Créer des campagnes de ressources

Les campagnes de ressources affichent tous les utilisateurs ayant accès à une ressource. L'exécution régulière de campagnes de ressources permet de limiter l'accès aux ressources sensibles. Ces campagnes sont également utiles pour répondre à vos exigences en matière d'audit et de conformité, ou à des normes professionnelles telles que SOC2 et SOX.

Si vous avez activé Régir les rôles d'administrateur Okta, utilisez ce type de campagne pour examiner les affectations des rôles d'administrateur aux utilisateurs. Vous pouvez sélectionner une ressource, telle qu'une application ou un groupe, et examiner les personnes y ayant accès ainsi que les droits et les regroupements associés (y compris les rôles d'administrateur personnalisés et standard).

Si vous avez activé les fonctionnalités Collections de ressources et Certifier les collections de ressources - Collections de ressources, vous pouvez utiliser les campagnes de ressources pour examiner et révoquer l'accès aux collections.

Les comptes de service associés aux applications sont également disponibles en tant que ressources si vous êtes abonné à Okta Privileged Access. Les applications avec des comptes de service doivent être gérées dans Okta Privileged Access pour être incluses dans une campagne. Consultez Certifier des comptes de service.

Vous pouvez sélectionner tous les utilisateurs affectés à la ressource ou définir un ensemble spécifique d'utilisateurs à l'aide de Okta Expression Language. Vous pouvez également exclure certains utilisateurs de la campagne.

Avant de commencer

  • Si votre org possède des Libellés de ressource activées et affectées aux ressources, vous pouvez utiliser les étiquettes de ressource pour filtrer et spécifier les ressources qui doivent être incluses dans une campagne de ressources. Okta fournit les valeurs des étiquettes Crown Jewell et Privileged par défaut. Toutefois, pour voir une liste complète des étiquettes, les ressources balisées avec des étiquettes pour votre org ou pour affecter des étiquettes aux ressources, utilisez les API d'étiquettes. Seuls les super administrateurs ou les administrateurs des certifications accès peuvent consulter les étiquettes.

  • Assurez-vous que le réviseur et le réviseur de secours que vous sélectionnez sont actifs dans Okta.

  • Un propriétaire d'un groupe, d'une application, d'un droit, d'un ensemble de droits ou des propriétaires de groupes sont considérés comme des propriétaires de ressources. Okta affecte les propriétaires de la ressource en tant que réviseurs lors du lancement de la campagne :

    • Si le propriétaire du droit n'est pas disponible et qu'un ensemble inclut le droit, le propriétaire de l'ensemble est désigné comme réviseur si l'ensemble est inclus dans le périmètre des ressources de la campagne.

    • Si le propriétaire des droits n'est pas disponible et qu'aucun regroupement n'inclut de droits, le propriétaire de l'application est alors désigné comme réviseur.

    • Si le propriétaire du paquets de droits n'est pas disponible, le propriétaire de l'application est alors désigné comme réviseur.

    • Si le propriétaire de l'application n'est pas non plus disponible, Okta assigne l'élément de révision au réviseur de secours indiqué dans les paramètres Réviseur de la campagne.

    • Si le propriétaire du groupe n'est pas disponible, Okta affecte l'élément de révision au réviseur de secours indiqué dans les paramètres Réviseur de la campagne.

    • Si le propriétaire d'une collection n'est pas disponible, la révision est affectée au réviseur de secours.

  • Pour les groupes dont le propriétaire est un autre groupe, assurez-vous que le groupe propriétaire comporte au moins un utilisateur en statut Actif dans Okta. Sinon, lorsque vous sélectionnez Propriétaire de la ressource comme type d'évaluateur, l'élément de révision est affecté à l'évaluateur de secours.

  • Pour les abonnés Okta for AI Agents : lorsque vous sélectionnez Propriétaire de la ressource en tant que type de réviseur, Okta affecte la révision au propriétaire de l'application d'authentification de l'utilisateur qui est liée à l'agent IA. Cependant, si cet utilisateur est désactivé ou que le propriétaire de l'application n'est pas défini, la révision est affectée au propriétaire de l'agent IA. Ceci s'applique si une application n'est liée qu'à un seul agent IA.

  • Pour les abonnés Okta Privileged Access : lorsque vous sélectionnez Propriétaire de ressources comme type de réviseur pour la certification des comptes de service, Okta utilise les valeurs spécifiées dans les attributs Groupes de propriétaire ou Utilisateurs de propriétaire du compte de service pour affecter le réviseur. Si ces valeurs ne sont pas définies ou ne sont pas disponibles pour un compte de service, la révision est affectée au réviseur de secours.

  • Facultatif. Si vous savez qu'un réviseur ne sera pas disponible pendant un certain temps, vous pouvez lui affecter un délégué depuis l'Admin Console. Consultez Attribuer un délégué depuis la console des administrateurs. Pour les campagnes dont le Type de réviseur est défini sur Groupe ou Propriétaire du groupe ou Propriétaire de la ressource, si vous ou un membre d'un groupe affectez un délégué ne faisant pas partie du groupe, tous les éléments de révision futurs seront affectés au délégué ainsi qu'aux membres actuels du groupe.

  • Vous pouvez sélectionner jusqu'à 250 applications, groupes, ou une combinaison des deux, et examiner les personnes qui y ont accès. Consultez Limites et problèmes connus.

  • Vous pouvez posséder jusqu'à 100 000 éléments de révision par campagne. Pour gérer les campagnes importantes, divisez les révisions en plusieurs campagnes.

  • Si vous créez une campagne pour gouverner les rôles d'administrateur, assurez-vous que vous êtes connecté en tant que super administrateur. Si vous le souhaitez, effectuez ces étapes :

  • Si vous créez une campagne de manière à examiner des affectations de droits en conflit, vérifiez que la case Détails sur la séparation des tâches (SOD) est cochée avant de lancer la campagne. La case à cocher se trouve sur la page Informations contextuelles. Cette case permet aux réviseurs de campagne de voir les détails du conflit SOD. Consultez Contexte personnalisable à destination du réviseur.

  • Facultatif. Pour notifier les réviseurs sur Slack, assurez-vous que le bouton Activer Slack pour les certifications d'accès est activé avant le lancement de la campagne. Consultez Activer les notifications Slack.

Configurer la campagne

  1. Dans l'Console des administrateurs, accédez à Identity Governance > Certifications d'accès > Campagnes de certification.

  2. Cliquez sur Créer une campagne.

  3. Sélectionnez Campagnes de ressources comme type de campagne dans le menu déroulant Créer une campagne.

  4. Configurez les paramètres suivants dans l'assistant, puis cliquez sur Planifier la campagne.

Configurer les paramètres généraux

Configurez les paramètres suivants :

  1. Nom de la campagne : nommez la campagne. Dans l'idéal, saisissez un nom qui soit facile à comprendre pour vos réviseurs.
  2. Description : décrivez l'objectif de la campagne.
  3. Date de début : choisissez la date de début de votre campagne.
  4. Heure de début : choisissez l'heure de début et le fuseau horaire de votre campagne.
  5. Durée : indiquez combien de temps durera votre campagne. Les campagnes comportant des réviseurs à plusieurs niveaux nécessitent une durée de sept jours minimum.
  6. Facultatif. Sélectionnez En faire une récurrence et définissez le calendrier de récurrence de la campagne. Pour planifier des campagnes récurrentes de manière efficace, consultez Considérations relatives aux campagnes récurrentes.
  7. Facultatif. Cochez la case Créer un package de rapports pour l'auditeur. Vous pourrez ainsi générer des rapports qui pourront vous aider à répondre à vos exigences en matière d'audit et de conformité. Cela vous permet de générer des rapports contenant des informations sur les ressources, les utilisateurs et les réviseurs inclus dans le périmètre de la campagne. Ils fournissent également des informations sur les accès des utilisateurs au début de la campagne, les décisions concernant les révisions et les résultats de la remédiation, ainsi que sur les accès des utilisateurs à la fin de la campagne.

Configurer les paramètres de ressources

Sélectionnez le type de ressource Application, Groupe, Compte de service ou Collection.

Application

  1. Utilisez l'une des méthodes suivantes :

    • Sélectionnez jusqu'à 10 étiquettes si vous souhaitez inclure toutes les ressources associées telles que des applications, des droits et des regroupements. Vous ne pouvez pas sélectionner des applications individuelles si vous utilisez des étiquettes pour spécifier le périmètre

    • Sélectionnez des applications individuelles. Si vous souhaitez examiner les droits, y compris ceux qui sont en conflit selon les règles SOD, vous ne pouvez sélectionner que 20 applications au maximum. Consultez Limites et problèmes connus. Si vous sélectionnez des applications individuelles, vous ne pouvez pas utiliser d'étiquettes.

    • Recherchez et sélectionnez Console des administrateurs Okta si vous souhaitez régir les rôles d'administrateur. Vous ne pouvez pas ajouter d'autres applications si vous sélectionnez celle-ci.

  2. Activez l'option Examiner les droits pour examiner les droits, y compris ceux comportant des étiquettes de gouvernance ou ceux qui sont en conflit selon les règles SOD. Toutefois, si vous souhaitez examiner les applications comportant des utilisateurs inactifs, laissez-la désactivée.

  3. Pour chaque application, indiquez si vous souhaitez voir Tous les droits et regroupements ou Droits et regroupements spécifiques. Si vous spécifiez un droit, vous pouvez également récupérer n'importe quel regroupement contenant votre valeur de droit en cochant la case.

    Si les étiquettes sont activées et configurées, des options supplémentaires sont disponibles :

    1. Sélectionnez l'une des options suivantes :

      • Droits comportant des étiquettes de gouvernance spécifiques
      • Regroupements comportant des étiquettes de gouvernance spécifiques
      • Droits ou regroupements comportant des étiquettes de gouvernance spécifiques

    2. Spécifiez les étiquettes.

  4. Si vous spécifiez un droit, vous pouvez également récupérer n'importe quel regroupement contenant votre valeur de droit en cochant la case Inclure les regroupements comportant ces valeurs de droit.

  5. Cliquez sur Ajouter pour inclure d'autres regroupements ou droits.

Groupe

Sélectionnez un ou plusieurs groupes en utilisant l'une des méthodes suivantes :

  • Sélectionnez jusqu'à 10 étiquettes si vous souhaitez inclure tous les groupes associés. Vous ne pouvez pas sélectionner des groupes individuels si vous utilisez des étiquettes pour spécifier le périmètre.

  • Sélectionnez des groupes individuels. Si vous sélectionnez des groupes individuels, vous ne pouvez pas utiliser d'étiquettes.

Compte de service

Cette option est disponible uniquement si vous êtes abonné à Okta Privileged Access. Consultez la section Okta Privileged Access avec Certifications d'accès. N'oubliez pas que seules les applications dont les comptes de service sont gérés dans Okta Privileged Access sont disponibles.

Définissez le type de compte de service sur Compte de service d'application SaaS ou Compte de service Okta.

Comptes de service d'application SaaS

Utilisez l'une des méthodes suivantes :

  • Sélectionnez jusqu'à 10 étiquettes si vous souhaitez inclure toutes les applications associées aux comptes de service. Vous ne pouvez pas sélectionner des applications individuelles si vous utilisez des étiquettes pour spécifier le périmètre. Lorsque vous sélectionnez des étiquettes, toutes les applications associées à l'étiquette sont incluses dans la campagne.

  • Sélectionnez des applications individuelles. Consultez Limites et problèmes connus. Si vous sélectionnez des applications individuelles, vous ne pouvez pas utiliser d'étiquettes.

    1. Dans le menu déroulant Sélectionner le périmètre, sélectionnez soit Tous les comptes de service soit Comptes de service spécifiques et spécifiez les comptes. Vous pouvez spécifier un maximum de 20 comptes de service si vous les sélectionnez individuellement.

    2. Cliquez sur Suivant.

Compte de service Okta

  1. Dans le menu déroulant Sélectionner le périmètre, sélectionnez soit Tous les comptes de service soit Comptes de service spécifiques et spécifiez les comptes. Vous pouvez spécifier un maximum de 20 comptes de service.

  2. Cliquez sur Suivant.

Collection

Cette option est disponible uniquement si vous avez activé Collections de ressources et Certifier les collections de ressources.

  1. Utilisez l'une des méthodes suivantes :

    • Sélectionnez jusqu'à 10 étiquettes si vous souhaitez inclure tous les Collections de ressources associés. Vous ne pouvez pas sélectionner des collections individuelles si vous utilisez des étiquettes pour spécifier le périmètre. Lorsque vous sélectionnez des étiquettes, toutes les collections associées à l'étiquette sont incluses dans la campagne.

    • Sélectionnez des collections individuelles. Si vous sélectionnez des collections individuelles, vous ne pouvez pas utiliser d'étiquettes.

  2. Cliquez sur Suivant.

Agent IA

Cette option est disponible uniquement si vous disposez d'un abonnement à Okta for AI Agents.

Sélectionnez une application d'authentification des utilisateurs à laquelle un agent IA est associé.

Configurer les paramètres d'identité

  1. Si vous avez activé Certifier les comptes non gérés, sélectionnez Examiner les utilisateurs affectés aux ressources sélectionnées ou Examiner les comptes non gérés. Sinon, passez cette étape.

  2. Pour examiner les utilisateurs affectés aux ressources sélectionnées, sélectionnez l'une des options suivantes. Passez à l'étape 3 si vous certifiez des comptes non gérés.

    • Tous les utilisateurs affectés à la ressource (ou Examiner tous les utilisateurs) : sélectionnez cette option pour inclure les utilisateurs qui sont affectés à des ressources que vous avez sélectionnées précédemment.

    • Spécifier le périmètre utilisateur (ou Personnalisé) : sélectionnez cette option pour limiter le périmètre utilisateur à un ensemble spécifique d'utilisateurs dans votre org. Si la fonctionnalité Domaines Realm est activée, utilisez cette option pour restreindre la campagne aux utilisateurs d'un domaine Realm spécifique.

      1. Saisissez une expression valide en Okta Expression Language (EL) pour préciser le périmètre de l'utilisateur. Dans l'expression, true doit inclure l'utilisateur à la campagne et false doit l'exclure de la campagne. Consultez la section Définir le périmètre de l'utilisateur.

      2. Recommandé. Cliquez sur Prévisualiser le périmètre de l'expression et suivez les invites de l'interface utilisateur pour vérifier si elle est dans le périmètre du Okta Expression Language (OEL) fourni.

      3. Facultatif. Sélectionnez Périmètre en fonction des attributs du profil utilisateur de l'application pour affiner le périmètre de l'identité en utilisant les attributs du profil utilisateur importé d'une application. Cette option est disponible uniquement si vous avez activé Certifier les comptes non gérés.

    • Périmètre utilisateur prédéfini :

      • Aucune activité récente : sélectionnez cette option pour examiner les applications qui n'ont pas été utilisées depuis un certain temps. Indiquez le nombre de jours d'inactivité des utilisateurs. Cette option apparaît uniquement si vous avez défini le périmètre des ressources de la campagne sur applications et que vous avez désactivé le paramètre Examiner les droits.

      • Avoir des conflits de séparation des tâches (SOD) : sélectionnez cette option si vous souhaitez uniquement examiner les utilisateurs dont les droits sont en conflit sur la base des règles de séparation des tâches. Cette option apparaît uniquement si vous avez défini la permission des ressources de la campagne sur applications, activé le paramètre Examiner les droits et sélectionné Tous les droits et regroupements.

    • Inclure uniquement les utilisateurs Okta actifs dans cette campagne : sélectionnez cette option pour inclure uniquement les utilisateurs dont le statut est Actif, Réinitialisation de mot de passe (ou Récupération), Mot de passe expiré ou Verrouillé dans Okta.

  3. Pour examiner les comptes non gérés, sélectionnez l'une des options suivantes et suivez les invites sur la page :
    • Examiner tous les comptes non gérés
    • Personnalisé (Okta Expression Language). Si vous sélectionnez Personnalisé, vous pouvez utiliser des expressions qui font référence aux attributs du profil utilisateur importé de l'application pour chaque application.

  4. Facultatif. Exclure les utilisateurs de la campagne : pour exclure des utilisateurs spécifiques d'une campagne, sélectionnez Exclure les utilisateurs de la campagne et saisissez les noms des utilisateurs que vous souhaitez exclure de la campagne.

Configurer les paramètres du réviseur

  1. Sélectionnez un type de réviseur :

    • Utilisateur : saisissez le nom du réviseur qui doit examiner les certifications d'accès de tous les utilisateurs de la campagne.

    • Responsable : affectez les éléments de révision au responsable de l'utilisateur indiqué dans le profil de l'utilisateur sur Okta. La révision est affectée au réviseur de secours si le profil de l'utilisateur ne mentionne aucun responsable. Cette option n'est pas disponible si vous certifiez les comptes non gérés.

    • Groupe : affectez les éléments de révision à tous les membres d'un groupe d'utilisateurs spécifique. Un seul membre du groupe doit se charger de la révision et agir sur l'élément de révision. Ainsi, si un membre d'un groupe approuve ou révoque l'accès d'un élément de révision, celui-ci sera marqué comme terminé pour tous les réviseurs. Le menu déroulant affiche uniquement les groupes comptant entre un et dix membres. Si vous ajoutez d'autres membres au groupe, les éléments de révision sont affectés de manière aléatoire aux 10 membres du groupe.

    • Propriétaire du groupe ou Propriétaire de la ressource : affectez des éléments de révision au propriétaire d'un groupe indiqué dans le profil du groupe sur Okta. L'option Propriétaire du groupe est disponible et applicable uniquement lorsque les conditions suivantes sont remplies :

      • Vous avez sélectionné un ou plusieurs groupes en tant que ressources dans le volet Ressource.

      • Les propriétaires de groupes peuvent être des utilisateurs individuels, des groupes ou une combinaison des deux. Pour l'affectation des éléments de révision, un maximum de 10 propriétaires de groupe sont pris en compte. S'il y a plus de 10 propriétaires, les éléments de révision sont attribués aléatoirement parmi 10 de ces propriétaires.

    • Personnalisé : saisissez une expression Okta Expression Language valide pour définir le réviseur. Cette option n'est pas disponible si vous certifiez les comptes non gérés.

      L'expression doit renvoyer l'ID utilisateur ou le nom d'utilisateur Okta de l'utilisateur devant être affecté comme réviseur. Si l'expression ne renvoie pas de valeur pour le réviseur, le réviseur de secours est affecté comme réviseur pour les utilisateurs. Consultez Définir des réviseurs.

      Si la fonctionnalité Domaines Realm est activée, utilisez cette option pour limiter les réviseurs de campagne à un domaine Realm spécifique.

  2. Dans le champ Réviseur de secours, indiquez un utilisateur responsable de la révision de l'ensemble des éléments de révision.

    Lorsque la campagne est lancée, le propriétaire de l'application est désigné comme réviseur si le paquets de droits ou le propriétaire des droits n'est pas disponible. Si le propriétaire de l'application n'est pas non plus disponible, Okta assigne l'élément de révision au réviseur de secours indiqué dans les paramètres Réviseur de la campagne.

  3. Recommandé. Cliquez sur le lien Prévisualiser le réviseur et suivez les instructions dans l'interface utilisateur.

  4. Facultatif. Sélectionnez Désactiver l'auto-évaluation. Cette option vous permet d'autoriser ou de restreindre les auto-évaluations pour les campagnes en fonction de la criticité ou de la sensibilité des ressources incluses. Lorsque les auto-évaluations sont restreintes pour une campagne, vous ne pouvez pas approuver, révoquer ou réaffecter votre propre élément de révision. Cette option est activée par défaut pour les campagnes examinant l'accès aux rôles administrateur.

  5. Facultatif. Cliquez sur Ajouter un niveau pour ajouter un autre niveau de révisions et sélectionnez un type de réviseur.

  6. Si vous avez ajouté un second niveau de révisions, dans la section Paramètres de niveau supplémentaire, sélectionnez les décisions du réviseur de premier niveau qui doivent être prises en compte par le réviseur de second niveau.

    • Uniquement les décisions approuvées : le réviseur de second niveau est le réviseur final pour les décisions approuvées. Cette option permet aux réviseurs de second niveau de prendre une décision concernant les approbations des réviseurs de premier niveau, mais pas leurs décisions révoquées. Le réviseur de premier niveau est toujours le réviseur final pour les décisions révoquées.

    • Décisions approuvées et révoquées : le réviseur de second niveau est le réviseur final pour les décisions approuvées et révoquées. Cette option permet aux réviseurs de second niveau de se prononcer sur toutes les décisions qui ont été prises par le réviseur de premier niveau.

    • Utilisez le curseur pour déterminer la date à laquelle les révisions de second niveau commence. Ce nombre doit être inférieur à la durée de la campagne. Les révisions de second niveau commencent une fois les révisons de premier niveau terminées. Les révisions de premier niveau sont signalées comme étant en retard si les révisions sont en attente lorsque les révisions de second niveau commencent.

  7. Configurez les notifications :

    • Révisions affectées : les réviseurs reçoivent une notification par e-mail lorsque des éléments de révisions leur sont affectés au moment du lancement de la campagne et lorsqu'un élément de révision est réaffecté. En tant qu'administrateur, vous avez la possibilité de personnaliser l'e-mail reçu par les réviseurs au moment du lancement de la campagne. Consultez la section Personnaliser un modèle d'e-mail

    • Rappel pour les révisions en attente : les réviseurs ayant des révisions en cours reçoivent une notification par e-mail quelques jours avant la fin de la campagne. Vous pouvez choisir d'envoyer des rappels à mi-parcours de la campagne, le jour où la campagne se termine ou quelques jours avant.

      Les réviseurs de premier et de second niveau des campagnes comportant des révisions à plusieurs niveaux reçoivent ces rappels.

      En tant qu'administrateur, sélectionnez cette option si vous souhaitez recevoir un e-mail de rappel avant la date de fin prévue d'une campagne.

    • Rappels de retard pour les réviseurs de premier niveau : les réviseurs de premier niveau ayant des éléments de révision en attente reçoivent une notification par e-mail chaque jour suivant la fin des révisions de premier niveau et jusqu'à la fin de la campagne. Cette option est disponible uniquement pour les campagnes avec révisions à plusieurs niveaux.

    • Campagne terminée : les réviseurs reçoivent une notification par e-mail à la clôture de la campagne. En tant qu'administrateur, vous recevez automatiquement les notifications par e-mail lorsqu'une campagne que vous avez créée commence ou touche à sa fin. Vous recevez aussi une notification par e-mail comportant un lien vers la page de la campagne lorsque le lancement d'une campagne échoue.

  8. Sélectionnez l'une des options suivantes dans la section Paramètres de justification :

    • Facultatif : les réviseurs peuvent choisir de saisir un motif pour leur décision d'approuver ou de révoquer l'accès.

    • Requis pour la révocation de l'accès uniquement : les réviseurs doivent saisir un motif lorsqu'ils révoquent un accès.

    • Requis pour approuver l'accès et facultatif pour approuver l'accès : les réviseurs doivent saisir un motif lorsqu'ils révoquent un accès. Cependant, ils peuvent choisir de saisir un motif lorsqu'ils approuvent un accès.

    • Requis pour approuver et révoquer l'accès : les réviseurs doivent saisir un motif lorsqu'ils approuvent ou révoquent un accès.

    • Désactivé : les réviseurs n'auront pas la possibilité de justifier pourquoi l'accès a été approuvé ou révoqué.

  9. Configurez des paramètres supplémentaires pour les réviseurs :

    • Désactiver les décisions en bloc : sélectionnez cette option pour empêcher les réviseurs de sélectionner plusieurs révisions à approuver ou à révoquer. Les réviseurs peuvent toujours réattribuer plusieurs révisions à un autre utilisateur et doivent saisir la raison de cette réattribution.

    • Désactiver la réaffectation : sélectionnez cette option pour empêcher les réviseurs de réaffecter des éléments de révision à d'autres utilisateurs depuis l'application Okta Certifications d'accès Reviews. Cette option est activée par défaut pour les campagnes examinant les accès aux rôles administrateur. Cependant, les super administrateurs ou les administrateurs des certifications d'accès peuvent toujours réaffecter les éléments de révision à partir de la page de la campagne dans l'Console des administrateurs.

Configurer les paramètres de remédiation

  1. Déterminez ce qui se produit lorsqu'un réviseur approuve ou révoque l'accès d'un utilisateur à une ressource, ou ne procède pas à la révision. Si vous avez sélectionné Supprimer accès de l'utilisateur pour toute action de réviseur, la case à cocher Supprimer automatiquement l'accès basé sur les groupes est disponible.

  2. Facultatif. Sélectionnez Supprimer automatiquement l'accès basé sur les groupes pour permettre aux certifications d'accès de révoquer automatiquement les applications affectées à un groupe d'accès. Cela réduit le besoin de remédiations manuelles une fois qu'un réviseur a décidé de révoquer l'accès d'un utilisateur. Cependant, vous devez toujours procéder à la remédiation de l'accès des utilisateurs si l'application a été affectée à l'aide de règles de groupe ou si le groupe est un groupe provenant d'une application.

  3. Facultatif. Spécifiez jusqu'à 50 groupes dont les certifications d'accès peuvent supprimer les utilisateurs pour révoquer leur accès à l'application. Par défaut, les Certifications d'accès peuvent supprimer les utilisateurs de tous les groupes affectant des applications aux utilisateurs.

Vous avez également la possibilité de personnaliser la remédiation à l'aide d'Okta Workflows. Pour la plupart des campagnes, vous devez procéder à une remédiation manuelle des révisions si l'application d'un utilisateur ou l'affectation d'un groupe passe par l'intermédiaire de règles de groupe ou de l'appartenance à un groupe.

Pour mieux comprendre le fonctionnement de la remédiation, consultez Comprendre la remédiation.