Configurer les paramètres des requêtes de l'application

Configurez les paramètres pour toutes les requêtes d'accès à l'app ou à la collection de ressources. Vous pouvez indiquer si les utilisateurs peuvent demander l'accès au nom d'autres utilisateurs. Vous pouvez également définir si les requêtes d'accès qui provoquent un conflit entre les règles de séparation des tâches (SOD, separation of duties) sont autorisées, autorisées avec des paramètres personnalisés, ou bloquées. Ces paramètres s'appliquent aux règles de séparation des tâches de droits d'accès et aux règles de séparation des tâches de groupes.

Le paramètre de conflit SOD est disponible même si vous n'avez pas activé Governance Engine pour l'app ou défini des droits et des ensembles. Dans ce cas, vous pouvez configurer les paramètres, mais ils n'auront aucun impact sur la requête d'accès.

Procédure

  1. Accédez aux paramètres de requête d'accès pour une app, une collection de ressources ou les rôles d'administrateur.

    Paramètres de requête d'accès pour une app

    1. Dans la Console des administrateurs, accédez à Applications and Resources > Applications.

    2. Sélectionnez une app et accédez à l'onglet Requêtes d'accès sur la page de profil de l'app.

    3. Cliquez sur Paramètres.

    Paramètres de requête d'accès pour une collection de ressources

    1. Dans l'Console des administrateurs, accédez à Identity Governance > Collectes de ressources.

    2. Recherchez la collection et cliquez sur l'option Voir correspondant à cette collection.

    3. Accédez à l'onglet Requêtes d'accès .

    4. Cliquez sur Paramètres.

    Paramètres de requête d'accès pour les rôles d'administrateur

    1. Dans l'Console des administrateurs, accédez à Sécurité > Administrateurs > Governance.

    2. Cliquez sur Requêtes d'accès.

    3. Cliquez sur Paramètres.

  2. Configurez les paramètres pour autoriser ou bloquer les demandes au nom d'un autre utilisateur et les demandes impliquant des conflits de séparation des tâches.

    Configurer le paramètre Demande au nom de

    Pour permettre à un utilisateur de demander l'accès pour un autre utilisateur, activez l'option Activer la demande au nom de.

    • Seuls les managers peuvent demander un accès pour leurs subordonnés : autoriser les managers à demander l'accès au nom de leur équipe.

    • Tous les utilisateurs peuvent demander l'accès pour les autres utilisateurs : cette option permet à tous les utilisateurs de l'org de demander l'accès à la ressource au nom d'autres utilisateurs, indépendamment de leurs rôles et de leurs relations hiérarchiques au sein de l'org.

    Définissez ce qui se produit lorsqu'un conflit de séparation des tâches (SOD) se produit.

    Cette option n'est pas disponible pour les requêtes d'accès pour les rôles d'administrateur.

    Par défaut, un demandeur ne peut pas soumettre de requête d'accès pour les ensembles de droits qui entrent en conflit avec ses attributions de droits existantes. Pour modifier cela, cliquez sur Modifier et sélectionnez l'une des options suivantes :

    • Autoriser les demandes : les demandeurs voient un avertissement, mais ils peuvent demander un accès. Leur accès est traité à l'aide des paramètres définis dans la condition de requête d'accès applicable.

    • Autoriser les demandes avec des paramètres personnalisés : les demandeurs voient un avertissement, mais ils peuvent demander un accès. Toutefois, la séquence d'approbation et la durée d'accès que vous spécifiez sur cette page contrôle leur demande.

      1. Sélectionnez une séquence d'approbation.

      2. Spécifiez la durée d'accès.

    • Bloquer les demandes : les demandeurs peuvent voir le niveau d'accès, mais ne peuvent pas le demander. Il s'agit du paramètre par défaut.

      Okta évalue les règles de séparation des tâches en fonction des affectations de droits d'accès et appartenances aux groupes existantes du demandeur au moment où il soumet la requête. Cela signifie que les avertissements de conflit de règles de séparation des tâches ne seront pas affichés aux demandeurs et ne les empêcheront pas de demander l'accès à des droits d'accès ou des groupes en conflit s'ils créent plusieurs requêtes dans un court laps de temps ou si plusieurs requêtes sont ouvertes simultanément.

      Avant d'accorder l'accès, vérifiez toutes les requêtes ouvertes provenant du demandeur pour vous assurer qu'il n'y a aucun conflit entre les requêtes de droits d'accès ou de groupes et les règles de séparation des tâches. En outre, exécutez des campagnes de certification d'accès qui examinent régulièrement les conflits de séparation des tâches afin de révoquer les affectations de droits et les appartenances à des groupes conflictuelles.

  3. Cliquez sur Enregistrer. L'événement Access request settings updated est enregistré dans le journal système.