Revisores e aprovadores globais

Em uma campanha de revisão e certificação de usuários, cada usuário é revisado por um ou mais revisores. O Segura™ permite atribuir um revisor a cada usuário e a cada grupo de usuários. Um usuário pode ter vários revisores ao mesmo tempo, e a revisão feita por qualquer um deles conclui a revisão desse usuário.

Quando um usuário não tem nenhum revisor, o aprovador global o revisa. Atribuir revisores mantém as revisões com as pessoas que conhecem os acessos de cada usuário, em vez de enviar toda a base de usuários ao aprovador global.

Conceitos principais

Como funciona

Os revisores se somam

Os revisores de um usuário são o revisor direto dele mais um revisor para cada grupo de usuários do qual ele faz parte. Essas atribuições não competem entre si, e nenhuma substitui a outra. Por exemplo, um usuário com um revisor direto que pertence a três grupos com revisores diferentes tem quatro revisores.

Se dois grupos do usuário tiverem o mesmo revisor, esse revisor conta uma vez.

Qualquer revisor pode concluir a revisão

Todos os revisores de um usuário veem esse usuário na tela de revisão, e todos podem revisá-lo. O primeiro revisor que termina conclui a revisão. O status do usuário muda para Revisado, e a coluna Revisado por mostra quem revisou. Os demais revisores veem o mesmo status e o mesmo nome.

Uma revisão basta. Um usuário com quatro revisores precisa de uma revisão, não de quatro.

Se Ativar fluxo de aprovação para revisão e certificação de usuários estiver ativado em Configurações > Parâmetros do sistema > Global > Fluxo de aprovação, uma revisão concluída também passa por aprovação. O aprovador global do módulo Gestão de usuários a aprova.

Se dois revisores trabalharem no mesmo usuário ao mesmo tempo, o primeiro que salvar conclui a revisão. O segundo revisor recebe a mensagem Este usuário já foi revisado por, seguida do nome do revisor.

Quando o aprovador global revisa

O aprovador global revisa um usuário em dois casos:

• O usuário não tem revisor direto nem revisor de grupo.
• A escalação chega ao fim da cadeia de revisores sem revisão. A escalação repassa uma revisão pendente ao revisor desse revisor, e assim por diante, até chegar ao aprovador global.

Um usuário que tem apenas revisores de grupo tem revisor, então o aprovador global não o revisa.

Apenas os aprovadores globais cadastrados para o módulo Gestão de usuários revisam usuários. Não é possível criar uma campanha enquanto não houver um aprovador global desse módulo. Para mais detalhes, consulte Gerenciar aprovadores.

Ninguém revisa a si mesmo

Um usuário não pode ser o próprio revisor direto. O Segura™ também recusa um revisor que criaria um ciclo em qualquer ponto da cadeia. Por exemplo, se A revisa B e B revisa C, C não pode ser definido como revisor de A.

Um revisor de grupo pode ser membro desse grupo, o que é comum quando um líder de equipe revisa a própria equipe. Nesse caso, o revisor de grupo não é contado como revisor de si mesmo. Os outros revisores dele continuam valendo. Se ele não tiver outro revisor, o aprovador global o revisa.

O aprovador global é a única exceção, e somente quando você permite. Por padrão, um aprovador global não pode revisar nem aprovar o próprio acesso. O parâmetro Permitir que aprovadores globais revisem e aprovem o próprio acesso permite isso. Consulte Parâmetros do sistema - Fluxo de aprovação.

Quando as atribuições de revisores mudam

As alterações de revisores têm efeito nas campanhas que já estão em andamento:

• Um revisor é substituído. As revisões pendentes passam para o novo revisor. As revisões concluídas continuam registradas com o revisor que as concluiu.
• O revisor de um grupo é removido. Os membros do grupo perdem esse revisor. Os membros sem outro revisor vão para o aprovador global.
• Um usuário entra em um grupo. O usuário recebe o revisor do grupo automaticamente.
• Um revisor direto é desativado. Os usuários dele passam para o revisor direto do revisor desativado. Se não houver, o aprovador global os revisa.
• Um grupo é desativado. O grupo deixa de contar como origem de revisores.
• Um revisor de grupo é desativado. O grupo recebe o revisor direto do revisor desativado. Se não houver, os membros sem outro revisor vão para o aprovador global.

O Segura™ não notifica um novo revisor quando uma atribuição muda. Ele também não notifica os outros revisores quando um deles conclui uma revisão.

Usuários da sincronização de identidades

Você pode definir, alterar e remover o revisor direto de um usuário criado pela sincronização de identidades, como de qualquer outro usuário. A sincronização com o Active Directory não define nem remove o revisor direto.

Onde ver os revisores

O relatório Usuários por revisor é o único lugar que mostra quais revisores cada usuário tem. Acesse-o em Configurações > Controle de acesso > Revisão e certificação de usuários > Usuários por revisor ou em Relatórios > Revisão e certificação > Usuários por revisor. Ele lista uma linha para cada par de usuário e revisor, com o Tipo de atribuição Direto ou Grupo. Os usuários sem revisor aparecem com o Tipo de atribuição Nenhum. Esses são os usuários que o aprovador global revisa.

Os relatórios Usuários e Grupos de usuários não mostram revisores.

Consulte esse relatório antes de iniciar uma campanha, para encontrar usuários sem revisor e revisores com usuários demais.

Quem pode fazer o quê

• Os usuários System Administrator definem e removem o revisor de usuários e de grupos de usuários.
• Os revisores precisam do papel Access review and certification para abrir a tela de revisão. Ser escolhido como revisor não concede esse papel.
• Esse papel apenas revisa. Por padrão, somente os usuários PAM Administrator e System Administrator criam e gerenciam campanhas.

Tópicos relacionados

• Revisão e certificação de acesso.
• Usuários e Grupos de usuários, onde você define os revisores.
• Usuários por revisor.
• Criar uma campanha de revisão de usuários.
• Revisar o acesso de um usuário.
• Gerenciar aprovadores.