Automatisk tilldelning av roller och grupper

Automatisk tilldelning används för att automatiskt ge användare roller och gruppmedlemskap utifrån användarens egenskaper och attribut.

Funktionen kan exempelvis användas för att:

• Tilldela en användare en roll på rätt organisatorisk enhet.
• Lägga till användare i en viss grupp.
• Ändra tilldelningar när användarens uppgifter förändras.
• Ta bort automatiska tilldelningar när användaren inte längre uppfyller villkoren.

Ett vanligt användningsområde är att koppla ett användarattribut, exempelvis en skolenhetskod, till motsvarande attribut på en organisatorisk enhet. Systemet kan då automatiskt tilldela användaren rätt roll på rätt enhet.

Automatisk tilldelning är en tilläggstjänst

Funktionen behöver vara aktiverad i organisationens installation av DF RESPONS.

Den är särskilt användbar i organisationer med många användare eller där användare ofta byter tjänst, enhet eller ansvarsområde.

Så fungerar automatisk tilldelning

En automatisk tilldelning består av tre huvudsakliga delar:

Del	Beskrivning
Målgrupp	Anger vilka kontotyper och användare som kan omfattas.
Villkor	Anger vilka egenskaper eller attribut användaren behöver matcha.
Tilldelningar	Anger vilka roller eller grupper användaren ska tilldelas.

När tilldelningen körs kontrollerar systemet vilka användare som uppfyller villkoren.

Användare som matchar villkoren får de roller och gruppmedlemskap som har konfigurerats. När en användare inte längre matchar kan de automatiska tilldelningarna tas bort.

Automatiska tilldelningar kan även tas bort

En körning lägger inte enbart till roller och grupper.

Roller och gruppmedlemskap som tidigare har skapats av den automatiska tilldelningen kan tas bort om användaren inte längre uppfyller villkoren eller om tilldelningen har ändrats.

Användarattribut och enhetsattribut

Automatiska rolltilldelningar bygger ofta på att ett attribut på användaren matchas mot en organisatorisk enhet.

Exempel:

• Användaren har användarattributet Skolenhetskod = 12345.
• Enheten Parkskolan har enhetsattributet Skolenhetskod = 12345.
• Den automatiska tilldelningen matchar värdena.
• Användaren tilldelas den angivna rollen på Parkskolan.

På detta sätt kan användarens organisatoriska placering i ett källsystem styra var användaren får behörighet i DF RESPONS.

Attributen behöver stämma överens

Automatisk tilldelning är beroende av att attributen på användare och enheter innehåller korrekta och jämförbara värden.

Om en användare får fel roll eller tilldelas rollen på fel enhet bör både användarattributet och enhetsattributet kontrolleras.

Läs mer om enhetsattribut i avsnittet Attributgrupper under sidan Struktur.

Läs mer om användarattribut i avsnittet Attributgrupper under sidan Interna användare.

Kontotyper

En automatisk tilldelning kan konfigureras för att gälla:

• Lokala användarkonton.
• Konton från en katalogtjänst.
• Samtliga kontotyper.

Konton som skapas och uppdateras genom användar-API visas som lokala konton i DF RESPONS. Automatiska tilldelningar kan då baseras på de attribut som skickas med i API-anropet.

För AD-kopplade konton kan tilldelningen baseras på uppgifter som hämtas från katalogtjänsten.

Manuellt skapade konton

För manuellt skapade konton behöver de användarattribut som används av den automatiska tilldelningen finnas på kontot.

Roller och grupper behöver annars tilldelas manuellt.

När körs automatiska tilldelningar?

Automatiska tilldelningar kan köras i flera olika situationer:

• När användare skapas eller uppdateras genom användar-API.
• När AD-användare synkroniseras genom en katalogtjänst.
• När ett relevant användarattribut ändras och användaren sparas.
• När ett relevant enhetsattribut ändras.
• När en attributdefinition ändras.
• När systemförvaltaren startar en manuell körning.

Vilka användare som behandlas beror på den automatiska tilldelningens inställningar för kontotyp, villkor och eventuella taggar.

Vid användar-API

När ett användarkonto skapas eller uppdateras genom användar-API kan automatiska tilldelningar köras för användaren.

Taggar används för att avgöra vilka automatiska tilldelningar som ska köras vid API-anropet.

Systemet utvärderar de användare som ingår i anropet och uppdaterar deras roller och grupper utifrån de matchande automatiska tilldelningarna.

Vid synkronisering från en katalogtjänst

När användare synkroniseras från en katalogtjänst kan automatiska tilldelningar köras för de användare som ingår i synkroniseringen.

Taggar används för att koppla synkroniseringen till rätt automatiska tilldelningar.

Tilldelningarna baseras därefter på de uppgifter och attribut som har hämtats från katalogtjänsten.

När en användare sparas

Om ett användarattribut som används av en automatisk tilldelning ändras, körs de berörda tilldelningarna när användaren sparas.

Exempel:

1. Den automatiska tilldelningen Tilldela utredare använder attributet Skolenhetskod.
2. Användarens värde ändras från 112233 till 332211.
3. Användaren sparas.
4. Tilldelningen körs på nytt för användaren.
5. Användarens automatiska roller och grupper uppdateras utifrån det nya värdet.

Ändringar kan påverka användarens behörighet

När ett relevant attribut ändras kan användaren förlora tidigare automatiska tilldelningar och få nya.

Kontrollera därför användarens roller och gruppmedlemskap efter större ändringar.

När attribut ändras

Användarattributets definition ändras

Om exempelvis standardvärdet eller inställningen för flera värden ändras kan alla automatiska tilldelningar som använder attributet behöva köras.

Vilka användare som omfattas beror på tilldelningens inställning för kontotyp.

Ett användarattribut kan inte tas bort så länge det används av en automatisk tilldelning.

Användarens attributvärde ändras

När användarens värde för ett relevant attribut ändras och användaren sparas, körs de tilldelningar som använder attributet för den aktuella användaren.

Enhetsattributets definition ändras

Om standardvärdet för ett enhetsattribut ändras kan alla automatiska tilldelningar som använder attributet köras på nytt.

Ett enhetsattribut kan inte tas bort så länge det används av en automatisk tilldelning.

Enhetens attributvärde ändras

Om ett attributvärde ändras på en organisatorisk enhet kan de tilldelningar som använder attributet köras för alla användare av matchande kontotyp.

Ändringar av enhetsattribut kan påverka många användare

Ett enhetsattribut kan användas för att koppla flera användare till organisatoriska enheter.

Kontrollera därför vilka automatiska tilldelningar som använder attributet innan värdet ändras.

Manuell körning

En automatisk tilldelning kan köras manuellt från tilldelningens konfigurationssida.

Vid en manuell körning behandlas de kontotyper som tilldelningen är konfigurerad för.

Körningen kan:

• Lägga till roller och grupper för användare som matchar villkoren.
• Ta bort automatiska tilldelningar från användare som inte längre matchar.
• Ta bort tilldelningar som inte längre ingår i konfigurationen.
• Uppdatera organisatoriska enheter för automatiska rolltilldelningar.

Kontrollera konfigurationen före manuell körning

En manuell körning kan påverka många användare samtidigt.

Kontrollera villkor, kontotyper, roller, grupper och enhetsmatchningar innan körningen startas.

Skapa en automatisk tilldelning

För att hantera funktionen väljer systemförvaltaren Organisation → Automatisk tilldelning i huvudmenyn.

På översiktssidan visas de automatiska tilldelningar som finns i systemet.

Klicka på Ny automatisk tilldelning för att skapa en ny tilldelning.

Ange de grundläggande inställningarna för tilldelningen.

Inställning	Beskrivning
Namn	Ett tydligt namn som beskriver tilldelningens syfte.
Beskrivning	En beskrivning av vilka användare och tilldelningar som omfattas.
Aktiv	Anger om tilldelningen ska kunna köras.
Giltiga kontotyper	Anger vilka kontotyper som ska omfattas.
Lägg till manuellt borttagna	Anger om tilldelningar som har tagits bort manuellt ska återinföras.
Normal till auto	Anger om en motsvarande manuell tilldelning ska omvandlas till en automatisk tilldelning.
Skicka rapport till	Anger vilka e-postadresser som ska få en rapport efter körningen.
Skicka PDF på antal tilldelningar	Anger tröskeln för när rapporten ska skickas.
Taggar	Används för att matcha tilldelningen mot API-anrop eller synkronisering från en katalogtjänst.

Använd ett beskrivande namn

Namnet bör ange både målgrupp och resultat.

Exempel:

• Tilldela rektor efter skolenhetskod
• Lägg systemförvaltare i grupp
• Tilldela utredare efter verksamhetskod

Dokumentera konfigurationen

Dokumentera vilka källsystem, taggar, attribut, roller, grupper och enhetsmatchningar som används.

Det underlättar felsökning när organisationen, integrationen eller behörighetsmodellen förändras.

Villkor för tilldelningen

När den grundläggande konfigurationen har sparats anger systemförvaltaren vilka användare som ska omfattas.

Villkoren består av:

• Ett eller flera parametrar.
• Alias för parametrarna.
• Ett formeluttryck som kombinerar parametrarna.

Parametrar

Parametrarna används för att jämföra användaren med valda egenskaper eller attribut.

En parameter kan exempelvis kontrollera:

• Användarens ID.
• Användarens titel.
• Ett användarattribut.
• Kontotyp.
• Andra tillgängliga användaregenskaper.

Varje parameter får ett alias som används i formeluttrycket.

Formeluttryck

Formeluttrycket anger hur parametrarna ska kombineras.

Alias skrivs inom hakparenteser:

[ALIAS_1]

Villkor kan kombineras med OCH, ELLER och NOT.

Exempel:

[ALIAS_1] && [ALIAS_2]

Båda villkoren behöver då vara uppfyllda.

[ALIAS_1] || [ALIAS_2]

Minst ett av villkoren behöver vara uppfyllt.

[ALIAS_1] && ([ALIAS_2] || [ALIAS_3])

Det första villkoret och minst ett av de två andra villkoren behöver vara uppfyllda.

Om inget formeluttryck anges utvärderas samtliga parametrar med OCH.

Kontrollera parenteserna

Använd parenteser för att tydliggöra hur villkoren ska grupperas.

Ett felaktigt formeluttryck kan innebära att fler eller färre användare än avsett matchar tilldelningen.

Ange automatiska tilldelningar

När målgruppen har definierats anges vad som ska tilldelas.

Välj Roll eller Grupp och klicka på Ny tilldelning.

Automatisk grupptilldelning

För en grupptilldelning väljs den grupp som matchande användare ska bli medlem i.

När användaren inte längre uppfyller villkoren kan det automatiska gruppmedlemskapet tas bort.

Automatisk rolltilldelning

För en rolltilldelning anges:

• Vilken roll som ska tilldelas.
• Hur den organisatoriska enheten ska bestämmas.

Enheten kan vara:

• En fast angiven enhet.
• En enhet vars ID matchar ett användarattribut.
• En enhet vars enhetsattribut matchar ett användarattribut.

Exempel på automatisk rolltilldelning

Följande konfiguration används:

• Rollen Rektor ska tilldelas.
• Användaren har attributet departmentNumber.
• Organisatoriska enheter har också attributet departmentNumber.
• Användarens attribut ska matcha enhetens attribut.

Användaren har:

departmentNumber = 12345

Enheten Centralskolan har:

departmentNumber = 12345

Enheten Storskolan har:

departmentNumber = 67890

Användaren tilldelas rollen Rektor på Centralskolan eftersom attributvärdena matchar. Rollen tilldelas inte på Storskolan.

Verktygsfältet

Funktion	Beskrivning
Ta bort	Tar bort den automatiska tilldelningen. Systemet frågar hur befintliga automatiska tilldelningar ska hanteras.
Kör tilldelningar	Kör den aktuella automatiska tilldelningen.
Ta bort alla tilldelningar	Tar bort de roller och gruppmedlemskap som den automatiska tilldelningen har tilldelat.
Spara	Sparar konfigurationen.
Stäng	Återgår till översikten över automatiska tilldelningar.

Ta bort en automatisk tilldelning

När en automatisk tilldelning tas bort behöver systemförvaltaren välja hur de tilldelningar som redan har skapats ska hanteras.

Tilldelningarna kan:

• Omvandlas till vanliga manuella tilldelningar.
• Tas bort tillsammans med den automatiska tilldelningen.

Kontrollera konsekvenserna före borttagning

Om tilldelningarna tas bort kan användare omedelbart förlora roller, gruppmedlemskap och åtkomst till ärenden.

Om tilldelningarna omvandlas till manuella kommer de inte längre att uppdateras automatiskt.