Мова: Українська
Цей посібник призначений для ІТ-адміністраторів, які хочуть автоматизувати процес видалення користувачів з ActivityInfo.org, коли вони більше не є активними в їхній організації.
Вступ: Що таке автоматичне скасування доступу?
Багато організацій, особливо ті, що працюють з багатьма командами та людьми, вважають за краще вести єдиний централізований облік того, хто на них працює і до чого їм дозволено доступ. Постачальники ідентифікації (IdP) дають змогу централізовано керувати користувачами.
ActivityInfo підтримує єдиний вхід (SSO) через зовнішніх постачальників ідентифікації, таких як Microsoft Entra, Google Workspace та Okta. Це гарантує, що користувачам не доведеться запам'ятовувати додатковий пароль, а правила входу їхньої організації — такі як двофакторна автентифікація та умовний доступ — захищають їхні облікові записи ActivityInfo. Коли співробітник залишає організацію, він також втрачає доступ до ActivityInfo, оскільки більше не може увійти.
Однак, лише з SSO, користувач, який покинув організацію, залишається авторизованим для доступу до баз даних ActivityInfo, навіть якщо він не може увійти. Такий користувач продовжує вимагати ліцензію, ускладнює огляд того, хто насправді активний у базі даних, і вимагає регулярної ручної перевірки для видалення неактивних користувачів.
Система управління ідентифікацією між доменами (SCIM 2.0) — це відкритий стандартний протокол, який допомагає закрити цю прогалину. Він встановлює прямий зв'язок між постачальником ідентифікаційних даних організації та ActivityInfo. У поєднанні з SSO це означає, що користувачі не тільки втратять доступ до ActivityInfo, коли покинуть свою організацію, але їхній доступ та ліцензія також будуть автоматично відкликані.
Що відбувається, коли доступ користувача скасовано
Після налаштування синхронізації SCIM каталог вашої організації буде інформувати ActivityInfo.org щоразу, коли користувача буде вимкнено у вашому каталозі.
ActivityInfo буде автоматично переглядати список вимкнених користувачів щодня. Будь-якому користувачеві, який був вимкнений більше 72 годин, буде скасовано доступ.
Коли доступ користувача скасовано, його роль у всіх базах даних, до яких він має доступ, буде відкликана, так само, якби адміністратор бази даних відкликав його доступ.
Відкликання буде записано в журналі відстеження, а контакти з питань безпеки бази даних будуть сповіщені емейлом.
Якщо користувачеві, якому скасовано доступ, було надано запрошення до баз даних, що належать іншим організаціям на платформі ActivityInfo.org, його роль у цих базах даних також буде відкликана. Наприклад, якщо ви є неурядовою організацією, що працює в гуманітарній сфері, ваші співробітники, ймовірно, були запрошені до бази даних ООН. Ваші співробітники використовують один і той же обліковий запис ActivityInfo.org для доступу до обох, і їхня роль у цих базах даних також буде відкликана.
Покрокова конфігурація
Крок 1: Прив'яжіть домени ел. пошти до вашого платіжного облікового запису ActivityInfo.org
Перш ніж ви зможете синхронізувати дані між вашим постачальником ідентифікаційних даних та ActivityInfo, вам потрібно підключити ваші домени ел. пошти до ActivityInfo.org. Це дає вам дозвіл активувати та деактивувати користувачів у межах цих доменів ел. пошти.
Перейдіть до вашого платіжного облікового запису з меню профілю. Потім перейдіть до розділу "Домени ел. пошти". Переконайтеся, що ВСІ домени вашої організації перераховані тут. Якщо якісь домени відсутні, надішліть запит до нашої служби підтримки зі списком доменів. Ми перевіримо, що ви є власником доменів, і прив'яжемо їх до вашого облікового запису.
Крок 2: Увімкніть синхронізацію SCIM 2.0
Далі, згенеруйте токен SCIM і дотримуйтесь інструкцій для вашого постачальника ідентифікаційних даних, щоб увімкнути синхронізацію:
Ви повинні синхронізувати всіх користувачів у каталозі вашої організації з ActivityInfo. Якщо ви обмежите синхронізацію меншою групою, то користувачі поза цією групою будуть відображатися в ActivityInfo як неактивні, і їхній доступ буде автоматично скасовано.
Крок 3: Перевірка синхронізації
Після того, як ви увімкнули синхронізацію SCIM 2.0, повна синхронізація з вашим каталогом може зайняти день або більше, залежно від розміру вашої організації.
Виберіть домен, щоб побачити статус синхронізації. Бічна панель показує:
- Всього облікових записів користувачів: загальна кількість користувачів з цим доменом емейлу, які мають обліковий запис на ActivityInfo.org. Це включає в себе користувачів, які були запрошені, тих, хто зареєструвався для безкоштовних пробних версій, та будь-яких користувачів, синхронізованих з вашого каталогу в ActivityInfo через SCIM.
- Підготовлено (активно): кількість цих користувачів, які є активними в каталозі вашої організації, згідно з SCIM.
- Деактивовано (неактивно): Кількість користувачів, які є неактивними в каталозі вашої організації, згідно з SCIM.
- Ніколи не надавалося: Кількість користувачів з обліковим записом в ActivityInfo, які ніколи не були синхронізовані з вашого каталогу, ні активні, ні неактивні. В основному це користувачі, які мали обліковий запис на ActivityInfo.org до того, як була увімкнена синхронізація SCIM.
- Автоматичне скасування доступу: Чи буде автоматично скасовано доступ до ActivityInfo користувачам, які позначені як неактивні в каталозі вашої організації, згідно з SCIM.
Ви також можете натиснути кнопку "Попередній перегляд деактивації", щоб згенерувати звіт, який показує, яким користувачам буде скасовано доступ:
| Платіжний обліковий запис | База даних | ID бази даних | Ім'я | Емейл | Статус підготовки ||-----------------|--------------------------------------|-------------|-------|-------------------|---------------------|| Моя організація | Глобальний M&E | c32434234 | Боб | bob@example.org | INACTIVE | | Моя організація | Глобальний M&E | c32434234 | Аліса | alice@example.org | NONE | | Моя організація | Проєкт Того-Ананас | c2ad3kmgfg | Аліса | alice@example.org | NONE | | UNOCHA | Модуль країни HPC.tools: Нігер 2026 | cbjjj4333 | Боб | bob@example.org | NONE |
У наведеному вище експорті, доступ для Боба та Аліси буде відкликано з бази даних "Глобальний M&E" вашої організації, а роль Аліси буде відкликана з бази даних на рівні країни в Того.
Боба було явно позначено як "Inactive" (Неактивний) у вашому каталозі, що означає, що він покинув організацію в якийсь момент після того, як ви увімкнули синхронізацію SCIM.
Однак ActivityInfo ніколи не отримував жодної інформації з вашого каталогу про Алісу. Це може означати, що вона покинула організацію до того, як була увімкнена інтеграція SCIM, або це може означати, що вона якимось чином не потрапила до синхронізації через неправильну конфігурацію у вашому постачальнику ідентифікаційних даних. Двічі перевірте ці записи, перш ніж продовжувати.
Також є запис про доступ Боба до звітної бази даних UNOCHA в Нігері. Як тільки ви увімкнете автоматичне скасування доступу, роль Боба також буде відкликана з цієї бази даних, навіть якщо вона не належить вашій організації. Це покращує безпеку облікових записів для вашої організації та ваших партнерів.
Крок 4: Увімкніть автоматичне скасування доступу
Після того, як ви переконалися, що синхронізація правильна, натисніть Увімкнути автоматичне скасування доступу, а потім підтвердьте.
Це запустить пакетне завдання для відкликання доступу для всіх користувачів, позначених як неактивні, або для яких ми не отримали оновлення з вашого каталогу ("NONE" у вищенаведеному експорті). Після завершення цього процесу буде увімкнено автоматичне скасування доступу, і доступ користувачів, позначених як вимкнені у вашому каталозі, буде постійно відкликатися.
Ви повинні повторити цей процес для кожного домену емейлу, прив'язаного до вашого платіжного облікового запису.