O Self-service permite que os usuários solicitem acesso privilegiado para si mesmos no Segura™. Os usuários podem solicitar um papel, a adesão a uma política de acesso, uma credencial de domínio ou uma conta do Active Directory. Cada solicitação tem uma justificativa e vai para os aprovadores daquele tipo de solicitação. O Segura™ registra cada solicitação, decisão e aprovador num só lugar.
Os administradores ativam o Self-service e escolhem quais tipos de solicitação os usuários veem. Depois, os usuários trabalham no painel do Self-service. Mais informações em Configurar o Self-service.
Conceitos principais
- Solicitante: o usuário que abre uma solicitação e escreve a justificativa.
- Aprovador: o usuário que aprova ou reprova uma solicitação. O aprovador depende do tipo de solicitação.
- Aprovadores globais: usuários que um administrador adiciona à Lista de aprovadores globais nas configurações do Self-service. Eles aprovam as solicitações de papel e as solicitações de política de acesso, exceto as de uma política de acesso do PAM Core no modelo estático.
- Administradores da política: usuários que administram uma política de acesso do PAM Core no modelo estático de políticas de acesso. Eles aprovam as solicitações que envolvem a política deles.
- Período de expiração: quanto tempo uma solicitação pode esperar por uma decisão. Uma solicitação que atinge esse prazo expira e não pode mais ser aprovada.
Como funciona
Uma solicitação passa por quatro etapas:
- O solicitante abre um cartão no painel do Self-service, preenche a solicitação e escreve uma justificativa.
- O Segura define os aprovadores e avisa cada um deles por email.
- Um aprovador aprova ou reprova a solicitação. O solicitante pode cancelá-la enquanto ela estiver pendente.
- Depois da aprovação, o Segura concede o acesso solicitado e avisa o solicitante.
Dois tipos de solicitação são aprovados automaticamente, e o Segura os executa assim que o solicitante os envia: Solicitação de credencial e Provisionamento de conta do AD.
Quando uma solicitação tem mais de um aprovador, basta uma decisão. A primeira aprovação concede o acesso, e a primeira reprovação encerra a solicitação. O Self-service não usa níveis de aprovação.
Por padrão, os usuários não podem aprovar as próprias solicitações. O Segura retira o solicitante da lista de aprovadores. Por isso, o Segura recusa uma solicitação de política de acesso que não tenha outro aprovador. O cartão dela também não aparece no painel.
Tipos de solicitação
Cada tipo de solicitação aparece no painel somente quando um administrador o habilita.
| Tipo de solicitação | O que o usuário solicita | Quem aprova |
|---|---|---|
| Solicitação de papel | Um ou mais papéis da lista de papéis disponíveis para solicitação. | Aprovadores globais. |
| Solicitação de política de acesso | A adesão a uma política de acesso que um administrador liberou para solicitação. | PAM Core no modelo estático: os administradores da política de acesso. Nos demais casos: aprovadores globais. |
| Solicitação de administração de política de acesso | Direitos de administração sobre uma política de acesso da qual o usuário já é membro. | Os administradores da política de acesso. |
| Transferência da administração da política de acesso | A transferência dos direitos de administração do usuário sobre uma política de acesso para outro usuário, que passa a ser administrador no lugar dele. | O usuário que recebe os direitos de administração. |
| Solicitação de credencial | Uma nova credencial de domínio, guardada no cofre. | Aprovada automaticamente. |
| Provisionamento de conta do AD | Uma nova conta do Active Directory, com nome gerado a partir de uma máscara definida pelo administrador. | Aprovada automaticamente. Os aprovadores globais recebem um email. |
Os usuários podem solicitar políticas de acesso do PAM Core, do Cloud IAM, do DevOps Secret Manager (DSM), do Task Manager e do Certificate Manager.
Cada produto tem um botão próprio, uma lista própria de políticas de acesso liberadas para solicitação e um cartão próprio no painel. Os usuários veem somente as políticas de acesso que um administrador liberou.
Somente políticas de acesso ativas podem ser liberadas. Políticas de acesso com Bloquear durante congelamentos? habilitado não podem ser liberadas. Mais informações em Como utilizar o painel de emergência.
A administração e a transferência de administração de políticas de acesso existem somente para o PAM Core.
Modelo de políticas de acesso
Alguns tipos de solicitação dependem de como a sua instância gerencia as políticas de acesso. Os administradores de política existem somente no modelo estático de políticas de acesso. Por isso, as solicitações de administração e as transferências aparecem somente nesse modelo.
| Tipo de solicitação | Modelo estático | Modelo dinâmico |
|---|---|---|
| Solicitação de papel | Disponível | Disponível |
| Solicitação de política de acesso | Disponível. No PAM Core, os administradores da política aprovam. | Disponível. Os aprovadores globais aprovam. |
| Solicitação de administração de política de acesso | Disponível | Indisponível |
| Transferência da administração da política de acesso | Disponível | Indisponível |
| Solicitação de credencial | Disponível | Disponível |
| Provisionamento de conta do AD | Disponível | Disponível |
No modelo dinâmico, a tela de configurações oculta os botões das solicitações de administração de política de acesso e das transferências.
Trilha de auditoria
O Segura registra quem solicitou o quê, a justificativa, a decisão, quem decidiu e quando. Auditores e administradores consultam esse histórico na tela Todas solicitações, que lista somente as solicitações do Self-service.
Quando usar
- Um usuário precisa de um papel para uma nova tarefa e não deve esperar que um administrador o atribua manualmente.
- Um usuário precisa de acesso a uma política de acesso, e os administradores da política devem decidir.
- Um administrador de política sai de uma equipe e transfere a administração de uma política para um colega.
- A sua equipe precisa de evidências auditáveis de quem solicitou e de quem aprovou o acesso privilegiado.