Kontrolované a zakázané organizace v CzechIdM

V tomto článku vás seznámím s novou funkcionalitou v CzechIdM, která umožňuje snazší implementaci centrální správy uživatelů ve společnostech se složitější organizační strukturou, což byl případ jednoho z našich zákazníků. Jedná se o funkcionalitu zakázaných organizací. Ta umožní vyjmout ze správy administrátora nějakou organizaci, ačkoliv ten samý administrátor spravuje její nadřazenou organizaci.

Centrální a lokální administrátoři

Do administrátorského rozhraní mají přístup všichni uživatelé, kteří mají v CzechIdM přidělenou nějakou roli typu „ADMIN“. Každá taková role přiřazuje svým držitelům rozličná oprávnění (čtení či editace uživatelů, rolí, systémů,…) na základě konkrétního nastavení. Ovšem aby mohl administrátor spravovat uživatele v CzechIdM, musí navíc kontrolovat tu organizaci, v níž je uživatel zařazen (tj. uživatelovu domovskou organizaci). Podobně je to i s organizacemi; administrátor může spravovat jen ty organizace, které kontroluje.

Administrátorovi je tedy možné nastavit buď plná práva na všechny uživatele, nebo vytvořit lokálního administrátora, který kontroluje pouze určitou část organizační struktury (jednu nebo více organizací). Organizační struktura je stromová; mluvíme tedy o nadřazených a podřazených organizacích, přičemž celý organizační strom má v CzechIdM jeden kořen – organizaci „top“.

Pokud administrátor kontroluje organizaci „top“, znamená to, že vidí všechny uživatele a organizace. Příkladem takového uživatele je třeba „admin“, který existuje v každé instanci CzechIdM jako centrální administrátor.

Stromová organizační struktura

Při nastavování kontrolovaných organizací se uplatňuje jednotný princip, že kořen organizačního podstromu reprezentuje celý podstrom. Má-li tedy administrátor nastavenou organizaci „Celá firma“ ve svých kontrolovaných organizacích, znamená to, že kontroluje nejen uživatele umístěné přímo v organizaci „Celá firma“, ale také uživatele z jejích podřazených organizací (např. „Ředitelství“, „Odbor účetnictví“,…).

Tento princip by v ideálním případě stačil k tomu, aby se dala nastavit libovolná potřebná kombinace kontrolovaných organizací pro administrátory. Nicméně reálné situace zřídka bývají ideální a někdy může být potřeba, aby administrátor měl možnost spravovat nadřazenou organizaci, ale ne všechny její podřazené organizace. Například aby mohl spravovat uživatele v organizaci „Celá firma“, ale ne uživatele v její podorganizaci „Ředitelství“. Ideální řešení by bylo upravit organizační strukturu či umístění uživatelů v ní tak, aby takovéto výjimky neexistovaly. To však samozřejmě není vždy možné. Proto vznikly tzv. zakázané organizace.

Zakázaná organizace je výjimka z kontrolovaných organizací. V příkladu uvedeném výše jednoduše nastavíme administrátorovi, aby kontroloval „Celou firmu“, ale aby měl zakázané „Ředitelství“. Po přihlášení do CzechIdM pak bude moci spravovat uživatele celé firmy kromě uživatelů z organizace „Ředitelství“ a jejích podřazených organizací; tyto uživatele ani neuvidí ve výpisu uživatelů.

Kontrolované a zakázané organizace

Kontrolované a zakázané organizace

Bezpečnost

Při implementaci zakázaných organizací bylo třeba důkladně promyslet všechny možnosti. Je zásadní, aby uživatel, kterému je tímto způsobem zakázán přístup ke správě části organizační struktury, skutečně nemohl žádným způsobem ovlivnit její nastavení. To znamená:

  • nesmí mít možnost vytvářet, editovat či mazat uživatele z nějaké své zakázané organizace
  • uživatelům, které má ve správě, nemůže nastavit, aby kontrolovali nějakou organizaci, které leží mimo jeho vlastní kontrolu (ať už přidělením kontrolované organizace, nebo odebráním zakázané organizace)
  • uživatelům, které má ve správě, nemůže odebrat kontrolu nad organizací, která leží mimo jeho vlastní kontrolu (ať už odebráním kontrolované organizace, nebo přidáním zakázané)

Při administraci tedy může dojít třeba k následující situaci:

  1. Administrátor kontroluje organizaci „top:Celá firma“ a má zakázanou organizaci „top:Celá firma:Ředitelství“.
  2. Uživatel je zařazen v organizaci „top:Celá firma“ (takže ho administrátor může spravovat) a na začátku nekontroluje žádnou organizaci.
  3. Administrátor nastaví do kontrolovaných organizací uživatele organizaci „top:Celá firma“.
  4. Uživatel má ve výsledku kontrolu nad organizací „top:Celá firma“, ale má zakázanou organizaci „top:Celá firma:Ředitelství“. Tuto zakázanou organizaci totiž přidalo automaticky CzechIdM při uložení změn nad uživatelem. To proto, že administrátor nesmí nikomu nastavit kontrolu nad „Ředitelstvím“, které sám nekontroluje.

Obdobně se CzechIdM chová i při odebírání kontrolovaných organizací či přidávání/odebírání zakázaných organizací.

Kontrola oprávnění administrátora se provádí na úrovni GUI i v backendu. Na úrovni GUI lze měnit přiřazení kontrolovaných a zakázaných organizací pouze v tom rozsahu, na který má administrátor oprávnění. Pokud by chtěl nastavit uživateli takovou kombinaci, která by vedla k nesmyslnému stavu (např. kontrolovaná organizace by ležela pod zakázanou organizací), CzechIdM by neumožnilo nastavení uložit.

V backendu se kontroluje oprávnění vždy v rámci metody Data.checkinView (což je jediná metoda, přes kterou lze uložit tzv. view – „pohled na uživatele“ – do databáze). Ani při vynechání kontroly oprávnění v GUI tedy nelze nastavit nic, co by bylo v rozporu s oprávněními přihlášeného uživatele.

Závěr

V tomto článku jsem vám představila jednu z nových vlastností CzechIdM. Pokud by vás zajímaly detaily jejího chování či podrobnosti implementace, neváhejte mi napsat na e-mail info@bcvsolutions.eu.