Automatikk for sperring av brukere uten persontilknyttingner

Introduksjon

Når en person slutter som student eller ansatt, vil personen miste sine tilknytninger til institusjonen. Personens brukerkontoer vil fortsette å være aktive, selv om personen mister sine tilknytninger. De fleste institusjoner vil ønske at personer som har vært tilknyttet, ikke lenger har tilgang til IT-systemene. Tidligere har brukerkontoer blitt sperret en gang hvert semester ved manuell start av funksjonalitet for karantenesetting. Cerebrum kan nå tilby automatisk funksjonalitet som håndhever karantener basert på om en person er tilknyttet eller ikke.

Virkemåte

Følgende er en grov stikkordsliste over flyten i automatikken (med kriterier):

1. Automatikken finner alle personer uten tilknytninger
2. For hver person funnet av automatikken i steg 1 utføres:
   1. Alle personens brukerkontoer finnes frem
   2. For hver av brukerkontoene utføres:
      1. Prøv å sende en epost til brukerkontoens primæradresse om at brukerkontoen får tildelt en karantene.
      2. Hvis eposten ikke kunne sendes, rapporter feilen, og fortsett til neste brukerkonto.
      3. Sett en karantene på brukerkontoen hvis brukerkontoen ikke har noen aktive karantener og det ikke er satt en karantene som vil tre i kraft innen offsettet (se punkt 2 under Ta i bruk).

Funksjonaliteten går altså gjennom alle personer registrert i Cerebrum, og plukker ut de som ikke er tilknyttet institusjonen. For hver av disse personene, sjekkes det deretter om brukerkontoene den aktuelle personen eier er satt i karantene. De brukerkontoene som ikke allerede er i karantene, eller som har en karantene som trer i kraft innen et gitt tidsrom (se punkt 2 under Ta i bruk) vil få satt en ny karantene. Hvis brukerkontoen allerede har en aktiv karantene, vil ingen ny karantene bli satt.

Det er også mulig å varsle personene som får brukerkontoer satt i karantene om at dette skjer. Det vil da bli forsøkt å sende en E-post til brukerkontoens primæradresse, med informasjon om at en karantene er satt, at den vil trå i kraft i løpet av et gitt antall dager og hvem som kan kontaktes for mer informasjon. Hvis brukerkontoen ikke har en primæradresse tilknyttet, vil ikke brukerkontoen bli satt i karantene, men det inntrufne blir rapportert og eventuelt manuelt behandlet.

Ta i bruk

Valg som må avklares

1. Hvilken karantene skal settes på brukerkontoer?
   'auto_no_affiliations' karantenen bør velges, men andre karantener kan settes.
2. Hvor mange dager fram i tid (eller tilbake) skal karantenen virke i fra?
   Eksempelvis 7 dager hvis det sendes ut epost, så personen har mulighet til å ta kontakt med IT-avdelingen i tilfelle det er en feilregistrering.
3. Hvordan skal ordlyden være i en eventuell epost?
   Forslag følger:

   From: noreply@usit.uio.no
   Subject: Setting av karantene på kontoen '${USERNAME}'
   
   Norsk
   -----
   
   Din konto '${USERNAME}' vil bli sperret om ${DAYS_TO_START} dager.
   Grunnen til dette er at du ikke lenger er registrert med noen aktiv
   tilknytting til UiO.
   
   Dersom du har spørsmål til det som står her, ber vi deg kontakte din
   lokale IT-ansvarlige eller din personalavdeling.
   
   Dette er en automatisk utsendt e-post, det er ikke mulig å svare til
   avsender av denne meldingen.
   
   Hilsen USIT
   
   English
   -------
   
   Your account '${USERNAME}' will be blocked in ${DAYS_TO_START} days.
   The reason for this is that you are not registered with an affiliation
   to UiO anymore.
   
   If you have any questions regarding this, please contact your local
   IT-support or your HR-department.
   
   This is an automated e-mail, it is not possible to reply to this
   address.
   
   Best regards, USIT

4. Hvem er avsender på e-brevet?
5. Hvem er reply-to?
6. Skal det sendes kopi av e-brevet til noen?
7. Hvor ofte (og når) skal automatikken kjøre?

Forberedelser

Før automatikken blir satt i produksjon må følgende utføres:

1. Cerebrum oversender en liste til institusjonen. Listen er en oversikt over konsekvensene ved første kjøring av automatikken (hvilke brukerkontoer som blir satt i karantene).
2. Institusjonen må gå gjennom listen, og bekrefte ovenfor Cerebrum at dette er ønskede endringer, og at det er OK å produksjonssette.

Grunnen til at det er viktig at disse stegene gjennomgås, er at det er en stor sannsynlighet for at det er en større mengde brukerkontoer som settes i karantene ved første kjøring. Dette resulterer i at brukerkontoene ikke kan brukes, og at det blir en stor strøm av misfornøyde brukere.

Konsekvenser

Feilregistreringer

Hvis en person blir feilregistreringer i SAP eller FS kan resultatet bli følgende:

• Det blir sendt ut varsel om stengning til personens brukerkontoer
• Personens brukerkontoer blir satt i karantene.

Hvis en person uheldigvis skulle bli feilregistrert i et av kildesystemene, kan man legge en manuell tilknytning til personen i BOFH. Da vil ikke personens brukerkontoer bli sperret ved automatikkens neste kjøring, og man har bedre tid til å rette feilregistreringen i kildesystemet.

Kjøretider og tidsrom før karantene trer i kraft

De følgende to eksemplene skisserer ulike resultater av når karantener vil virke fra, ved forskjellige valg av når automatikken kjører og hvor lang tid det vil ta før nye karantener trer i kraft. Når de nevnte valgene skal tas, må man overveie om brukerkontoer skal miste tilgangen til IT-systemene innen et gitt tidsrom, eller om man vil prøve å rette innkommende saker om tapte tilknytninger mot en spesifikk dag i uken.

Hvis automatikken kjører på (f.eks.) mandager, og antallet dager til karantenene som blir satt skal virke fra er 7, vil brukerkontoer tilhørende personer uten tilknytninger ha tilgang til IT-systemene maksimalt 13 dager etter at en person har mistet sine tilknytninger.

Kjører man automatikken daglig, vil brukerkontoer maksimalt ha tilgang til IT-systemene i antallet dager karantenen skal virke fra.