15장 감사: 준수 모니터링

이 장에서는 관련 규정의 준수를 관리할 수 있도록 감사 검토를 실시하고 적절한 방안을 구현하는 방법에 대해 설명합니다.

감사 정책 검색 및 보고서

이 절에서는 감사 정책 검색에 대한 정보를 제공하고 감사 검색을 실행하고 관리하는 절차에 대해 설명합니다.

사용자 및 조직 검색

검색은 개별 사용자 또는 조직에서 선택한 감사 정책을 실행합니다. 사용자 또는 조직에서 특정 위반을 검색하거나 사용자 또는 조직에 할당되지 않은 정책을 실행할 수 있습니다. 인터페이스의 계정 영역에서 검색을 실행합니다.


주	서버 작업 탭에서 감사 정책 검색을 실행하거나 예약할 수도 있습니다.

계정 영역에서 사용자 계정이나 조직에 대한 검색을 시작하려면 다음 단계를 수행합니다.

관리자 인터페이스의 주 메뉴에서 계정을 누릅니다.

계정 목록에서 다음 작업 중 하나를 수행합니다.

하나 이상의 사용자를 선택한 다음 사용자 작업 옵션 목록에서 검색을 선택합니다.

하나 이상의 조직을 선택한 다음 조직 작업 옵션 목록에서 검색을 선택합니다.

보고서 제목 필드에 검색의 제목을 입력합니다. 필수 필드입니다. 보고서 요약 필드에 검색에 대한 설명을 입력할 수 있습니다. 이 필드는 선택 사항입니다.

실행하려는 감사 정책을 하나 이상 선택합니다. 하나 이상의 정책을 지정해야 합니다.

정책 모드를 선택합니다. 이 정책 모드에 따라 선택한 정책이 이미 정책을 할당 받은 사용자와 상호 작용하는 방식이 결정됩니다. 할당은 사용자로부터 직접 가져올 수도 있고 사용자가 존재하는 조직에서 가져올 수도 있습니다.

선택적으로 위반을 생성하지 않음 옵션을 선택합니다. 이 옵션을 활성화하면 감사 정책이 평가되고 위반 사항이 보고되지만, 준수 위반 사항이 만들어지거나 업데이트되지는 않으며 수정 작업 흐름도 실행되지 않습니다. 그러나 검색 작업 결과에는 만들어진 위반 사항이 표시되므로 이 옵션은 감사 정책을 테스트할 때 유용합니다.

감사 정책에 할당된 수정 작업 흐름을 실행하려면 수정 작업 흐름 실행 여부를 선택합니다. 감사 정책이 수정 작업 흐름을 정의하지 않는 경우 수정 작업 흐름이 실행되지 않습니다.

검색을 중단하기 전에 이 검색에서 생성할 수 있는 최대 준수 위반 수를 설정하려면 위반 제한 값을 편집합니다. 이 값은 감사 정책을 실행할 때 지나치게 심하게 준수 위반을 확인하는 것을 제한하는 보호 조치입니다. 값이 비어 있으면 제한이 설정되지 않았다는 의미입니다.

전자 메일로 보고서 보내기를 선택하여 보고서의 수신자를 지정합니다. Identity Manager에서 CSV(쉼표로 분리된 값) 형식의 보고서 파일을 첨부하도록 할 수도 있습니다.

기본 PDF 옵션을 대체하려면 기본 PDF 옵션 대체 옵션을 활성화합니다.

실행을 눌러 검색을 시작합니다.

감사 검색의 결과로 나타나는 보고서를 보려면 감사자 보고서를 봅니다.

감사자 보고서 작업

Identity Manager는 많은 감사자 보고서를 제공합니다. 다음 표에서는 이러한 보고서에 대해 설명합니다.

표 15-1 감사자 보고서 설명 (1/2페이지)
감사자 보고서 유형	설명
액세스 검토 범위	선택된 액세스 검토에서 의미하는 사용자 간의 중복 또는 차이를 표시합니다. 대부분의 액세스 검토에는 쿼리 또는 일부 구성원 작업에서 지정된 사용자 범위가 있기 때문에 정확한 사용자 집합은 시간이 지남에 따라 변경될 수 있습니다. 이 보고서는 서로 다른 두 개의 액세스 검토에서 지정된 사용자 간(검토가 작업에 효율적일지 여부를 확인하기 위함), 서로 다른 두 개의 액세스 검토에서 생성된 자격 간(범위가 시간이 지남에 따라 변경되는지 여부를 확인할 수 있음) 또는 사용자와 자격 간(검토 범위의 모든 사용자에 대해 자격이 생성되었는지 여부를 확인할 수 있음)의 중복, 차이 또는 모두를 표시할 수 있습니다.
액세스 검토 세부 내용	모든 사용자 자격 레코드의 현재 상태를 표시합니다. 사용자 조직, 액세스 검토 및 액세스 검토 인스턴스, 자격 레코드 상태, 입증인 등을 기준으로 이 보고서를 필터링할 수 있습니다.
액세스 검토 요약	모든 액세스 검토에 대한 요약 정보를 제공합니다. 또한 나열된 각 액세스 검토 검색에 대해 검색된 사용자의 상태, 검색된 정책 및 증명 활동을 요약합니다.
액세스 검색 사용자 범위	선택된 검색을 비교하여 검색 범위에 포함되는 사용자를 결정합니다. 여기에는 중복(모든 검색에 포함되는 사용자) 또는 차이(모든 검색에 포함되지는 않지만, 둘 이상의 검색에 포함되는 사용자)가 표시됩니다. 이 보고서는 검색의 필요에 따라 동일하거나 서로 다른 사용자에게 적용할 여러 액세스 검색을 구성하려는 경우 유용합니다.
감사 정책 요약	각 정책에 대한 규칙, 수정자, 작업 흐름 등 모든 감사 정책의 핵심 요소를 요약합니다.
감사된 속성	지정된 자원 계정 속성의 변경을 나타내는 모든 감사 레코드를 표시합니다. 이 보고서는 저장된 감사 가능한 속성의 감사 데이터를 분석합니다. 분석하는 데이터는 확장된 속성을 기반으로 하며, 이 속성은 WorkflowServices 또는 감사 가능한 것으로 표시된 자원에 의해 지정됩니다. 이 보고서 구성에 대한 자세한 내용은 감사된 속성 보고서 구성을 참조하십시오.
감사 정책 위반 내역	지정된 기간 동안 생성된 모든 준수 위반을 정책별로 나타내는 그래픽 보기입니다. 이 보고서를 정책별로 필터링하고 일, 주, 월, 분기별로 그룹화할 수 있습니다.
사용자 액세스	지정된 사용자에 대한 감사 레코드 및 사용자 속성을 보여줍니다.
조직 위반 내역	특정 기간 동안 생성된 모든 준수 위반을 자원별로 나타내는 그래픽 보기입니다. 조직별로 필터링하고 일, 주, 월, 분기별로 그룹화할 수 있습니다.
자원 위반 내역	지정된 기간 동안 생성된 모든 준수 위반을 자원별로 나타내는 그래픽 보기입니다.
직무 분리	충돌 테이블에 정렬된 직무 분리 위반을 보여줍니다. 웹 기반 인터페이스를 사용하여 링크를 눌러 추가 정보에 액세스할 수 있습니다. 이 보고서는 조직별로 필터링하고 일, 주, 월, 분기별로 그룹화할 수 있습니다.
위반 요약	모든 현재 준수 위반을 보여줍니다. 이 보고서는 수정자, 자원, 규칙, 사용자 또는 정책별로 필터링할 수 있습니다.

이 보고서는 Identity Manager 인터페이스의 보고서 탭에서 사용할 수 있습니다.

감사자 보고서 만들기

보고서를 실행하려면 먼저 보고서 서식 파일을 만들어야 합니다. 보고서 결과를 수신할 전자 메일 수신자 지정 등과 같은 다양한 보고서 기준을 지정할 수 있습니다. 보고서 서식 파일을 만들어 저장한 후 보고서 실행 페이지에서 해당 보고서 서식 파일을 사용할 수 있습니다.


주	RULE_EVAL_COUNT 값은 정책 검색 중에 평가된 규칙의 수로서 간혹 보고서에 포함되는 경우가 있습니다. Identity Manager에서 RULE_EVAL_COUNT 값은 다음과 같이 계산됩니다. 검색된 사용자 수 x (정책의 규칙 수 + 1) Identity Manager에서는 정책의 위반 여부를 실제로 결정하는 규칙인 정책 규칙도 계산에 넣기 때문에 +1이 포함되었습니다. 정책 규칙은 감사 규칙 결과를 검사하고 부울 논리를 수행하여 정책 결과를 생성합니다. 예를 들어, 세 가지 규칙이 있는 정책 A와 두 가지 규칙이 있는 정책 B가 있을 때 열 명의 사용자를 검색했다면 RULE_EVAL_COUNT 값은 다음과 같은 계산을 통해 70이 됩니다. 10명의 사용자 x (3 + 1 + 2 + 1 규칙)

그림 15-2은 정의된 감사자 보고서 목록이 있는 보고서 실행 페이지의 예입니다.

관리자 인터페이스의 주 메뉴에서 보고서를 누릅니다.

보고서 실행 페이지가 열립니다.

보고서 유형으로 감사자 보고서를 선택합니다.

새 보고서 목록에서 보고서를 선택합니다.

보고서 정의 페이지가 나타납니다. 보고서 대화 상자의 필드와 레이아웃은 보고서 유형별로 다양합니다. 보고서 기준 지정에 대한 자세한 내용은 Identity Manager 도움말을 참조하십시오.

보고서 기준을 입력하고 선택한 이후 다음 작업을 할 수 있습니다.

저장하지 않고 보고서 실행 - 실행을 눌러 보고서를 실행합니다. Identity Manager는 보고서(새 보고서를 정의한 경우) 또는 변경된 보고서 기준(기존 보고서를 편집한 경우)을 저장하지 않습니다.

보고서 저장 - 저장을 눌러 보고서를 저장합니다. 저장된 보고서는 보고서 실행 페이지(보고서 목록)에서 실행할 수 있습니다.

보고서 실행 페이지에서 보고서를 실행한 후 출력을 즉시 보거나 나중에 보고서 보기 탭에서 확인할 수 있습니다.

보고서 예약에 대한 자세한 내용은 보고서 예약을 참조하십시오.

감사된 속성 보고서 구성

감사된 속성 보고서(표 15-1 참조)는 Identity Manager 사용자 및 계정에 대해 속성 수준에서 변경된 내용을 보고합니다. 그러나 표준 감사 로깅은 전체 쿼리 표현식을 지원할 만큼 충분한 감사 로그 데이터를 생성하지 않습니다.

표준 감사 로깅은 변경된 속성을 감사 로그의 acctAttrChanges 필드에 기록하지만 변경된 속성은 보고서 쿼리에서 변경된 속성의 이름을 기준으로 레코드를 일치시킬 수 있는 방법으로만 기록됩니다. 보고서 쿼리에서 속성의 값을 정확하게 일치시킬 수 없습니다.

다음 매개 변수를 지정하여 이 보고서를 구성하면 lastname 속성에 대한 변경 사항이 포함된 레코드를 일치시킬 수 있습니다.


주	acctAttrChanges 필드에 데이터가 저장되는 방법 때문에 Condition='contains'를 필수적으로 사용해야 합니다. 이 필드는 단일 값 필드로서 기본적으로 attrname=value 형식으로 된 모든 변경된 속성의 before/after 값을 포함하는 데이터 구조입니다. 따라서, 이전 설정을 통해 보고서 쿼리가 lastname=xxx의 모든 인스턴스를 일치시키도록 할 수 있습니다.

또한, 특정 속성의 값이 특정 값인 감사 레코드만 캡처할 수도 있습니다. 이렇게 하려면 (자세히...) 의 감사 탭 구성 절에 설명된 절차를 따릅니다. 전체 작업 흐름 감사 확인란을 선택하고 속성 추가 버튼을 눌러 보고서에 사용하기 위해 기록할 속성을 선택한 다음 저장을 누릅니다.

다음은 작업 서식 파일 구성을 활성화합니다(아직 활성화되지 않은 경우). 이렇게 하려면 (자세히...) 의 작업 서식 파일 사용 절에 설명된 절차를 따릅니다. 선택된 프로세스 유형 목록에서 기본값을 변경하지 말고 저장만 누릅니다.

이제 작업 흐름에서 속성 이름 및 값 모두로 식별되는 감사 레코드를 제공할 수 있습니다. 이 수준으로 감사를 설정하면 더 많은 정보가 제공되지만, 성능이 크게 감소하고 작업 흐름이 느려지므로 유의해야 합니다.

준수 위반 수정 및 완화

이 절에서는 Identity Manager 수정을 사용하여 중요 자산을 보호하는 방법에 대해 설명합니다. 다음 항목에서는 Identity Manager 수정 과정의 요소에 대해 설명합니다.

수정 정보

Identity Manager가 해결되지 않은(완화되지 않은) 감사 정책 준수 위반을 검색하면 수정자가 해결해야 하는 수정 요청을 만듭니다. 수정자는 감사 정책 위반을 평가하고 이에 응답하도록 권한을 부여 받은 지정된 사용자입니다.

수정자 단계적 전달

Identity Manager에서 수정자를 세 수준으로 정의할 수 있습니다. 수정 요청은 먼저 수준 1 수정자에게 전송됩니다. 만료 제한 시간 내에 수준 1 수정자가 수정 요청에 대해 대응하지 않으면 Identity Manager는 수준 2 수정자에게 위반을 전송하고 제한 시간을 새로 시작합니다. 만료 제한 시간 안에 수준 2 수정자의 응답이 없으면 요청은 다시 수준 3 수정자에게 전송됩니다.

수정을 수행하려면 회사에 대해 한 명 이상의 수정자를 지정해야 합니다. 선택 사항이지만 각 수준에 두 명 이상의 수정자를 지정하는 것이 좋습니다. 여러 명의 수정자를 지정하면 작업 흐름이 지연되거나 중단되지 않도록 방지할 수 있습니다.

수정 보안 액세스

이러한 인증 옵션은 RemediationWorkItem authType의 작업 항목을 위한 것입니다.

수정 작업 항목 소유자

수정 작업 항목 소유자의 직접/간접 관리자

수정 작업 항목 소유자가 소속된 조직을 제어하는 관리자

소유자는 작업을 시도하는 사용자이거나

작업을 시도하는 사용자가 제어하는 조직에 소속되거나

작업을 시도하는 사용자의 부하 직원입니다.

다음 옵션을 수정하여 두 번째 및 세 번째 검사를 개별적으로 구성할 수 있습니다.

controlOrg - 유효한 값은 "true" 또는 "false"입니다.

subordinate - 유효한 값은 "true" 또는 "false"입니다.

lastLevel - 결과에 포함시킬 마지막 하위 수준입니다. -1은 모든 수준을 의미합니다. lastLevel의 정수 값은 -1로 기본 설정됩니다. 이 값은 직접/간접 부하 직원을 의미합니다.

이러한 옵션을 다음과 같이 추가하거나 수정할 수 있습니다.

수정 작업 흐름 프로세스

Identity Manager는 표준 수정 작업 흐름을 제공하여 감사 정책 검색을 위한 수정을 처리합니다.

표준 수정 작업 흐름은 준수 위반 정보를 포함하는 수정 요청(검토 유형의 작업 항목)을 생성하고 감사 정책에 지정된 각 수준 1 수정자에게 전자 메일 알림을 보냅니다. 수정자가 위반을 완화하면 작업 흐름은 기존 준수 위반 객체의 상태를 변경하고 만료일을 할당합니다.

준수 위반은 사용자, 정책 이름 및 규칙 이름을 조합하여 고유하게 식별됩니다. 감사 정책이 true로 평가되면 이 조합에 대한 기존 위반이 아직 없는 경우 각 사용자/정책/규칙 조합에 대해 새 준수 위반이 생성됩니다. 해당 조합에 대한 위반이 존재하고 위반이 완화된 상태인 경우 작업 흐름 프로세스는 아무런 조치도 취하지 않습니다. 기존 위반이 완화되지 않은 경우 반복 횟수가 증가됩니다.

수정 작업 흐름에 대한 자세한 내용은 감사 정책 정보를 참조하십시오.

수정 응답

기본적으로 각 수정자에게 부여되는 응답 옵션은 다음 세 가지입니다.

수정 - 수정자가 자원의 문제를 해결하기 위한 행동을 했음을 나타냅니다.


주	수정한 후에는 다음에 감사 검색을 수행할 때 위반이 삭제됩니다. 다시 검색을 허용하도록 감사 정책이 구성된 경우에는 위반이 수정된 즉시 사용자가 다시 검색됩니다.

완화 - 수정자가 해당 위반을 허용하고 사용자에게 일정 시간 동안 위반 면제를 부여합니다.


주	Identity Manager가 면제 만료를 검색하면 위반을 완화된 상태에서 보류 중인 상태로 되돌립니다.

전달 - 수정자가 위반 해결 책임을 다른 사람에게 재할당합니다.

수정 예

기업에서 한 사람이 매입채무와 매출채권 책임을 모두 가질 수 없다는 규칙을 설정한 경우 사용자는 이 규칙을 위반하고 있다는 알림을 받게 됩니다.

해당 사용자가 다른 직원을 채용할 때까지만 두 역할에 대한 책임을 갖는 관리자인 경우라면, 이 위반을 완화하고 6개월간 위반 면제를 부여할 수 있습니다.

사용자가 이 규칙을 위반하고 있을 경우 Oracle ERP 관리자에게 충돌 문제를 수정할 것을 요청한 다음, 해당 자원에서 이 문제가 수정되면 위반을 수정할 수 있습니다. 또는, 수정 요청을 Oracle ERP 관리자에게 전달할 수도 있습니다.

수정 전자 메일 서식 파일

Identity Manager는 정책 위반 알림 전자 메일 서식 파일을 제공합니다. 구성 탭을 선택하고 전자 메일 서식 파일 하위 탭을 선택합니다. 이 서식 파일을 구성하여 보류 중인 위반을 수정자에게 알리도록 할 수 있습니다. 자세한 내용은 전자 메일 서식 파일 사용자 정의를 참조하십시오.

수정 작업 페이지

작업 항목을 선택한 다음 수정을 선택하여 수정 페이지에 액세스합니다.

보류 중인 위반 보기

정책 위반 우선 순위 지정

하나 이상의 정책 위반 완화

하나 이상의 정책 위반 수정

하나 이상의 위반 전달

수정 작업 항목에서 사용자 편집

정책 위반 보기

수정 페이지를 사용하면 위반에 대한 조치를 취하기 전에 관련 세부 내용을 볼 수 있습니다.

사용자의 기능과 Identity Manager 기능 계층에서의 위치에 따라 다른 수정자에 대한 위반을 보고 조치를 취할 수도 있습니다.

보류 중인 요청 보기

완료된 요청 보기

테이블 업데이트

보류 중인 요청 보기

사용자에게 할당된 보류 중인 요청은 기본적으로 수정 테이블에 표시됩니다. 다음에 대한 수정 나열 옵션을 사용하여 다른 수정자에 대한 보류 중인 수정 요청을 볼 수 있습니다.

조직에서 사용자에게 직접 보고하는 다른 사용자의 보류 중인 요청을 보려면 내 직접 보고서를 선택합니다.

사용자 검색을 선택하여 보류 중인 요청을 가진 한 명 이상의 사용자를 입력하거나 찾습니다. 해당 사용자에 대한 보류 중인 요청을 보려면 사용자 아이디를 입력한 다음 적용을 누릅니다. 또는, ... (자세히)를 눌러 사용자를 검색합니다. 사용자를 찾아서 선택한 후에 해제를 눌러 검색 영역을 닫습니다.

수정자 - 할당된 수정자의 이름입니다. 이 열은 다른 수정자에 대한 수정 요청을 보는 경우에만 표시됩니다.

사용자 - 요청할 사용자입니다.

감사 정책/요청 - 수정자에게 요청된 작업입니다.

감사 규칙/설명 - 요청에 대한 수정 설명입니다.

위반 상태 - 현재 위반 상태입니다.

심각도 - 요청에 할당된 심각도(없음, 낮음, 중간, 높음 또는 위험)

우선 순위 - 요청에 할당된 우선 순위(없음, 낮음, 중간, 높음 또는 긴급)

요청 날짜 - 수정 요청이 발생한 날짜와 시간입니다.



주	각 사용자는 특정 수정자와 관련된 수정 데이터를 표시하는 사용자 정의 양식을 선택할 수 있습니다. 사용자 정의 양식을 할당하려면 사용자 양식에서 준수 탭을 선택합니다.

완료된 요청 보기

완료된 수정 요청을 보려면 내 작업 항목 탭을 누른 다음 내역 탭을 누릅니다. 이전에 수정된 작업 항목 목록이 표시됩니다.

AuditLog 보고서에 의해 생성되는 결과 테이블에는 각 수정 요청에 대해 다음과 같은 정보가 제공됩니다.

타임스탬프 - 요청이 수정된 날짜와 시간입니다.

제목 - 요청을 처리한 수정자의 이름입니다.

작업 - 수정자가 요청을 완화했는지 또는 수정했는지 여부를 나타냅니다.

유형 - ComplianceViolation 또는 사용자 자격 부여입니다.

객체 이름 - 위반된 감사 정책의 이름입니다.

자원 - 수정자의 계정 ID를 제공합니다(N/A로 표시될 수도 있음).

ID - 정책 위반과 관련된 계정 ID입니다.

결과 - 항상 성공을 나타냅니다.

테이블에서 타임스탬프를 누르면 감사 이벤트 세부 내용 페이지가 열립니다.

감사 이벤트 세부 내용 페이지는 완료된 요청에 대한 정보를 제공합니다. 이 내용에는 수정 또는 완화, 이벤트 매개 변수(해당하는 경우) 및 감사할 수 있는 속성에 대한 정보가 포함됩니다.

테이블 업데이트

수정 테이블에서 제공되는 내용을 업데이트하려면 새로 고침을 누릅니다. 새 수정 요청이 업데이트된 테이블이 수정 페이지에 다시 로드됩니다.

정책 위반 우선 순위 지정

정책 위반에 우선 순위, 심각도 또는 모두를 할당하여 우선 순위를 지정할 수 있습니다. 수정 페이지에서 위반 우선 순위를 지정합니다.

위반에 대한 우선 순위 또는 심각도를 편집하려면 다음 단계를 수행합니다.

목록에서 위반을 하나 이상 선택합니다.

우선 순위 지정을 누릅니다.

정책 위반 우선 순위 지정 페이지가 나타납니다.

선택적으로, 위반에 대한 심각도를 설정합니다. 없음, 낮음, 중간, 높음 또는 위험 중에서 선택합니다.

선택적으로, 위반에 대한 우선 순위를 설정합니다. 없음, 낮음, 중간, 높음 또는 긴급 중에서 선택합니다.

선택이 끝나면 확인을 누릅니다. 그러면 Identity Manager는 수정 목록으로 돌아갑니다.



주	심각도 및 우선 순위 값은 CV(준수 위반) 유형의 수정에서만 설정할 수 있습니다.

정책 위반 완화

수정 및 검토 정책 위반 페이지에서 정책 위반을 완화할 수 있습니다.

수정 페이지에서

수정 페이지에서 보류 중인 정책 위반을 완화하려면 다음 단계를 수행합니다.

테이블의 행을 선택하여 완화할 요청을 지정합니다.

하나 이상의 개별 옵션을 선택하여 완화할 요청을 지정합니다.

테이블 헤더의 옵션을 선택하여 테이블에 나열된 모든 요청을 완화합니다.



주	Identity Manager에서는 완화 작업을 설명할 주석 집합을 한 개만 입력할 수 있습니다. 대량 완화는 위반이 서로 관련된 것이거나 하나의 주석으로 충분히 설명되는 경우에만 수행하는 것이 좋습니다. 준수 위반을 포함하는 요청만 완화할 수 있습니다. 다른 수정 요청은 완화할 수 없습니다.

완화를 누릅니다.

정책 위반 완화 페이지 또는 여러 정책 위반 완화 페이지가 다음과 같이 나타납니다.

그림 15-3 정책 위반 완화 페이지
정책 위반 완화 페이지에 액세스합니다.

설명 필드에 완화에 대한 주석을 입력합니다. 필수 필드입니다.

입력한 주석은 이 작업에 대한 감사 추적에 사용되므로 완전하고 의미 있는 정보를 입력해야 합니다. 예를 들어 이 정책 위반을 완화하는 이유와 날짜를 입력하고 면제 기간을 선택한 이유를 설명합니다.

면제 만료 날짜를 제공하려면 만료 날짜 필드에 직접 날짜(YYYY-MM-DD 형식)를 입력하거나 해당 날짜 날짜 버튼 아이콘

버튼을 눌러 달력에서 날짜를 선택합니다.



주	날짜를 제공하지 않으면 면제가 영구히 유효하게 됩니다.

확인을 눌러 변경 사항을 저장하고 수정 페이지로 돌아갑니다.

정책 위반 수정

하나 이상의 정책 위반을 수정하려면 다음 단계를 수행합니다.

테이블의 확인란을 사용하여 수정할 요청을 지정합니다.

테이블에서 하나 이상의 개별 확인란을 선택하여 수정할 요청을 지정합니다.

테이블 헤더의 확인란을 사용하여 테이블에 나열된 모든 요청을 수정합니다.

요청을 두 개 이상 선택할 경우 Identity Manager에서는 수정 작업을 설명하는 주석을 하나만 입력할 수 있음을 유의하십시오. 대량 수정은 위반이 서로 관련된 것이거나 하나의 주석으로 충분히 설명되는 경우에만 수행하는 것이 좋습니다.

수정을 누릅니다.

정책 위반 수정 페이지 또는 여러 정책 위반 수정 페이지가 표시됩니다.

주석 필드에 수정에 대한 주석을 입력합니다.

확인을 눌러 변경 사항을 저장하고 수정 페이지로 돌아갑니다.



주	사용자에게 직접 할당된 감사 정책(즉, 사용자 계정 또는 조직 할당을 통해 할당됨)은 해당 사용자에 대한 위반이 수정될 때 항상 다시 평가됩니다.

수정 요청 전달

하나 이상의 수정 요청을 다른 수정자에게 전달할 수 있습니다.

테이블에서 확인란을 사용하여 전달할 요청을 지정합니다.

테이블 헤더의 확인란을 선택하여 테이블에 나열된 모든 요청을 전달합니다.

테이블의 개별 확인란을 선택하여 하나 이상의 요청을 전달합니다.

전달을 누릅니다.

전달 선택 및 확인 페이지가 표시됩니다.

그림 15-4 전달 선택 및 확인 페이지
요청이 관리자에게 전달되고 테이블이 업데이트됩니다.

전달 대상 필드에 수정자 이름을 입력한 다음 확인을 누릅니다. 또는, ... (자세히)를 눌러 수정자 이름을 검색합니다. 검색 목록에서 이름을 선택한 다음 설정을 눌러 전달 대상 필드에 해당 이름을 입력합니다. 해제를 눌러 검색 영역을 닫습니다.

수정 페이지가 다시 표시되면 새 수정자의 이름이 테이블의 수정자 열에 표시됩니다.

수정 작업 항목에서 사용자 편집

수정 작업 항목에서 연관된 자격 내역에 설명된 것처럼 문제를 수정하려면 해당 사용자 편집 기능으로 사용자를 편집할 수 있습니다.

사용자를 편집하려면 수정 요청 검토 페이지에서 사용자 편집을 누릅니다. 표시된 사용자 편집 페이지에 다음 항목이 표시됩니다.

이 작업 항목에 대해 사용자와 연관된 자격 내역

사용자의 속성. 여기에 나타나는 옵션은 계정 영역에서 사용할 수 있는 사용자 편집 양식에서와 동일합니다.


주	사용자 편집을 저장하면 사용자 업데이트 작업 흐름이 실행됩니다. 이 작업 흐름은 승인이 필요하기 때문에 사용자 계정에 대한 변경 사항은 저장 후에 일정 시간 동안 적용되지 않을 수 있습니다. 감사 정책에 다시 검색이 허용되고 사용자 업데이트 작업 흐름이 완료되지 않으면 이후의 정책 검색에 동일한 위반이 검색될 수 있습니다.

정기 액세스 검토 및 증명

Identity Manager에서는 관리자나 기타 담당자가 사용자 액세스 권한을 검토하고 확인할 수 있도록 액세스 검토 과정을 제공합니다. 이 과정을 사용하면 시간의 경과에 따라 누적되는 사용자 권한을 확인하여 관리하고, Sarbanes-Oxley, GLBA 및 기타 관련 규정을 준수할 수 있습니다.

액세스 검토는 필요에 따라 수행하거나 일정에 따라 정기적으로 수행할 수 있습니다. 예를 들어, 분기별로 정기 액세스 검토를 수행하여 올바른 수준의 사용자 권한을 유지할 수 있습니다. 선택적으로, 액세스 검토에는 감사 정책 검색이 포함될 수 있습니다.

정기 액세스 검토 정보

정기 액세스 검토는 일련의 직원이 특정 시점에서 해당 자원에 대한 적절한 권한이 있는지를 주기적으로 증명하는 과정입니다.

액세스 검토 검색 - 증명이 필요한지 결정하기 위해 규칙을 기준으로 사용자 자격을 평가하는 검색입니다.

증명 - 사용자 자격을 승인하거나 거부하여 증명 요청에 응답하는 과정입니다.

사용자 자격은 특정 자원 집합에서 사용자 계정의 세부 내용을 나타내는 레코드입니다.

액세스 검토 검색

정기 액세스 검토를 시작하려면 먼저 하나 이상의 액세스 검색을 정의해야 합니다.

액세스 검색에서는 검색할 대상, 검색에 포함될 자원, 검색 중에 평가할 감사 정책(선택 사항), 수동으로 증명할 자격 레코드를 결정하는 규칙 및 해당 주체 등을 정의합니다.

액세스 검토 작업 흐름 프로세스

일반적으로 Identity Manager 액세스 검토 작업 흐름은 다음을 수행합니다.

사용자 목록 구성, 각 사용자에 대한 계정 정보 수집, 선택적 감사 정책 평가

사용자 자격 레코드 생성

각 사용자 자격 레코드에 대해 증명이 필요한지 여부 결정

각 입증인에게 작업 항목 할당

모든 입증인이 승인하거나 첫 번째 거부가 있을 때까지 대기

지정된 시간 제한 기간 동안 요청에 대한 응답이 없을 경우 다음 입증인으로 단계적 이동

해결 내용으로 사용자 자격 레코드 업데이트

필수 관리자 기능

정기 액세스 검토를 수행하고 검토 프로세스를 관리하려면 사용자에게 감사자 정기 액세스 검토 관리자 기능이 있어야 합니다. 감사자 액세스 검색 관리자 기능이 있는 사용자는 액세스 검색을 만들고 관리할 수 있습니다.

이러한 권한을 할당하려면 사용자 계정을 편집하고 보안 속성을 수정합니다. 기타 기능에 대한 자세한 내용은 기능 이해 및 관리를 참조하십시오.

증명

증명은 하나 이상의 지정된 입증인이 특정 날짜의 사용자 자격을 확인하기 위해 수행하는 인증 프로세스입니다. 액세스 검토 중에 입증인은 전자 메일 알림을 통해 액세스 검토 증명 요청에 대한 알림을 받습니다. 입증인은 반드시 Identity Manager 사용자여야 하지만 Identity Manager 관리자가 아니어도 됩니다.

증명 작업 흐름

Identity Manager는 액세스 검색에서 검토가 필요한 자격 레코드를 식별한 경우에 실행되는 증명 작업 흐름을 사용합니다. 이 액세스 검색은 액세스 검색에 정의된 규칙을 기반으로 결정합니다.

액세스 검색에서 평가되는 규칙에 따라 사용자 자격 레코드를 수동으로 증명할지 자동으로 승인하거나 거부할지 여부가 결정됩니다. 사용자 자격 레코드를 수동으로 증명해야 하는 경우 액세스 검색에서는 두 번째 규칙을 사용하여 적절한 입증인을 결정합니다.

수동으로 증명할 각 사용자 자격 레코드가 작업 흐름에 할당됩니다. 작업 항목은 입증인별로 하나씩 제공됩니다. 항목을 증명별로 검색당 하나의 알림으로 번들화하는 ScanNotification 작업 흐름을 사용하여 이러한 작업 항목의 증명에 대한 알림을 보낼 수 있습니다. ScanNotification 작업 흐름을 선택하지 않은 경우 사용자 자격당 알림이 제공됩니다. 즉, 입증인이 검색별로 여러 알림을 받을 수 있습니다. 검색 대상 사용자 수가 많을수록 더 많은 알림을 받게 됩니다.

증명 보안 액세스

이러한 인증 옵션은 AttestationWorkItem authType 작업 항목을 위한 것입니다.

작업 항목 소유자

작업 항목 소유자의 직접/간접 관리자

작업 항목 소유자가 소속된 조직을 제어하는 관리자

인증 검사를 통해 유효성을 검사한 사용자

소유자는 작업을 시도하는 사용자이거나

작업을 시도하는 사용자가 제어하는 조직에 소속되거나

작업을 시도하는 사용자의 부하 직원입니다.

다음 양식 등록 정보를 수정하여 두 번째와 세 번째 검사를 개별적으로 구성할 수 있습니다.

controlOrg - 유효한 값은 "true" 또는 "false"입니다.

subordinate - 유효한 값은 "true" 또는 "false"입니다.

lastLevel - 결과에 포함시킬 마지막 하위 수준입니다. -1은 모든 수준을 의미합니다.

lastLevel의 정수 값은 -1로 기본 설정됩니다. 이 값은 직접/간접 부하 직원을 의미합니다.

이러한 옵션을 다음과 같이 추가하거나 수정할 수 있습니다.

위임된 증명


주	증명에 대한 보안이 조직에서 제어됨으로 설정되면 다른 사용자의 증명을 수정하는 데 감사자 입증인 기능도 필요합니다.

기본적으로 액세스 검색 작업 흐름은 증명 작업 항목 및 알림에 대해 사용자가 만든 액세스 검토 증명 및 액세스 검토 수정 유형의 작업 항목에 대해 위임을 참조합니다. 액세스 검색 관리자는 위임 따르기 옵션을 선택 취소하여 위임 설정을 무시할 수 있습니다. 입증인이 모든 작업 항목을 다른 사용자에게 위임했지만 액세스 검토 검색에 대해 위임 따르기 옵션이 설정되어 있지 않은 경우 입증인(위임이 할당된 사용자가 아님)이 증명 요청 알림과 작업 항목을 받게 됩니다.

정기 액세스 검토 계획

액세스 검토는 비즈니스 환경에서 노동 집약적이고 시간이 많이 소요되는 프로세스입니다. Identity Manager 정기 액세스 검토 프로세스를 사용하면 프로세스의 많은 부분을 자동화하여 소요되는 비용과 시간을 최소화할 수 있습니다. 그렇지만 일부 프로세스는 여전히 많은 시간이 소요됩니다. 예를 들어, 많은 위치에서 수천 명의 사용자에 대한 사용자 계정 데이터를 불러오려면 매우 많은 시간이 소요될 수 있습니다. 레코드를 수동으로 증명하는 작업도 많은 시간이 소요될 수 있습니다. 적절한 계획은 프로세스의 효율성을 향상시키고 노력을 크게 줄일 수 있습니다.

정기 액세스 검토를 계획할 경우 다음과 같은 사항을 고려해야 합니다.

검색 시간은 관련된 자원 및 사용자 수에 따라 많은 차이가 날 수 있습니다.

병렬 처리를 위해 여러 Identity Manager 서버를 사용하면 액세스 검토 프로세스가 단축될 수 있습니다.

증명 작업 흐름과 규칙을 사용자 정의하여 제어 능력을 강화하고 효율성을 향상시킬 수 있습니다.

입증인 단계 규칙을 사용하면 증명 요청에 대한 응답 시간을 향상시킬 수 있습니다.

검토 결정 규칙을 사용하여 수동으로 검토해야 할 자격 레코드를 자동으로 결정함으로써 시간을 절약하는 방법을 이해해야 합니다.

검색 수준 알림 작업 흐름을 지정하여 검색에 대한 증명 요청 알림을 번들화합니다.

검색 작업 조정

검색 과정 중에 여러 스레드가 사용자 보기에 액세스하는데, 이는 잠재적으로 계정이 있는 사용자에 대한 자원에 액세스하는 것입니다. 보기에 액세스한 후에는 여러 감사 정책과 규칙이 평가되므로 준수 위반이 발생할 수 있습니다.

두 개의 스레드가 동시에 같은 사용자 보기를 업데이트하는 것을 방지하려면 프로세스에 사용자 이름에 대한 메모리 내장 잠금을 설정합니다. 이 잠금이 기본적으로 5초 내에 설정되지 않으면 검색 작업에 오류가 작성되고 사용자를 건너뛰게 되어 동일한 사용자 집합을 처리하는 동시 검색에 대한 보호가 제공됩니다.

검색 작업에 대한 작업 인수로 제공되는 여러 개의 "조정 가능한 매개 변수" 값을 다음과 같이 편집할 수 있습니다.

clearUserLocks(부울) - true인 경우 검색을 시작하기 전에 현재 사용자 잠금이 모두 해제됩니다.

userLock(정수) - 사용자 잠금을 시도할 때 대기할 시간(밀리초). 기본값은 5초입니다. 음수 값은 해당 검색에 대한 잠금을 비활성화합니다.

scanDelay(정수) - 검색 스레드의 디스패치 간에 휴면 상태인 시간(밀리초). 기본값은 0(지연 없음)입니다. 이 인수에 대한 값을 입력하면 검색이 더 느려지고 다른 작업에 대한 응답이 더 많아집니다.

maxThreads(정수) - 검색을 처리하는 데 사용된 동시 스레드 수. 기본값은 5입니다. 자원 응답 시간이 너무 느릴 때 이 숫자를 늘리면 검색 처리량이 증가할 수 있습니다.

이 매개 변수의 값을 변경하려면 해당 작업 정의 양식을 편집합니다. 이 작업에 대한 자세한 내용은 Identity Manager Workflows, Forms, and Views를 참조하십시오.

액세스 검색 만들기

액세스 검토 검색을 정의하려면 다음 단계를 수행합니다.

준수를 선택한 다음 액세스 검색 관리를 선택합니다.

새로 만들기를 눌러 새 액세스 검색 만들기 페이지를 표시합니다.

액세스 검색에 이름을 할당합니다.



주	액세스 검색 이름에는 ' (아포스트로피), . (마침표), \| (세로선), [ (왼쪽 대괄호), ] (오른쪽 대괄호), , (쉼표), : (콜론), $ (달러 기호), " (큰따옴표), \ (백슬래시) 또는 = (등호 기호) 또한, _ (밑줄), % (퍼센트 기호), ^ (캐럿) 및 * (별표) 역시 사용해선 안 됩니다.

선택적으로 검색을 확인하는 데 중요한 설명을 추가합니다.

선택적으로 동적 자격 부여 옵션을 활성화합니다. 활성화된 경우, 입증인은 다음과 같은 추가 옵션이 지정됩니다.

보류 중인 증명은 자격 데이터를 새로 고치고 증명 요구를 다시 평가하도록 즉시 다시 검색할 수 있습니다.

보류 중인 증명은 수정을 위해 다른 사용자에게 전달할 수 있습니다. 수정 이후에 자격 데이터는 증명 요구를 결정하도록 새로 고쳐지고 다시 평가됩니다.

다음 옵션 중에서 사용자 범위 유형을 선택합니다. 필수 필드입니다.

속성 조건 규칙에 따라 - 선택된 사용자 범위 규칙에 따라 사용자를 검색하려면 이 옵션을 선택합니다. Identity Manager는 다음과 같은 기본 규칙을 제공합니다.

모든 관리자

내 모든 보고서

관리자가 아닌 모든 사용자

내 직접 보고서

관리자가 없는 사용자



주	IDE(Identity Manager Integrated Development Environment)를 사용하여 사용자 범위 지정 규칙을 추가할 수 있습니다. IDE에 대한 자세한 내용은 Identity Manager IDE를 참조하십시오.

자원에 할당 - 하나 이상의 선택된 자원에 대한 계정이 있는 모든 사용자를 검색하려면 이 옵션을 선택합니다. 이 옵션을 선택하면 페이지에 자원을 지정할 수 있는 사용자 범위 자원이 표시됩니다.

특정 역할에 따라 - 하나 이상의 역할을 소유하거나 모든 역할을 소유한 모든 구성원을 지정하여 검색하려면 이 옵션을 선택합니다.

조직 구성원 - 하나 이상의 선택된 조직의 모든 구성원을 검색하려면 이 옵션을 선택합니다.

관리자에게 보고 - 선택된 관리자에게 보고하는 모든 사용자를 검색하려면 이 옵션을 선택합니다. 관리자 계층은 사용자 Lighthouse 계정의 Identity Manager 속성에 따라 결정됩니다.

사용자 범위가 조직 또는 관리자인 경우 재귀적 범위 옵션을 사용할 수 있습니다. 이 옵션을 사용하면 제어된 구성원 체계를 통해 사용자를 재귀적으로 선택할 수 있습니다.

또한 액세스 검토 검색 중에 위반을 검색할 감사 정책을 검색하도록 선택하는 경우, 선택한 항목을 사용 가능한 감사 정책에서 현재 감사 정책 목록으로 이동하여 이 검색에 적용할 감사 정책을 선택합니다.

액세스 검색에 감사 정책을 추가하면 동일한 사용자 집합에 대해 감사 검색을 수행할 때와 동일한 동작이 발생합니다. 또한 검사 정책에서 검색된 위반이 사용자 자격 레코드에 저장됩니다. 규칙에서는 사용자 자격 레코드에 위반이 존재하는지 여부를 논리의 일부로 사용할 수 있기 때문에 이 정보는 자동 승인 또는 거부 과정을 간소화합니다.

이전 단계의 감사 정책을 검색한 경우 정책 모드 옵션을 사용하여 지정한 사용자에 대해 실행할 감사 정책을 액세스 검색 시 결정하는 방법을 지정할 수 있습니다. 사용자 수준 및/또는 조직 수준 양쪽에서 정책을 사용자에게 할당할 수 있습니다. 기본 액세스 검색 동작에서는 사용자에게 할당된 정책이 아직 없는 경우에만 액세스 검색에 대해 지정된 정책을 적용합니다.

선택한 정책 적용 및 다른 할당 무시

사용자에게 할당된 정책이 없는 경우에만 선택한 정책을 적용합니다.

사용자 할당과 함께 선택한 정책을 적용합니다.

(선택 사항)검토 프로세스 소유자를 지정합니다. 이 옵션을 사용하여 정의 중인 액세스 검토 작업의 소유자를 지정합니다. 검토 프로세스 소유자를 지정하면 증명 요청에 응답할 때 잠재적 충돌이 발생하는 입증인은 사용자 자격을 승인하거나 거부하는 대신 중단할 수 있습니다. 그러면 증명 요청이 검토 프로세스 소유자에게 전달됩니다. 선택(타원) 상자를 눌러 사용자 계정을 검색한 후 선택합니다.

위임 따르기 - 액세스 검색에 대한 위임을 활성화하려면 이 옵션을 선택합니다. 이 옵션을 선택한 경우 액세스 검색에서 위임 설정만 사용합니다. 위임 따르기는 기본적으로 활성화됩니다.

대상 자원 제한 - 검색을 대상 자원으로 제한하려면 이 옵션을 선택합니다.

이 설정은 액세스 검색의 효율성에 직접적인 영향을 미칩니다. 대상 자원을 제한하지 않으면 각 사용자 자격 레코드에 사용자가 연결되는 모든 자원에 대한 계정 정보가 포함됩니다. 즉, 검색 중에 각 사용자에 대해 할당된 모든 자원이 쿼리됩니다. 이 옵션을 사용하여 자원 하위 집합을 지정하면 Identity Manager에서 사용자 자격 레코드를 생성하는 데 필요한 처리 시간을 크게 단축할 수 있습니다.

위반 수정 실행 - 위반이 검색될 경우 감사 정책의 수정 작업 흐름을 활성화하려면 이 옵션을 선택합니다.

이 옵션을 선택하면 할당된 감사 정책에 대해 위반이 검색될 경우 해당 감사 정책의 수정 작업 흐름이 실행됩니다.

일반적으로 이 옵션은 고급 옵션을 제외하고 선택하면 안 됩니다.

액세스 승인 작업 흐름 - 기본 표준 증명 작업 흐름을 선택하거나 사용자 정의 작업 흐름(사용 가능한 경우)을 선택합니다.

이 작업 흐름은 증인 규칙에 따라 결정된 해당 입증인에게 검토할 사용자 자격 레코드를 표시하는 데 사용됩니다. 기본 표준 증명 작업 흐름은 입증인별로 하나의 작업 항목을 생성합니다. 액세스 검색에서 단계적 전달을 지정하는 경우 이 작업 흐름은 너무 오랫동안 사용되지 않는 작업 항목을 단계적으로 전달합니다. 작업 흐름이 지정되어 있지 않은 경우에는 사용자 증명이 보류 중인 상태로 무기한 유지됩니다.



주	Identity Manager Deployment Tools 설명서에서 Identity Auditor 규칙의 사용자 정의 방법과 사용자 정의해야 하는 이유에 대한 자세한 내용을 알아볼 수 있습니다. ”Auditor Rules“ 항목의 ”Working with Rules“ 장에 있는 ”Customizing Default Rules and Rule Libraries“ 절을 참조하십시오.

입증인 규칙 - 기본 증인 규칙을 선택하거나 사용자 정의 입증인 규칙(사용 가능한 경우)을 선택합니다.

입증인 규칙은 사용자 자격 레코드에 입력으로 제공되며 입증인 이름 목록을 반환합니다. 위임 따르기를 선택한 경우 액세스 검색에서는 원본 이름 목록에 있는 각 사용자가 구성한 위임 정보에 따라 이름 목록을 해당 사용자로 변환합니다. Identity Manager 사용자의 위임이 라우팅 주기를 생성하는 경우 위임 정보가 삭제되고 작업 항목이 초기 입증인에게 전달됩니다. 기본 입증인 규칙에서는 입증인이 자격 레코드가 표시된 사용자의 관리자(idmManager)이거나 구성자 계정(사용자의 idmManager가 null인 경우)이어야 합니다. 증명에서 자원 소유자와 관리자를 모두 포함해야 하는 경우 사용자 정의 규칙을 사용해야 합니다. 입증인 규칙 사용자 정의에 대한 자세한 내용은 Identity Manager Deployment Tools 설명서를 참조하십시오.

입증인 단계 규칙 - 기본 단계 입증인 규칙을 지정하거나 사용자 정의 규칙(사용 가능한 경우)을 선택하려면 이 옵션을 사용합니다. 규칙에 대한 단계적 전달 제한 시간 값을 지정할 수도 있습니다. 기본 단계 시간 초과 값은 0일입니다.

이 규칙은 단계적 전달 제한 시간 기간이 경과한 작업 항목에 대한 단계적 전달 체계를 지정합니다. 기본 단계 입증인 규칙은 할당된 증인의 관리자(idmManager) 또는 구성자(입증인의 idmManager 값이 null인 경우)에게 단계적으로 전달됩니다.

단계적 제한 시간 값(분, 시간 또는 일)을 지정할 수 있습니다.

Identity Manager Deployment Tools 설명서에서 입증인 단계 규칙에 대한 자세한 내용을 볼 수 있습니다.

검토 결정 규칙 - 검색 프로세스에서 자격 레코드의 배포를 결정하는 방법을 지정하려면 다음 규칙 중 하나를 선택합니다. 필수 필드입니다.

변경된 사용자 거부 - 사용자 자격 레코드가 동일한 액세스 검색 정의의 마지막 사용자 자격과 달라서 마지막 사용자 자격이 승인된 경우 사용자 자격 레코드가 자동으로 거부됩니다. 그렇지 않은 경우 수동 증명을 실행하여 이전에 승인된 사용자 자격에서 변경되지 않은 모든 사용자 자격을 승인해야 합니다. 기본적으로 이 규칙에서 사용자 보기의 "계정" 부분만 비교됩니다.

변경된 사용자 검토 - 사용자 자격 레코드가 동일한 액세스 검색 정의의 마지막 사용자 자격과 달라서 마지막 사용자 자격이 승인된 경우 해당 사용자 자격 레코드를 수동으로 증명해야 합니다. 이전에 승인된 사용자 자격에서 변경되지 않은 모든 사용자 자격을 승인합니다. 기본적으로 이 규칙에서 사용자 보기의 "계정" 부분만 비교됩니다.

모든 사용자 검토 - 모든 사용자 자격 레코드를 수동으로 증명해야 합니다.



주	변경된 사용자 거부 및 변경된 사용자 검토 규칙은 자격 레코드가 승인된 것과 같은 액세스 검색의 마지막 인스턴스와 사용자 자격을 비교합니다. 규칙을 복사한 후 비교를 선택된 사용자 보기 부분으로 제한하도록 수정하여 이 동작을 변경할 수 있습니다. 규칙 사용자 정의에 대한 자세한 내용은 Identity Manager Deployment Tools를 참조하십시오.

이 규칙은 다음 값을 반환할 수 있습니다.

-1 - 필요한 증명 없음

0 - 자동으로 증명 거부

1 - 수동 증명 필요

2 - 자동으로 증명 승인

3 - 자동으로 증명 수정(자동 수정)

Identity Manager Deployment Tools 설명서에서 검토 결정 규칙에 대한 자세한 내용을 볼 수 있습니다.

수정자 규칙 - 자동 수정 이벤트에서 특정 사용자의 자격을 수정해야 할 사용자를 결정하는 데 사용되는 규칙을 선택합니다. 규칙은 사용자의 현재 사용자 자격 및 위반을 검사할 수 있으며 수정해야 할 사용자 목록을 반환해야 합니다. 규칙이 지정되지 않으면 수정이 이루어지지 않습니다. 이 규칙은 일반적으로 자격에 준수 위반이 있는 경우 사용됩니다.

Identity Manager Deployment Tools 설명서에서 수정자 규칙에 대한 자세한 내용을 볼 수 있습니다.

수정 사용자 양식 규칙 - 사용자를 편집할 때 증명 수정자에 대한 해당 양식을 선택하기 위해 사용할 규칙을 선택합니다. 수정자는 이 양식을 대체하는 자체 양식을 설정할 수 있습니다. 이 양식 규칙은 검색 시 사용자 정의 양식과 일치하는 특수 데이터가 수집된 경우 설정됩니다.

Identity Manager Deployment Tools 설명서에서 검토 결정 규칙에 대한 자세한 내용을 볼 수 있습니다.

알림 작업 흐름 - 각 작업 항목에 대한 알림 동작을 지정하려면 다음 옵션 중 하나를 선택합니다.

없음 - 기본 설정입니다. 이 옵션을 선택하면 입증인은 증명해야 하는 각 개별 사용자 자격에 대한 전자 메일 알림을 받게 됩니다.

ScanNotification - 이 옵션을 선택하면 여러 증명 요청을 단일 알림으로 번들화합니다. 알림은 수신자에게 할당된 증명 요청 수를 나타냅니다.

액세스 검색에서 검토 프로세스 소유자를 지정한 경우 ScanNotification 작업 흐름은 검색이 시작될 때와 종료될 때 검토 프로세스 소유자에게도 알림을 보냅니다. ´˚ 9를 참조하십시오.

ScanNotification 작업 흐름에서는 다음과 같은 전자 메일 서식 파일을 사용합니다.

액세스 검색 시작 알림

액세스 검색 종료 알림

대량 증명 알림

ScanNotification 작업 흐름을 사용자 정의할 수 있습니다.

위반 제한 - 검색을 중단하기 전에 이 검색에서 생성할 수 있는 최대 준수 위반 수를 지정하려면 이 옵션을 사용합니다. 기본 제한은 1000이고, 값 필드가 비어 있는 경우 제한이 없음을 나타냅니다.

일반적으로 감사 검색 또는 액세스 검색 중에는 사용자 수에 비해 정책 위반 수가 작지만, 이 값을 설정하면 위반 수를 크게 증가시키는 잘못된 정책의 영향으로부터 보호할 수 있습니다. 예를 들어, 다음과 같은 시나리오를 고려합니다.

액세스 검색에 5만 명의 사용자가 포함되고 사용자별로 2-3개의 위반을 생성할 경우 각 준수 위반에 대한 수정 비용이 Identity Manager 시스템에 결정적인 영향을 미칠 수 있습니다.

조직 - 이 액세스 검색 객체를 사용할 수 있는 조직을 선택합니다. 필수 필드입니다.

액세스 검색 삭제

하나 이상의 액세스 검색을 삭제할 수 있습니다. 액세스 검색을 삭제하려면 준수 탭에서 액세스 검색 관리를 선택하고, 검색 이름을 선택한 다음 삭제를 누릅니다.

액세스 검토 관리

액세스 검색을 정의한 후 해당 검색을 액세스 검토의 일부로 사용하거나 예약할 수 있습니다. 액세스 검토를 시작한 후 여러 옵션을 사용하여 검토 프로세스를 관리할 수 있습니다. 자세한 내용은 다음 절을 참조하십시오.

액세스 검토 실행

관리자 인터페이스에서 액세스 검토를 실행하려면 다음 방법 중 하나를 사용합니다.

준수 > 액세스 검토 페이지에서 검토 실행을 누릅니다.

서버 작업 > 작업 실행 페이지에서 액세스 검토 작업을 선택합니다.

표시된 작업 실행 페이지에서 액세스 검토에 대한 이름을 지정합니다. 사용 가능한 액세스 검색 목록에서 검색을 선택한 후 선택 항목 목록으로 이동합니다. 검색을 두 개 이상 선택할 경우 다음 실행 옵션 중 하나를 선택할 수 있습니다.

즉시 - 실행 버튼을 누르면 검색이 즉시 실행됩니다. 실행 작업에서 여러 검색에 대해 이 옵션을 선택하면 검색이 병렬로 실행됩니다.

대기 후 - 이 옵션을 사용하면 액세스 검토 작업 실행을 기준으로 검색을 실행하기 이전에 대기할 시간을 지정할 수 있습니다.



주	액세스 검토 세션 중에 검색을 두 개 이상 시작할 수 있습니다. 그러나 각 검색이 많은 사용자를 포함할 수 있으므로 검색 프로세스를 완료하는 데 몇 시간이 소요될 수도 있습니다. 따라서 검색을 적절하게 관리하는 것이 좋습니다. 예를 들어, 하나의 검색은 즉시 실행하고 다른 검색은 간격에 따라 단계적으로 실행하도록 예약할 수 있습니다.

액세스 검토를 실행하면 프로세스 단계를 나타내는 작업 흐름 프로세스 그림이 표시됩니다.

액세스 검토 작업 예약


주	액세스 검토에 할당하는 이름은 중요합니다. 동일한 이름으로 정기적으로 실행되는 액세스 검토가 일부 보고서에서 비교될 수 있습니다.

서버 작업 영역에서 액세스 검토 작업을 예약할 수 있습니다. 예를 들어, 정기적으로 액세스 검토 작업을 설정하려면 일정 관리를 선택한 다음 일정을 정의합니다. 매일 또는 분기별로 수행하도록 작업을 예약할 수도 있습니다.

일정을 정의하려면 작업 예약 페이지에서 액세스 검토 작업을 선택한 다음 작업 예약 만들기 페이지에서 정보를 완성합니다.

액세스 검토 진행률 관리


주	Identity Manager는 기본적으로 액세스 검토 작업의 결과를 1주일 동안 보관합니다. 한 주에 두 번 이상 검토하도록 예약할 경우 결과 옵션을 삭제로 설정합니다. 결과 옵션을 삭제로 설정하지 않으면 이전 작업 결과가 존재하기 때문에 새 검토가 실행되지 않습니다.

액세스 검토 탭을 사용하여 액세스 검토 진행률을 모니터링합니다. 준수 탭을 통해 이 기능에 액세스합니다.

액세스 검토 탭에서 모든 활성 액세스 검토와 이전에 처리된 액세스 검토의 요약 내용을 검토할 수 있습니다. 나열된 각 액세스 검토에 대해 다음과 같은 정보가 제공됩니다.

상태 - 검토 프로세스의 현재 상태: 초기화, 종료, 종료됨, 진행 중인 검색 수, 예약된 검색 수, 증명 대기 중, 완료됨

실행 날짜 - 액세스 검토 작업이 시작된 날짜(타임스탬프)

총 사용자 수 - 검색할 총 사용자 수

자격 세부 내용 - 상태별 자격 총계를 제공하는 테이블의 추가 열. 여기에는 보류 중, 승인, 거부, 종료 및 수정된 자격과 자격 총계에 대한 세부 내용이 포함됩니다.

검토에 대한 자세한 내용을 보려면 해당 검토를 선택하여 요약 보고서를 엽니다.

해당 객체별로 분류된 검색 정보를 보려면 조직 또는 입증인 양식 탭을 누릅니다.

액세스 검토 요약 보고서를 실행하여 보고서에서 이 정보를 검토하고 다운로드할 수도 있습니다.

검색 속성 수정

액세스 검색을 설정한 후 검색을 편집하여 새 옵션을 지정할 수 있습니다. 예를 들어, 검색할 대상 자원을 지정하거나 액세스 검색을 실행하는 동안 위반을 검색할 감사 정책을 지정할 수 있습니다.

검색 정의를 편집하려면 액세스 검색 목록에서 해당 검색을 선택하고 액세스 검토 검색 편집 페이지에서 속성을 수정합니다.

검색 정의에 대한 변경 사항을 저장하려면 저장을 눌러야 합니다.

액세스 검토 취소


주	액세스 검색 범위를 변경하면 새로 수집된 사용자 자격 레코드의 정보가 변경될 수 있습니다. 이는 검토 결정 규칙에서 사용자 자격을 이전 사용자 자격 레코드와 비교하는 경우에 해당 규칙에 영향을 미칠 수 있기 때문입니다.

액세스 검토 페이지에서 종료를 눌러 처리 중인 선택된 검토를 중지합니다. 검토를 종료하면 다음 작업이 발생합니다.

예약된 검색이 예약 취소됩니다.

활성 검색이 중지됩니다.

모든 보류 중인 작업 흐름과 작업 항목이 삭제됩니다.

모든 보류 중인 증명이 취소된 상태로 표시됩니다.

사용자가 완료한 증명이 변경되지 않은 상태로 유지됩니다.

액세스 검토 삭제

액세스 검토 페이지에서 삭제를 눌러 선택된 검토를 삭제합니다.

작업의 상태가 종료됨 또는 완료됨인 경우 액세스 검토를 삭제할 수 있습니다. 진행 중인 액세스 검토 작업을 삭제하려면 먼저 종료해야 합니다.

액세스 검토를 삭제하면 해당 검토에서 생성된 모든 사용자 자격 레코드가 삭제됩니다. 삭제 작업은 감사 로그에 기록됩니다.

액세스 검토를 삭제하려면 액세스 검토 페이지에서 삭제를 누릅니다.

증명 직무 관리

Identity Manager 관리자 또는 사용자 인터페이스에서 증명 요청을 관리할 수 있습니다. 이 절에서는 증명 요청에 응답하는 방법과 증명과 관련된 직무에 대해 자세히 설명합니다.

액세스 검토 알림

검색 중에 Identity Manager는 증명 요청에 대한 증인의 승인이 필요할 경우 입증인에게 알림을 보냅니다. 입증인의 책임이 위임된 경우에는 요청이 해당 위임자에게 전송됩니다. 여러 입증인이 정의되어 있는 경우 각 입증인이 전자 메일 알림을 받습니다.


주	액세스 검토를 취소하고 삭제하면 수 많은 Identity Manager 객체와 작업이 업데이트되고, 이 작업을 완료하는 데 몇 분이 소요될 수 있습니다. 서버 작업 > 모든 작업에서 작업 결과를 확인하여 작업 진행률을 확인할 수 있습니다.

요청은 Identity Manager 인터페이스에 증명 작업 항목으로 표시됩니다. 할당된 입증인이 Identity Manager에 로그인하면 보류 중인 증명 작업 항목이 표시됩니다.

보류 중인 요청 보기

인터페이스의 작업 항목 영역에서 증명 작업 항목을 볼 수 있습니다. 작업 항목 영역에서 증명 탭을 선택하면 승인이 필요한 모든 자격 레코드가 나열됩니다. 증명 페이지에서 직접 또는 간접 제어되는 지정된 사용자에 대한 자격 레코드와 모든 직접 보고서에 대한 자격 레코드를 나열할 수도 있습니다.

자격 레코드 작업

증명 작업 항목은 검토가 필요한 사용자 자격 레코드를 포함합니다. 자격 레코드에는 사용자 액세스 권한, 할당된 자원 및 정책 위반에 대한 정보가 제공됩니다.

승인 - 자격 레코드가 기록된 날짜를 기준으로 해당 자격이 적합함을 증명합니다.

거부 - 자격 레코드에 현재 유효성을 검사하거나 수정할 수 없는 불일치가 있을 수 있음을 나타냅니다.

다시 검색 - 사용자 자격을 다시 평가하려면 다시 검색을 요청합니다.

전달 - 검토할 다른 수신자를 지정할 수 있습니다.

중단 - 이 레코드에 대한 증명이 적합하지 않고 더 적합한 입증인이 알려져 있지 않습니다. 증명 작업 항목이 검토 프로세스 소유자에게 전달됩니다. 이 옵션은 검토 프로세스 소유자가 액세스 검토 작업에 정의된 경우에만 사용할 수 있습니다.

입증인이 지정한 단계적 전달 제한 시간이 경과하기 이전에 이러한 옵션 중 하나를 사용하여 요청에 응답하지 않으면 단계적 전달 체계의 다음 입증인에게 알림을 보냅니다. 알림 프로세스는 응답이 기록될 때까지 계속됩니다.

준수 > 액세스 검토 탭에서 증명 상태를 모니터링할 수 있습니다.

닫힌 루프 수정

다른 사용자가 수정을 요청하여 자격을 수정할 필요가 있는 것으로 만들기(수정 요청). 이 경우, 새 수정 작업 항목이 만들어지고 하나 이상의 지정된 수정자에게 할당됩니다.

자격의 다시 평가 요청(다시 검색). 이 경우, 사용자 자격이 다시 검색되고 다시 평가됩니다. 원래 증명 작업 항목은 닫힙니다. 액세스 검색에 정의된 규칙에 따라 자격에 여전히 증명이 필요한 경우, 새 증명 작업 항목이 만들어집니다.

수정 요청

액세스 검색에서 정의한 경우, 수정을 위해 보류 중인 증명을 다른 사용자에게 전달할 수 있습니다.


주	액세스 검색 만들기 또는 편집 페이지의 동적 자격 부여 옵션을 사용하면 이 기능이 활성화됩니다.

다른 사용자로부터 수정을 요청하려면 다음 단계를 수행합니다.

증명 목록에서 하나 이상의 자격을 선택한 다음 수정 요청을 누릅니다.

수정 요청 선택 및 확인 페이지가 나타납니다.

사용자 이름을 입력한 다음 추가를 눌러 사용자를 전달 대상 필드에 추가합니다. 또는, ... (자세히)를 눌러 사용자를 검색합니다. 검색 목록에서 사용자를 선택한 다음 추가를 눌러 사용자를 전달 대상 목록에 추가합니다. 해제를 눌러 검색 영역을 닫습니다.

주석 필드에 주석을 입력한 다음 계속을 누릅니다.

Identity Manager에서 증명 목록으로 돌아갑니다.



주	수정 요청의 세부 내용이 개별 사용자 자격의 내역 영역에 나타납니다.

증명 다시 검색

액세스 검색에서 정의된 경우 보류 중인 증명을 다시 검색하고 다시 평가할 수 있습니다.


주	액세스 검색 만들기 또는 편집 페이지의 동적 자격 부여 옵션을 사용하면 이 기능이 활성화됩니다.

보류 중인 증명을 다시 검색하려면 다음 단계를 수행합니다.

증명 목록에서 하나 이상의 자격을 선택한 다음 다시 검색을 누릅니다.

사용자 자격 다시 검색 페이지가 나타납니다.

주석 영역에서 다시 검색 작업에 대한 주석을 입력한 다음 계속을 누릅니다.

증명 작업 항목 전달

하나 이상의 증명 작업 항목을 다른 사용자에게 전달할 수 있습니다.

증명 목록에서 하나 이상의 작업 항목을 선택한 다음 전달을 누릅니다.

전달 선택 및 확인 페이지가 표시됩니다.

전달 대상 필드에 사용자 이름을 입력합니다. 또는, ... (자세히)를 눌러 사용자 이름을 검색합니다.

주석 필드에 전달 작업에 대한 주석을 입력합니다.

계속을 누릅니다.

Identity Manager에서 증명 목록으로 돌아갑니다.



주	전달 작업의 세부 내용이 개별 사용자 자격의 내역 영역에 나타납니다.

액세스 검토 작업 디지털 서명

디지털 서명을 설정하여 액세스 검토 작업을 처리할 수 있습니다. 디지털 서명 구성에 대한 자세한 내용은 승인 서명을 참조하십시오. 이 절의 항목에서는 서명된 승인에 대한 인증서 및 CRL을 Identity Manager에 추가하는 데 필요한 서버측 구성과 클라이언트측 구성에 대해 설명합니다.

액세스 검토 보고서

Identity Manager는 액세스 검토 결과를 평가할 수 있도록 다음과 같은 보고서를 제공합니다.

액세스 검토 범위 보고서 - 이 보고서는 정의되는 방법에 따라 다음과 같은 정보를 표 형식으로 제공할 수 있습니다.

이름 - 사용자를 사용자 자격 중복, 차이 또는 둘 모두와 함께 나열합니다.

이 보고서에서는 중복 및/또는 차이가 포함된 액세스 검토를 나타내는 열을 추가로 포함할 수 있습니다.

액세스 검토 세부 내용 보고서 - 이 보고서는 다음과 같은 정보를 표 형식으로 제공합니다.

이름 - 사용자 자격 레코드의 이름

상태 - 검토 프로세스의 현재 상태: 초기화, 종료, 종료됨, 진행 중인 검색 수, 예약된 검색 수, 증명 대기 중, 완료됨

입증인 - 레코드에 대한 입증인으로 할당된 Identity Manager 사용자

검색 날짜 - 검색이 발생했을 때 기록된 타임스탬프

배포 날짜 - 자격 레코드가 증명된 날짜(타임스탬프)

조직 - 자격 레코드의 사용자 조직

관리자 - 검색된 사용자의 관리자

자원 - 사용자가 이 사용자 자격에 대해 캡처한 계정을 갖는 자원

위반 - 검토 중에 검색된 위반 수

보고서에서 이름을 눌러 사용자 자격 레코드를 엽니다. 그림 15-6은 사용자 자격 레코드 보기에 제공되는 샘플 정보입니다.

액세스 검토 요약 보고서 - 이 보고서(액세스 검토 진행률 관리 및 그림 15-5 참조)는 보고서에 대해 선택한 액세스 검색에 대해 다음과 같은 요약 정보를 표시합니다.

검토 이름 - 액세스 검색의 이름

날짜 - 검토가 실행된 시간에 대한 타임스탬프

사용자 수 - 검토에 대해 검색된 사용자 수

자격 수 - 생성된 자격 레코드 수

승인됨 - 승인된 자격 레코드 수

거부됨 - 거부된 자격 레코드 수

보류 중 - 아직 보류 중인 자격 레코드 수

취소됨 - 취소된 자격 레코드 수

이러한 보고서는 보고서 실행 페이지에서 PDF(Portable Document Format) 또는 CSV(쉼표로 분리된 값) 형식으로 다운로드할 수 있습니다.

액세스 검토 수정

준수 위반 수정 및 완화, 액세스 검토 수정은 작업 항목 탭의 수정 영역에서 관리됩니다. 그러나 이 두 개의 수정 유형에는 차이가 있습니다. 이 절에서는 액세스 검토 수정의 고유한 동작과 이 액세스 검토 수정이 준수 위반 수정 및 완화에서 설명된 수정 작업 및 정보와 다른 점에 대해 설명합니다.

액세스 검토 수정 정보

입증인이 사용자 자격을 수정하도록 요청하면 표준 증명 작업 흐름은 수정자가 해결해야 하는 수정 요청을 만듭니다. 수정자는 수정 요청을 평가하고 이에 응답하도록 권한을 부여 받은 지정된 사용자입니다.

문제는 수정만 가능하며 완화될 수 없습니다. 문제가 해결되면 증명을 계속할 수 있습니다.

수정이 액세스 검토 결과로 인해 발생한 경우 액세스 검토 대시보드는 검토와 관련된 모든 입증인 및 수정자를 추적합니다.

수정자 단계적 전달

액세스 검토 수정 요청은 초기 수정자 이상으로 전달되지 않습니다.

수정 작업 흐름 프로세스

액세스 검토 수정 논리는 표준 증명 작업 흐름에 정의됩니다.

입증인이 사용자 자격의 수정을 요청하면 표준 증명 작업 흐름은 다음을 수행합니다.

수정이 필요한 사용자 자격 관련 정보를 포함하는 accessReviewRemediation 유형의 수정 요청을 생성합니다.

요청된 수정자에게 전자 메일을 보냅니다.

그런 다음, 새 수정자는 Identity Manager를 사용하거나 개별적으로 사용자를 편집하고, 만족스러운 경우 작업 항목을 수정됨 상태로 표시하도록 선택할 수 있습니다. 이때 사용자 자격이 다시 검색되고 다시 평가됩니다.

수정 응답

기본적으로 액세스 검토 수정자에게 부여되는 응답 옵션은 다음 세 가지입니다.

수정 - 수정자가 문제를 해결하기 위한 행동을 했음을 나타냅니다.

전달 - 수정자가 수정 요청 해결 책임을 다른 사람에게 재할당합니다.

사용자 편집 - 수정자가 사용자를 직접 편집하여 문제를 수정하도록 선택합니다.

수정 작업 페이지

유형 열은 액세스 검토 수정 작업 항목이 있는 모든 수정 작업 항목에 대해 UE(사용자 자격)로 표시됩니다.

지원되지 않는 액세스 검토 수정 작업

우선 순위 및 완화 기능은 액세스 검토 수정에서 지원되지 않습니다.

이전 목차 색인 다음
Sun[TM] Identity Manager 8.0 관리