경우 실패합니다.

감사 정책 삭제

감사 정책을 Identity Manager에서 삭제하면 해당 정책을 참조하는 모든 위반 사항도 함께 삭제됩니다.

정책 관리를 눌러 정책을 표시할 때 인터페이스의 준수 영역에서 정책을 삭제할 수 있습니다. 감사 정책을 삭제하려면 정책 보기에서 정책 이름을 선택한 다음 삭제를 누릅니다.

감사 정책 문제 해결

감사 정책의 문제는 보통 정책 규칙 디버깅으로 찾는 것이 가장 효과적입니다.

디버깅 규칙

규칙을 디버깅하려면 규칙 코드에 다음 추적 요소를 추가합니다.

<block trace='true'>
<and>
<contains>
<ref>accounts[AD].firstname</ref>
<s>Sam</s>
</contains>
<contains>
<ref>accounts[AD].lastname</ref>
<s>Smith</s>
</contains>
</and>
</block>

문제

Identity Manager 인터페이스에서 특정 작업 흐름을 볼 수 없습니다.

해결

작업 흐름에 subtype='SUBTYPE_REMEDIATION_WORKFLOW' 속성을 추가했는지 여부 이 subtype 속성이 없는 작업 흐름은 Identity Manager 관리자 인터페이스에서 볼 수 없습니다.

AuditorAdminTask authType에 대한 기능이 있는 경우

작업 흐름이 유입된 조직을 제어하는 경우

문제

해결

각 규칙이 subtype='SUBTYPE_AUDIT_POLICY_RULE' 또는 subtype='SUBTYPE_AUDIT_POLICY_SOD_RULE'인지 여부

AuditPolicyRule authType에 대한 기능이 있는 경우

작업 흐름이 유입된 조직을 제어하는 경우

감사 정책 할당

조직에 감사 정책을 할당하려면 최소한 조직 감사 정책 할당 기능이 있어야 합니다. 사용자에게 감사 정책을 할당하려면 사용자 감사 정책 할당 기능이 있어야 합니다. 감사 정책 할당 기능이 있는 사용자는 이 두 기능을 모두 갖습니다.

조직 수준 정책을 할당하려면 계정 탭에서 조직을 선택한 다음 할당된 감사 정책 목록에서 정책을 선택합니다.

계정 영역에서 사용자를 누릅니다.

사용자 양식에서 준수를 선택합니다.

할당된 감사 정책 목록에서 정책을 선택합니다.



주	사용자에게 직접 할당된 감사 정책(즉, 사용자 계정 또는 조직 할당을 통해 할당됨)은 해당 사용자에 대한 위반이 수정될 때 항상 다시 평가됩니다.

감사 정책 검색 및 보고서

이 절에서는 감사 정책 검색에 대한 정보를 제공하고 감사 검색을 실행하고 관리하는 절차를 설명합니다.

사용자 및 조직 검색

검색은 개별 사용자 또는 조직에서 선택한 감사 정책을 실행합니다. 사용자 또는 조직에서 특정 위반을 검색하거나 사용자 또는 조직에 할당되지 않은 정책을 실행할 수 있습니다. 인터페이스의 계정 영역에서 검색을 실행합니다.

계정 영역에서 사용자 계정이나 조직에 대한 검색을 시작하려면 다음을 수행합니다.


주	서버 작업 탭에서 감사 정책 검색을 실행하거나 예약할 수도 있습니다.

계정을 선택합니다.

계정 목록에서 다음 작업 중 하나를 수행합니다.

하나 이상의 사용자를 선택한 다음 사용자 작업 옵션 목록에서 검색을 선택합니다.

하나 이상의 조직을 선택한 다음 조직 작업 옵션 목록에서 검색을 선택합니다.

보고서 제목 필드에 검색의 제목을 입력합니다. 필수 필드입니다. 보고서 요약 필드에 검색에 대한 설명을 입력할 수 있습니다. 이 필드는 선택 사항입니다.

실행하려는 감사 정책을 하나 이상 선택합니다. 하나 이상의 정책을 지정해야 합니다.

정책 모드를 선택합니다. 이 정책 모드에 따라 선택한 정책이 이미 정책을 할당 받은 사용자와 상호 작용하는 방식이 결정됩니다. 할당은 사용자로부터 직접 가져올 수도 있고 사용자가 존재하는 조직에서 가져올 수도 있습니다.

선택적으로 위반을 생성하지 않음 옵션을 선택합니다. 이 옵션을 활성화하면 감사 정책이 평가되고 위반 사항이 보고되지만, 준수 위반 사항이 만들어지거나 업데이트되지는 않으며 수정 작업 흐름도 실행되지 않습니다. 그러나 검색 작업 결과에는 만들어진 위반 사항이 표시되므로 이 옵션은 감사 정책을 테스트할 때 유용합니다.

감사 정책에 할당된 수정 작업 흐름을 실행하려면 수정 작업 흐름 실행 여부를 선택합니다. 감사 정책이 수정 작업 흐름을 정의하지 않는 경우 수정 작업 흐름이 실행되지 않습니다.

검색을 중단하기 전에 이 검색에서 생성할 수 있는 최대 준수 위반 수를 설정하려면 위반 제한 값을 편집합니다. 이 값은 감사 정책을 실행할 때 지나치게 심하게 준수 위반을 확인하는 것을 제한하는 보호 조치입니다. 값이 비어 있으면 제한이 설정되지 않았다는 의미입니다.

전자 메일로 보고서 보내기를 선택하여 보고서의 수신인을 지정합니다. Identity Manager에서 CSV(쉼표로 분리된 값) 형식의 보고서 파일을 첨부하도록 할 수도 있습니다.

기본 PDF 옵션을 대체하려면 기본 PDF 옵션 대체 옵션을 활성화합니다.

실행을 눌러 검색을 시작합니다.

감사 검색의 결과로 나타나는 보고서를 보려면 감사자 보고서를 봅니다.

감사자 보고서 작업

Identity Manager는 많은 감사자 보고서를 제공합니다. 다음 표에서는 이러한 보고서에 대해 설명합니다.

표 11-2 감사자 보고서 설명
감사자 보고서 유형	설명
액세스 검토 범위	선택된 액세스 검토에서 의미하는 사용자 간의 중첩 또는 차이를 표시합니다. 대부분의 액세스 검토에는 쿼리 또는 일부 구성원 작업에서 지정된 사용자 범위가 있기 때문에 정확한 사용자 집합은 시간이 지남에 따라 변경될 수 있습니다. 이 보고서는 서로 다른 두 개의 액세스 검토에서 지정된 사용자 간(검토가 작업에 효율적일지 여부를 확인하기 위함), 서로 다른 두 개의 액세스 검토에서 생성된 자격 간(범위가 시간이 지남에 따라 변경되는지 여부를 확인할 수 있음) 또는 사용자와 자격 간(검토 범위의 모든 사용자에 대해 자격이 생성되었는지 여부를 확인할 수 있음)의 중첩, 차이 또는 모두를 표시할 수 있습니다.
액세스 검토 세부 내용	모든 사용자 자격 레코드의 현재 상태를 표시합니다. 사용자 조직, 액세스 검토 및 액세스 검토 인스턴스, 자격 레코드 상태, 증인 등을 기준으로 이 보고서를 필터링할 수 있습니다.
액세스 검토 요약	모든 액세스 검토에 대한 요약 정보를 제공합니다. 또한 나열된 각 액세스 검토 검색에 대해 검색된 사용자의 상태, 검색된 정책 및 증명 활동을 요약합니다.
액세스 검색 사용자 범위	선택된 검색을 비교하여 검색 범위에 포함되는 사용자를 결정합니다. 여기에는 중첩(모든 검색에 포함되는 사용자) 또는 차이(모든 검색에 포함되지는 않지만, 둘 이상의 검색에 포함되는 사용자)가 표시됩니다. 이 보고서는 검색의 필요에 따라 동일하거나 서로 다른 사용자에게 적용할 여러 액세스 검색을 구성하려는 경우 유용합니다.
감사 정책 요약	각 정책에 대한 규칙, 수정자, 작업 흐름 등 모든 감사 정책의 핵심 요소를 요약합니다.
감사된 속성	지정된 자원 계정 속성의 변경을 나타내는 모든 감사 레코드를 표시합니다. 이 보고서는 저장된 감사 가능한 속성의 감사 데이터를 분석합니다. 분석하는 데이터는 확장된 속성을 기반으로 하며, 이 속성은 WorkflowServices 또는 감사 가능한 것으로 표시된 자원에 의해 지정됩니다.
감사 정책 위반 내역	지정된 기간 동안 생성된 모든 준수 위반을 정책별로 나타내는 그래픽 보기입니다. 이 보고서를 정책별로 필터링하고 일, 주, 월, 분기별로 그룹화할 수 있습니다.
사용자 액세스	지정된 사용자에 대한 감사 레코드 및 사용자 속성을 보여 줍니다.
조직 위반 내역	특정 기간 동안 생성된 모든 준수 위반을 자원별로 나타내는 그래픽 보기입니다. 조직별로 필터링하고 일, 주, 월, 분기별로 그룹화할 수 있습니다.
자원 위반 내역	지정된 기간 동안 생성된 모든 준수 위반을 자원별로 나타내는 그래픽 보기입니다.
직무 분리	충돌 테이블에 정렬된 직무 분리 위반을 보여 줍니다. 웹 기반 인터페이스를 사용하여 링크를 눌러 추가 정보에 액세스할 수 있습니다. 이 보고서는 조직별로 필터링하고 일, 주, 월, 분기별로 그룹화할 수 있습니다.
위반 요약	모든 현재 준수 위반을 보여 줍니다. 이 보고서는 수정자, 자원, 규칙, 사용자 또는 정책별로 필터링할 수 있습니다.

이 보고서는 Identity Manager 인터페이스의 보고서 탭에서 사용할 수 있습니다.

감사자 보고서 만들기

보고서를 실행하려면 먼저 보고서 템플리트를 만들어야 합니다. 보고서 결과를 수신할 전자 메일 수신자 지정 등과 같은 다양한 보고서 기준을 지정할 수 있습니다. 보고서 템플리트를 만들어 저장한 후 보고서 실행 페이지에서 해당 보고서 템플리트를 사용할 수 있습니다.

그림 11-13은 정의된 감사자 보고서 목록이 있는 보고서 실행 페이지의 예입니다.

메뉴 표시줄에서 보고서를 선택합니다.

보고서 유형으로 감사자 보고서를 선택합니다.

새 보고서 목록에서 보고서를 선택합니다.

보고서 정의 페이지가 나타납니다. 보고서 대화 상자의 필드와 레이아웃은 보고서 유형별로 다양합니다. 보고서 기준 지정에 대한 자세한 내용은 Identity Manager 도움말을 참조하십시오.

보고서 유형을 입력하고 선택한 이후 다음 작업을 할 수 있습니다.

저장하지 않고 보고서 실행 - 실행을 눌러 보고서를 실행합니다. Identity Manager는 보고서(새 보고서를 정의한 경우) 또는 변경된 보고서 기준(기존 보고서를 편집한 경우)을 저장하지 않습니다.

보고서 저장 - 저장을 눌러 보고서를 저장합니다. 저장된 보고서는 보고서 실행 페이지(보고서 목록)에서 실행할 수 있습니다.

보고서 실행 페이지에서 보고서를 실행한 후 출력을 즉시 보거나 나중에 보고서 보기 탭에서 확인할 수 있습니다.

보고서 예약에 대한 자세한 내용은 보고서 예약을 참조하십시오.

준수 위반 수정 및 완화

이 절에서는 Identity Manager 수정을 사용하여 중요 자산을 보호하는 방법을 설명합니다. 다음 항목에서는 Identity Manager 수정 과정의 요소에 대해 설명합니다.

수정 정보

Identity Manager가 해결되지 않은(완화되지 않은) 감사 정책 준수 위반을 검색하면 수정자가 해결해야 하는 수정 요청을 만듭니다. 수정자는 감사 정책 위반을 평가하고 이에 응답하도록 권한을 부여 받은 지정된 사용자입니다.

수정자 단계적 전달

Identity Manager에서 수정자를 세 수준으로 정의할 수 있습니다. 수정 요청은 먼저 수준 1 수정자에게 전송됩니다. 만료 제한 시간 내에 수준 1 수정자가 수정 요청에 대해 대응하지 않으면 Identity Manager는 수준 2 수정자에게 위반을 전송하고 제한 시간을 새로 시작합니다. 만료 제한 시간 안에 수준 2 수정자의 응답이 없으면 요청은 다시 수준 3 수정자에게 전송됩니다.

수정을 수행하려면 회사에 대해 한 명 이상의 수정자를 지정해야 합니다. 선택 사항이지만 각 수준에 두 명 이상의 수정자를 지정하는 것이 좋습니다. 여러 명의 수정자를 지정하면 작업 흐름이 지연되거나 중단되지 않도록 방지할 수 있습니다.

수정 보안 액세스

이러한 인증 옵션은 RemediationWorkItem authType의 작업 항목을 위한 것입니다.

수정 작업 항목 소유자

수정 작업 항목 소유자의 직접/간접 관리자

수정 작업 항목 소유자가 소속된 조직을 제어하는 관리자

소유자는 작업을 시도하는 사용자이거나

작업을 시도하는 사용자가 제어하는 조직에 소속되거나

작업을 시도하는 사용자의 부하 직원입니다.

다음 옵션을 수정하여 두 번째 및 세 번째 검사를 개별적으로 구성할 수 있습니다.

controlOrg - 유효한 값은 "true" 또는 "false"입니다.

subordinate - 유효한 값은 "true" 또는 "false"입니다.

lastLevel - 결과에 포함시킬 마지막 하위 수준입니다. -1은 모든 수준을 의미합니다. lastLevel의 정수 값은 -1로 기본 설정됩니다. 이 값은 직접/간접 부하 직원을 의미합니다.

이러한 옵션을 다음과 같이 추가하거나 수정할 수 있습니다.

수정 작업 흐름 프로세스

Identity Manager는 표준 수정 작업 흐름을 제공하여 감사 정책 검색을 위한 수정을 처리합니다.

표준 수정 작업 흐름은 준수 위반 정보를 포함하는 수정 요청(검토 유형의 작업 항목)을 생성하고 감사 정책에 지정된 각 수준 1 수정자에게 전자 메일 알림을 보냅니다. 수정자가 위반을 완화하면 작업 흐름은 기존 준수 위반 객체의 상태를 변경하고 만료일을 할당합니다.

준수 위반은 사용자, 정책 이름 및 규칙 이름을 조합하여 고유하게 식별됩니다. 감사 정책이 true로 평가되면 이 조합에 대한 기존 위반이 아직 없는 경우 각 사용자/정책/규칙 조합에 대해 새 준수 위반이 생성됩니다. 해당 조합에 대한 위반이 존재하고 위반이 완화된 상태인 경우 작업 흐름 프로세스는 아무런 조치도 취하지 않습니다. 기존 위반이 완화되지 않은 경우 반복 횟수가 증가됩니다.

수정 작업 흐름에 대한 자세한 내용은 감사 정책 정보를 참조하십시오.

수정 응답

기본적으로 각 수정자에게 부여되는 응답 옵션은 다음 세 가지입니다.

수정 수정자가 자원의 문제를 해결하기 위한 행동을 했음을 나타냅니다.


주	수정한 후에는 다음에 감사 검색을 수행할 때 위반이 삭제됩니다. 다시 검색을 허용하도록 감사 정책이 구성된 경우에는 위반이 수정된 즉시 사용자가 다시 검색됩니다.

완화 수정자가 해당 위반을 허용하고 사용자에게 일정 시간 동안 위반 면제를 부여합니다.


주	Identity Manager가 면제 만료를 검색하면 위반을 완화된 상태에서 보류 중인 상태로 되돌립니다.

전달 수정자가 위반 해결 책임을 다른 사람에게 재할당합니다.

수정 예

기업에서 한 사람이 매입채무와 매출채권 책임을 모두 가질 수 없다는 규칙을 설정한 경우 사용자는 이 규칙을 위반하고 있다는 알림을 받게 됩니다.

해당 사용자가 다른 직원을 채용할 때까지만 두 역할에 대한 책임을 갖는 관리자인 경우라면, 이 위반을 완화하고 6개월간 위반 면제를 부여할 수 있습니다.

사용자가 이 규칙을 위반하고 있을 경우 Oracle ERP 관리자에게 충돌 문제를 수정할 것을 요청한 다음, 해당 자원에서 이 문제가 수정되면 위반을 수정할 수 있습니다. 또는, 수정 요청을 Oracle ERP 관리자에게 전달할 수도 있습니다.

수정 전자 메일 템플리트

Identity Manager는 정책 위반 알림 전자 메일 템플리트를 제공합니다. 구성 탭을 선택하고 전자 메일 템플리트 하위 탭을 선택합니다. 이 템플리트를 구성하여 보류 중인 위반을 수정자에게 알리도록 할 수 있습니다. 자세한 내용은 전자 메일 템플리트 사용자 정의를 참조하십시오.

수정 작업 페이지

작업 항목을 선택한 다음 수정을 선택하여 수정 페이지에 액세스합니다.

보류 중인 위반 보기

정책 위반 우선 순위 지정

하나 이상의 정책 위반 완화

하나 이상의 정책 위반 수정

하나 이상의 위반 전달

수정 작업 항목에서 사용자 편집

정책 위반 보기

수정 페이지를 사용하면 위반에 대한 조치를 취하기 전에 관련 세부 내용을 볼 수 있습니다.

사용자의 기능과 Identity Manager 기능 계층에서의 위치에 따라 다른 수정자에 대한 위반을 보고 조치를 취할 수도 있습니다.

보류 중인 요청 보기

완료된 요청 보기

테이블 업데이트

보류 중인 요청 보기

사용자에게 할당된 보류 중인 요청은 기본적으로 수정 테이블에 표시됩니다. 다음에 대한 수정 나열 옵션을 사용하여 다른 수정자에 대한 보류 중인 수정 요청을 볼 수 있습니다.

조직에서 사용자에게 직접 보고하는 다른 사용자의 보류 중인 요청을 보려면 내 직접 보고서를 선택합니다.

사용자 검색을 선택하여 보류 중인 요청을 가진 한 명 이상의 사용자를 입력하거나 찾습니다. 해당 사용자에 대한 보류 중인 요청을 보려면 사용자 아이디를 입력한 다음 적용을 누릅니다. 또는, ... (자세히)를 눌러 사용자를 검색합니다. 사용자를 찾아서 선택한 후에 해제를 눌러 검색 영역을 닫습니다.

수정자 할당된 수정자의 이름입니다. 이 열은 다른 수정자에 대한 수정 요청을 보는 경우에만 표시됩니다.

사용자 요청할 사용자입니다.

감사 정책/요청 수정자에게 요청된 작업입니다.

감사 규칙/설명 요청에 대한 수정 설명입니다.

위반 상태 현재 위반 상태입니다.

심각도 요청에 할당된 심각도(없음, 낮음, 중간, 높음 또는 위험)

우선 순위 요청에 할당된 우선 순위(없음, 낮음, 중간, 높음 또는 긴급)

요청 날짜: 수정 요청이 발생한 날짜와 시간입니다.



주	각 사용자는 특정 수정자와 관련된 수정 데이터를 표시하는 사용자 정의 양식을 선택할 수 있습니다. 사용자 정의 양식을 할당하려면 사용자 양식에서 준수 탭을 선택합니다.

완료된 요청 보기

완료된 수정 요청을 보려면 내 작업 항목 탭을 누른 다음 내역 탭을 누릅니다. 이전에 수정된 작업 항목 목록이 표시됩니다.

AuditLog 보고서에 의해 생성되는 결과 테이블에는 각 수정 요청에 대해 다음과 같은 정보가 제공됩니다.

타임스탬프 요청이 수정된 날짜와 시간입니다.

제목 요청을 처리한 수정자의 이름입니다.

작업 수정자가 요청을 완화했는지 또는 수정했는지 여부를 나타냅니다.

유형 준수 위반 또는 사용자 자격 부여입니다.

객체 이름 위반된 감사 정책의 이름입니다.

자원 수정자의 계정 아이디를 제공합니다(N/A로 표시될 수도 있음).

아이디 항상 N/A를 나타냅니다.

결과 항상 성공을 나타냅니다.

테이블에서 타임스탬프를 누르면 감사 이벤트 세부 내용 페이지가 열립니다.

감사 이벤트 세부 내용 페이지는 완료된 요청에 대한 정보를 제공합니다. 이 내용에는 수정 또는 완화, 이벤트 매개 변수(해당하는 경우) 및 감사할 수 있는 속성에 대한 정보가 포함됩니다.

테이블 업데이트

수정 테이블에서 제공되는 내용을 업데이트하려면 새로 고침을 누릅니다. 새 수정 요청이 업데이트된 테이블이 수정 페이지에 다시 로드됩니다.

정책 위반 우선 순위 지정

정책 위반에 우선 순위, 심각도 또는 모두를 할당하여 우선 순위를 지정할 수 있습니다. 수정 페이지에서 위반 우선 순위를 지정합니다.

위반에 대한 우선 순위 또는 심각도를 편집하려면 다음을 수행합니다.

목록에서 위반을 하나 이상 선택합니다.

우선 순위 지정을 누릅니다.

정책 위반 우선 순위 지정 페이지가 나타납니다.

선택적으로, 위반에 대한 심각도를 설정합니다. 없음, 낮음, 중간, 높음 또는 위험 중에서 선택합니다.

선택적으로, 위반에 대한 우선 순위를 설정합니다. 없음, 낮음, 중간, 높음 또는 긴급 중에서 선택합니다.

선택이 끝나면 확인을 누릅니다. 그러면 Identity Manager는 수정 목록으로 돌아갑니다.



주	심각도 및 우선 순위 값은 CV(준수 위반) 유형의 수정에서만 설정할 수 있습니다.

정책 위반 완화

수정 및 검토 정책 위반 페이지에서 정책 위반을 완화할 수 있습니다.

수정 페이지에서

수정 페이지에서 보류 중인 정책 위반을 완화하려면 다음을 수행합니다.

테이블의 행을 선택하여 완화할 요청을 지정합니다.

하나 이상의 개별 옵션을 선택하여 완화할 요청을 지정합니다.

테이블 헤더의 옵션을 선택하여 테이블에 나열된 모든 요청을 완화합니다.



주	Identity Manager에서는 완화 작업을 설명할 주석 집합을 한 개만 입력할 수 있습니다. 대량 완화는 위반이 서로 관련된 것이거나 하나의 주석으로 충분히 설명되는 경우에만 수행하는 것이 좋습니다. 준수 위반을 포함하는 요청만 완화할 수 있습니다. 다른 수정 요청은 완화할 수 없습니다.

완화를 누릅니다.

정책 위반 완화 페이지 또는 여러 정책 위반 완화 페이지가 다음과 같이 나타납니다.

그림 11-14 정책 위반 완화 페이지
정책 위반 완화 페이지에 액세스합니다.

설명 필드에 완화에 대한 주석을 입력합니다. 필수 필드입니다.

입력한 주석은 이 작업에 대한 감사 추적에 사용되므로 완전하고 의미 있는 정보를 입력해야 합니다. 예를 들어 이 정책 위반을 완화하는 이유와 날짜를 입력하고 면제 기간을 선택한 이유를 설명합니다.

면제 만료 날짜를 제공하려면 만료 날짜 필드에 직접 날짜(YYYY-MM-DD 형식)를 입력하거나

버튼을 눌러 달력에서 날짜를 선택합니다.



주	날짜를 제공하지 않으면 면제가 영구히 유효하게 됩니다.

확인을 눌러 변경 사항을 저장하고 수정 페이지로 돌아갑니다.

정책 위반 수정

테이블의 확인란을 사용하여 수정할 요청을 지정합니다.

테이블에서 하나 이상의 개별 확인란을 선택하여 수정할 요청을 지정합니다.

테이블 헤더의 확인란을 사용하여 테이블에 나열된 모든 요청을 수정합니다.

요청을 두 개 이상 선택할 경우 Identity Manager에서는 수정 작업을 설명하는 주석을 하나만 입력할 수 있음을 유의하십시오. 대량 수정은 위반이 서로 관련된 것이거나 하나의 주석으로 충분히 설명되는 경우에만 수행하는 것이 좋습니다.

수정을 누릅니다.

정책 위반 수정 페이지 또는 여러 정책 위반 수정 페이지가 표시됩니다.

주석 필드에 수정에 대한 주석을 입력합니다.

확인을 눌러 변경 사항을 저장하고 수정 페이지로 돌아갑니다.



주	사용자에게 직접 할당된 감사 정책(즉, 사용자 계정 또는 조직 할당을 통해 할당됨)은 해당 사용자에 대한 위반이 수정될 때 항상 다시 평가됩니다.

수정 요청 전달

다음과 같은 방법으로 하나 이상의 수정 요청을 다른 수정자에게 전달할 수 있습니다.

테이블에서 확인란을 사용하여 전달할 요청을 지정합니다.

테이블 헤더의 확인란을 선택하여 테이블에 나열된 모든 요청을 전달합니다.

테이블의 개별 확인란을 선택하여 하나 이상의 요청을 전달합니다.

전달을 누릅니다.

전달 선택 및 확인 페이지가 나타납니다.

그림 11-15 전달 선택 및 확인 페이지
요청이 관리자에게 전달되고 테이블이 업데이트됩니다.

전달 대상 필드에 수정자 이름을 입력한 다음 확인을 누릅니다. 또는, ... (자세히)를 눌러 수정자 이름을 검색합니다. 검색 목록에서 이름을 선택한 다음 설정을 눌러 전달 대상 필드에 해당 이름을 입력합니다. 해제를 눌러 검색 영역을 닫습니다.

수정 페이지가 다시 표시되면 새 수정자의 이름이 테이블의 수정자 열에 표시됩니다.

수정 작업 항목에서 사용자 편집

수정 작업 항목에서 연관된 자격 내역에 설명된 것처럼 문제를 수정하려면 해당 사용자 편집 기능으로 사용자를 편집할 수 있습니다.

사용자를 편집하려면 수정 요청 검토 페이지에서 사용자 편집을 누릅니다. 표시된 사용자 편집 페이지에 다음 항목이 표시됩니다.

이 작업 항목에 대해 사용자와 연관된 자격 내역

사용자의 속성. 여기에 나타나는 옵션은 계정 영역에서 사용할 수 있는 사용자 편집 양식에서와 동일합니다.


주	사용자 편집을 저장하면 사용자 업데이트 작업 흐름이 실행됩니다. 이 작업 흐름은 승인이 필요하기 때문에 사용자 계정에 대한 변경 사항은 저장 후에 일정 시간 동안 적용되지 않을 수 있습니다. 감사 정책에 다시 검색이 허용되고 사용자 업데이트 작업 흐름이 완료되지 않으면 이후의 정책 검색에 동일한 위반이 검색될 수 있습니다.

정기 액세스 검토 및 증명

Identity Manager에서는 관리자나 기타 담당자가 사용자 액세스 권한을 검토하고 확인할 수 있도록 액세스 검토 과정을 제공합니다. 이 과정을 사용하면 시간의 경과에 따라 누적되는 사용자 권한을 확인하여 관리하고, Sarbanes-Oxley, GLBA 및 기타 관련 규정을 준수할 수 있습니다.

액세스 검토는 필요에 따라 수행하거나 일정에 따라 정기적으로 수행할 수 있습니다. 예를 들어, 분기별로 정기 액세스 검토를 수행하여 올바른 수준의 사용자 권한을 유지할 수 있습니다. 선택적으로, 액세스 검토에는 감사 정책 검색이 포함될 수 있습니다.

정기 액세스 검토 정보

정기 액세스 검토는 일련의 직원이 특정 시점에서 해당 자원에 대한 적절한 권한이 있는지를 주기적으로 증명하는 과정입니다.

액세스 검토 검색 - 직접 정의한 후 실행하거나 실행을 예약하는 검색이며, 지정된 사용자에 대한 사용자 자격을 평가하고 규칙 기반 평가를 통해 증명이 필요한지 여부를 결정합니다.

증명 - 사용자 자격을 승인하거나 거부하여 증명 요청에 응답하는 과정입니다.

사용자 자격은 사용자 계정이나 특정 자원에 대한 세부 내용을 나타내는 레코드입니다.

액세스 검토 검색

정기 액세스 검토를 시작하려면 먼저 하나 이상의 액세스 검색을 정의해야 합니다.

액세스 검색에서는 검색할 대상, 검색에 포함될 자원, 검색 중에 평가할 감사 정책(선택 사항), 수동으로 증명할 자격 레코드를 결정하는 규칙 및 해당 주체 등을 정의합니다.

액세스 검토 작업 흐름 프로세스

일반적으로 Identity Manager 액세스 검토 작업 흐름은 다음을 수행합니다.

사용자 목록 구성, 각 사용자에 대한 계정 정보 수집, 선택적 감사 정책 평가

사용자 자격 레코드 생성

각 사용자 자격 레코드에 대해 증명이 필요한지 여부 결정

각 증인에게 작업 항목 할당

모든 증인이 승인하거나 첫 번째 거부가 있을 때까지 대기

지정된 시간 제한 기간 동안 요청에 대한 응답이 없을 경우 다음 증인으로 단계적 이동

해결 내용으로 사용자 자격 레코드 업데이트

필수 관리자 기능

정기 액세스 검토를 수행하고 검토 프로세스를 관리하려면 사용자에게 감사자 정기 액세스 검토 관리자 기능이 있어야 합니다. 감사자 액세스 검색 관리자 기능이 있는 사용자는 액세스 검색을 만들고 관리할 수 있습니다.

이러한 권한을 할당하려면 사용자 계정을 편집하고 보안 속성을 수정합니다. 기타 기능에 대한 자세한 내용은 기능 이해 및 관리를 참조하십시오.

증명

증명은 하나 이상의 지정된 증인이 특정 날짜의 사용자 자격을 확인하기 위해 수행하는 인증 프로세스입니다. 액세스 검토 중에 증인은 전자 메일 알림을 통해 액세스 검토 증명 요청에 대한 알림을 받습니다. 증인은 반드시 Identity Manager 사용자여야 하지만 Identity Manager 관리자가 아니어도 됩니다.

증명 작업 흐름

Identity Manager는 액세스 검색에서 검토가 필요한 자격 레코드를 식별한 경우에 실행되는 증명 작업 흐름을 사용합니다. 이 액세스 검색은 액세스 검색에 정의된 규칙을 기반으로 결정합니다.

액세스 검색에서 평가되는 규칙에 따라 사용자 자격 레코드를 수동으로 증명할지 자동으로 승인하거나 거부할지 여부가 결정됩니다. 사용자 자격 레코드를 수동으로 증명해야 하는 경우 액세스 검색에서는 두 번째 규칙을 사용하여 적절한 증인을 결정합니다.

수동으로 증명할 각 사용자 자격 레코드가 작업 흐름에 할당됩니다. 작업 항목은 증인별로 하나씩 제공됩니다. 항목을 증명별로 검색 당 하나의 알림으로 번들화하는 ScanNotification 작업 흐름을 사용하여 이러한 작업 항목의 증명에 대한 알림을 보낼 수 있습니다. ScanNotification 작업 흐름을 선택하지 않은 경우 사용자 자격 당 알림이 제공됩니다. 즉, 증인이 검색별로 여러 알림을 받을 수 있습니다. 검색 대상 사용자 수가 많을수록 더 많은 알림을 받게 됩니다.

증명 보안 액세스

이러한 인증 옵션은 AttestationWorkItem authType 작업 항목을 위한 것입니다.

작업 항목 소유자

작업 항목 소유자의 직접/간접 관리자

작업 항목 소유자가 소속된 조직을 제어하는 관리자

인증 검사를 통해 유효성을 검사한 사용자

소유자는 작업을 시도하는 사용자이거나

작업을 시도하는 사용자가 제어하는 조직에 소속되거나

작업을 시도하는 사용자의 부하 직원입니다.

다음 양식 등록 정보를 수정하여 두 번째와 세 번째 검사를 개별적으로 구성할 수 있습니다.

controlOrg - 유효한 값은 "true" 또는 "false"입니다.

subordinate - 유효한 값은 "true" 또는 "false"입니다.

lastLevel - 결과에 포함시킬 마지막 하위 수준입니다. -1은 모든 수준을 의미합니다.

lastLevel의 정수 값은 -1로 기본 설정됩니다. 이 값은 직접/간접 부하 직원을 의미합니다.

이러한 옵션을 다음과 같이 추가하거나 수정할 수 있습니다.

위임된 증명


주	증명에 대한 보안이 조직에서 제어됨으로 설정되면 감사자 증명자 기능에도 다른 사용자의 증명을 수정해야 합니다.

기본적으로 액세스 검색 작업 흐름은 증명 작업 항목 및 알림에 대해 사용자가 만든 액세스 검토 증명 및 액세스 검토 수정 유형의 작업 항목에 대해 위임을 참조합니다. 액세스 검색 관리자는 위임 따르기 옵션을 선택 취소하여 위임 설정을 무시할 수 있습니다. 증인이 모든 작업 항목을 다른 사용자에게 위임했지만 액세스 검토 검색에 대해 위임 따르기 옵션이 설정되어 있지 않은 경우 증인(위임이 할당된 사용자가 아님)이 증명 요청 알림과 작업 항목을 받게 됩니다.

정기 액세스 검토 계획

액세스 검토는 비즈니스 환경에서 노동 집약적이고 시간이 많이 소요되는 프로세스입니다. Identity Manager 정기 액세스 검토 프로세스를 사용하면 프로세스의 많은 부분을 자동화하여 소요되는 비용과 시간을 최소화할 수 있습니다. 그렇지만 일부 프로세스는 여전히 많은 시간이 소요됩니다. 예를 들어, 많은 위치에서 수천 명의 사용자에 대한 사용자 계정 데이터를 불러오려면 매우 많은 시간이 소요될 수 있습니다. 레코드를 수동으로 증명하는 작업도 많은 시간이 소요될 수 있습니다. 적절한 계획은 프로세스의 효율성을 향상시키고 노력을 크게 줄일 수 있습니다.

정기 액세스 검토를 계획할 경우 다음과 같은 사항을 고려해야 합니다.

검색 시간은 관련된 자원 및 사용자 수에 따라 많은 차이가 날 수 있습니다.

병렬 처리를 위해 여러 Identity Manager 서버를 사용하면 액세스 검토 프로세스가 단축될 수 있습니다.

증명 작업 흐름과 규칙을 사용자 정의하여 제어 능력을 강화하고 효율성을 향상시킬 수 있습니다.

증인 단계 규칙을 사용하면 증명 요청에 대한 응답 시간을 향상시킬 수 있습니다.

검토 결정 규칙을 사용하여 수동으로 검토해야 할 자격 레코드를 자동으로 결정함으로써 시간을 절약하는 방법을 이해해야 합니다.

검색 수준 알림 작업 흐름을 지정하여 검색에 대한 증명 요청 알림을 번들화합니다.

검색 작업 조정

검색 과정 중에 여러 스레드가 사용자 보기에 액세스하는데, 이는 잠재적으로 계정이 있는 사용자에 대한 자원에 액세스하는 것입니다. 보기에 액세스한 후에는 여러 감사 정책과 규칙이 평가되므로 준수 위반이 발생할 수 있습니다.

두 개의 스레드가 동시에 같은 사용자 보기를 업데이트하는 것을 방지하려면 프로세스에 사용자 이름에 대한 메모리 내장 잠금을 설정합니다. 이 잠금이 기본적으로 5초 내에 설정되지 않으면 검색 작업에 오류가 작성되고 사용자를 건너뛰게 되어 동일한 사용자 집합을 처리하는 동시 검색에 대한 보호가 제공됩니다.

검색 작업에 대한 작업 인수로 제공되는 여러 개의 "조정 가능한 매개 변수" 값을 다음과 같이 편집할 수 있습니다.

clearUserLocks(부울) true인 경우 검색을 시작하기 전에 현재 사용자 잠금이 모두 해제됩니다.

userLock (정수) 사용자 잠금을 시도할 때 대기할 시간(밀리초). 기본값은 5초입니다. 음수 값은 해당 검색에 대한 잠금을 비활성화합니다.

scanDelay(정수) 검색 스레드의 디스패치 간에 휴면 상태인 시간(밀리초). 기본값은 0(지연 없음)입니다. 이 인수에 대한 값을 입력하면 검색이 더 느려지고 다른 작업에 대한 응답이 더 많아집니다.

maxThreads(정수) 검색을 처리하는 데 사용된 동시 스레드 수. 기본값은 5입니다. 자원 응답 시간이 너무 느릴 때 이 숫자를 늘리면 검색 처리량이 증가할 수 있습니다.

이 매개 변수의 값을 변경하려면 해당 작업 정의 양식을 편집합니다. 이 작업에 대한 자세한 내용은 Identity Manager Workflows, Forms, and Views를 참조하십시오.

액세스 검색 만들기

준수를 선택한 다음 액세스 검색 관리를 선택합니다.

새로 만들기를 눌러 새 액세스 검색 만들기 페이지를 표시합니다.

액세스 검색에 이름을 할당합니다.



주	액세스 검색 이름에는 '(아포스트로피), .(마침표), \|(세로선), [(왼쪽 대괄호), ](오른쪽 대괄호), ,(쉼표), :(콜론), $(달러 기호), "(큰따옴표) 또는 =(등호 기호)를 사용할 수 없습니다.

선택적으로 검색을 확인하는 데 중요한 설명을 추가합니다.

선택적으로 동적 자격 옵션을 활성화합니다. 활성화된 경우, 증인은 다음과 같은 추가 옵션이 지정됩니다.

보류 중인 증명은 자격 데이터를 새로 고치고 증명 요구를 다시 평가하도록 즉시 다시 검색할 수 있습니다.

보류 중인 증명은 수정을 위해 다른 사용자에게 전달할 수 있습니다. 수정 이후에 자격 데이터는 증명 요구를 결정하도록 새로 고쳐지고 다시 평가됩니다.

다음 옵션 중에서 사용자 범위 유형을 선택합니다. 필수 필드입니다.

속성 조건 규칙에 따라 선택된 사용자 범위 규칙에 따라 사용자를 검색하려면 이 옵션을 선택합니다. Identity Manager는 다음 규칙을 제공합니다.

모든 관리자

관리자가 아닌 모든 사용자

관리자가 없는 사용자



주	IDE(Identity Manager Integrated Development Environment)를 사용하여 사용자 범위 지정 규칙을 추가할 수 있습니다. 자세한 내용은 Identity Manager Deployment Tools를 참조하십시오.

자원에 할당됨 하나 이상의 선택된 자원에 대한 계정이 있는 모든 사용자를 검색하려면 이 옵션을 선택합니다. 이 옵션을 선택하면 페이지에 자원을 지정할 수 있는 사용자 범위 자원이 표시됩니다.

조직 구성원 - 하나 이상의 선택된 조직의 모든 구성원을 검색하려면 이 옵션을 선택합니다.

관리자에게 보고 - 선택된 관리자에게 보고하는 모든 사용자를 검색하려면 이 옵션을 선택합니다. 관리자 계층은 사용자 Lighthouse 계정의 Identity Manager 속성에 따라 결정됩니다.

사용자 범위가 조직 또는 관리자인 경우 재귀적 범위 옵션을 사용할 수 있습니다. 이 옵션을 사용하면 제어된 구성원 체계를 통해 사용자를 재귀적으로 선택할 수 있습니다.

또한 액세스 검토 검색 중에 위반을 검색할 감사 정책을 검색하도록 선택하는 경우, 선택한 항목을 사용 가능한 감사 정책에서 현재 감사 정책 목록으로 이동하여 이 검색에 적용할 감사 정책을 선택합니다.

액세스 검색에 감사 정책을 추가하면 동일한 사용자 집합에 대해 감사 검색을 수행할 때와 동일한 동작이 발생합니다. 또한 검사 정책에서 검색된 위반이 사용자 자격 레코드에 저장됩니다. 규칙에서는 사용자 자격 레코드에 위반이 존재하는지 여부를 논리의 일부로 사용할 수 있기 때문에 이 정보는 자동 승인 또는 거부 과정을 간소화합니다.

이전 단계의 감사 정책을 검색한 경우 정책 모드 옵션을 사용하여 지정한 사용자에 대해 실행할 감사 정책을 액세스 검색 시 결정하는 방법을 지정할 수 있습니다. 사용자 수준 및/또는 조직 수준 양쪽에서 정책을 사용자에게 할당할 수 있습니다. 기본 액세스 검색 동작에서는 사용자에게 할당된 정책이 아직 없는 경우에만 액세스 검색에 대해 지정된 정책을 적용합니다.

선택한 정책 적용 및 다른 할당 무시

사용자에게 할당된 정책이 없는 경우에만 선택한 정책을 적용합니다.

사용자 할당과 함께 선택한 정책을 적용합니다.

(선택 사항)검토 프로세스 소유자를 지정합니다. 이 옵션을 사용하여 정의 중인 액세스 검토 작업의 소유자를 지정합니다. 검토 프로세스 소유자를 지정하면 증명 요청에 응답할 때 잠재적 충돌이 발생하는 증인은 사용자 자격을 승인하거나 거부하는 대신 중단할 수 있습니다. 그러면 증명 요청이 검토 프로세스 소유자에게 전달됩니다. 선택(타원) 상자를 눌러 사용자 계정을 검색한 후 선택합니다.

위임 따르기 - 액세스 검색에 대한 위임을 활성화하려면 이 옵션을 선택합니다. 이 옵션을 선택한 경우 액세스 검색에서 위임 설정만 사용합니다. 위임 따르기는 기본적으로 활성화됩니다.

대상 자원 제한 - 검색을 대상 자원으로 제한하려면 이 옵션을 선택합니다.

이 설정은 액세스 검색의 효율성에 직접적인 영향을 미칩니다. 대상 자원을 제한하지 않으면 각 사용자 자격 레코드에 사용자가 연결되는 모든 자원에 대한 계정 정보가 포함됩니다. 즉, 검색 중에 각 사용자에 대해 할당된 모든 자원이 쿼리됩니다. 이 옵션을 사용하여 자원 하위 집합을 지정하면 Identity Manager에서 사용자 자격 레코드를 생성하는 데 필요한 처리 시간을 크게 단축할 수 있습니다.

위반 수정 실행 - 위반이 검색될 경우 감사 정책의 수정 작업 흐름을 활성화하려면 이 옵션을 선택합니다.

이 옵션을 선택하면 할당된 감사 정책에 대해 위반이 검색될 경우 해당 감사 정책의 수정 작업 흐름이 실행됩니다.

일반적으로 이 옵션은 고급 옵션을 제외하고 선택하면 안 됩니다.

액세스 승인 작업 흐름 - 기본 표준 증명 작업 흐름을 선택하거나 사용자 정의 작업 흐름(사용 가능한 경우)을 선택합니다.

이 작업 흐름은 증인 규칙에 따라 결정된 해당 증인에게 검토할 사용자 자격 레코드를 표시하는 데 사용됩니다. 기본 표준 증명 작업 흐름은 증인별로 하나의 작업 항목을 생성합니다. 액세스 검색에서 단계적 전달을 지정하는 경우 이 작업 흐름은 너무 오래 동안 사용되지 않는 작업 항목을 단계적으로 전달합니다. 작업 흐름이 지정되어 있지 않은 경우에는 사용자 증명이 보류 중인 상태로 무기한 유지됩니다.

증인 규칙 - 기본 증인 규칙을 선택하거나 사용자 정의 증인 규칙(사용 가능한 경우)을 선택합니다.

증인 규칙은 사용자 자격 레코드에 입력으로 제공되며 증인 이름 목록을 반환합니다. 위임 따르기를 선택한 경우 액세스 검색에서는 원본 이름 목록에 있는 각 사용자가 구성한 위임 정보에 따라 이름 목록을 해당 사용자로 변환합니다. Identity Manager 사용자의 위임이 라우팅 주기를 생성하는 경우 위임 정보가 삭제되고 작업 항목이 초기 증인에게 전달됩니다. 기본 증인 규칙에서는 증인이 자격 레코드가 표시된 사용자의 관리자(idmManager)이거나 구성자 계정(사용자의 idmManager가 null인 경우)이어야 합니다. 증명에서 자원 소유자와 관리자를 모두 포함해야 하는 경우 사용자 정의 규칙을 사용해야 합니다. 규칙 사용자 정의에 대한 자세한 내용은 Identity Manager Deployment Tools 설명서를 참조하십시오.

증인 단계 규칙 - 기본 단계 증인 규칙을 지정하거나 사용자 정의 규칙(사용 가능한 경우)을 선택하려면 이 옵션을 사용합니다. 규칙에 대한 단계적 전달 제한 시간 값을 지정할 수도 있습니다. 기본 단계 시간 초과 값은 0일입니다.

이 규칙은 단계적 전달 제한 시간 기간이 경과한 작업 항목에 대한 단계적 전달 체계를 지정합니다. 기본 단계 증인 규칙은 할당된 증인의 관리자(idmManager) 또는 구성자(증인의 idmManager 값이 null인 경우)에게 단계적으로 전달됩니다.

단계적 제한 시간 값(분, 시간 또는 일)을 지정할 수 있습니다.

검토 결정 규칙 - 검색 프로세스에서 자격 레코드의 배포를 결정하는 방법을 지정하려면 다음 규칙 중 하나를 선택합니다. 필수 필드입니다.

변경된 사용자 거부 - 사용자 자격 레코드가 동일한 액세스 검색 정의의 마지막 사용자 자격과 달라서 마지막 사용자 자격이 승인된 경우 사용자 자격 레코드가 자동으로 거부됩니다. 그렇지 않은 경우 수동 증명을 실행하여 이전에 승인된 사용자 자격에서 변경되지 않은 모든 사용자 자격을 승인해야 합니다. 기본적으로 이 규칙에서 사용자 보기의 "계정" 부분만 비교됩니다.

변경된 사용자 검토 - 사용자 자격 레코드가 동일한 액세스 검색 정의의 마지막 사용자 자격과 달라서 마지막 사용자 자격이 승인된 경우 해당 사용자 자격 레코드를 수동으로 증명해야 합니다. 이전에 승인된 사용자 자격에서 변경되지 않은 모든 사용자 자격을 승인합니다. 기본적으로 이 규칙에서 사용자 보기의 "계정" 부분만 비교됩니다.

모든 사용자 검토 - 모든 사용자 자격 레코드를 수동으로 증명해야 합니다.



주	변경된 사용자 거부 및 변경된 사용자 검토 규칙은 자격 레코드가 승인된 것과 같은 액세스 검색의 마지막 인스턴스와 사용자 자격을 비교합니다. 규칙을 복사한 후 비교를 선택된 사용자 보기 부분으로 제한하도록 수정하여 이 동작을 변경할 수 있습니다. 규칙 사용자 정의에 대한 자세한 내용은 Identity Manager Deployment Tools를 참조하십시오.

이 규칙은 다음 값을 반환할 수 있습니다.

-1 필요한 증명 없음

0 자동으로 증명 거부

1 수동 증명 필요

2 자동으로 증명 승인

3 자동으로 증명 수정(자동 수정)

수정자 규칙 자동 수정 이벤트에서 특정 사용자의 자격을 수정해야 할 사용자를 결정하는 데 사용되는 규칙을 선택합니다. 규칙은 사용자의 현재 사용자 자격 및 위반을 검사할 수 있으며 수정해야 할 사용자 목록을 반환해야 합니다. 규칙이 지정되지 않으면 수정이 이루어지지 않습니다. 이 규칙은 일반적으로 자격에 준수 위반이 있는 경우 사용됩니다.

수정 사용자 양식 규칙 사용자를 편집할 때 증명 수정자에 대한 해당 양식을 선택하기 위해 사용할 규칙을 선택합니다. 수정자는 이 양식을 대체하는 자체 양식을 설정할 수 있습니다. 이 양식 규칙은 검색 시 사용자 정의 양식과 일치하는 특수 데이터가 수집된 경우 설정됩니다.

알림 작업 흐름 - 각 작업 항목에 대한 알림 동작을 지정하려면 다음 옵션 중 하나를 선택합니다.

없음 - 기본 설정입니다. 이 옵션을 선택하면 증인은 증명해야 하는 각 개별 사용자 자격에 대한 전자 메일 알림을 받게 됩니다.

ScanNotification - 이 옵션을 선택하면 여러 증명 요청을 단일 알림으로 번들화합니다. 알림은 수신자에게 할당된 증명 요청 수를 나타냅니다.

액세스 검색에서 검토 프로세스 소유자를 지정한 경우 ScanNotification 작업 흐름은 검색이 시작될 때와 종료될 때 검토 프로세스 소유자에게도 알림을 보냅니다. 단계 9를 참조하십시오.

ScanNotification 작업 흐름에서는 다음과 같은 전자 메일 템플리트를 사용합니다.

액세스 검색 시작 알림

액세스 검색 종료 알림

대량 증명 알림

ScanNotification 작업 흐름을 사용자 정의할 수 있습니다.

위반 제한 - 검색을 중단하기 전에 이 검색에서 생성할 수 있는 최대 준수 위반 수를 지정하려면 이 옵션을 사용합니다. 기본 제한은 1000이고, 값 필드가 비어 있는 경우 제한이 없음을 나타냅니다.

일반적으로 감사 검색 또는 액세스 검색 중에는 사용자 수에 비해 정책 위반 수가 작지만, 이 값을 설정하면 위반 수를 크게 증가시키는 잘못된 정책의 영향으로부터 보호할 수 있습니다. 예를 들어, 다음과 같은 시나리오를 고려합니다.

액세스 검색에 5만 명의 사용자가 포함되고 사용자별로 2-3개의 위반을 생성할 경우 각 준수 위반에 대한 수정 비용이 Identity Manager 시스템에 결정적인 영향을 미칠 수 있습니다.

조직 - 이 액세스 검색 객체를 사용할 수 있는 조직을 선택합니다. 필수 필드입니다.

액세스 검색 삭제

하나 이상의 액세스 검색을 삭제할 수 있습니다. 액세스 검색을 삭제하려면 준수 탭에서 액세스 검색 관리를 선택하고, 검색 이름을 선택한 다음 삭제를 누릅니다.

액세스 검토 관리

액세스 검색을 정의한 후 해당 검색을 액세스 검토의 일부로 사용하거나 예약할 수 있습니다. 액세스 검토를 시작한 후 여러 옵션을 사용하여 검토 프로세스를 관리할 수 있습니다. 자세한 내용은 다음 절을 참조하십시오.

액세스 검토 실행

관리자 인터페이스에서 액세스 검토를 실행하려면 다음 방법 중 하나를 사용합니다.

준수 > 액세스 검토 페이지에서 검토 실행을 누릅니다.

서버 작업 > 작업 실행 페이지에서 액세스 검토 작업을 선택합니다.

표시된 작업 실행 페이지에서 액세스 검토에 대한 이름을 지정합니다. 사용 가능한 액세스 검색 목록에서 검색을 선택한 후 선택 항목 목록으로 이동합니다. 검색을 두 개 이상 선택할 경우 다음 실행 옵션 중 하나를 선택할 수 있습니다.

즉시 - 실행 버튼을 누르면 검색이 즉시 실행됩니다. 실행 작업에서 여러 검색에 대해 이 옵션을 선택하면 검색이 병렬로 실행됩니다.

대기 후 - 이 옵션을 사용하면 액세스 검토 작업 실행을 기준으로 검색을 실행하기 이전에 대기할 시간을 지정할 수 있습니다.



주	액세스 검토 세션 중에 검색을 두 개 이상 시작할 수 있습니다. 그러나 각 검색이 많은 사용자를 포함할 수 있으므로 검색 프로세스를 완료하는 데 몇 시간이 소요될 수도 있습니다. 따라서 검색을 적절하게 관리하는 것이 좋습니다. 예를 들어, 하나의 검색은 즉시 실행하고 다른 검색은 간격에 따라 단계적으로 실행하도록 예약할 수 있습니다.

액세스 검토를 실행하면 프로세스 단계를 나타내는 작업 흐름 프로세스 그림이 표시됩니다.

액세스 검토 작업 예약


주	액세스 검토에 할당하는 이름은 중요합니다. 동일한 이름으로 정기적으로 실행되는 액세스 검토가 일부 보고서에서 비교될 수 있습니다.

서버 작업 영역에서 액세스 검토 작업을 예약할 수 있습니다. 예를 들어, 정기적으로 액세스 검토 작업을 설정하려면 일정 관리를 선택한 다음 일정을 정의합니다. 매일 또는 분기별로 수행하도록 작업을 예약할 수도 있습니다.

일정을 정의하려면 작업 예약 페이지에서 액세스 검토 작업을 선택한 다음 작업 예약 만들기 페이지에서 정보를 완성합니다.

액세스 검토 진행률 관리


주	Identity Manager는 기본적으로 액세스 검토 작업의 결과를 1주일 동안 보관합니다. 한 주에 두 번 이상 검토하도록 예약할 경우 결과 옵션을 삭제로 설정합니다. 결과 옵션을 삭제로 설정하지 않으면 이전 작업 결과가 존재하기 때문에 새 검토가 실행되지 않습니다.

액세스 검토 탭을 사용하여 액세스 검토 진행률을 모니터링합니다. 준수 탭을 통해 이 기능에 액세스합니다.

액세스 검토 탭에서 모든 활성 액세스 검토와 이전에 처리된 액세스 검토의 요약 내용을 검토할 수 있습니다. 나열된 각 액세스 검토에 대해 다음과 같은 정보가 제공됩니다.

상태 - 검토 프로세스의 현재 상태: 초기화, 종료, 종료됨, 진행 중인 검색 수, 예약된 검색 수, 증명 대기 중, 완료됨

실행 날짜 - 액세스 검토 작업이 시작된 날짜(타임스탬프)

총 사용자 수 - 검색할 총 사용자 수

자격 세부 내용 상태별 자격 총계를 제공하는 테이블의 추가 열. 여기에는 보류 중, 승인, 거부, 종료 및 수정된 자격과 자격 총계에 대한 세부 내용이 포함됩니다.

검토에 대한 자세한 내용을 보려면 해당 검토를 선택하여 요약 보고서를 엽니다.

해당 객체별로 분류된 검색 정보를 보려면 조직 또는 증인 양식 탭을 누릅니다.

액세스 검토 요약 보고서를 실행하여 보고서에서 이 정보를 검토하고 다운로드할 수도 있습니다.

검색 속성 수정

액세스 검색을 설정한 후 검색을 편집하여 새 옵션을 지정할 수 있습니다. 예를 들어, 검색할 대상 자원을 지정하거나 액세스 검색을 실행하는 동안 위반을 검색할 감사 정책을 지정할 수 있습니다.

검색 정의를 편집하려면 액세스 검색 목록에서 해당 검색을 선택하고 액세스 검토 검색 편집 페이지에서 속성을 수정합니다.

검색 정의에 대한 변경 사항을 저장하려면 저장을 눌러야 합니다.

액세스 검토 취소


주	액세스 검색 범위를 변경하면 새로 수집된 사용자 자격 레코드의 정보가 변경될 수 있습니다. 이는 검토 결정 규칙에서 사용자 자격을 이전 사용자 자격 레코드와 비교하는 경우에 해당 규칙에 영향을 미칠 수 있기 때문입니다.

액세스 검토 페이지에서 종료를 눌러 처리 중인 선택된 검토를 중지합니다. 검토를 종료하면 다음 작업이 발생합니다.

예약된 검색이 예약 취소됩니다.

활성 검색이 중지됩니다.

모든 보류 중인 작업 흐름과 작업 항목이 삭제됩니다.

모든 보류 중인 증명이 취소된 상태로 표시됩니다.

사용자가 완료한 증명이 변경되지 않은 상태로 유지됩니다.

액세스 검토 삭제

액세스 검토 페이지에서 삭제를 눌러 선택된 검토를 삭제합니다.

작업의 상태가 종료됨 또는 완료됨인 경우 액세스 검토를 삭제할 수 있습니다. 진행 중인 액세스 검토 작업을 삭제하려면 먼저 종료해야 합니다.

액세스 검토를 삭제하면 해당 검토에서 생성된 모든 사용자 자격 레코드가 삭제됩니다. 삭제 작업은 감사 로그에 기록됩니다.

액세스 검토를 삭제하려면 액세스 검토 페이지에서 삭제를 누릅니다.

증명 직무 관리

Identity Manager 관리자 또는 사용자 인터페이스에서 증명 요청을 관리할 수 있습니다. 이 절에서는 증명 요청에 응답하는 방법과 증명과 관련된 직무에 대해 자세히 설명합니다.

액세스 검토 알림

검색 중에 Identity Manager는 증명 요청에 대한 증인의 승인이 필요할 경우 증인에게 알림을 보냅니다. 증인의 책임이 위임된 경우에는 요청이 해당 위임자에게 전송됩니다. 여러 증인이 정의되어 있는 경우 각 증인이 전자 메일 알림을 받습니다.


주	액세스 검토를 취소하고 삭제하면 수 많은 Identity Manager 객체와 작업이 업데이트되고, 이 작업을 완료하는 데 몇 분이 소요될 수 있습니다. 서버 작업 > 모든 작업에서 작업 결과를 확인하여 작업 진행률을 확인할 수 있습니다.

요청은 Identity Manager 인터페이스에 증명 작업 항목으로 표시됩니다. 할당된 증인이 Identity Manager에 로그인하면 보류 중인 증명 작업 항목이 표시됩니다.

보류 중인 요청 보기

인터페이스의 작업 항목 영역에서 증명 작업 항목을 볼 수 있습니다. 작업 항목 영역에서 증명 탭을 선택하면 승인이 필요한 모든 자격 레코드가 나열됩니다. 증명 페이지에서 직접 또는 간접 제어되는 지정된 사용자에 대한 자격 레코드와 모든 직접 보고서에 대한 자격 레코드를 나열할 수도 있습니다.

자격 레코드 작업

증명 작업 항목은 검토가 필요한 사용자 자격 레코드를 포함합니다. 자격 레코드에는 사용자 액세스 권한, 할당된 자원 및 정책 위반에 대한 정보가 제공됩니다.

승인 - 자격 레코드가 기록된 날짜를 기준으로 해당 자격이 적합함을 증명합니다.

거부 - 자격 레코드에 현재 유효성을 검사하거나 수정할 수 없는 불일치가 있을 수 있음을 나타냅니다.

다시 검색 사용자 자격을 다시 평가하려면 다시 검색을 요청합니다.

전달 - 검토할 다른 수신자를 지정할 수 있습니다.

중단 - 이 레코드에 대한 증명이 적합하지 않고 더 적합한 증인이 알려져 있지 않습니다. 증명 작업 항목이 검토 프로세스 소유자에게 전달됩니다. 이 옵션은 검토 프로세스 소유자가 액세스 검토 작업에 정의된 경우에만 사용할 수 있습니다.

증인이 지정한 단계적 전달 제한 시간이 경과하기 이전에 이러한 옵션 중 하나를 사용하여 요청에 응답하지 않으면 단계적 전달 체계의 다음 증인에게 알림을 보냅니다. 알림 프로세스는 응답이 기록될 때까지 계속됩니다.

준수 > 액세스 검토 탭에서 증명 상태를 모니터링할 수 있습니다.

닫힌 루프 수정

다른 사용자가 수정을 요청하여 자격을 수정할 필요가 있는 것으로 만들기(수정 요청). 이 경우, 새 수정 작업 항목이 만들어지고 하나 이상의 지정된 수정자에게 할당됩니다.

자격의 다시 평가 요청(다시 검색). 이 경우, 사용자 자격이 다시 검색되고 다시 평가됩니다. 원래 증명 작업 항목은 닫힙니다. 액세스 검색에 정의된 규칙에 따라 자격에 여전히 증명이 필요한 경우, 새 증명 작업 항목이 만들어집니다.

수정 요청

액세스 검색에서 정의한 경우, 수정을 위해 보류 중인 증명을 다른 사용자에게 전달할 수 있습니다.


주	액세스 검색 만들기 또는 편집 페이지의 동적 자격 옵션을 사용하면 이 기능이 활성화됩니다.

증명 목록에서 하나 이상의 자격을 선택한 다음 수정 요청을 누릅니다.

수정 요청 선택 및 확인 페이지가 나타납니다.

사용자 이름을 입력한 다음 추가를 눌러 사용자를 전달 대상 필드에 추가합니다. 또는, ... (자세히)를 눌러 사용자를 검색합니다. 검색 목록에서 사용자를 선택한 다음 추가를 눌러 사용자를 전달 대상 목록에 추가합니다. 해제를 눌러 검색 영역을 닫습니다.

주석 필드에 주석을 입력한 다음 계속을 누릅니다.

Identity Manager에서 증명 목록으로 돌아갑니다.



주	수정 요청의 세부 내용이 개별 사용자 자격의 내역 영역에 나타납니다.

증명 다시 검색

액세스 검색에서 정의된 경우 보류 중인 증명을 다시 검색하고 다시 평가할 수 있습니다.


주	액세스 검색 만들기 또는 편집 페이지의 동적 자격 옵션을 사용하면 이 기능이 활성화됩니다.

증명 목록에서 하나 이상의 자격을 선택한 다음 다시 검색을 누릅니다.

사용자 자격 다시 검색 페이지가 나타납니다.

주석 영역에서 다시 검색 작업에 대한 주석을 입력한 다음 계속을 누릅니다.

증명 작업 항목 전달

하나 이상의 증명 작업 항목을 다른 사용자에게 전달할 수 있습니다. 증명을 전달하려면 다음을 수행합니다.

증명 목록에서 하나 이상의 작업 항목을 선택한 다음 전달을 누릅니다.

전달 선택 및 확인 페이지가 표시됩니다.

전달 대상 필드에 사용자 이름을 입력합니다. 또는, ... (자세히)를 눌러 사용자 이름을 검색합니다.

주석 필드에 전달 작업에 대한 주석을 입력합니다.

계속을 누릅니다.

Identity Manager에서 증명 목록으로 돌아갑니다.



주	전달 작업의 세부 내용이 개별 사용자 자격의 내역 영역에 나타납니다.

액세스 검토 작업 디지털 서명

디지털 서명을 설정하여 액세스 검토 작업을 처리할 수 있습니다. 디지털 서명 구성에 대한 자세한 내용은 승인 서명을 참조하십시오. 이 절의 항목에서는 서명된 승인에 대한 인증서 및 CRL을 Identity Manager에 추가하는 데 필요한 서버측 구성과 클라이언트측 구성에 대해 설명합니다.

액세스 검토 보고서

Identity Manager는 액세스 검토 결과를 평가할 수 있도록 다음과 같은 보고서를 제공합니다.

액세스 검토 범위 보고서 - 이 보고서는 선택된 액세스 검토에서 의미하는 사용자 간의 중첩 또는 차이를 확인합니다. 대부분의 액세스 검토에는 쿼리 또는 일부 구성원 작업에서 지정된 사용자 범위가 있기 때문에 정확한 사용자 집합은 시간이 지남에 따라 변경될 수 있습니다.

액세스 검토 세부 내용 보고서 - 이 보고서는 다음과 같은 정보를 표 형식으로 제공합니다.

이름 - 사용자 자격 레코드의 이름

상태 - 검토 프로세스의 현재 상태: 초기화, 종료, 종료됨, 진행 중인 검색 수, 예약된 검색 수, 증명 대기 중, 완료됨

증인 - 레코드에 대한 증인으로 할당된 Identity Manager 사용자

검색 날짜 - 검색이 발생했을 때 기록된 타임스탬프

배포 날짜 - 자격 레코드가 증명된 날짜(타임스탬프)

조직 - 자격 레코드의 사용자 조직

관리자 - 검색된 사용자의 관리자

자원 - 사용자가 이 사용자 자격에 대해 캡처한 계정을 갖는 자원

위반 - 검토 중에 검색된 위반 수

보고서에서 이름을 눌러 사용자 자격 레코드를 엽니다. 그림 11-17은 사용자 자격 레코드 보기에 제공되는 샘플 정보입니다.

액세스 검토 요약 보고서 - 이 보고서(액세스 검토 진행률 관리 및 그림 11-16 참조)는 보고서에 대해 선택한 액세스 검색에 대해 다음과 같은 요약 정보를 표시합니다.

검토 이름 - 액세스 검색의 이름

상태 - 검토가 실행된 시간에 대한 타임스탬프

사용자 수 - 검토에 대해 검색된 사용자 수

자격 수 - 생성된 자격 레코드 수

승인됨 - 승인된 자격 레코드 수

거부됨 - 거부된 자격 레코드 수

보류 중 - 아직 보류 중인 자격 레코드 수

취소됨 - 취소된 자격 레코드 수

이러한 보고서는 보고서 실행 페이지에서 PDF(Portable Document Format) 또는 CSV(쉼표로 분리된 값) 형식으로 다운로드할 수 있습니다.

액세스 검토 수정

준수 위반 수정 및 완화, 액세스 검토 수정은 작업 항목 탭의 수정 영역에서 관리됩니다. 그러나 이 두 개의 수정 유형에는 차이가 있습니다. 이 절에서는 액세스 검토 수정의 고유한 동작과 이 액세스 검토 수정이 준수 위반 수정 및 완화에서 설명된 수정 작업 및 정보와 다른 점에 대해 설명합니다.

액세스 검토 수정 정보

증인이 사용자 자격을 수정하도록 요청하면 표준 증명 작업 흐름은 수정자가 해결해야 하는 수정 요청을 만듭니다. 수정자는 수정 요청을 평가하고 이에 응답하도록 권한을 부여 받은 지정된 사용자입니다.

문제는 수정만 가능하며 완화될 수 없습니다. 문제가 해결되면 증명을 계속할 수 있습니다.

수정이 액세스 검토 결과로 인해 발생한 경우 액세스 검토 대시보드는 검토와 관련된 모든 증인 및 수정자를 추적합니다.

수정자 단계적 전달

액세스 검토 수정 요청은 초기 수정자 이상으로 전달되지 않습니다.

수정 작업 흐름 프로세스

액세스 검토 수정 논리는 표준 증명 작업 흐름에 정의됩니다.

증인이 사용자 자격의 수정을 요청하면 표준 증명 작업 흐름은 다음을 수행합니다.

수정이 필요한 사용자 자격 관련 정보를 포함하는 accessReviewRemediation 유형의 수정 요청을 생성합니다.

요청된 수정자에게 전자 메일을 보냅니다.

그런 다음, 새 수정자는 Identity Manager를 사용하거나 개별적으로 사용자를 편집하고, 만족스러운 경우 작업 항목을 수정됨 상태로 표시하도록 선택할 수 있습니다. 이때 사용자 자격이 다시 검색되고 다시 평가됩니다.

수정 응답

기본적으로 액세스 검토 수정자에게 부여되는 응답 옵션은 다음 세 가지입니다.

수정 - 수정자가 문제를 해결하기 위한 행동을 했음을 나타냅니다.

전달 수정자가 수정 요청 해결 책임을 다른 사람에게 재할당합니다.

사용자 편집 수정자가 사용자를 직접 편집하여 문제를 수정하도록 선택합니다.

수정 작업 페이지

유형 열은 액세스 검토 수정 작업 항목이 있는 모든 수정 작업 항목에 대해 UE(사용자 자격)로 표시됩니다.

지원되지 않는 액세스 검토 수정 작업

우선 순위 및 완화 기능은 액세스 검토 수정에서 지원되지 않습니다.

아이디 감사 작업 참조

표 11-3은 일반적으로 수행되는 아이디 감사 작업에 대한 빠른 참조를 제공합니다. 이 표에는 각 작업을 시작하는 기본 Identity Manager 인터페이스 위치뿐 아니라 해당 작업을 수행하는 데 사용할 수 있는 대체 위치 또는 방법(있는 경우)도 표시됩니다.

표 11-3 아이디 감사 작업 참조
원하는 작업:	위치:
감사 정책 만들기, 편집, 삭제	준수 탭, 정책 관리 하위 탭
수정자 정의 및 감사 정책에 대한 수정 작업 흐름 할당	준수 탭, 정책 관리 하위 탭
하나 이상의 사용자 또는 조직에 대한 감사 검색 수행	계정 탭의 사용자 작업 또는 조직 작업 목록에서 검색 선택
정책 위반 수정 요청에 응답	작업 항목 탭, 수정 하위 탭
정책 위반 완화	작업 항목 탭, 수정 하위 탭
수정된 정책 위반 검토	작업 항목 탭, 수정 하위 탭
감사 정책 보고서 생성	보고서 탭, 보고서 실행 하위 탭
감사 비활성화 또는 활성화	구성 탭, 감사 하위 탭
캡처할 감사 이벤트 설정	구성 탭, 감사 하위 탭
관리자 감사 기능 편집	보안 탭, 기능 하위 탭
감사 알림을 위한 전자 메일 템플리트 설정	구성 탭, 전자 메일 템플리트 하위 탭
데이터 파일/규칙(XML 형식 양식 등) 가져오기	구성 탭, 교환 파일 가져오기 하위 탭
액세스 검토 검색 정의	준수 탭, 검색 관리 하위 탭
액세스 검토 실행	준수 탭, 액세스 검토 하위 탭
액세스 검토 종료	준수 탭, 액세스 검토 하위 탭
액세스 검토 예약	서버 작업 탭, 일정 관리 하위 탭
정기 액세스 검토 설정	준수 탭, 액세스 검색 관리 하위 탭
액세스 검토 상태 모니터링	준수 탭, 액세스 검토 하위 탭
증인 구성	준수 탭, 액세스 검색 관리 하위 탭
증인 직무 수행(사용자 자격 검토 및 확인)	작업 항목 탭, 내 작업 항목 탭, 증명 하위 탭
직무 분리 보고서 검토	보고서 탭, 보고서 실행 하위 탭

이전 목차 색인 다음
Sun Java[TM] System Identity Manager 7.1 관리