RBAC (Rollenbasierte Zugriffskontrolle)

Ein Berechtigungsmanagement Sytem auf Basis von Rollen (RBAC) zeigt auf, welche Ressourcen ein Mitarbeiter, auf der Basis seiner Funktion/Rolle in der Organisation bzw. im Netzwerk zugeteilt bekommt.

Das Erstellen einer RBAC-Matrix ist hauptsächlich eine organisatorische Angelegenheit. Eine RBAC-Matrix zu erstellen, die alle Möglichkeiten abdeckt, ist oft eine Utopie, kostet viel Mühe und dauert Monate, ja oft sogar Jahre. Wird die RBAC-Matrix dann nicht richtig gepflegt, gibt es oft nach kurzer Zeit wieder beinahe genau soviele Einträge wie Mitarbeiter, die im Unternehmen beschäftigt sind.

Um zu einer schnellen und ergebnis-orientierten Installation von RBAC zu kommen, unterstützt UMRA verschiedene Optionen:

Keine RBAC-Matrix vorhanden

Wenn kein RBAC-Matrix vorhanden ist, wird oft mit "einer Kopie der Rechte und Anwendungen eines bestehenden Users" oder mit einem bestimmten Referenz-Benutzer gearbeitet. Der Nachteil dieser Vorgehensweise ist, dass die Richtigkeit nicht überprüft wird und dass auf Dauer Mitarbeiter viel zu viele Rechte im Netzwerk haben. Zielstellung ist oft, dennoch die heutige Methode (bestehende User kopieren oder Referenz-User verwenden) in der ersten Phase von UMRA anzuwenden, um eine schnelle Installation zu garantieren (eine Abhängigkeit von einem RBAC-Projekt verzögert eine IDM-Installation oft um Monate, wenn nicht sogar Jahre). Benutzerkonten werden auf jeden Fall einheitlich angelegt. Es ist ein Ausgangspunkt geschaffen worden, um Informationen zum Füllen der leeren RBAC-Matrix zu sammeln.

Eine RBAC-Matrix ist teilweise vorhanden

Das vollständige Erstellen einer RBAC-Matrix ist lästig. Relativ einfach jedoch ist eine RBAC-Matrix auf Abteilungsebene (teilweise) zu erstellen. Dort gibt es oft eine grosse Gruppe von Mitarbeitern, bei der es sehr einfach ist, die RBAC-Matrix vollständig zu erstellen. Eine auf diese Art teilweise erstellte RBAC-Matrix ist schon ein grosser Vorteil im Benutzerverwaltungsprozess.

Für einen neuen Mitarbeiter können so die Berechtigungen auf Unternehmensebene (Anmelden, Textverarbeitung, Email) und Abteilungsebene (Zugang zu Abteilungs-Share und –Anwendungen) sofort gesetzt werden. Der neue Mitarbeiter kann schon in den ersten Tagen arbeiten und für das Setzen von weiteren spezifischen Berechtigungen ist Zeit geschaffen.

Die Berechtigungsvergabe an hand der ausgeführten Funktion oder Tätigkeit des Users findet dann adhoc und manuell statt und kann sogar an den verantwortlichen Manager oder Ressourcen-Eigentümer delegiert werden (sg. Critical Group Management).

Wenn Critical Group Management angewendet wird, bekommt ein User erst zusätzliche Berechtigungen nachdem z.B. der verantwortliche Manager oder der 'Ressourcen-Eigentümer' dies mit Hilfe eines Workflows ausdrücklich bestätigt hat.

Damit sie den Überblick behalten, bekommen die verantwortlichen Manager oder die 'Ressourcen-Eigentümer' z.B. monatlich eine Übersicht welche User Zugriff auf 'kritische' Ressourcen haben. Anhand dieses Reports können sie, wenn notwendig und von einem Workflow unterstützt, Änderungen von der EDV-Abteilung durchführen lassen oder diese sogar selbständig durchführen .

Die Entscheidungen der Manager können sogar von UMRA gespeichert und für die eventuelle Erweiterung der RBAC-Matrix verwendet werden.

Eine vollständig erstellte RBAC-Matrix ist vorhanden

Es ist schwierig, eine RBAC-Matrix vollständig zu erstellen. Letztendlich ist abder diese Matrix ein perfektes Instrument, um für jeden Mitarbeiter die richtigen Berechtigungen und Anwendungen zu gewähren. UMRA setzt über die RBAC-Matrix die richtigen Berechtigungen und Anwendungen für einen neuen Mitarbeiter, aber auch, wenn sich seine Funktion ändert und/oder er die Abteilung wechselt. Auch die komplexeren Situationen werden unterstützt, z.B. wenn ein Mitarbeiter in Teilzeit in zwei verschiedenen Abteilungen arbeitet, oder ein Mitarbeiter für eine bestimmte Zeitspanne Arbeit für die Abteilung erledigt, von der er/sie kam, usw. Mit UMRA ist es möglich, die RBAC-Informationen in UMRA selbst zu hinterlegen und/oder dass UMRA die RBAC-Informationen aus einer (angepassten oder Standard) Software-Anwendung eines Drittherstellers auswählt.