Certifiez les comptes non gérés pour réduire les dérives des accès entre Okta et l'application en aval. Cela vous aide à rapprocher les identités au sein de votre org.
Pourquoi et quand exécuter cette tâche
Version en accès anticipé
Créer des campagnes de ressources pour certifier les comptes non gérés Les comptes non gérés sont des comptes qui existent dans une application en aval qu'Okta n'a pas affectés ou ne connaissait pas, ou des comptes dont le statut est différent de celui de l'identité correspondante dans Okta. Par exemple, une identité a été désactivée dans Okta, mais elle est toujours active dans l'application.
Avant de commencer
- Vous êtes un super administrateur ou un administrateur des certifications d'accès.
- Vérifiez que les fonctionnalités Rapprochement des comptes et Certifier les comptes non gérés sont activées pour votre org.
- Accédez à Bonnes pratiques pour la création de campagnes.
- Vérifiez que les applications que vous souhaitez inclure dans la campagne répondent aux critères suivants :
- Governance Analyzer ne générera pas d'insights ni de recommandations pour les campagnes qui certifient les comptes non gérés.
- Si vous générez un package de rapport d'audit pour une campagne qui certifie les comptes non gérés, seuls les rapports Périmètre de la campagne et Actions de la campagne sont disponibles.
Procédure
-
Dans l'Console des administrateurs, accédez à .
-
Sélectionnez Créer une campagne.
-
Sélectionnez Campagne de ressources.
-
Configurez les paramètres généraux de la campagne. Consultez Paramètres généraux.
-
Cliquez sur Suivant.
-
Sur la page Ressources, sélectionnez Application comme périmètre des ressources de la campagne.
-
Sélectionnez les applications à certifier individuellement ou à l'aide d'étiquettes de gouvernance.
Si vous utilisez des étiquettes de gouvernance, vous ne pouvez pas utiliser les expressions Okta Expression Language pour définir ultérieurement un périmètre d'identité personnalisé.
-
Activez Examiner les droits et suivez les invites sur la page pour définir le périmètre. Consultez la section Paramètres de l'application.
Remarque : Lorsque vous certifiez des comptes non gérés, Okta inclut uniquement des droits dans le périmètre de la campagne, même si vous sélectionnez des options qui incluent des lots dans la console des administrateurs.
-
Cliquez sur Suivant.
-
Sur la page Identités, sélectionnez Examiner les comptes non gérés.
-
Sélectionnez Examiner tous les comptes non gérés ou Personnalisé (Okta Expression Language) et suivez les invites sur la page.
Si vous sélectionnez Personnalisé, vous pouvez utiliser des expressions qui font référence aux attributs du profil utilisateur importé de l'application pour chaque application.
Conseil : Pour découvrir les attributs du profil utilisateur importé que votre application prend en charge, accédez à . Sélectionnez votre application pour afficher les attributs utilisés.
-
Cliquez sur Suivant.
-
Sur la page Réviseurs, affectez les réviseurs pour la campagne et suivez les invites sur la page pour configurer le réviseur de secours et d'autres paramètres. Consultez Configurer les paramètres du réviseur.
Les campagnes de comptes non gérés prennent en charge les types de réviseurs Utilisateur, Groupe et Propriétaire de la ressource. L'évaluation basée sur le gestionnaire n'est pas disponible, car un compte non géré n'a pas d'identité Okta liée dans laquelle rechercher un gestionnaire.
-
Sur la page Remédiation, spécifiez ce qui se produit lorsqu'un réviseur prend une décision. Consultez Paramètres de remédiation et Comprendre la remédiation.
-
Sélectionnez Planifier.
Lorsque la campagne est lancée, Okta génère un élément de révision pour chaque droit détenu par un compte non géré et lui affecte un réviseur. Chaque élément de révision indique le statut du compte dans Okta et dans l'application, ainsi que d'autres détails. Les réviseurs disposent ainsi du contexte pour les comptes qu'ils pourraient ne pas reconnaître personnellement.
Lorsqu'un réviseur approuve ou révoque un droit, la décision s'étend à ce droit, et non au compte sous-jacent. La révocation de l'ensemble des droits d'un compte ne désactive pas le compte.
Dépannage
Si vous exécutez une campagne dans les sept jours suivant la date de fin d'une autre campagne, il est possible que vous voyiez des comptes non gérés dans la nouvelle campagne, même si l'accès a été révoqué lors de la campagne précédente. En effet, Okta actualise les données des comptes non gérés tous les sept jours. Vous pouvez confirmer que l'accès du compte non géré a été révoqué dans l'application source.