Användarprovisionering och avprovisionering är identitets- och åtkomsthantering (IAM) Processer som används för att skapa, hantera, ändra och ta bort användarkonton och åtkomstbehörigheter över organisationssystem. Provisionering ger anställda, entreprenörer eller andra behöriga användare åtkomst till de applikationer och resurser de behöver, medan avprovisionering återkallar den åtkomsten när den inte längre behövs.
Tillsammans hjälper dessa processer IT-administratörer att hantera hela användaridentitetslivscykeln, från onboarding och rolländringar till personaloffboarding. De hjälper också organisationer att tillämpa åtkomst med lägsta behörighet, minska risker för obehörig åtkomst och upprätthålla konsekventa säkerhetspolicyer.
Key Takeaways
Användarprovisionering och avprovisionering hjälper organisationer att kontrollera åtkomst under hela identitetslivscykeln.
- Användarprovisionering: Skapar och uppdaterar användarkonton, gruppmedlemskap, programåtkomst och behörigheter baserat på organisationens krav.
- Användaravregistrering: Inaktiverar eller tar bort konton och åtkomstbehörigheter när anställda slutar, byter roll eller inte längre behöver vissa resurser.
- Automatiserad provisionering: Använder IAM-plattformar, identitetsleverantörer (IdP:er) och integrationer för att synkronisera användaråtkomst mellan anslutna system.
- Hantering av identitetslivscykel: Följer modellen för anslutning, flyttning och avgång för att säkerställa att behörigheterna matchar varje användares nuvarande ansvarsområden.
- Åtkomstsäkerhet: Effektiv avprovisionering inkluderar verifiering av borttagning av programåtkomst och åtgärd av aktiva sessioner, tokens och ohanterade konton.
Vad är användaradministration?
Användarprovisionering är processen att skapa användaridentiteter, tilldela åtkomstbehörigheter och konfigurera konton över applikationer, nätverk och organisationssystem. Det säkerställer att användare får de resurser de behöver baserat på deras roller, avdelningar och ansvarsområden.
Till exempel, när ett företag anställer en ny medarbetare kan IT-administratören skapa deras identitet i Microsoft Access ID eller en annan identitetsleverantör. Baserat på sin tilldelade roll får medarbetaren tillgång till e-post, samarbetsplattformar och relevanta affärsapplikationer.
Användarprovisionering innebär vanligtvis att skapa konton, tilldela grupper och behörigheter, konfigurera programåtkomst och uppdatera identitetsattribut när ansvarsområden ändras.
Läs också: Vad är användarhantering? Betydelse och fördelar
Vad är användaravregistrering?
Avregistrering av användare är processen att inaktivera, ta bort eller återkalla användarkonton och åtkomstbehörigheter när de inte längre behövs. Det inträffar ofta när anställda lämnar en organisation, entreprenörer slutför projekt eller användare byter till andra roller.
Till exempel, när en anställd säger upp sig måste IT-teamet återkalla åtkomst till affärsapplikationer, företagsfiler, VPN-anslutningar och andra företagsresurser.
Att bara radera användarens primära konto kanske inte räcker. Organisationer kan också behöva avsluta aktiva sessioner, återkalla autentiseringstokens, inaktivera lokala programkonton och återställa programvarulicenser.
Effektiv avprovisionering förhindrar att tidigare användare behåller obehörig åtkomst till organisationssystem.
Vad är skillnaden mellan användarprovisionering och avprovisionering?
Den huvudsakliga skillnaden mellan användarprovisionering och avprovisionering är deras syfte. Provisionering ger och bibehåller åtkomst till organisationsresurser, medan avprovisionering tar bort åtkomst som inte längre är auktoriserad.
| Aspect | Användaradministration | Användaravregistrering |
|---|---|---|
| Syfte | Bevilja lämplig åtkomst | Återkalla onödig åtkomst |
| Trigger | Nyanställd, rollbyte, åtkomstförfrågan | Anställds avgång, rollbyte, åtkomstutgång |
| Huvudåtgärder | Skapa konton, tilldela roller, uppdatera behörigheter | Inaktivera konton, ta bort behörigheter, återkalla åtkomst |
| Livscykelstadiet | Onboarding och löpande åtkomständringar | Offboarding och åtkomstminskning |
| Säkerhetsmål | Säkerställ behörig åtkomst | Förhindra obehörig eller långvarig åtkomst |
| Exempelvis | Ge en ny medarbetare åtkomst till Microsoft 365 | Ta bort åtkomst till Microsoft 365 efter avresa |
Hur fungerar användarprovisionering och avprovisionering?
Användarprovisionering och avprovisionering följer vanligtvis JML-identitetslivscykelmodellen (joiner-mover-leaver). Denna metod kopplar samman anställnings- och organisationsförändringar med motsvarande åtkomsthanteringsåtgärder.
1. Användarintroduktion (Joiner)
När en ny medarbetare börjar i en organisation registrerar HR-systemet deras anställningsuppgifter. En integrerad identitetshanteringsplattform kan använda denna information för att skapa medarbetarens konto.
Beroende på konfigurerade policyer tilldelar systemet lämpliga grupper, program och åtkomstbehörigheter.
2. Rollförändringar (Flyttare)
När anställda byter avdelning, blir befordrade eller tar på sig nya ansvarsområden ändras deras åtkomstkrav.
Identitetshanteringssystemet uppdaterar behörigheterna därefter. Helst tas åtkomst som är kopplad till den tidigare rollen bort medan nya behörigheter tilldelas, vilket förhindrar onödig ackumulering av behörigheter.
3. Avskedande av anställda (avgångsanställd)
När anställda slutar initierar en auktoriserad HR- eller administrativ händelse avregistreringsprocessen.
Systemet inaktiverar konton, tar bort programtilldelningar och utlöser att anslutna program återkallar åtkomst. IT-administratörer måste också verifiera att eventuella återstående sessioner, inloggningsuppgifter och ohanterade konton hanteras.
Microsoft beskriver dessa tre steg i sin dokumentation av arbetsflöden för identitetslivscykeln.
Vad är automatiserad användarprovisionering och avprovisionering?
Automatiserad användarprovisionering och avprovisionering programvara för identitetshantering för att skapa, uppdatera, inaktivera och ta bort användaråtkomst baserat på fördefinierade regler och organisatoriska händelser.
Istället för att manuellt konfigurera konton i enskilda applikationer kan IT-administratörer ansluta identitetsleverantörer till HR-system, kataloger och affärsapplikationer som stöds.
Automatisering följer vanligtvis dessa steg:
- Upptäck identitetsändringar: En HR-plattform eller auktoritativ katalog registrerar en nyanställning, avdelningsöverföring eller avgång.
- Utvärdera åtkomstpolicyer: Identitetshanteringssystemet avgör användarens nödvändiga behörigheter.
- Uppdatera anslutna applikationer: Provisioneringskopplingar skapar, ändrar eller inaktiverar användarkonton.
- Synkronisera identiteter: Ändringar av användarattribut, gruppmedlemskap och programtilldelningar sprids.
- Övervaka resultat: Granskningsloggar och avstämningsprocesser hjälper administratörer att identifiera misslyckade eller ofullständiga ändringar.
Att automatisera dessa processer minskar repetitivt administrativt arbete och förbättrar konsekvensen mellan organisationssystem.
Vilken roll spelar identitetsleverantörer och SCIM i användarprovisionering?
Identitetsleverantörer och SCIM hjälper organisationer att hantera användaridentiteter över flera applikationer. En IdP tillhandahåller centraliserade identitets- och autentiseringsfunktioner, medan SCIM möjliggör standardiserade kontolivscykeloperationer mellan kompatibla system.
Identitetsleverantörer (IdP:er)
Identitetsleverantörer såsom Microsoft Entra ID, Okta och Google Cloud Identity kan fungera som centrala system för identitetsattribut och applikationstilldelningar.
När de är anslutna till HR-system och stödda applikationer kan de initiera arbetsflöden för provisionering och avprovisionering baserat på användarstatus och tilldelade åtkomstpolicyer.
SCIM-provisionering
System för identitetshantering över flera domäner (SCIM) är en öppen standard utformad för att förenkla användar- och grupphantering över olika system.
SCIM 2.0 använder HTTP-baserade API:er för att skapa, hämta, uppdatera och ta bort identitetsresurser. Det kan också stödja kontoavaktivering genom uppdateringar av användarattribut.
De tekniska operationerna definieras i IETF SCIM 2.0-protokollspecifikation, RFC 7644.
Är etablering detsamma som enkel inloggning?
Nej. Enkel inloggning (SSO) låter användare autentisera och komma åt flera anslutna applikationer med en delad inloggningsupplevelse. Provisionering hanterar skapandet, ändringen och borttagningen av konton i dessa applikationer.
SSO ensamt garanterar inte att ett applikationskonto kommer att raderas eller att en befintlig session kommer att avslutas när en användare lämnar.
Varför är användarprovisionering och avprovisionering viktigt?
Användarprovisionering och avprovisionering hjälper organisationer att upprätthålla korrekta åtkomstbehörigheter samtidigt som de minskar administrativa kostnader och säkerhetsrisker.
Viktiga fördelar är:
- Starkare åtkomstsäkerhet: Säkerställer att användare får behörigheter som är lämpliga för deras ansvarsområden och förlorar åtkomst när den inte längre är auktoriserad.
- Snabbare introduktion av anställda: Hjälper nya anställda att komma åt nödvändiga applikationer utan att behöva vänta på flera manuella kontoinställningar.
- Minskad administrativ arbetsinsats: Minimerar repetitiva uppgifter i samband med att skapa konton, tilldela behörigheter och behandla offboarding-förfrågningar.
- Förbättrad beredskap för efterlevnad: Förvarar register över identitetsändringar, åtkomsttilldelningar och återkallningsaktiviteter för granskning.
- Bättre licenshantering: Hjälper organisationer att identifiera och återställa oanvända programvarulicenser efter att användare har lämnat sin verksamhet.
Dessa fördelar är särskilt relevanta för organisationer som hanterar ett stort antal anställda, entreprenörer och tillfälliga användare.
Vilka är de bästa metoderna för användarprovisionering och avprovisionering?
Organisationer bör kombinera automatisering, åtkomst med lägst behörighet, regelbundna granskningar och tillförlitliga offboarding-kontroller för att hantera identitetslivscykler effektivt.
1. Upprätta en auktoritativ identitetskälla
Använd ett särskilt HR-system eller en identitetskatalog för att upprätthålla korrekta identitetsattribut och anställningsstatus.
2. Tillämpa rollbaserad åtkomstkontroll
Tilldela åtkomst baserat på fördefinierade roller, avdelningar och ansvarsområden. Granska undantag och privilegierad åtkomst separat.
3. Automatisera livscykelarbetsflöden
Integrera IAM-system med stödda applikationer med hjälp av SCIM, API:er eller provisioneringskopplingar.
4. Granska åtkomsten regelbundet
Genomför regelbundna granskningar för att identifiera överdrivna behörigheter, inaktiva konton och åtkomst som inte längre matchar arbetsuppgifter.
5. Verifiera fullständig avprovisionering
Att inaktivera en användare i identitetsleverantören återkallar inte alltid alla former av åtkomst. IT-team bör bekräfta att anslutna applikationer har bearbetat ändringen.
För säkerhetskänsliga konton, verifiera statusen för aktiva sessioner, API-tokens, privilegierade konton och oberoende applikationsuppgifter.
Till exempel, Dokumentation för AWS IAM Identity Center förklarar att borttagning av användare från fel system kanske inte helt avprovisionerar identiteter som kommer från en extern IdP eller Active Directory.
Vanliga utmaningar vid användarprovisionering och avprovisionering
Även automatiserade provisioneringssystem kan stöta på problem när applikationer har olika identitetshanteringsfunktioner.
Vanliga utmaningar inkluderar inkonsekventa användarattribut mellan system, etableringsintegrationer som inte stöds, felaktiga rollmappningar, försenad synkronisering och ofullständig borttagning av konton.
En särskilt viktig fråga är föräldralösa konton, som förblir aktiva även efter att den associerade användaren har lämnat eller inte längre behöver åtkomst.
För att hantera dessa utmaningar bör organisationer övervaka provisioneringsloggar, undersöka misslyckade synkroniseringshändelser, upprätthålla en applikationsinventering och upprätta manuella reservprocedurer för system som inte kan integreras.
Automatisera användarprovisionering och avprovisionering med Scalefusion OneIdP
Skalfusion OneIdP är en UEM-integrerad IAM-lösning. Den tillhandahåller en molnbaserad användarkatalog som centraliserar användarinformation och effektiviserar åtkomsthanteringen för era IT-resurser. Organisationer kan förenkla användarhanteringen genom att utnyttja dessa IAM-funktioner.
Med Scalefusion OneIdP kan IT-administratörer automatisera användarprovisionering och avprovisionering. De kan bevilja anpassade åtkomstnivåer till slutanvändarna och återkalla dem när en användare lämnar en organisation för att säkerställa att endast behöriga användare kan komma åt företagsdata och enheter.
Slutsats
Användarprovisionering och avprovisionering är avgörande för att hantera identiteter och åtkomstbehörigheter under en anställds livscykel. Från att introducera nya användare till att uppdatera behörigheter och ta bort åtkomst under offboarding, hjälper dessa processer organisationer att upprätthålla konsekventa, säkra och granskningsbara åtkomstkontroller.
Genom att kombinera automatiserade arbetsflöden för identitetslivscykeln, rollbaserade behörigheter och tillförlitlig verifiering av avprovisionering kan IT-administratörer minska manuella uppgifter och förhindra att onödig åtkomst förblir aktiv i olika organisationssystem.
Nästa steg
Vanliga frågor
1. Vad är ett exempel på användarprovisionering?
Ett exempel på användarprovisionering är att skapa ett konto för en nyanställd medarbetare i Microsoft Entra ID och tilldela åtkomst till Microsoft 365, samarbetsverktyg och avdelningsspecifika applikationer. Ett identitetshanteringssystem kan automatisera dessa åtgärder baserat på medarbetarens roll, avdelning eller gruppmedlemskap.
2. Vad är skillnaden mellan provisionering och avprovisionering?
Provisionering skapar och hanterar användarkonton och åtkomstbehörigheter, medan avprovisionering inaktiverar eller tar bort åtkomst när den inte längre behövs. Provisionering sker vanligtvis under onboarding och rollbyten, medan avprovisionering ofta förknippas med att anställda slutar använda, att åtkomst upphör och att onödiga behörigheter tas bort.
3. Vad är SCIM-provisionering?
SCIM-provisionering är en standardiserad metod för att automatiskt hantera användar- och gruppidentiteter mellan kompatibla system. Den använder HTTP-baserade API:er för att skapa, uppdatera och inaktivera konton i anslutna applikationer. SCIM hjälper identitetsleverantörer att synkronisera kontoinformation och automatisera ändringar i användarlivscykeln utan att kräva separat manuell administration i varje applikation.
4. Vad är skillnaden mellan provisionering och autentisering?
Provisionering hanterar skapandet, underhållet och borttagningen av användarkonton och åtkomsttilldelningar. Autentisering verifierar en användares identitet vid inloggning via autentiseringsuppgifter, multifaktorautentisering eller andra metoder. Båda är IAM-funktioner, men provisionering avgör kontotillgänglighet och tilldelad åtkomst, medan autentisering verifierar vem som begär åtkomst.
5. Kan användaravprovisionering automatiseras?
Ja. Användaravprovisionering kan automatiseras via IAM-plattformar, identitetsleverantörer, HR-integrationer och provisioneringsprotokoll som SCIM. När en anställd lämnar eller byter roll kan konfigurerade arbetsflöden inaktivera konton och ta bort programtilldelningar. Organisationer bör fortfarande verifiera att nedströmsapplikationer, aktiva sessioner och oberoende autentiseringsuppgifter har åtgärdats.
