Autentisering
Autentisering av en bruker innebærer å bekrefte brukerens identitet. Den vanligste metoden er at brukeren oppgir brukernavn og passord. Ofte delegerer en tjeneste autentisering til en dedikert autentiseringtjeneste, slik som Weblogin.
Autorisasjon
Autorisasjon av en bruker innebærer å fastslå hva slags tilganger en bruker skal ha i en tjeneste. Den vanligste metoden er å bruke informasjon fra brukerobjektet til å styre hva slags tilganger brukeren skal ha i tjenesten. Oftest har tjenesten fått provisjonert brukerobjekteter på forhånd.
Autoritativt system
Også kalt kildesystem. Ofte har flere systemer behov for samme data, og dataobjektet vil da kopieres og eksistere i flere ulike systemer. For å sikre at dataene er konsistente definereres et av systemene som autoritativt for et gitt dataobjekt. Det er da dette systemet som 'eier' dataobjektet. I praksis kan dataobjektet kun endres i det autoritative systemet, og de andre systemene må sende eventuelle endringsønsker til det autoritative systemet.
Bilagslønnede og timelønnede (UiO)
Bilagslønnede er arbeidstakere som skal utføre et oppdrag til en avtalt kostnad. Disse blir ikke overført til Cerebrum med mindre de er tildelt en gjesterolle. Det har vært forsøkt å gi status aktiv/fratrådt tilsvarende lengde på kontrakt, eller innenfor gitte rammer rundt dette, men dette har vist seg for omfattende å administrere. Grunnen til dette er at denne gruppen ansatte ofte har tilknytning til UiO flere steder, og/eller kan ha flere kontrakter samtidig. Da man ikke har en kjent sluttdato avsluttes disse personene i SAP etter en rutine, hvor man etter at feriepenger er utbetalt, sjekker om det er personer i gruppen som ikke har fått lønn samme år eller året før, og at de ikke ligger med en gjesterolle.
Timelønnede er ansatte som lønnes etter timelister. Personen knyttes til egne organisasjonsenheter beregnet på kun timelønnede (ofte ikke egen stedkode, men egen org.enhet). Det har vært forsøkt å gi status aktiv/fratrådt tilsvarende lengde på kontrakt, eller innenfor gitte rammer rundt dette, men dette har vist seg for omfattende å administrere. Grunnen til dette er at denne gruppen ansatte ofte har tilknytning til UiO flere steder, og /eller kan ha flere kontrakter samtidig. Denne gruppen ansatte overføres til Cerebrum, og lokal-IT kan opprette bruker. Da man ikke har en kjent sluttdato avsluttes disse personene i SAP etter en rutine, hvor man etter at feriepenger er utbetalt, sjekker om det er personer i gruppen som ikke har fått lønn samme år eller året før. Disse personene fratres så i SAP, og brukeren avsluttes.
Dette med egen orgenhet stemmer vel ikke? Ihvertfall ikke på USIT. Burde vi ha mer detaljer fra SAP?
Brukeradministrativt system - BAS
Et BAS håndterer informasjon om brukere. Det genererer og lagrer brukere/brukerobjekter, og sørger for at brukerobjektene tilgjengeligjøres for andre systemer. Cerebrum er BAS ved UiO.
Grupper (Cerebrum)
Grupper i Cerebrum er en definert samling brukere. Brukere kan meldes inn og ut av grupper ved behov. Grupper kan dermed brukes til å samle alle brukere som har et fellestrekk, under en referanse, feks. alle saksbehandlere for en spesifikk saksbehandlingskø. Grupper er veldig godt egnet til å definere tilgang til IT-systemer.
Identity Management - IdM
Identitetsforvaltning er den komplette, gjerne sammensatte løsningen, der identiteter forvaltes. Det inkluderer autoritative systemer for personer/personobjekter og brukere/brukerobjekter. Ved UiO er IdM-løsningen sammensatt av SAPUiO, FS og Cerebrum.
IT-tilgang og styring
Med IT-tilgang menes rettigheter til å logge inn og utføre handlinger på et IT-system. Detaljgraden i rettigheter kan spenne fra ren innlogging til hver enkelt spesifikke handling, avhengig av hva som er ønskelig og mulig i et gitt IT-system. IT-tilganger er tilknyttet 'bruker', som ikke er det samme som 'person'. Styring av IT-tilgang kan sentraliseres, feks. i et sentralt BAS (Brukeradministrasjonssystem), eller desentraliseres ved at tilganger styres direkte i hver enkelt IT-system.
Prosjektets betraktninger (ikke en del av definisjonen):
Situasjonen ved UiO er at vi har en blanding, uten en klar definisjon av grensen for hva som skal styres sentralt og hva som skal styres lokalt. En sterkere sentralisering vil gi langt bedre oversikt og kontroll over IT-tilganger. Innføring av en sterkere sentralisering vil medføre kostnader på kort sikt, men er totalt sett et kostnadsreduserende tiltak.
IT-tilgang vs fysisk adgang
Tilgang til IT-systemer (IT-tilgang) er noe som knyttes til 'bruker', mens adgang til fysiske bygninger og rom er noe som knyttes til 'person'. Det er ikke et 1-til-1 forhold mellom personer og brukere. Fra et IT-faglig perspektiv betyr dette at det en fundamental forskjell mellom de to problemstillingene IT-tilgang og fysisk adgang.
Prosjektets betraktninger (ikke en del av definisjonen):
Det er ingen sterke IT-faglige argumenter for at de to problemstillingene bør behandles under ett. En utvidelse prosjekt for IT-tilgangsstyring til å inkludere fysisk adgang vil gjøre prosjektet betydelig større og unødvendig mer komplisert. Begge problemstillinger kan og bør løses, men de løses best i separate prosjekter eller faser i et prosjekt. Anbefalingen fra prosjektet er at problemstillingen rundt IT-tilganger løses først, og deretter problemstillingen rundt fysisk adgang.
Person-, og brukerobjekter
En 'person' er en faktisk person som er representert elektronisk i personalsystemet for ansatte (SAPUiO), eller i personalsystemet for studenter (FS). Fra IT-systemenes perspektiv er hver enkelt person representert ved et dataobjekt, også kalt personobjektet, som inneholder data som logisk tilhører personen, slik som personalia.
En 'bruker', derimot, representerer en unik elektronisk identitet som brukes for å styre tilgang til IT-systemer. Hver enkelt bruker er representert ved et dataobjekt, ofte kalt brukerobjektet, som inneholder en unik id, som regel passordinformasjon, og data som lagrer informasjon om hva slags IT-tilganger brukeren har.
Det er ikke et 1-til-1 forhold mellom personer og brukere, og de kan følgelig ikke slås sammen. Noen eksempler:
- Ikke alle personer skal ha IT-tilganger, og har dermed ikke behov for en bruker.
- Noen personer har behov for flere brukere.
- Noen personer er representert ved to personobjekter (feks. en som er både student og ansatt), men trenger kun en bruker.
- Noen brukere er ikke knyttet til en person.
Primærbruker (Cerebrum)
En person kan ha flere brukere, men kun en av disse er definert som primærbruker. Dette er i henhold til Feide sine krav. Primærbrukaren er den brukaren som vil vere tilgjengelig i system som baree skal ha ein brukar per person, som Feide. Hvilken bruker som er primærbruker styres av personens primærtilknytning. Dette styrer samtidig også primær e-postadresse.
Provisjonering
Provisjonering av brukere til et system innebærer at systemet får overført kopier av brukerobjekter for alle brukere som skal ha tilgang, før brukerne ber om tilgang. Systemet bruke så de provisjonerte brukerobjektene til å autentisere og/eller autorisere brukere for tilgang i systemet. Dette er en velprøvd og utbredt metode for å håndtere tilgang. I senere tid er det kommet ny teknologi som muliggjør autentisering og autorisasjon uten å provisjonere i forkant.
Spread (Cerebrum)
For at en bruker skal provisjoneres fra Cerebrum til et annet IT-system, må brukeren markeres for dette. I Cerebrum gjøres dette ved å markere at brukeren skal ha et 'spread'. Dette er et Cerebrum-internt teknisk begrep, og anbefales ikke brukt utenfor Cerebrum.
Tilknytninger (Cerebrum)
I Cerebrum er tilknytning (affiliation) et begrep som beskriver en person eller en brukers tilknytninger gjennom tre attributter:
- Type (feks. ansatt, student, manuell).
- Organisatorisk enhet (normalt representert ved stedkoder).
- Kildesystem (autoritativt system for tilknytningen).