खातों के साथ नरक - क्यों एक कंपनी में कर्मचारियों की तुलना में 3 गुना अधिक उपयोगकर्ता थे

प्रेडस्टोरिया । एक उत्पादन कंपनी में लगभग दो दर्जन (!) कार्मिक आधार थे। ये अलग-अलग विभाजनों के आधार हैं, और प्रत्येक में कई सौ लोग हैं। केवल लगभग 10 हजार कर्मचारी। सिस्टम व्यवस्थापक सक्षम है, एक कार्यशील एमएस सक्रिय निर्देशिका है।

खोज उस समय शुरू हुई जब सुरक्षा गार्डों ने एक निश्चित पेट्रोव की जाँच करने के लिए कहा। उनकी भावनाओं के अनुसार, इकाइयों के अनुरोध पर उन्हें और अधिक अधिकार दिए गए थे। व्यवस्थापक को इन सभी कागज़ात दस्तावेज़ों को संग्रह से निकालना था और कंपनी के आधे हिस्से को बायपास करना था। एक कर्मचारी की खातिर। जबकि उन्हें लगभग दो सप्ताह हो गए, उन्होंने पूरे विभाग की जाँच करने का निर्णय लिया।

उसी समय, व्यवस्थापक ने एक और भयानक बात को समझा: वास्तव में, कंपनी अपने सिस्टम में खातों की तुलना में लगभग तीन गुना कम लोगों को नियुक्त करती है। क्यों? हां, सब कुछ सरल है: लेखांकन रिकॉर्ड लिखित अनुरोधों पर किए गए थे, और बर्खास्तगी और स्थानांतरण पर, वे अक्सर अपनी स्थिति को अपडेट करना भूल गए थे।

इस बिंदु पर, हमने खातों और एक्सेस अधिकारों, ईडीएम के प्रबंधन के लिए एक सामान्य समाधान के कार्यान्वयन पर काम करना शुरू कर दिया। शुरू करने के लिए, मुझे विखंडन से छुटकारा पाना था और सभी कर्मियों के ठिकानों को एक मध्यवर्ती कार्मिक प्रणाली में कम करना था। उसे नए रिपॉजिटरी सेंटर के माध्यम से एक्टिव डायरेक्ट्री से जोड़ा गया था। फिर हमने शेष व्यापार प्रणाली को इस तरह भंडार से जोड़ा:



फिर हमने सभी अनावश्यक खातों को हटा दिया, केवल वास्तविक कर्मचारियों को छोड़ दिया (उसी समय हमने एक-दो जोड़े को देखा, लेकिन सक्रिय रूप से प्रवेश कर रहे थे)। तब उन्हें कुछ बहुत ही अजीब लोग मिले ...

उदाहरण के लिए, ए। एम। इवानोव और ए। एम। इवानोव के रिकॉर्ड थे (नेत्रहीन - एक कर्मचारी, लेकिन उपनाम में दूसरा अक्षर अंग्रेजी है: या तो एक गलती, या कोई विशेष रूप से "क्लोन" किया गया)।

फिर उन्होंने कर्मियों के दस्तावेजों के अनुसार अधिकारों को असाइन करने की प्रक्रिया को स्वचालित किया। उन्होंने एक सेल्फ-सर्विस पोर्टल बनाया, जहाँ कर्मचारी अपनी आवश्यकता के अनुसार पहुँच का अनुरोध कर सकते थे। और यह व्यवस्थापक नहीं है, लेकिन संबंधित इकाई का प्रमुख जिसने इसकी पुष्टि की है। प्रक्रियाओं के ऑडिट और समझने में दो महीने लग गए, सॉफ्टवेयर और परीक्षणों को खत्म करने के लिए दो, आईटी विशेषज्ञों को लागू करने और प्रशिक्षित करने के लिए अंतिम एक।

इस तरह। यह कहानी आम तौर पर वास्तविक है, लेकिन मैंने विशेष रूप से कुछ विवरण बदल दिए हैं ताकि ग्राहक को प्रकट न किया जा सके। इसके बारे में सबसे दिलचस्प बात यह है कि कुछ ही लोग, यह पता चला है, यहां तक ​​कि यह भी समझा जाता है कि IdM सिस्टम कैसे काम करता है। इसलिए, मैं इस विषय को लिख रहा हूं।

IdM के बारे में सामान्य

आमतौर पर एक बड़ी कंपनी में कुछ बिंदु पर एक असली नरक उपयोगकर्ता खातों के साथ शुरू होता है। एक कर्मचारी के कम से कम 3-4 अलग-अलग खाते हैं। उन्हें एक ही केंद्र से प्रबंधित करें काम नहीं करता है। विभाग से विभाग में स्थानांतरित करते समय, आपको अपने हाथों से बहुत सी चीजें करने की आवश्यकता होती है। साथ ही, व्यक्तिगत डेटा की सुरक्षा, प्रत्येक खाते की सुरक्षा नीतियों आदि के लिए कानूनी आवश्यकताएं हैं।

आप मैन्युअल संचालन की संख्या बढ़ाकर इसके साथ रह सकते हैं, या आप पहचान और अभिगम अधिकारों के प्रबंधन के लिए एक प्रणाली - IdM को कॉन्फ़िगर कर सकते हैं।

यह कैसा दिखता है? बहुत सुंदर: उदाहरण के लिए, एक कर्मचारी के एक इकाई से दूसरे में एक ही हस्तांतरण के साथ, आप एक रिपॉजिटरी में उसके डेटा को अपडेट करते हैं। इसके अलावा, उदाहरण के लिए, 1 सी में, अधिकारों को बदल दिया जाता है, कॉर्पोरेट टेलीफोन निर्देशिका में स्थिति को अद्यतन किया जाता है, खाते को व्यावसायिक अनुप्रयोग में अपडेट किया जाता है, दस्तावेज़ प्रबंधन प्रणाली में व्यावसायिक प्रक्रियाओं पर नए रिश्ते दिखाई देते हैं। और इसी तरह।

इसलिए, यदि आपकी कंपनी काफी बड़ी है, तो स्थिति के विकास के लिए तीन विकल्प हैं:
- लेखांकन के साथ, कुछ अराजकता है । उदाहरण के लिए, जब कोई कर्मचारी काम पर आता है, तो उसे कई सूचना प्रणालियों तक पहुंच प्रदान करने की आवश्यकता होती है। पहले कुछ दिनों में, वह कॉर्पोरेट संसाधनों का उपयोग नहीं कर सकता है, या अपने पूर्ववर्ती के खाते के साथ नहीं बैठ सकता है, जो बहुत अच्छा नहीं है। दूसरे, अगर सब कुछ मैन्युअल रूप से किया जाता है, तो त्रुटियां होंगी, जैसे कई प्रणालियों में अनावश्यक अधिकार। तीसरा, यदि कोई सटीक प्रक्रिया नहीं है, तो बहुत से विशिष्ट लोगों से बंधे होंगे, जिनमें वृद्धि या प्रस्थान के साथ उन्हें एक्सेस कंट्रोल सिस्टम को फिर से स्थापित करना होगा। जब ऐसी कॉल दिखाई देती हैं, तो यह वास्तव में, ईडीएम के कार्यान्वयन पर प्रतिबिंबित करने का एक अवसर है।
" आपके पास पूरा आदेश है, लेकिन कई कार्य हाथ से किए जाते हैं ।" IdM इसे स्वचालित करने में मदद करेगा। एंटरप्राइज़ सिस्टम के जितने अधिक विक्रेता हैं, उतने ही जोड़ों को IdM के माध्यम से बनाया जा सकता है।
- आपके पास एक एकल विक्रेता प्रणाली है (जब IdM की जरूरत नहीं है, सब कुछ एक खाते के माध्यम से किया जाता है), या आपके पास एक या किसी अन्य रूप में IdM है। मैंने देखा, उदाहरण के लिए, कि एकल-विक्रेता प्रणालियों में अनुप्रयोगों की स्वीकृति है (हाँ, मेल द्वारा भी, यदि व्यावसायिक प्रक्रियाओं को डीबग किया जाता है), और सब कुछ काम करता है। इसलिए यहां सब कुछ सरल है।


कंपनी के प्रत्येक कर्मचारी के पास एक विश्वसनीय सिस्टम (उदाहरण के लिए, एक एचआर सिस्टम) से प्राप्त कार्मिक डेटा के आधार पर एक आईडीएम सिस्टम उपयोगकर्ता है। लक्ष्य सूचना प्रणाली में खाते केवल IdM प्रणाली का उपयोग करके बनाए जाते हैं और एक विशिष्ट कर्मचारी से बंधे होते हैं। इस प्रकार, सूचना प्रणाली में कोई भी खाता हमेशा अपने मालिक से मेल खाता है - कंपनी का कर्मचारी

मुझे कहना होगा कि कई अलग-अलग प्रणालियों के साथ एक जटिल बहु-विक्रेता वातावरण में ईडीएम की शुरूआत और अभी भी भौगोलिक रूप से अलग-अलग इकाइयां एक तुच्छ कार्य नहीं है। और मार्गदर्शन करना मुश्किल है। आमतौर पर, सिद्धांत "जब आप काम करते हैं तो स्पर्श न करें", इसलिए आपको ऐसी चीजों के बारे में पहले से सोचने की जरूरत है, जब सिस्टम को लागू करना आसान है, या तर्क तलाशना है। और यहां, गार्ड आपके सबसे अच्छे दोस्त बन जाते हैं। क्योंकि वे निश्चित रूप से जानते हैं कि एक एकल खाते की कीमत क्या हो सकती है। और इसके अलावा, उनके पास शायद कंपनी के लिए बहुत ही अप्रिय स्थितियों के उदाहरण हैं, जिनकी पुनरावृत्ति वे बहुत ज्यादा नहीं चाहते हैं। और आप उनकी मदद कर सकते हैं।

सिस्टम अधिकार कैसे जारी करता है?

दो तरीके हैं: सिस्टम में कॉन्फ़िगर किए गए नियमों के आधार पर (उदाहरण के लिए, सभी सुरक्षाकर्मी - ऐसे और ऐसे संसाधन उपलब्ध हैं, सभी विभागों के प्रमुख - ऐसे और ऐसे)। और अनुरोध पर। उदाहरण के लिए, खरीद से कोई व्यक्ति उत्पाद के बारे में अधिक डेटा चाहता है और उसे 1 सी तक पहुंचने की आवश्यकता है। वह आवेदन भेजता है, सिस्टम पदानुक्रम की निगरानी करता है, उदाहरण के लिए, वित्तीय निदेशक को भेजता है। यदि वह आवेदन की पुष्टि करता है, तो व्यक्ति पहुंच प्राप्त करता है।

कार्यान्वयन कैसे हो रहा है?

पहला चरण एक अनिवार्य सर्वेक्षण है। इस ऑडिट के परिणामों के आधार पर, हम क्रेडेंशियल मैनेजमेंट और एक्सेस से संबंधित स्थापित व्यावसायिक प्रक्रियाओं को निर्धारित करते हैं। और दूसरा, हम एक लक्षित चित्र बनाते हैं जिसमें सिस्टम को लागू किया जाना चाहिए, और एक तकनीकी समाधान प्रस्तुत करना चाहिए जिसके साथ यह विचार, सामान्य रूप से, फिर से, महसूस किया जा सकता है।

निरीक्षण चरण में एक ऑडिट आवश्यक रूप से शामिल है - तकनीकी बुनियादी ढांचे का सत्यापन। मुद्दा यह है कि एक सिस्टम पहचान डेटा संग्रहीत कर सकता है, उदाहरण के लिए, एक डेटाबेस में, एक फ्लैट फ़ाइल में एक और सिस्टम। हम उन इंटरफेस की भी जांच करते हैं जिनके माध्यम से ये सिस्टम भविष्य में ईडीएम (इंटरफ़ेस और प्रोटोकॉल) के साथ संवाद कर सकते हैं ताकि सामान्य रूप से संभावना और एकीकरण की जटिलता को समझा जा सके।

यहां, सबसे महत्वपूर्ण बात, अत्यधिक कट्टरता के बिना। आप जानते हैं कि ऐसा कैसे होता है - "मैंने 5 घंटे बिताए एक एल्गोरिथ्म लिखने में जो 5 सेकंड में एक कार्य को हल करता है, जिसे मैंने 3 घंटे के लिए मैन्युअल रूप से गिना होगा।" तो, ऐसे सिस्टम हैं जिन्हें पूरी तरह से एकीकृत करने की आवश्यकता नहीं है। उदाहरण के लिए, एक कंपनी में एक हजार कर्मचारी होते हैं और सिस्टम में से एक में केवल 50 लोग काम करते हैं। और यह एक विभाग है, और इस विभाग का कारोबार बहुत छोटा है। शायद इस प्रणाली को एक आईबीटी प्रबंधक के साथ एकीकृत करने की नहीं, बल्कि इसे मैनुअल मोड में ईडीएम के साथ पार करने की आर्थिक आवश्यकता है। यही है, यदि आवश्यक हो, तो इस प्रणाली के एक व्यवस्थापक को एक या किसी अन्य कर्मचारी को एक्सेस अधिकार देने के अनुरोध के साथ एक पत्र भेजा जाएगा। इस तरह के विकल्प भी संभव हैं। विशेष रूप से, हमारे पास 10 हजार लोगों के लिए एक कंपनी में एक उदाहरण था, जब कार्मिक प्रणाली, जिसमें 5 लोग कार्यरत हैं, की तकनीकी सीमाएँ थीं, और हमने ग्राहक को सिर्फ ऐसे विकल्प पर विचार करने के लिए आमंत्रित किया। परिणामस्वरूप, उन्होंने ऐसा किया।

एकीकरण के लिए, कनेक्टर विकसित किए जाते हैं - छोटे सॉफ्टवेयर मॉड्यूल जो आपको सिस्टम से डेटा एकत्र करने की अनुमति देते हैं और, इसके विपरीत, सिस्टम को ये डेटा प्रदान करते हैं। आमतौर पर, या तो नियमित रूप से कनेक्टर्स के पूरा होने या खरोंच से विकास होता है (ज्यादातर घरेलू प्रणालियों के लिए: अमेरिकियों के पास आमतौर पर बड़े व्यवसायों की जरूरतों के अनुरूप सब कुछ सही होता है)।

उपयोगकर्ताओं को सामान्य योजनाओं के अनुसार काम करने के लिए, अधिकांश घटनाओं को मेल में डुप्लिकेट किया जा सकता है। जैसा कि वित्तीय निदेशक ने पहले पत्र द्वारा पहुंच की पुष्टि की थी, यह जारी रह सकता है - केवल अब ईडीएम से रोबोट उसे एक पत्र लिखता है और बस "हां" या "नहीं" लिंक पर क्लिक करने के लिए कहता है।

सुरक्षा की खुशी

जब सब कुछ तैयार हो जाता है, तो यह एक ऐसी योजना का पता लगाता है जहां कंपनी के प्रत्येक व्यक्ति के अधिकार हैं। और यह पूरे सुरक्षा विभाग और वित्तीय निदेशक के लिए सच्ची खुशी है। व्यापक रिपोर्टिंग और समग्र दृष्टि दिखाई देती है। उदाहरण के लिए, प्रणाली की शुरुआत से पहले, यह समझने की कि किसके पास क्या अधिकार है, सभी डिवीजनों के चक्कर के साथ एक पूरी खोज है। कार्यान्वयन के बाद - कुछ जोड़े। इस स्तर पर दो पसंदीदा प्रश्न: "आवेदनों में मांगे गए अधिकारों के लिए कितने अधिकार दिए गए हैं", "वे आधिकारिक जरूरतों और कॉर्पोरेट सुरक्षा नीतियों के कितने अनुरूप हैं"। उत्तर संपूर्ण हैं और अक्सर उन लोगों के लिए अप्रत्याशित होते हैं जिन्होंने सिस्टम को लागू करने से पहले केवल त्रुटियों के स्तर का अनुमान लगाया था।

समानांतर में, गणितीय समस्या का दूसरा भाग दिखाई देता है - इष्टतम अधिकारों की गणना। हां, हां, हम कुछ डेटा माइनिंग कर रहे हैं (हालांकि यह ज्यादातर मामलों के लिए जोर से कहा जाता है)। और हम दिखाते हैं कि अधिकारों को कैसे साझा किया जाए। कुछ चीजें सामने आती हैं जो एक सामान्य संरचना में नहीं होनी चाहिए, जिससे पहुंच से जुड़े जोखिम बढ़ सकते हैं।

एक और विशेषता: अधिकारों के प्रत्येक परिवर्तन का एक आधार होता है। उदाहरण के लिए, जब व्यवस्थापक किसी नए कर्मचारी के अधिकारों को पहले रखता था, तो यह हमेशा अपने जोखिम और जोखिम पर होता था। अब प्रणाली जमीन पर काम कर रही है: एक व्यक्ति को प्राप्त करने के लिए एक आदेश, एक प्रबंधक से एक अनुरोध की पुष्टि, और इसी तरह। केवल कॉर्पोरेट निर्देशिका में डेटा लेने और बदलने से काम नहीं होता है: कर्मियों अधिकारियों के डेटा को अधिक विश्वसनीय माना जाता है।

अधिकारों को अद्यतन करने की सुविधा से बहुत प्रसन्न। IdM सिस्टम उन स्थितियों की निगरानी करने में सक्षम हैं जब अधिकार प्रदान किए जाते हैं, लेकिन लोगों को अब इसकी आवश्यकता नहीं है। उदाहरण के लिए, एक कर्मचारी ऐसा काम नहीं करता है जिसके लिए कंपनी के वित्तीय विवरणों तक पहुंच की आवश्यकता होती है, और उसके पास ऐसी पहुंच होती है। सिस्टम इस पैटर्न का पता लगा सकता है और इन अधिकारों को हटाने के लिए एक सिफारिश जारी कर सकता है।

उपयोगकर्ता की खुशी

फिर यूजर्स खुश हो जाते हैं। उनके पास एक-प्रवेश प्रणाली है, जब यह कार्यस्थल पर एक बार लॉग इन करने के लिए पर्याप्त है और स्वचालित रूप से अपने प्राधिकरण के भीतर पहुंच प्राप्त करता है। एप्लिकेशन और सेवाओं के एक समूह के साथ पासवर्ड वाले कागज के टुकड़े नहीं - आपको केवल अपना इनपुट याद रखना होगा, ध्यान दें (यह एक व्यापक एसएसओ कार्य है, आईडीएम सिस्टम हमेशा इसे हल नहीं करते हैं)।

खुशी आईटी विभाग

कार्यान्वयन के बाद, जब पूरी कंपनी आईटी विभाग के "आविष्कारकों" से पूछती थी, जो अपने जीवन के सामान्य तरीके को बदल रहे हैं, तो आप आराम कर सकते हैं और मज़े करना शुरू कर सकते हैं। एक जगह से परिवर्तन, अधिकारों की एक सुविधाजनक तस्वीर, स्क्रिप्ट की गई कार्रवाइयाँ, जैसे कि कार्मिक अधिकारियों से दस्तावेजों को अपडेट करने पर एक नए कर्मचारी के लिए एक बॉक्स बनाना और इसी तरह, एक चर्चा है। कर्मचारी स्वयं के लिए पासवर्ड रीसेट करता है, उसका प्रबंधक खाता अनलॉक करता है, और आईटी विभाग के पास कार्यों का एक लॉग है यदि समस्या का कारण ढूंढना आवश्यक है। सच है, श्रमसाध्य ट्यूनिंग के साथ पसीना आने में कुछ समय लगेगा (काफी लंबी "परिष्करण" की अवधि होगी), लेकिन यह इसके लायक है।

हां, आपने सही ढंग से समझा कि IdM तंत्रिकाओं की बहुत सुरक्षात्मक है। तथ्य यह है कि एक्सेस अनुरोध अब सिस्टम व्यवस्थापक को नहीं भेजे जाते हैं, लेकिन जिस तक इस तरह की पहुंच की पुष्टि होनी चाहिए। प्रभाग के प्रमुख, वित्तीय निदेशक, सुरक्षा गार्ड - सामान्य तौर पर, जो सीधे सवाल के लिए जिम्मेदार हैं। और इसका मतलब है कि अगर पहले, जब कुछ गलत था, तो व्यवस्थापक को दोष देना था, अब यह स्पष्ट रूप से स्पष्ट है कि किसने किसको क्या दिया। और व्यवस्थापक ने केवल प्रोटोकॉल प्रदान किया।

बहीखाता भी खुश है

उनके लिए ऐसे विशेष शब्द हैं जो संगीत की तरह पूरे विभाग के कानों को सहलाते हैं। यह कार्यान्वयन की कुल लागत में कमी, स्वामित्व की लागत में कमी, आवश्यक तकनीकी संसाधनों में कमी, वास्तुकला की पारदर्शिता, सेवा की लागत में कमी और समाधान का संचालन करना है, कंपनी की प्रक्रियाओं की निरंतरता को प्रभावित किए बिना समाधान का एक चरणबद्ध कार्यान्वयन । ओह। सामान्य तौर पर, यह रिफैक्टिंग और ऑप्टिमाइज़ेशन की तरह है।

विचारधारा

संयुक्त राज्य अमेरिका और यूरोप में, इस तरह की प्रणालियां लंबे समय से हैं, और उनमें से कई का उपयोग किया जाता है। यह अजीब होगा अगर हमारे देश में एक्सेस अधिकारों से संबंधित कोई मानसिकता विशेषताएं नहीं थीं। मुख्य समस्या स्रोतों के वकील की शक्ति है। उदाहरण के लिए, कई स्थानों पर कार्मिक अधिकारी केवल पूर्व में बर्खास्तगी पर सिस्टम में सभी डेटा को रेट्रो में दर्ज करते हैं। यह एक पेशेवर बदलाव है, क्योंकि कार्यपुस्तिका वास्तव में इसी क्षण भर जाती है।

अक्सर ऐसी परिस्थितियां होती हैं जब आपको प्रबंधन के लिए विशेष विशेषाधिकार बनाने की आवश्यकता होती है। यही है, किसी तरह का नियम पेश किया गया है, लेकिन वास्तव में शीर्ष इसका पालन नहीं करते हैं। जब नियम स्वचालित होता है, तो बॉस को आश्चर्य हो सकता है - उदाहरण के लिए, कंपनी संपर्कों की सामान्य निर्देशिका में सेल फोन के स्वचालित उतारने। यह स्पष्ट है कि ग्राहकों द्वारा निर्देशक को तुरंत कॉल करने के बाद, हमने इस नियम को अंतिम रूप दिया है।

पैसा

लाइसेंस महंगे हैं। कई स्थितियां हैं, लेकिन आमतौर पर यह दसियों से कई सौ डॉलर प्रति कर्मचारी निकलता है। प्रत्यक्ष रूप से, समय की बचत के कारण, सिस्टम 3-4 वर्षों में भुगतान करते हैं, लेकिन आमतौर पर मूल्यांकन अभी भी सुरक्षा और पारदर्शी रिपोर्टिंग के लाभों पर आधारित है। एक अन्य विशेषता - जब एक कंपनी का ऑडिट किया जाता है, उदाहरण के लिए, बिक्री (विलय) या प्रमाणन से पहले, ऐसी प्रणालियों को बहुत सकारात्मक रूप से माना जाता है।

विकास

प्रारंभ में, इस तरह के रूप में कोई एक्सेस कंट्रोल रिपॉजिटरी नहीं थे। कार्य यह समझना था, "किसे और कहाँ जाने का अधिकार है।" मॉड्यूल सभी लॉगिन बिंदुओं से जुड़े थे, जो बस दर्ज किए गए थे जो लॉग इन थे। धीरे-धीरे एक एक्सेस कार्ड का निर्माण, जो रिपोर्ट में चला गया। दूसरी ओर, समानांतर में जारी किए गए समान अधिकारों को जारी करने के लिए केंद्र, जिसने इस तरह के मानचित्र का गठन किया। परिणामस्वरूप, सहजीवी निर्णय अब सामने आए हैं: सबसे पहले वे रीड-ओनली मोड में काम करते हैं और अधिकारों पर प्रासंगिक डेटा एकत्र करते हैं, फिर वे मॉड्यूल को सक्रिय प्रबंधन में स्थानांतरित करते हैं, और फिर वे वैश्विक स्वचालन करने की अनुमति देते हैं। और यह सभी उपयोगकर्ताओं के लिए शांत, चिकनी और झटकेदार है।

PS यदि आपके पास अपने मामले के लिए एक विशिष्ट कॉन्फ़िगरेशन के बारे में प्रश्न हैं या आप टिप्पणियों में कोई प्रश्न नहीं पूछ सकते हैं, तो मुझे सीधे AZaikin@croc.ru पर लिखें।