Ad Berechtigungen zeitgesteuert vergeben

[Maraun 12]

Hallo zusammen,

 

sicher kein neues Thema.
Wir haben zahlreiche Azubis, die beinahe monatsweise die Abteilungen wechslen und dabei anstatt immer mehr Berechtigungen anzuhäufen, eher nur die minimal benötigten Berechtigungen von mir bekommen sollen. Stand jetzt muss ich per Terminkalender die Abteilungsbewegungen überwachen und per PS-Skript dann die jeweiligen Berechtigungen zuweisen. Die Skripte sind erstellt und soweit klappt das auch. Aber da hängen noch Drucker (Support) und SAP-Rechte (SAP-Team) dran, die das ebenfalls timen und umsetzen müssen.

Hat jemand Erfahrung mit automatisierten Lösungen?
Zum Beispiel:
Benutzer xy ist vom 01.10. - 31.12. in der Abteilung XY und bekommt das folgende Rechte-Template für den Zeitraum zugewiesen.

Viele Grüße

Alex

[lefg 276]

Hallo,

 

bei uns sind die Benutzer Mitglieder von Sicherheitsgruppen. Diese wirken auf Objekte, schaffen Berechtigung auf Ordner und Dateien, auf Drucker.

 

Leitung oder Assistenz melden den Zugang und den Abgang, das ist deren Verantwortung.

 

Trotzdem, eine Möglichkeit der Automatisierung, Terminsteuerung -ohne Skripte-  wäre schon interessant.

bearbeitet 3. September 2013 von lefg

[Maraun 12]

Hi lefg,

 

ist bei mir in der AD genauso gesteuert.
Für die Druckerzuweisung hat unser Support eine programmierte HTML-Seite, die alle Benutzer und Drucker aus dem AD in eine Maske packt und damit die Druckerzuweisung erledigt, alles andere läuft über Security Groups.

Ich habe jetzt auch gelesen, dass Powershell 3 zeitgesteuert Skripts ausführen kann. Sicher auch interessant.

Würde mir eine Maske wünschen, in der man neben dem Samaccountname die jeweilige Berechtigung/Security Group und den Zeitraum dafür hinterlegt.

 

Grüße

Alex

bearbeitet 4. September 2013 von Maraun

[lefg 276]

Hallo Alex,

 

hast Du schon mal geschaut, ob die Aufgabenplanung, Active Directory Rights Managment Service Clients hilfreich sein könnte? Natürlich kann das keine der gewünschten bequemen Möglichkeiten bieten.

bearbeitet 4. September 2013 von lefg

[Maraun 12]

Hi lefg,

 

ja habe ich. Wie Du schon schreibst, ist es natürlich eine Möglichkeit, wenngleich nicht ganz die gesuchte.

Das hier kommt dem ganzen schon etwas näher.

http://www.manageengine.com/products/ad-manager/

 

Wobei es auch hier, soweit ich sehe, zwar wiederkehrende zeitgesteuerte Aufgaben gibt (User erstellen, löschen und speziell Security Groups zuzuweisen usw.),

aber in der Software gibt es nirgends eine Möglichkeit, die zeitgesteuerte Vergabe genau auf ein Datum zu definieren.

Wundert mich eigentlich, dass es das nicht schon längst als Lösung irgendwo gibt.

 

[lefg 276]

Wundert mich eigentlich, dass es das nicht schon längst als Lösung irgendwo gibt.

 

Nun, auch ich habe noch nicht ständig und dringend für soch einen Fall eine Lösung benötigt. Bei mir wechseln die User nicht in grossen Mengen die Sicherheitsgruppe. Es ist eher so, ein Egagement, eine Anstellung oder ein Kurs endet mit einem Termin, dafür gibt es in der Kontenkarte eine Einstellung, Konto läuft ab: Datum.

bearbeitet 4. September 2013 von lefg

[Maraun 12]

Lefg,
das war nicht persönlich an Dich gerichtet.

Die Accountfunktionalität ist mir natürlich bekannt, nur eben im Fall eines Abteilungswechsels vom Azubi bringt das nichts.

Die Aussage ging nur dahin, dass es das AD ja schon geraume Zeit gibt und sicher auch die Anforderung, an termingesteuerte

Berechtigungsvergabe nicht neu ist. Wenngleich sie nicht überall von Nöten ist.

Danke trotzdem für die Tipps.

 

Viele Grüße

Alex

 

[lefg 276]

Hallo Alex,

 

aus der doch geringen Resonanz zu dem Thema hier schließe ich mal, es besteht keine Nachfrage, es ist niemnden hier bekannt.

[Dukel 455]

Auch wenn es bestimmte Anforderungen von Kunden gibt wird MS nicht alle umsetzen.

 

Evtl. gibt es Provisioning Lösungen, welche die Anforderungen umsetzen. Die Frage ist, ob man das wirklich Zeitgesteuert haben will.

Ist es nicht ausreichend, wenn man am Tag X ein Script ausführt, dass die Berechtigungen anpasst oder man nutzt ein Rollenkonzept und ändert dort die Rolle.

 

Was passiert wenn es Termin gesteuert ist und der Azubi bleibt dann 2 Tage länger in der Abteilung? Dann stimmen die Rechte nicht.

[lefg 276]

Ist es nicht ausreichend, wenn man am Tag X ein Script ausführt, dass die Berechtigungen anpasst oder man nutzt ein Rollenkonzept und ändert dort die Rolle.

 

Was passiert wenn es Termin gesteuert ist und der Azubi bleibt dann 2 Tage länger in der Abteilung? Dann stimmen die Rechte nicht.

 

Das per Skript wurde bereits diskutiert, ist ja prinzipiell umgesetzt, das ist ja eine Terminsteuerung, Beginn und Ende.

 

Was der TO sich aber wohl wünscht, ist so etwas wie eine Steuerung per Kalender, nämlich vom den Kalendern der Abteilungen, oder den Kalendern  der Auszubildenden oder dem Ausbildungskalender. Diese Kalender stellen den Zuraum dar, nicht Beginn und Ende der Zugehörigkeit. Derzeit muss er das immer im Auge behalten.

bearbeitet 5. September 2013 von lefg