我已经设置了所有目录,并允许使用所需的最少访问策略设置许多安全组.我的问题是因人力资源和合规性原因而全部跟踪.
用户A需要资源1的许可.他需要得到资源1经理的批准,然后经理的经理也需要批准这种访问.完成所有这些后,我可以进行更改.此时我们只是在纸上跟踪它,但这是一个负担,并且当重新分配用户A并且不再能够访问其他方案中的资源1时,可能会失去合规性.
我知道我在找什么应该已经存在,但我不知道在哪里看,我正在接触社区.
编辑：
谢谢你的回复.我认为他们涉及技术方面,希望我的问题不是偏离主题的.我应该让自己更清楚自己的目标.您使用什么系统向审核员显示在X日期用户A是否已添加/删除权限并且经由Y经理批准？我目前有一个基本的票务系统,但我不认为它以易于理解的格式提供我需要的东西.
在我看来,我正在想象一些会有用户A的报告,它会显示对他们的权限所做的所有更改.理想情况下链接到Active Directory的东西是理想的,但此时我希望找到更基本的东西.我希望有一个专门针对此的应用程序.我觉得这必须是大企业的要求,并且存在这样的软件.
谢谢！
>为特定用户更改(添加或删除)权限的时间戳
>为什么他们被改变了
>能够搜索这些更改
几乎所有票务系统都已经以票证创建日期,修改日期等形式向您提供#1.#2由您自行记录票证.通常它是来自资源管理器的批准电子邮件,粘贴到票证中,表示他们可以访问(或访问应该被删除)以及什么样的. #3是最重要的,取决于票务系统,但如果您的系统不易搜索,那么您的工作就会被删除.如果您只是由用户进行搜索,以便所有许可票证都与票务系统中的联系信息相关联,那么您就是好的,否则您实际上是将您的更改记录到黑洞中.
在票务系统之外可以执行此操作来跟踪更改(您提到您有一个基本的票务系统,因此您可能需要获得更好的搜索/报告功能),您使用的任何应用程序,实用程序或脚本将仅提供权限的快照.你仍然坚持“为什么？”谁可以访问什么,只能与应用程序分开正确记录,因为您可能需要从资源管理器捕获原始电子邮件或其他批准文本.一旦你有了,你在哪里把它与应用程序的结果联系起来？
运行应用程序或脚本以确定文件结构中的当前权限也不会为您提供用户权限更改的良好审计跟踪.您基本上只能在一个时间点获得当前权限的大快照.当您再次运行它时,您将拥有另一个文件权限的大快照.即使您保留了第一个权限捕获并将其与最近的捕获进行比较,并且权限已更改,您如何将其与更改的原因联系起来？再次,这将我们带回到票务系统,因为上面的#1,2和3将全部记录在一个地方.
您提出的另一个问题是权限蠕变(当用户被重新分配给另一个权限并且不再需要访问资源X,但无论如何都要保留它,因为他们不再需要访问资源X的事实不是由IT运行的过渡期间的部门).控制此问题的唯一方法是告知HR或处理员工重新分配的人员,当员工被重新分配时,需要通知IT,以便他们可以适当地分配和撤销权限.而已.没有神奇的应用程序可以告诉您用户可以访问资源X,但不应该再这样了,因为他们的工作现在是Y.当发生这种情况时,必须以某种形式提供人工通知.
