Администраторы: открываем роли для запроса
В разделе Управление доступом → Согласования доступа нажмите Роли, доступные для запроса и выберите, какие пользовательские роли можно запрашивать, а также максимальное число дней, на которое можно запросить каждую роль (1–365). Системные роли запрашивать нельзя.
Пользователи: как запросить роль
Каждый вошедший пользователь видит доступные для запроса роли в разделе Рабочая область → Мои запросы. Выберите роль, укажите причину и число дней и отправьте заявку; до согласования её можно отозвать. Нельзя запросить роль, которой вы уже владеете, или роль, по которой у вас уже есть заявка на согласовании.
Вновь созданные пользователи должны сменить первоначальный пароль, прежде чем смогут пользоваться этой страницей.
Согласующие: выдать, отклонить, отозвать
Управление доступом → Согласования доступа показывает ожидающие, выданные или все заявки.
- Выдать: можно уменьшить число дней и добавить комментарий. После выдачи пользователь немедленно получает роль, а по истечении срока она автоматически перестаёт действовать.
- Отклонить: можно указать причину.
- Отозвать: досрочно забирает роль, выданную по уже согласованной заявке.
Выдача заявки эквивалентна назначению роли согласующим, поэтому действуют те же правила:
- нельзя выдать роль сверх собственных прав согласующего;
- применяются ограничения разделения обязанностей;
- никто не может согласовать собственную заявку;
- согласующие с включённой двухфакторной проверкой должны были пройти подтверждение в последние 10 минут.
Автоматическое истечение срока
Выданные роли перестают действовать немедленно по истечении срока. Фоновая задача каждые 5 минут удаляет истёкшие назначения и помечает заявки как «истёкшие». Весь процесс (подача запроса, его отмена, выдача, отклонение, досрочный отзыв роли, истечение срока) записывается в журнал аудита.