14장 감사: 감사 정책

이 장에서는 감사 정책 마법사를 사용하여 감사 정책을 만들고, 편집, 삭제 및 할당하는 방법에 대해 설명합니다.

감사 정책 작업

감사 정책은 Identity Manager의 감사 정책 마법사를 사용하여 만듭니다. 감사 정책을 정의한 후 정책 수정 또는 삭제와 같은 다양한 정책 관련 작업을 수행할 수 있습니다.

감사 정책 규칙

감사 정책 규칙은 특정 위반 사항을 정의합니다. 정책 규칙은 XPRESS, XML 객체 또는 JavaScript 언어로 작성된 함수를 포함할 수 있습니다.

감사 정책 마법사를 사용하여 간단한 규칙을 만들거나 Identity Manager IDE 또는 XML 편집기를 사용하여 더욱 강력한 규칙을 만들 수 있습니다.

감사 정책 마법사를 사용하여 작성된 규칙은 true 또는 false 값을 반환하는데, 정책 규칙이 true 값을 반환하면 정책 위반이 발생합니다. 그러나 Identity Manager IDE를 사용하면 감사 검색 또는 액세스 검토 과정에서 사용자를 건너뛰는 규칙을 작성할 수 있습니다. 감사 정책 규칙이 ignore 값을 반환하면 해당 사용자에 대한 규칙 처리가 중지되고 다음 대상 사용자로 건너뜁니다.

감사 정책 규칙 작성에 대한 자세한 내용은 Identity Manager Deployment Tools 설명서에서 "Working with Rules"를 참조하십시오.

감사 정책 만들기

감사 정책 마법사 열기

감사 정책 마법사가 감사 정책을 만드는 과정을 안내합니다.

감사 정책 마법사에 액세스하려면 다음 단계를 수행합니다.

감사 정책 만들기: 개요

감사 정책을 만들려면 마법사를 사용하여 다음 작업을 수행합니다.

각 마법사 화면에 표시된 작업을 완료한 후 다음을 눌러 다음 단계로 이동합니다.

시작하기 전에

감사 정책을 만들기 전에, 먼저 신중하게 계획해야 합니다! 시작하기 전에 다음 작업을 완료했는지 확인합니다.

감사 정책 마법사로 정책을 만들 때 사용할 규칙을 확인합니다. 선택한 규칙은 만들고 있는 정책 유형과 정의하려는 특정 제한에 따라 결정됩니다. 자세한 내용은 다음 절 “필요한 규칙 확인 ”을 참조하십시오.

새 정책에 포함시킬 수정 작업 흐름 또는 규칙을 가져옵니다. 자세한 내용은 (선택 사항) Identity Manager로 작업 흐름 가져오기(아래)를 참조하십시오.

감사 정책을 만드는 데 필요한 기능이 있는지 확인합니다. 필요한 기능은 기능 이해 및 관리를 참조하십시오.

필요한 규칙 확인

정책에서 지정한 제한은 새로 만들거나 가져오는 규칙 집합으로 구현됩니다. 감사 정책 마법사를 사용하여 규칙을 만들 경우 다음을 수행합니다.

감사 정책 마법사 외부에서 감사 정책 규칙을 만드는 방법에 대한 자세한 내용은 Identity Manager Deployment Tools 설명서를 참조하십시오.

(선택 사항) Identity Manager로 직무 분리 규칙 가져오기

감사 정책 마법사로는 직무 분리 규칙을 만들 수 없습니다. 이러한 규칙은 Identity Manager 외부에서 만든 후 구성 탭의 교환 파일 가져오기 옵션을 사용하여 가져와야 합니다.

(선택 사항) Identity Manager로 작업 흐름 가져오기

현재 Identity Manager에서 사용할 수 없는 수정 작업 흐름을 사용하려면 외부 작업 흐름을 가져옵니다. XML 편집기 또는 Identity Manager IDE를 사용하여 사용자 정의 작업 흐름을 만들 수 있습니다((자세히...) ).

authType='AuditorAdminTask'를 설정하고 subtype='SUBTYPE_REMEDIATION_WORKFLOW'를 추가합니다. Identity Manager IDE 또는 원하는 XML 편집기를 사용하여 이 구성 객체를 설정할 수 있습니다.

교환 파일 가져오기 옵션을 사용하여 작업 흐름을 가져옵니다.

관리자 인터페이스에 로그인합니다 ((자세히...) ).

구성 탭을 누른 다음 교환 파일 가져오기 하위 탭 또는 메뉴를 누릅니다.

“교환 파일 가져오기” 페이지가 열립니다.

업로드할 작업 흐름 파일을 찾은 다음 가져오기를 누릅니다.

작업 흐름을 성공적으로 가져오면 감사 정책 마법사((자세히...) )의 수정 작업 흐름 옵션 목록에 해당 작업 흐름이 나타납니다.

감사 정책 이름 지정 및 설명

감사 정책 마법사에서 새 정책의 이름과 간략한 설명을 입력합니다(그림 14-1 참조).



주	감사 정책 이름에는 '(아포스트로피), .(마침표), \|(세로선), [(왼쪽 대괄호), ](오른쪽 대괄호), ,(쉼표), :(콜론), $(달러 기호), "(큰따옴표), \(백슬래시) 또는 =(등호 기호)를 사용할 수 없습니다. 또한, _(밑줄), % (퍼센트 기호),^ (캐럿) 및 *(별표) 역시 사용해선 안 됩니다.

검색을 실행할 때 선택한 자원만 액세스할 수 있게 하려면 대상 자원 제한 옵션을 선택합니다.

위반 수정으로 사용자를 즉시 다시 검색하려면 위반 다시 검색 허용 옵션을 선택합니다.



주	감사 정책에서 자원을 제한하지 않으면 검색 중에 사용자의 계정이 있는 모든 자원에 액세스하게 됩니다. 규칙에서 일부 자원만 사용하는 경우 정책을 해당 자원으로만 제한하는 것이 더 효율적입니다.

규칙 유형 선택

이 페이지에서 정책 내 규칙을 정의하거나, 규칙을 정책에 포함시키는 과정을 시작합니다. 규칙을 정의하고 만드는 작업은 정책을 만드는 과정에서 큰 비중을 차지합니다.

그림 14-2에 표시된 것처럼 Identity Manager 규칙 마법사를 사용하여 직접 규칙을 만들거나, 기존 규칙을 포함하도록 선택할 수 있습니다. 규칙 마법사에서는 하나의 규칙에 하나의 자원만 사용할 수 있습니다. 가져온 규칙은 필요한 만큼의 자원을 참조할 수 있습니다.

Identity Manager IDE((자세히...) )를 사용하여 만든 규칙을 선택하려면 기존 규칙을 누른 다음 다음을 누릅니다. 다음 절 “기존 규칙 선택”에 설명된 단계를 수행합니다.

그렇지 않은 경우 규칙 마법사를 누른 다음 다음을 누릅니다. 해당 절에 설명된 단계를 수행합니다.

기존 규칙 선택

새 정책에 기존 규칙을 포함하려면 규칙 유형 선택 화면(그림 14-2)에서 기존 규칙을 선택하고 다음을 누릅니다. 그런 다음 기존 규칙 선택 드롭다운 메뉴에서 기존 감사 정책 규칙을 선택합니다.

규칙 마법사를 사용하여 새 규칙 만들기

감사 정책 마법사에서 규칙 마법사 옵션을 사용하여 규칙을 만들 경우 다음 절에서 설명하는 페이지에 정보를 입력하여 계속합니다.

새 규칙 이름 지정 및 설명

선택적으로 새 규칙에 이름을 지정하고 이에 대해 설명합니다. 이 페이지에서는 Identity Manager에 규칙이 표시될 때마다 규칙 이름 옆에 나타나는 설명 텍스트를 입력합니다. 규칙을 설명하는 의미 있는 설명을 간결하고 명확하게 입력합니다. 이 설명은 Identity Manager의 정책 위반 검토 페이지에 표시됩니다.


주	Identity Manager로 이전에 가져온 규칙의 이름이 표시되지 않는 경우 감사 정책 규칙으로 정책 만들기에 설명된 추가 속성을 규칙에 추가했는지 확인합니다.

예를 들어, Oracle ERP responsibilityKey 속성 값에 Payable User와 Receivable User 속성 값을 모두 갖고 있는 사용자를 확인하는 규칙을 작성하는 경우 설명 필드에 다음과 같은 텍스트를 입력할 수 있습니다. Payable User와 Receivable User 기능을 동시에 갖고 있는 사용자 확인

규칙에서 참조되는 자원 선택

이 페이지에서는 규칙에서 참조되는 자원을 선택합니다. 각 규칙 변수는 이 자원에 대한 속성과 일치해야 합니다. 보기 액세스 권한이 있는 모든 자원이 이 옵션 목록에 표시됩니다. 이 예에서는 Oracle ERP가 선택됩니다.

규칙 표현식 만들기


주	전부는 아니지만 대부분의 사용 가능한 자원 어댑터가 지원됩니다. 사용 가능한 특정 속성에 대한 자세한 내용은 Identity Manager Resources Reference를 참조하십시오.

이 화면에서는 새 규칙에 대한 규칙 표현식을 입력합니다. 이 예제에서는 Oracle ERP responsibilityKey에 Payable User 속성 값을 가진 사용자는 Receivable User 속성 값을 가질 수 없다는 규칙을 만듭니다.

사용할 수 있는 속성 목록에서 사용자 속성을 선택합니다. 이 속성은 규칙 변수로 직접 사용됩니다.

목록에서 논리 조건을 선택합니다. 유효한 조건으로는 = (같음), != (같지 않음), <(작음), <=(작거나 같음), >(큼), >=(크거나 같음), is true(참임), is null(null임), is not null(null이 아님), is empty(비어 있음), contains(포함함) 등이 있습니다. 이 예제의 목적에 맞춰 가능한 속성 조건 목록에서 contains를 선택합니다.

표현식의 값을 입력합니다. 예를 들어, Payable user를 입력하면 responsibilityKeys 속성에 Payable user 값을 갖는 Oracle ERP 사용자를 지정하는 것입니다.

(선택 사항) 줄을 추가하고 다른 표현식을 만들려면 AND 또는 OR 연산자를 누릅니다.

그림 14-5 감사 정책 마법사: 규칙 표현식 선택 화면
규칙 구문 선택 화면에서는 새 규칙에 대한 규칙 구문을 지정합니다.

이 규칙은 부울 값을 반환합니다. 두 문이 모두 참이면 정책 규칙은 TRUE 값을 반환하며 정책 위반이 성립됩니다.



주	Identity Manager는 규칙 중첩 제어를 지원하지 않습니다. 또한, 감사 정책 마법사를 사용하여 규칙 간에 서로 다른 부울 연산자를 사용하는 정책을 만들면 평가 순서가 지정되지 않아 예기치 않은 결과가 발생합니다. 복잡한 규칙 표현식의 경우 감사 정책 마법사 대신 XML 편집기를 사용하여 규칙을 만듭니다. XML 편집기를 사용하면 규칙 간에 단일 부울 연산자만 사용해야 하는 곳에 NOT 연산자를 사용할 수 있습니다.

다음은 이 화면에서 만든 규칙에 대한 XML을 보여주는 코드 예제입니다.


<Description>Payable User/Receivable User</Description>
<RuleArgument name='resource' value='Oracle ERP'>
<Comments>Resource specified when audit policy was created.</Comments>
<String>Oracle ERP</String>
</RuleArgument>
<and>
<contains>
<ref>accounts[Oracle ERP].responsibilityKeys</ref>
<s>Receivable User</s>
</contains>
<contains>
<ref>accounts[Oracle ERP].responsibilityKeys</ref>
<s>Payables User</s>
</contains>
</and>
<MemberObjectGroups>
<ObjectRef type='ObjectGroup' id='#ID#Top' name='Top'/>
</MemberObjectGroups>
</Rule>

규칙에서 표현식을 제거하려면 속성 조건을 선택하고 제거를 누릅니다.

감사 정책 마법사를 계속하려면 다음을 누릅니다. 기존 규칙을 추가하거나 다시 마법사를 사용하여 규칙을 더 추가할 수 있습니다.

규칙 추가

기존 규칙을 가져오거나((자세히...) ) 마법사를 사용하여((자세히...) ) 규칙을 추가로 만들 수 있습니다.

필요에 따라 AND 또는 OR를 눌러 규칙을 계속 추가합니다. 규칙을 제거하려면 해당 규칙을 선택한 다음 제거를 누릅니다.

모든 규칙의 부울 표현식이 true로 평가되는 경우에만 정책 위반이 발생합니다. AND/OR 연산자로 규칙을 그룹화하여 모든 규칙은 아니더라도 정책이 true로 평가되도록 할 수 있습니다. Identity Manager는 true로 평가되는 규칙에 대해 정책 표현식이 true로 평가되는 경우에만 위반을 생성합니다. 감사 정책 마법사는 부울 표현식 중첩에 대해 명시적인 컨트롤을 제공하지 않으므로 긴 표현식을 구성하지 않는 것이 가장 좋습니다.



주	Identity Manager는 규칙 중첩 제어를 지원하지 않습니다. 또한, 감사 정책 마법사를 사용하여 중첩된 부울 표현식이 있는 정책을 만들면 예기치 않은 결과가 발생할 수 있습니다. 복잡한 규칙 표현식의 경우 XML 편집기를 사용하면 사용할 모든 규칙을 참조하는 XPRESS 규칙을 별도로 만들 수 있습니다.

수정 작업 흐름 선택

이 화면을 사용하여 이 정책에 연결할 수정 작업 흐름을 선택할 수 있습니다. 여기서 할당하는 작업 흐름에 따라 감사 정책 위반이 검색된 경우에 Identity Manager에서 수행되는 작업이 결정됩니다.



주	한 개의 작업 흐름이 실패한 각 감사 정책에 대해 시작됩니다. 각 작업 흐름에는 특정 정책의 정책 검색으로 만들어진 각 준수 위반에 대해 하나 이상의 작업 항목이 포함됩니다.



주	XML 편집기 또는 Identity Manager Integrated Development Environment(IDE)에서 만든 작업 흐름을 가져오는 방법에 대한 자세한 내용은 (선택 사항) Identity Manager로 작업 흐름 가져오기를 참조하십시오.

수정 작업을 통해 사용자를 편집할 때 적용해야 할 사용자 양식을 계산하는 규칙을 선택하려면 수정 사용자 양식 규칙 드롭다운 메뉴를 사용합니다. 기본적으로 수정 작업 항목에 대한 응답으로 사용자를 편집하는 수정자는 수정자에게 할당된 사용자 양식을 사용합니다. 감사 정책이 수정 사용자 양식을 지정하는 경우에는 이 양식이 대신 사용됩니다. 따라서 감사 정책이 이에 해당하는 특정 문제를 나타낼 때 특정 양식을 사용할 수 있습니다.

이 수정 작업 흐름에 연결할 수정자를 지정하려면 수정자 지정 여부 확인란을 선택합니다. 이 옵션을 선택한 후 다음을 누르면 "수정자 할당" 페이지가 표시됩니다. 이 옵션을 선택하지 않으면 "감사 정책 마법사 조직 할당" 화면이 표시됩니다.

수정에 대한 수정자 및 시간 초과 선택

수정자를 지정한 경우 해당 정책에 대한 위반이 탐지되면 이 감사 정책에 할당된 수정자에게 알립니다. 또한, 기본 작업 흐름은 수정자에 수정 작업 항목을 할당합니다. 모든 Identity Manager 사용자는 수정자가 될 수 있습니다.

하나 이상의 수준 1 수정자 또는 지정된 사용자를 할당하도록 선택할 수 있습니다. 정책 위반이 검색되면 수정 작업 흐름에 의해 실행되는 전자 메일을 통해 수준 1 수정자에게 먼저 연락됩니다. 수준 1 수정자가 응답하기 이전에 지정된 단계적 전달 제한 시간에 도달하면 Identity Manager는 여기에서 지정하는 수준 2 수정자에게 연락합니다. Identity Manager는 단계적 전달 제한 시간이 경과하기 이전에 수준 1 또는 수준 2 수정자가 응답하지 않는 경우에만 수준 3 수정자에게 연락합니다.



주	선택된 가장 높은 수준의 수정자에 대해 단계적 전달 제한 시간 값을 지정하면 작업 항목은 단계적 전달 시간이 초과될 때 목록에서 제거됩니다. 기본적으로 단계적 전달 제한 시간은 0 값으로 설정됩니다. 이 경우, 작업 항목은 만료되지 않고 수정자 목록에 남아 있습니다.

수정자 할당은 선택 사항입니다. 이 옵션을 선택하는 경우 설정을 지정한 후에 다음을 눌러 다음 화면을 계속합니다.

사용 가능한 수정자 목록에 사용자를 추가하려면 사용자 ID를 입력하고 추가를 누릅니다. 또는, ... (자세히)를 눌러 사용자 아이디를 검색합니다. 그런 다음 시작 필드에 하나 이상의 문자를 입력하고 찾기를 누릅니다. 검색 목록에서 사용자를 선택한 후에 추가를 눌러 사용자를 수정자 목록에 추가합니다. 해제를 눌러 검색 영역을 닫습니다.

수정자 목록에서 사용자 ID를 제거하려면 목록에서 ID를 선택한 다음 제거를 누릅니다.

이 정책에 액세스할 수 있는 조직 선택

이 화면(그림 14-8 참조)에서는 이 정책을 보고 편집할 수 있는 조직을 선택합니다.

조직을 선택한 후에 마침을 눌러 감사 정책을 만들고 정책 관리 페이지로 돌아갑니다. 이제 새로 만든 정책이 이 목록에 표시됩니다.

감사 정책 편집

정책 편집 페이지

감사 정책 편집 페이지를 열려면 감사 정책 이름 열에서 정책 이름을 누릅니다. 이 페이지는 감사 정책 정보를 다음 영역으로 분류합니다.

페이지의 이 영역을 사용하여 다음과 같은 작업을 할 수 있습니다.

정책 설명 편집

규칙 추가 또는 삭제



주	기존 규칙을 직접 편집하는 데는 이 제품을 사용할 수 없습니다. Identity Manager IDE 또는 XML 편집기를 사용하여 규칙을 편집한 다음 Identity Manager로 가져옵니다. 그 다음 이전 버전을 제거하고 새로 개정된 버전을 추가할 수 있습니다.

감사 정책 설명 편집

설명 필드에서 텍스트를 선택한 다음 새 텍스트를 입력하여 감사 정책 설명을 편집합니다.

옵션 편집

선택적으로 대상 자원 제한 또는 위반 다시 검색 허용 옵션을 선택하거나 선택 취소합니다.

정책에서 규칙 삭제

정책에서 규칙을 삭제하려면 규칙 이름 앞에 있는 선택 버튼을 누른 다음 제거를 누릅니다.

정책에 규칙 추가

추가를 눌러 새 필드를 만들고, 이를 사용하여 규칙을 추가할 수 있습니다.

정책에 사용되는 규칙 변경

수정자 영역

그림 14-10은 정책에 대해 수준 1, 수준 2 및 수준 3 수정자를 할당하는 수정자 영역 부분을 보여줍니다.

페이지의 이 영역을 사용하여 다음과 같은 작업을 할 수 있습니다.

수정자 제거 또는 할당

사용자 ID를 입력한 다음 추가를 눌러 하나 이상의 수정 수준에 대한 수정자를 선택합니다. 사용자 ID를 검색하려면 ... (자세히)를 누릅니다. 하나 이상의 수정자를 선택해야 합니다.

수정자를 제거하려면 목록에서 사용자 ID를 선택한 다음 제거를 누릅니다.

단계적 전달 제한 시간 조정

시간 초과 값을 선택한 다음 새 값을 입력합니다. 기본적으로 시간 초과 값은 설정되지 않습니다.

수정 작업 흐름 및 조직 영역


주	선택된 가장 높은 수준의 수정자에 대해 단계적 전달 제한 시간 값을 지정하면 작업 항목은 단계적 전달 시간이 초과될 때 목록에서 제거됩니다.

그림 14-11은 감사 정책에 대한 수정 작업 흐름 및 조직을 지정하는 영역을 보여 줍니다.

페이지의 이 영역을 사용하여 다음과 같은 작업을 할 수 있습니다.

수정 작업 흐름 변경

옵션 목록에서 대체 작업 흐름을 선택하여 정책에 할당된 작업 흐름을 변경할 수 있습니다. 감사 정책에는 기본적으로 작업 흐름이 할당되지 않습니다.

수정 사용자 양식 규칙 선택

선택적으로 수정 작업을 통해 사용자를 편집할 때 적용된 사용자 양식을 계산할 규칙을 선택합니다.

조직에 가시성 할당 및 제거


주	감사 정책에 작업 흐름이 할당되지 않은 경우 위반이 수정자에게 할당되지 않습니다.

이 감사 정책을 사용할 수 있는 조직을 조정한 다음 저장을 누릅니다.

샘플 정책

Identity Manager에는 감사 정책 목록에서 액세스할 수 있는 샘플 정책이 제공됩니다.

IDM 역할 비교 정책

이 샘플 정책을 사용하면 사용자의 현재 액세스를 Identity Manager 역할에 지정된 액세스와 비교할 수 있습니다. 정책은 역할에 지정된 모든 자원 속성이 사용자에 대해 설정되었는지 확인합니다.

IDM 계정 누적 정책

이 샘플 정책은 사용자가 보유한 모든 계정이 해당 사용자가 보유한 하나 이상의 역할에서 참조되는지 확인합니다.

이 정책은 사용자에게 할당된 역할에서 명시적으로 참조하지 않는 자원에 대한 계정이 해당 사용자에게 있는 경우 실패합니다.

감사 정책 삭제

감사 정책을 Identity Manager에서 삭제하면 해당 정책을 참조하는 모든 위반 사항도 함께 삭제됩니다.

정책 관리를 눌러 정책을 표시할 때 인터페이스의 준수 영역에서 정책을 삭제할 수 있습니다. 감사 정책을 삭제하려면 정책 보기에서 정책 이름을 선택한 다음 삭제를 누릅니다.

감사 정책 문제 해결

감사 정책의 문제는 보통 정책 규칙 디버깅으로 찾는 것이 가장 효과적입니다.

디버깅 규칙

규칙을 디버깅하려면 규칙 코드에 다음 추적 요소를 추가합니다.

<block trace='true'>
<and>
<contains>
<ref>accounts[AD].firstname</ref>
<s>Sam</s>
</contains>
<contains>
<ref>accounts[AD].lastname</ref>
<s>Smith</s>
</contains>
</and>
</block>

문제

Identity Manager 인터페이스에서 특정 작업 흐름을 볼 수 없습니다.

해결

문제

해결

감사 정책 할당

조직에 감사 정책을 할당하려면 최소한 조직 감사 정책 할당 기능이 있어야 합니다. 사용자에게 감사 정책을 할당하려면 사용자 감사 정책 할당 기능이 있어야 합니다. 감사 정책 할당 기능이 있는 사용자는 이 두 기능을 모두 갖습니다.

조직 수준 정책을 할당하려면 계정 탭에서 조직을 선택한 다음 할당된 감사 정책 목록에서 정책을 선택합니다.

사용자 수준 정책을 할당하려면 다음 단계를 수행합니다.

계정 영역에서 사용자를 누릅니다.

사용자 양식에서 준수를 선택합니다.

할당된 감사 정책 목록에서 정책을 선택합니다.



주	사용자에게 직접 할당된 감사 정책(즉, 사용자 계정 또는 조직 할당을 통해 할당됨)은 해당 사용자에 대한 위반이 수정될 때 항상 다시 평가됩니다.

감사자 기능 제한 해결

기본적으로 감사 작업을 수행하는 데 필요한 기능은 최상위 조직(객체 그룹)에 포함되어 있습니다. 따라서, 최상위 조직을 제어하는 관리자만 다른 관리자에게 이러한 기능을 할당할 수 있습니다.

이런 제한은 다른 조직에 기능을 추가하여 해결할 수 있습니다. Identity Manager에는 sample/scripts 디렉토리에 이 작업을 수행할 수 있는 두 가지 유틸리티가 제공됩니다.

최상위 이외의 조직에 감사 작업 수행에 필요한 기능을 추가하려면 다음 단계를 수행합니다.

다음 명령을 실행하여 모든 기능(AdminGroups)과 관련 조직(객체 그룹)을 나열합니다.

beanshell objectGroupUpdate.bsh -type AdminGroup -action list -csv

이 명령은 출력을 CSV(쉼표로 분리된 값) 파일로 캡처합니다.

CSV 파일을 편집하여 원하는 기능 조직 위치를 조정합니다.

다음 명령을 실행하여 Identity Manager를 업데이트합니다.

beanshell objectGroupUpdate.bsh -data CSVFileName -action add -groups NewObjectGroup

이전 목차 색인 다음
Sun[TM] Identity Manager 8.0 관리