Informationen über unsere lokalen und internationalen Büros finden Sie auf unserer Website (

Transkript

1 IT Shop 5.0

2 2011 Quest Software, Inc. ALLE RECHTE VORBEHALTEN. Dieses Handbuch enthält urheberrechtlich geschützte Informationen. Die im vorliegenden Handbuch beschriebene Software unterliegt den Bedingungen der jeweiligen Softwarelizenz oder Geheimhaltungsvereinbarung. Die Software darf nur gemäß den Bedingungen der Vereinbarung benutzt oder kopiert werden. Diese Anleitung darf ohne schriftliche Erlaubnis von Quest Software, Inc. weder ganz noch teilweise in beliebiger Form oder durch beliebige elektronische oder mechanische Hilfsmittel einschließlich des Fotokopierens und Speicherns für andere Zwecke als den persönlichen Gebrauch des Käufers vervielfältigt oder weitergegeben werden. Die Informationen in diesem Dokument werden in Verbindung mit Quest-Produkten zur Verfügung gestellt. Durch dieses Dokument wird weder explizit noch implizit, durch Duldungsvollmacht oder auf andere Weise, eine Lizenz auf intellektuelle Eigentumsrechte erteilt, auch nicht in Verbindung mit dem Erwerb von Quest-Produkten. MIT AUSNAHME DER BESTIMMUNGEN IN DEN ALLGEMEINEN GESCHÄFTS- BEDINGUNGEN VON QUEST, DIE IN DER LIZENZVEREINBARUNG FÜR DIESES PRODUKT AUFGEFÜHRT SIND, ÜBERNIMMT QUEST KEINERLEI HAFTUNG UND SCHLIESST JEDE EXPLIZITE, IMPLIZITE ODER GESETZLICHE GEWÄHRLEISTUNG FÜR SEINE PRODUKTE AUS, INSBESONDERE DIE IMPLIZITE GE- WÄHRLEISTUNG DER MARKTFÄHIGKEIT, DER EIGNUNG ZU EINEM BESTIMMTEN ZWECK UND DIE GE- WÄHRLEISTUNG DER NICHTVERLETZUNG VON RECHTEN. UNTER KEINEN UMSTÄNDEN HAFTET QUEST FÜR UNMITTELBARE, MITTELBARE ODER FOLGESCHÄDEN, SCHADENSERSATZ, BESONDERE ODER KONKRETE SCHÄDEN (INSBESONDERE SCHÄDEN, DIE AUS ENTGANGENEN GEWINNEN, GESCHÄFTS- UNTERBRECHUNGEN ODER DATENVERLUSTEN ENTSTEHEN), DIE SICH DURCH DIE NUTZUNG ODER UNMÖGLICHKEIT DER NUTZUNG DIESES DOKUMENTS ERGEBEN, AUCH WENN QUEST ÜBER DIE MÖG- LICHKEIT SOLCHER SCHÄDEN INFORMIERT WURDE. Quest übernimmt keine Garantie für die Richtigkeit oder Vollständigkeit der Inhalte dieses Dokuments und behält sich vor, jederzeit und ohne vorherige Ankündigung Änderungen an den Spezifikationen und Produktbeschreibungen vorzunehmen. Quest geht keinerlei Verpflichtung ein, die in diesem Dokument enthaltenen Informationen zu aktualisieren. Bei Fragen zur möglichen Verwendung dieser Materialien wenden Sie sich bitte an: Quest Software World Headquarters LEGAL Dept 5 Polaris Way Aliso Viejo, CA USA legal@quest.com Informationen über unsere lokalen und internationalen Büros finden Sie auf unserer Website ( Patente Dieses Produkt enthält zum Patent angemeldete Technologie. Warenzeichen Quest, Quest Software, das Quest Software-Logo und Quest One Identity Manager sind Warenzeichen und eingetragene Warenzeichen von Quest Software, Inc in den Vereinigten Staaten von Amerika und in anderen Ländern. Eine komplette Liste der Quest Software Warenzeichen finden Sie unter

3 Andere in diesem Handbuch verwendete Warenzeichen und eingetragene Warenzeichen sind Eigentum ihrer jeweiligen Besitzer. Beiträge von Drittanbietern Quest One Identity Manager enthält einige Komponenten von Drittanbietern (nachfolgend aufgelistet). Kopien der Lizenzen dieser Drittanbieter finden Sie auf unserer Webseite unter legal/third-party-licenses.aspx. KOMPONENTE ExplorerCanvas Release 3 MochiKit Mono.Security Novell.Directory.LDAP PlotKit LIZENZ ODER BESTÄTIGUNG Copyright 2006 Google Inc. Apache 2.0 Lizenz. Copyright 2005 Bob Ippolito. All rights reserved. MIT Lizenz. Copyright 2004 Novell, Inc. ( MIT Lizenz. Copyright 2003 Novell, Inc. ( MIT Lizenz. Copyright 2006 Alastair Tse. BSD Simple Lizenz. Quest One Identity Manager - IT Shop Aktualisiert Softwareversion

4

5 INHALT KAPITEL 1 ÜBER DIESES HANDBUCH QUEST ONE IDENTITY MANAGER ZIELGRUPPE DES HANDBUCHES BESTANDTEILE DER DOKUMENTATION FORMATIERUNGSKONVENTIONEN ÜBER DIE QUEST SOFTWARE, INC KONTAKT ZU QUEST SOFTWARE, INC KONTAKT ZUM QUEST-SUPPORT KAPITEL 2 EINRICHTEN EINER IT SHOP-LÖSUNG EINLEITUNG INBETRIEBNAHME DES IT SHOPS BESTELLBARE PRODUKTE VORBEREITUNG DER PRODUKTE ZUR BESTELLUNG ERFASSEN VON LEISTUNGSPOSITIONEN ALLGEMEINE STAMMDATEN EINER LEISTUNGSPOSITION ERWEITERTE STAMMDATEN EINER LEISTUNGSPOSITION ZUSÄTZLICHE AUFGABEN ZUR VERWALTUNG VON LEISTUNGSPOSITIONEN FESTLEGEN VON ABHÄNGIGKEITEN ZWISCHEN PRODUKTEN BERICHTE ÜBER LEISTUNGSPOSITIONEN ERFASSEN VON SERVICEKATEGORIEN ZUSÄTZLICHE AUFGABEN ZUR VERWALTUNG VON SERVICEKATEGORIEN ERFASSEN PRODUKTSPEZIFISCHER BESTELLEIGENSCHAFTEN MEHRFACH BESTELLBARE PRODUKTE PRODUKTE FÜR ZEITLICH BEGRENZTE BESTELLUNGEN PRODUKTBESTELLUNG BEI WECHSEL DES KUNDEN IN EINEN ANDEREN SHOP ZUWEISUNGSBESTELLUNG UND DELEGIERUNG ZUWEISUNGSBESTELLUNGEN VORBEREITEN DELEGIERUNGEN VORBEREITEN ZUWEISEN UND ENTFERNEN DER PRODUKTE ZUWEISEN EINES PRODUKTES ENTFERNEN EINES PRODUKTES VERSCHIEBEN EINES PRODUKTES IN EIN ANDERES REGAL WECHSELN EINES PRODUKTES BESTELLVORLAGEN BESTELLVORLAGEN BEARBEITEN BESTELLVORLAGEN LÖSCHEN GENEHMIGUNGSVERFAHREN FÜR IT SHOP-BESTELLUNGEN BEARBEITEN VON ENTSCHEIDUNGSRICHTLINIEN ZUSÄTZLICHE AUFGABEN FÜR ENTSCHEIDUNGSRICHTLINIEN ARBEITEN MIT DEM WORKFLOWEDITOR EINRICHTEN VON ENTSCHEIDUNGSWORKFLOWS ENTSCHEIDUNGSEBENEN UND ENTSCHEIDUNGSSCHRITTE BEARBEITEN

6 Quest One Identity Manager ENTSCHEIDUNGSWORKFLOW KOPIEREN ENTSCHEIDUNGSWORKFLOW LÖSCHEN ERMITTELN DER WIRKSAMEN ENTSCHEIDUNGSRICHTLINIE AUSWAHL DER VERANTWORTLICHEN ENTSCHEIDER SELBSTBEDIENUNG ERMITTLUNG DER ENTSCHEIDER ÜBER DIE IT SHOP STRUKTUREN ERMITTLUNG DER ENTSCHEIDER ÜBER DEN KUNDEN ERMITTLUNG DER INHABER EINER GESCHÄFTSROLLE ERMITTLUNG DER PRODUKTEIGNER ERMITTLUNG VON ENTSCHEIDERN ÜBER EINE GENEHMIGERROLLE ERMITTLUNG VON ENTSCHEIDERN ÜBER EINE BESTELLUNG DYNAMISCH ERRECHNETER PERSONENKREIS VERZÖGERTE ENTSCHEIDUNG EINER BESTELLUNG ERRECHNETE ENTSCHEIDUNG EXTERN VORZUNEHMENDE ENTSCHEIDUNG PRÜFEN VON BESTELLUNGEN AUF REGELKONFORMITÄT RISIKOBEWERTUNG VON BESTELLUNGEN VOLLSTÄNDIGE ÜBERPRÜFUNG DER BESTELLUNGEN ÜBERPRÜFUNG DER BESTELLUNGEN MIT SELBSTBEDIENUNG ERMITTELN DER AUSNAHMEGENEHMIGER GENEHMIGUNG VON BESTELLUNGEN EINES ENTSCHEIDERS AUTOMATISCHE ENTSCHEIDUNG VON BESTELLUNGEN EINHOLEN WEITERER INFORMATIONEN ZUR BESTELLUNG DURCH EINEN ENTSCHEIDER ESKALIEREN EINES ENTSCHEIDUNGSSCHRITTES AUTOMATISCHE ENTSCHEIDUNG BEI ZEITÜBERSCHREITUNG ABBRUCH EINER BESTELLUNG BEI ZEITÜBERSCHREITUNG BENACHRICHTIGUNGEN IM BESTELLPROZESS AUFFORDERUNG ZUR ENTSCHEIDUNG ERINNERUNG DER ENTSCHEIDER ABLAUF EINER BEFRISTETEN BESTELLUNG GENEHMIGUNG ODER ABLEHNUNG EINER BESTELLUNG ABBRUCH EINER BESTELLUNG ESKALATION EINER BESTELLUNG ABLAUF EINER BESTELLUNG ÜBERBLICK ÜBER BESTELLUNGEN DETAILS DER BESTELLUNG ENTSCHEIDUNGSVERLAUF GENEHMIGUNGSHISTORIE MEHRFACHE BESTELLUNG EINES PRODUKTES ZEITLICH BEGRENZTE BESTELLUNGEN WECHSEL DES KUNDEN IN EINEN ANDEREN SHOP BESTELLUNGEN FÜR MITARBEITER BEARBEITEN DES IT SHOPS BASISDATEN FÜR DEN IT SHOP ROLLENTYPEN ENTSCHEIDUNGSRICHTLINIEN UND ENTSCHEIDUNGSWORKFLOWS

7 BEARBEITUNGSSTATUS ANWENDUNGSROLLEN MAILVORLAGEN PARTNERFIRMEN SERVICEKATEGORIEN BESTELLEIGENSCHAFTEN EINRICHTEN EINES SHOPPINGCENTERS SHOPPINGCENTERVORLAGE ZUORDNEN ZUSÄTZLICHE AUFGABEN FÜR SHOPPINGCENTER EINRICHTEN EINES SHOPS ZUSÄTZLICHE AUFGABEN FÜR SHOPS EINRICHTEN VON KUNDENKNOTEN ZUSÄTZLICHE AUFGABEN FÜR KUNDENKNOTEN EINRICHTEN EINES REGALS ZUSÄTZLICHE AUFGABEN FÜR REGALE LÖSCHEN VON IT SHOP STRUKTUREN VORLAGEN ZUR AUTOMATISCHEN IT SHOP-BEFÜLLUNG VORGEHENSWEISE BEIM ERSTELLEN VON REGALVORLAGEN REGALVORLAGEN ERSTELLEN ZUSÄTZLICHE AUFGABEN FÜR REGALVORLAGEN REGALVORLAGEN AN SHOPS UND SHOPPINGCENTERVORLAGEN ZUWEISEN REGALVORLAGEN LÖSCHEN ÜBERNAHME VORHANDENER BENUTZERKONTEN, GRUPPENZUORDNUNGEN UND ROLLENMITGLIEDSCHAF- TEN IN IT SHOP BESTELLUNGEN BESTELLUNGEN FÜR BENUTZERKONTEN BESTELLUNGEN FÜR GRUPPENZUORDNUNGEN BESTELLUNGEN FÜR ZUWEISUNGEN AN ROLLEN BEISPIEL ZUR ERZEUGUNG VON BESTELLUNGEN FÜR BESTEHENDE BENUTZERKONTEN ERSTELLEN KUNDENSPEZIFISCHER MAILVORLAGEN FÜR BENACHRICHTIGUNGEN ALLGEMEINE EIGENSCHAFTEN EINER MAILVORLAGE ERSTELLEN UND BEARBEITEN EINER MAILDEFINITION VERWENDEN VON EIGENSCHAFTEN DES BASISOBJEKTES VERWENDEN VON HYPERLINKS ZUM WEB PORTAL STANDARDFUNKTIONEN FÜR DIE ERSTELLUNG VON HYPERLINKS KUNDENSPEZIFISCHE PROZESSE FÜR BENACHRICHTIGUNGEN INFOSYSTEM ZUM IT SHOP GLOSSAR INDEX

8 Quest One Identity Manager 8

9 1 Über dieses Handbuch Quest One Identity Manager Zielgruppe des Handbuches Formatierungskonventionen Über die Quest Software, Inc.

10 Quest One Identity Manager Quest One Identity Manager Der Quest One Identity Manager vereinfacht konzernweit den Prozess der Verwaltung von Benutzeridentitäten, Zugriffberechtigungen und Sicherheitsrichtlinien. Er ermöglicht, IAM anhand von Unternehmensanforderungen, statt durch IT Ressourcen, zu betreiben. Der Quest One Identity Manager basiert auf einer prozessoptimierten Architektur und realisiert, im Gegensatz zu "traditionellen" Lösungen, die wesentlichen IAM Herausforderungen mit einem Bruchteil an Komplexität, Zeitaufkommen und Kosten. Zielgruppe des Handbuches Dieses Handbuch erläutert Ihnen die Funktionsweise des IT Shops. Aufgabe des IT Shops ist die Selbstversorgung der Mitarbeiter mit den Unternehmensressourcen, die sie zur Erfüllung ihrer Aufgaben benötigen. Sie erfahren, wie Sie eine IT Shop-Lösung in der Identity Manager-Datenbank einrichten. Eine IT Shop- Lösung umfasst Shop- und Kundenstrukturen, bestellbare Produkte, Bestellvorgänge und Entscheidungsmethoden. Über Entscheidungsmethoden definieren Sie verschiedene Workflows, mit denen Bestellungen oder Abbestellungen durch authorisierte Personen genehmigt werden. Dieses Handbuch wurde als Nachschlagewerk für Systemadministratoren, Berater, Analysten und andere IT-Fachleute entwickelt. Dieses Handbuch beschreibt die Funktionen des Identity Managers, die für den Standardbenutzer verfügbar sind. Abhängig von der Systemkonfiguration und den Berechtigungen stehen Ihnen eventuell nicht alle Funktionen zur Verfügung. Bestandteile der Dokumentation Neben dem Handbuch IT Shop umfasst die Identity Manager-Dokumentation die im Folgenden beschriebenen Handbücher. Sie befinden sich auf der Auslieferungs-CD im Verzeichnis...\Quest One Identity Manager\Documentation. Erste Schritte Wesentliche Bestandteile des Handbuchs Erste Schritte sind: Installationsvoraussetzungen Installation und Aktualisierung der Identity Manager-Administrationswerkzeuge Einrichtung der Identity Manager-Datenbank Einrichtung der administrativen Arbeitsstationen Einrichtung der Server für den Zugriff auf die Datenbank Überblick über die Administrations- und Konfigurationswerkzeuge des Identity Managers Benutzeroberfläche der zentralen Identity Manager-Werkzeuge 10

11 Über dieses Handbuch Identity Management Wesentliche Bestandteile des Handbuchs Identity Management sind: Identity Management und User Provisioning mit dem Identity Manager Einhaltung und Überwachung regulatorischer Anforderungen mittels Identity Audit Prozess-Orchestrierung Wesentliche Bestandteile des Handbuchs Prozess-Orchestrierung sind: Überwachung der Prozessverarbeitung Steuerung der Prozessverarbeitung Fehlersuche Konfiguration Wesentliche Bestandteile des Handbuchs Konfiguration sind: Softwarearchitektur des Identity Managers Konfiguration des Identity Manager-Datenmodells Konfiguration der Bearbeitungsrechte Konfiguration der Benutzeroberflächen Skriptverarbeitung Erstellung von Reporten Datentransport Parameter zur Systemkonfiguration Vererbungsmechanismen des Identity Managers Service Provisioning mittels Service Provisioning Markup Language (SPML) Providermodus IT Shop Wesentliche Bestandteile des Handbuchs IT Shop sind: IT Shop zur Selbstversorgung autorisierter Mitarbeiter mit Unternehmensressourcen Entwicklung von Entscheidungsrichtlinien und Entscheidungsworkflows Web Designer Referenzhandbuch Wesentliche Bestandteile des Web Designer Referenzhandbuchs sind: Entwicklung und Konfiguration des Web Portals mit dem Web Designer 11

12 Quest One Identity Manager Formatierungskonventionen In diesem Handbuch werden bestimmte Formatierungskonventionen eingehalten, die die effektive Verwendung des Dokuments sicherstellen. Diese Konventionen werden auf unterschiedliche Vorgänge, Symbole, Tastenkombinationen und Querverweise angewandt. ELEMENT KONVENTION <> Kennzeichnet Schaltflächen und Menüeinträge der Benutzeroberfläche oder Tasten auf der Tastatur. Blaue Schrift Zeigt einen Querverweis an. Wird zum Hervorheben zusätzlicher Informationen verwendet, die für den jeweils beschriebenen Vorgang sachdienlich sind. Wird für empfohlene Vorgehensweisen verwendet. Eine empfohlene Vorgehensweise beschreibt detailliert einen Ablauf von Vorgängen, um optimale Ergebnisse zu erzielen. Damit werden Vorgänge hervorgehoben, die mit Vorsicht durchzuführen sind. + Ein Plus-Zeichen zwischen zwei Tasten bedeutet, dass beide Tasten gleichzeitig gedrückt werden müssen. Über die Quest Software, Inc. Quest Software vereinfacht das Management von IT-Infrastrukturen und sorgt damit für Kostensenkungen bei mehr als Kunden weltweit. Die innovativen Lösungen unterstützen Unternehmen selbst bei den größten Herausforderungen des IT-Managements, verbessern die Effizienz der IT-Abläufe und helfen Zeit und Geld zu sparen - über physische, virtuelle und Cloud-Umgebungen hinweg. Weitere Informationen unter Kontakt zu Quest Software, Inc. Postanschrift Website info@quest.com Quest Software, Inc. World Headquarters 5 Polaris Way Aliso Viejo, CA USA Informationen über unsere regionalen und internationalen Niederlassungen entnehmen Sie bitte unserer Website. 12

13 Über dieses Handbuch Kontakt zum Quest-Support Der Support von Quest ist für Kunden verfügbar, die über eine Evaluierungsversion eines Quest-Produkts verfügen oder die eine kommerzielle Version erworben haben und über einen gültigen Wartungsvertrag verfügen. Der Quest-Support steht Ihnen über SupportLink, unsere Service-Website, rund um die Uhr zur Verfügung. Besuchen Sie SupportLink unter Auf der SupportLink-Website haben Sie folgende Möglichkeiten: Schnell Tausende von Lösungen finden (Knowledge Base-Artikel und Dokumente). Patches und Aktualisierungen herunterladen. Die Hilfe eines technisch geschulten Support-Mitarbeiters anfordern. Ihren Fall protokollieren, aktualisieren und seinen Status überprüfen. Im Global Support Guide finden Sie eine ausführliche Erläuterung der Supportprogramme, Onlinedienste, Kontaktinformationen sowie Richtlinien und Vorgehensweisen. Das Handbuch kann unter folgender Adresse heruntergeladen werden: Support Guide.pdf. 13

14 Quest One Identity Manager 14

15 2 Einrichten einer IT Shop-Lösung Einleitung Inbetriebnahme des IT Shops Bestellbare Produkte Vorbereitung der Produkte zur Bestellung Zuweisen und Entfernen der Produkte Bestellvorlagen Genehmigungsverfahren für IT Shop-Bestellungen Benachrichtigungen im Bestellprozess Ablauf einer Bestellung Bearbeiten des IT Shops Vorlagen zur automatischen IT Shop-Befüllung Übernahme vorhandener Benutzerkonten, Gruppenzuordnungen und Rollenmitgliedschaften in IT Shop Bestellungen Erstellen kundenspezifischer Mailvorlagen für Benachrichtigungen Infosystem zum IT Shop

16 Quest One Identity Manager Einleitung Der IT Shop ermöglicht den Benutzern das Anfordern von Unternehmensressourcen wie Applikationen, Systemrollen oder Gruppenmitgliedschaften sowie Nicht-IT-Ressourcen wie beispielsweise Mobiltelefone oder Schlüssel. Darüber hinaus kann auch die Mitgliedschaft in einer Rolle (Abteilung, Standort, Kostenstelle, Geschäftsrolle) über den IT Shop bestellt werden. Die Bearbeitung der Anfragen läuft über flexible, richtlinienbasierte Genehmigungsverfahren. Durch den Einsatz des IT Shops werden zeitintensive Anfragen im Unternehmen verhindert und der Administrationsaufwand minimiert. Über die Bestellhistorie ist jederzeit nachvollziehbar, wer welche Unternehmensressourcen oder Rollen wann bestellt, verlängert oder abbestellt hat. Zu einer IT Shop-Lösung gehören Shops, Regale, Kunden, Produkte. Mehrere Shops können zu Shoppingcentern zusammengefasst werden. Den Regalen werden Unternehmensressourcen als Produkte zugewiesen. Produkte können nach Servicekategorien gruppiert werden. Alle Servicekategorien werden in einem Servicekatalog zusammengefasst. Kunden können im IT Shop Produkte aus dem Servicekatalog auswählen, in einen Einkaufswagen legen und bestellen. Die folgende Abbildung zeigt ein Beispiel für einen Servicekatalog. Beispiel für einen Servicekatalog Bestellungen durchlaufen ein definiertes Genehmigungsverfahren, in dem über die Zuweisung der Produkte entschieden wird. Produkte können verlängert oder abbestellt werden. Auch für Verlängerung und Abbestellung können Genehmigungsverfahren festgelegt werden. Für Genehmigungsverfahren werden Entscheidungsrichtlinien definiert. Den Entscheidungsrichtlinien werden Entscheidungsworkflows für Bestellen, Verlängern und Abbestellen von Produkten zugeordnet. Beispiel für einen einfachen Entscheidungsworkflow 16

17 Einrichten einer IT Shop-Lösung Die Produkte werden mit dem Web Portal bestellt, verlängert und abbestellt. Autorisierte Personen haben die Möglichkeit, Bestellungen und Abbestellungen zu genehmigen. Weitere Informationen erhalten Sie in der Web Portal Anwenderdokumentation. Inbetriebnahme des IT Shops In der Standardinstallation des Identity Managers ist bereits der Shop Identity Lifecycle vorhanden. Der Shop enthält ein Regal Identity Lifecylce, dem Sie die bestellbaren Produkte zuweisen. Im Regal befinden sich bereits Produkte, die Sie für die Bestellung einer Rollenmitgliedschaft und die Delegierung von Verantwortlichkeiten verwenden können. Alle aktiven Personen werden automatisch Kunden dieses Shops und sind somit bestellberechtigt. Aufbau des Standardshops Identity Lifecycle Um den Shop Identity Lifecycle zu nutzen, erledigen Sie folgende Schritte: SCHRITT Konfigurationsparameter QER\ITSHOP prüfen und gegebenenfalls aktivieren Bestellbare Produkte vorbereiten Bestellbare Produkte zuweisen HINWEISE In der Standardinstallation ist der Konfigurationsparameter aktiviert und der IT Shop ist verfügbar. Ist der Konfigurationsparameter nicht aktiviert, dann aktivieren Sie den Konfigurationsparameter im Designer und kompilieren Sie die Datenbank. Informationen erhalten Sie im Abschnitt Vorbereitung der Produkte zur Bestellung auf Seite 19. Informationen erhalten Sie im Abschnitt Zuweisen und Entfernen der Produkte auf Seite

18 Quest One Identity Manager SCHRITT Genehmigungsverfahren einrichten Web Portal installieren und konfigurieren HINWEISE In der Standardinstallation ist dem Shop Identity Lifecycle die Entscheidungsrichtlinie Default Selfservice zugewiesen. Damit werden Bestellungen aus diesem Shop automatisch durch den Identity Manager genehmigt. Zur Einrichtung kundenspezifischer Genehmigungsverfahren lesen Sie den Abschnitt Genehmigungsverfahren für IT Shop-Bestellungen auf Seite 41. Die Produkte werden mit dem Web Portal bestellt, verlängert und abbestellt. Autorisierte Personen haben die Möglichkeit, Bestellungen und Abbestellungen zu genehmigen. Weitere Informationen erhalten Sie im Web Portal Installation Guide und in der Web Portal Anwenderdokumentation. Sie können weitere Shops, Shoppingcenter und Regale einrichten. Weitere Informationen erhalten Sie im Abschnitt Bearbeiten des IT Shops auf Seite 79. Bestellbare Produkte Bestellbare Produkte im IT Shop sind Unternehmensressourcen wie Zielsystemgruppen, Applikationen oder Nicht-IT Ressourcen, sobald sie einem Regal zugewiesen sind. Folgende Unternehmensressourcen können Sie als bestellbare Produkte an Regale zuweisen. Systemberechtigungen des Unified Namespace Zur Einrichtung von Systemberechtigungen lesen Sie den Abschnitt Systemberechtigungen im Unified Namespace auf Seite 175 im Handbuch Identity Management. Active Directory Gruppen Zur Erstellung von Active Directory Gruppen lesen Sie den Abschnitt Erfassen der Stammdaten für Active Directory Gruppen auf Seite 287 im Handbuch Identity Management. SharePoint Gruppen Zur Erstellung von SharePoint Gruppen lesen Sie den Abschnitt SharePoint Gruppen auf Seite 403 im Handbuch Identity Management. SharePoint Rollen Zur Anpassung von SharePoint Rollen lesen Sie den Abschnitt SharePoint Rollen und Berechtigungsstufen auf Seite 411 im Handbuch Identity Management. Lotus Notes Gruppen Zur Erstellung von Lotus Notes Gruppen lesen Sie den Abschnitt Notes Gruppen auf Seite 478 im Handbuch Identity Management. LDAP Gruppen Zur Erstellung von LDAP Gruppen lesen Sie den Abschnitt LDAP Gruppen auf Seite 579 im Handbuch Identity Management. SAP Gruppen, SAP Rollen und SAP Profile Zur Anpassung der SAP Gruppen, SAP Rollen und SAP Profile lesen Sie den Abschnitt Verwalten von Gruppen, Rollen und Profilen auf Seite 542 im Handbuch Identity Management. Strukturelle Profile Zur Anpassung von strukturellen Profilen lesen Sie den Abschnitt Verwalten von strukturellen Profilen auf Seite 550 im Handbuch Identity Management. 18

19 Einrichten einer IT Shop-Lösung Applikationen Zur Erstellung von Applikationen lesen Sie den Abschnitt Einrichten von Applikationen auf Seite 145 im Handbuch Service Management. Ressourcen Zur Erstellung von Ressourcen lesen Sie den Abschnitt Ressourcen bearbeiten auf Seite 129 im Handbuch Identity Management. Benutzerkontenressourcen Zur Erstellung von Benutzerkonten über Benutzerkontenressourcen lesen Sie den Abschnitt Erzeugen von Benutzerkonten über Benutzerkontenressourcen auf Seite 42 im Handbuch Identity Management. Systemrollen Zum Einrichten von Systemrollen lesen Sie den Abschnitt Systemrollen bearbeiten auf Seite 136 im Handbuch Identity Management. Zuweisungsressourcen Mit dem Identity Manager können auch Rollen, wie Abteilungen oder Geschäftsrollen, über den IT Shop bestellt werden. Damit können beliebige Zuweisungen zu Rollen oder die Delegierung von Verantwortlichkeiten über IT Shop-Bestellungen realisiert werden. Um diese Verfahren zu realisieren, benötigen Sie spezielle Zuweisungsressourcen. Weitere Informationen erhalten Sie im Abschnitt Zuweisungsbestellung und Delegierung auf Seite 34. Vorbereitung der Produkte zur Bestellung Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Damit Sie Unternehmensressourcen als bestellbare Produkte an Regale zuweisen können, müssen die Unternehmensressourcen die folgenden Voraussetzungen erfüllen: Die Unternehmensressource muss mit der Option <IT Shop> gekennzeichnet sein. Der Unternehmensressource muss eine Leistungsposition zugeordnet sein. Dadurch kann die Bestellung der Unternehmensressource abgerechnet werden. Soll die Unternehmensressource nur über IT Shop-Bestellungen an Personen zugewiesen werden können, muss die Unternehmensressource zusätzlich mit der Option <Verwendung nur im IT Shop> gekennzeichnet sein. Eine direkte Zuweisung der Unternehmensressourcen an Rollen außerhalb des IT Shops ist dann nicht mehr zulässig. Alle Systemberechtigungen, Applikationen und Ressourcen können Sie im Identity Manager in der Kategorie <Berechtigungen> oder im Manager in der Kategorie <Ressourcen & Gruppen> zur Bestellung vorbereiten. Zielsystemberechtigungen bereiten Sie im Manager in der Kategorie <Ressourcen & Gruppen> zur Bestellung vor. 19

20 Quest One Identity Manager Ordnen Sie die Leistungsposition zu und aktivieren die Option <IT Shop>. Produkt zur Bestellung vorbereiten am Beispiel einer Ressource Neue Leistungspositionen können Sie über die Schaltfläche neben dem Eingabefeld <Leistungsposition> anlegen. Weitere Eigenschaften erfassen Sie auf dem Stammdatenformular der Leistungsposition. Lesen Sie dazu den Abschnitt Erfassen von Leistungspositionen auf Seite 20. Bei der Bestellung eines Produktes wird immer die Bezeichnung seiner Leistungsposition angezeigt. Wenn Sie aus ein und demselben Regal Leistungspositionen bestellen, die verschiedenen Produkten zugeordnet sind, wird nur eines dieser Produkte zugewiesen. Der Besteller kann nicht zwischen den verschiedenen Produkten auswählen. Legen Sie daher für jedes Produkt eine separate Leistungsposition an! Produkte des IT Shops sind in der Regel nur einmal bestellbar. Um Produkte mehrfach zu bestellen, sind weitere Vorbereitungen erforderlich. Lesen Sie dazu den Abschnitt Mehrfach bestellbare Produkte auf Seite 31. Der Kunde behält ein bestelltes Produkt in der Regel bis zu dem Zeitpunkt, an dem er es selbst wieder abbestellt. Bisweilen werden Produkte jedoch nur für eine bestimmte Zeitspanne benötigt und könnten nach dieser Zeitspanne automatisch abbestellt werden. Um Produkte zeitlich begrenzt zur Verfügung zu stellen, sind weitere Vorbereitungen erforderlich. Lesen Sie den Abschnitt Produkte für zeitlich begrenzte Bestellungen auf Seite 33. Soll ein Produkt zu einem späteren Zeitpunkt nicht mehr im IT Shop bestellbar sein, aktivieren Sie an der Leistungsposition die Option <Nicht bestellbar>. Bestehende Bestellungen des Produktes bleiben erhalten, es können jedoch keine neuen Bestellungen für dieses Produkt ausgelöst werden. Erfassen von Leistungspositionen Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Damit Unternehmensressourcen als bestellbare Produkte in den IT Shop aufgenommen werden können, muss ihnen eine Leistungsposition zugeordnet werden. Somit ist die Bestellung des Produkts abrechenbar. Leistungspositionen bearbeiten Sie in der Kategorie <IT Shop>/<Servicekatalog>. 20

21 Einrichten einer IT Shop-Lösung Allgemeine Stammdaten einer Leistungsposition Allgemeine Stammdaten für eine Leistungsposition Die allgemeinen Stammdaten einer Leistungsposition erfassen Sie auf dem Tabreiter <Allgemein>. Leistungsposition Bezeichnung der Leistungsposition. Spezielle Leistungsposition Dient ein Produkt einem speziellen Einsatzzweck, zum Beispiel als Sammelprodukt, dann kennzeichnen Sie es als spezielle Leistungsposition. Servicekategorie Sie können verschiedene Leistungspositionen zu Servicekategorien zusammenfassen. Über die Schaltfläche neben dem Eingabefeld können Sie eine neue Servicekategorie anlegen. Weitere Informationen zu Servicekategorien erhalten Sie im Abschnitt Erfassen von Servicekategorien auf Seite 28. Produkteigner Ordnen Sie eine Anwendungsrolle <IT Shop\Produkteigner> zu. Produkteigner können in einem entsprechend definierten Genehmigungsverfahren innerhalb des IT Shops als Entscheider ermittelt werden. Sie dürfen über die Bestellung der Leistungsposition entscheiden. Lesen Sie dazu auch den Abschnitt Auswahl der verantwortlichen Entscheider auf Seite 52 im Handbuch IT Shop. Ist kein Produkteigner eingetragen, übernimmt der Identity Manager den Produkteigner der zugeordneten Servicekategorie. 21

22 Quest One Identity Manager Attestierer Ordnen Sie eine Anwendungsrolle <IT Shop>\<Attestierer> zu. Die Mitglieder dieser Anwendungsrolle können als Attestierer in einem Attestierungsverfahren ermittelt werden. Lesen Sie dazu den Abschnitt Entscheidungsverfahren für Attestierung auf Seite 643 im Handbuch Identity Management. Kostenstelle Kostenstelle, über die die Leistungsposition abgerechnet wird. Die Einrichtung von Kostenstellen ist im Handbuch Identity Management im Abschnitt Kostenstellen auf Seite 107. Hersteller Angabe zum Produkthersteller. Um Hersteller zu erfassen, lesen Sie den Abschnitt Partnerfirmen auf Seite 82. Bestellnummer, Artikelnummer, Artikelnummer (Fremd). Unternehmensspezifische Eigenschaften der Leistungsposition. Unternehmensbereich Unternehmensspezifische Eigenschaft der Leistungsposition. Wie Sie Unternehmensbereiche einrichten, erfahren Sie im Abschnitt Unternehmensbereiche auf Seite 99 im Handbuch Identity Management. Entscheidungsrichtlinie Entscheidungsrichtlinie, nach der die Entscheider ermittelt werden, wenn die Leistungsposition im IT Shop bestellt wird. Lesen Sie dazu den Abschnitt Ermitteln der wirksamen Entscheidungsrichtlinie auf Seite 51 im Handbuch IT Shop. Bestelleigenschaft Wählen Sie die Gruppierung, über die zusätzliche Eigenschaften für eine Bestellung definiert sind. Die Bestelleigenschaften werden im Web Portal, je nach Konfiguration, dem Besteller oder dem Entscheider angezeigt. Die Einrichtung von zusätzlichen Eigenschaften für Bestellungen ist im Abschnitt Erfassen produktspezifischer Bestelleigenschaften auf Seite 30 beschrieben. Berechnungsinformation Erfassen Sie den Kalkulationsmodus als Berechnungsinformation. Verfügbarkeit Unternehmensspezifische Information über die Verfügbarkeit der Leistungsposition. Reihenfolge Unternehmensspezifisches Kriterium zur Sortierung der Leistungspositionen. Webseite Webseite mit weiteren Informationen zur Leistungsposition. Über diese Angabe können Sie Produktbeschreibungen im Internet oder Ihrem Intranet mit der Leistungsposition verknüpfen. Die Webseite wird über die Aufgabe <Dokumentation anzeigen> im Standardwebbrowser geöffnet. Max. Tage gültig Frist für zeitlich begrenzte Zuweisungen über den IT Shop. Nach Ablauf der Frist, wird die Leistungsposition automatisch abbestellt. Lesen Sie dazu auch den Abschnitt Produkte für zeitlich begrenzte Bestellungen auf Seite 33. Beschreibung Umfassende Beschreibung der Leistungsposition. 22

23 Einrichten einer IT Shop-Lösung Zuweisung der Leistungsposition bleibt bei Umzug bestehen. Gibt an, ob die Zuweisung dieser Leistungsposition beim Wechsel eines Kunden in einen anderen Shop oder ein anderes Shoppingcenter erhalten bleibt. Lesen Sie dazu auch den Abschnitt Produktbestellung bei Wechsel des Kunden in einen anderen Shop auf Seite 34. Mehrfachbestellung möglich Gibt an, ob eine Leistungsposition mehrfach bestellbar ist. Lesen Sie dazu den Abschnitt Mehrfach bestellbare Produkte auf Seite 31. Mehrfachbestellung abbestellbar Gibt an, ob eine mehrfach bestellbare Leistungsposition durch den Kunden abbestellt werden kann. Lesen Sie dazu den Abschnitt Mehrfach bestellbare Produkte auf Seite 31. Nicht bestellbar Gibt an, ob die Leistungsposition weiterhin im IT Shop bestellbar ist. Ist die Option aktiviert, können keine neuen Bestellungen der Leistungsposition ausgelöst werden. Bestehende Bestellungen bleiben erhalten. Erweiterte Stammdaten einer Leistungsposition Auf dem Tabreiter <Kalkulation> erfassen Sie die erforderlichen Preisinformationen zur Abrechnung der Leistungsposition. Diese umfassen den Einkaufspreis, den Verkaufspreis, den internen Verrechnungspreis, die Währungsangabe und die anzuwendende Mehrwertsteuer. Zusätzlich können Sie Preise, die bei Vermietung des Produktes fällig werden, eintragen. Auf dem Tabreiter <Abbildung> importieren Sie ein Bild zu dieser Leistungsposition in die Datenbank. Dazu wählen Sie den Pfad, in dem die Abbildung zu finden ist, aus. Auf dem Tabreiter <Benutzerdefiniert> erfassen Sie zusätzliche unternehmensspezifische Informationen zu einer Leistungsposition. Die Anzeigenamen, Formate und Bildungsregeln für die Eingabefelder (standardmäßig <Freies Feld Nr. 01> bis <Freies Feld Nr. 10>) können Sie mit dem Designer an Ihre Anforderungen anpassen. Zusätzliche Aufgaben zur Verwaltung von Leistungspositionen Nachdem Sie die Stammdaten der Leistungsposition erfasst haben, können Sie verschiedene Aufgaben auf die Leistungsposition anwenden. Die wichtigsten Informationen erhalten Sie über das Überblicksformular. Über die Aufgabenansicht stehen verschiedene Formulare zur Verfügung, mit denen Sie die folgenden Aufgaben ausführen können. Produktabhängigkeiten für Bestellungen bearbeiten Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> oder <IT Shop>\<Produkteigner> Manager Abhängigkeiten zwischen Produkten werden bei Bestellungen über den IT Shop berücksichtigt. Lesen Sie dazu den Abschnitt Festlegen von Abhängigkeiten zwischen Produkten auf Seite

24 Quest One Identity Manager Zu Unternehmensbereichen, Geschäftsrollen und Organisationen zuweisen Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> (nur für Unternehmensbereiche) Manager Mit dem Identity Manager können Sie Regeln erstellen, um das Risiko von Zuweisungen zu bewerten. Die Bewertungen können nach Rollen und Unternehmensbereichen getrennt ausgewertet werden. Voraussetzung dafür ist, dass die Leistungspositionen an Rollen oder Unternehmensbereiche zugewiesen sind. Dafür nutzen Sie die Aufgaben <Geschäftsrollen und Organisationen zuweisen> und <Unternehmensbereichen zuweisen>. Zusatzeigenschaften zuweisen Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> oder <IT Shop>\<Produkteigner> Manager Zusatzeigenschaften sind Meta-Objekte, für die es im Identity Manager-Datenmodell keine direkte Abbildung gibt, wie beispielsweise Buchungskreise, Kostenverrechnungskreise oder Kostenstellenbereiche. Die Zusatzeigenschaften werden bei der Überprüfung von Complianceregeln eingesetzt. Weitere Informationen erhalten Sie im Abschnitt Einrichten von Zusatzeigenschaften auf Seite 586. Dokumentation anzeigen Werkzeuge: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> oder <IT Shop>\<Produkteigner> Manager Sie können Produktbeschreibungen im Internet oder Ihrem Intranet mit der Leistungsposition verknüpfen. Mit der Aufgabe <Dokumentation anzeigen> öffnen Sie die auf dem Stammdatenformular im Eingabefeld <Webseite> angegebene Webseite. Produkt wechseln Werkzeuge: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Über die Aufgabe ersetzen Sie zu einem bestimmten Zeitpunkt ein Produkt durch ein anderes Produkt. Lesen Sie dazu den Abschnitt Wechseln eines Produktes auf Seite 39. Festlegen von Abhängigkeiten zwischen Produkten Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> oder <IT Shop>\<Produkteigner> Manager Für Produkte können Sie Abhängigkeiten festlegen. So kann beispielsweise bei der Bestellung eines Druckers die Bestellung einer Installationspauschale zwingend erforderlich sein, während die zusätzliche Bestellung eines Toners optional möglich ist. 24

25 Einrichten einer IT Shop-Lösung Die Abhängigkeiten zwischen bestellbaren Produkten werden über ihre Leistungspositionen hergestellt. Wählen Sie die Leistungsposition des gewünschten Produktes aus und legen Sie die Abhängigkeiten über das Formular <Produktabhängigkeiten für Bestellungen bearbeiten> fest. Wechsel zum Detailformular der Zuweisung Auf dem Tabreiter <Untergeordnete Leistungspositionen> legen Sie für die ausgewählte Leistungsposition die abhängigen Produkte fest. Auf dem Tabreiter <Übergeordnete Leistungspositionen> legen Sie für die ausgewählte Leistungsposition fest, für welche Leistungspositionen sie das abhängige Produkt ist. Abhängige Produkte PRODUKTABHÄNGIGKEIT BESTELLTES PRODUKT ABHÄNGIGE PRODUKTE Untergeordnete Leistungspositionen Übergeordnete Leistungspositionen ausgewählte Leistungsposition eine der zugeordneten übergeordneten Leistungspositionen alle zugeordneten untergeordneten Leistungspositionen ausgewählte Leistungsposition Nach dem Speichern der Abhängigkeit wechseln Sie über das Kontextmenü <Erweiterte Eigenschaften> zum Detailformular und legen hier die Bedingungen für die Abhängigkeit fest. Zur Auswahl stehen die folgenden Optionen: Produkt darf nicht mitbestellt werden Produkt muss zwingend mitbestellt werden Produkt kann wahlweise mitbestellt werden Bei Bestellung des Produktes wird überprüft, ob definierte Abhängigkeiten vorhanden sind. Ist dieses der Fall, werden die abhängigen Produkte automatisch in die Bestellung übernommen. Die Option <Produkt darf nicht mitbestellt werden> verhindert, dass das abhängige Produkt durch dieselbe Bestellung erworben wird. Durch eine separate, direkte Bestellung kann das Produkt jederzeit zugewiesen werden. 25

26 Quest One Identity Manager Berichte über Leistungspositionen Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> oder <IT Shop>\<Produkteigner> Manager Der Identity Manager stellt verschiedene Berichte zur Verfügung, in denen Informationen über das ausgewählte Basisobjekt und seine Beziehungen zu anderen Objekten der Identity Manager-Datenbank aufbereitet sind. Für Leistungspositionen stehen folgende Berichte zur Verfügung. Übersicht aller Zuweisungen Der Bericht zeigt alle Personen, denen die ausgewählte Leistungsposition zugewiesen ist. Dabei werden die Leistungspositionen berücksichtigt, die die Personen als Produkte im IT Shop bestellt haben. Der Bericht stellt dar, in welchen Rollen einer Rollenklasse diese Personen Mitglied sind. Personen, die in keiner Rolle Mitglied sind, werden in diesem Bericht nicht berücksichtigt. Sie erhalten damit Organigramme der verschiedenen Rollenklassen mit Bezug auf die ausgewählte Leistungsposition. Bericht Übersicht aller Zuweisungen für eine Leistungsposition Über die Schaltfläche <Verwendet von> in der Symbolleiste des Berichts wählen Sie die Rollenklasse aus, deren Personenzuweisungen Sie anzeigen möchten. Mit einem einfachen Mausklick auf ein Steuerelement im Bericht werden alle Personen angezeigt, die die ausgewählte Leistungsposition besitzen und die Mitglied in der ausgewählten Rolle sind. Die Bedeutung der verschiedenen Steuerelemente im Bericht ist im Abschnitt Übersicht aller Zuweisungen auf Seite 191 im Handbuch Erste Schritte beschrieben. 26

27 Einrichten einer IT Shop-Lösung Über den kleinen Pfeil am rechten Rand der Steuerelemente starten sie einen Assistenten, mit dem Sie die Liste der angezeigten Personen zur Nachverfolgung speichern können. Personen zur Nachverfolgung merken Dafür wird eine neue Geschäftsrolle angelegt, der diese Personen zugewiesen werden. Die Geschäftsrolle kann nur angelegt werden, wenn Sie am Manager angemeldet sind. Assistent zur Nachverfolgung von Personenzuweisungen Für die Geschäftsrolle erfassen Sie folgende Daten: Geschäftsrolle Der Name der Geschäftsrolle wird automatisch aus der ausgewählten Leistungsposition und der ausgewählten Rolle gebildet. Sie können den Namen beliebig ändern. Rollenklasse Wählen sie eine Rollenklasse aus, der die Geschäftsrolle zugeordnet werden soll. In der Auswahlliste erscheinen alle unternehmensspezifisch definierten Rollenklassen, für die Personenzuweisung erlaubt ist. Nach dem Speichern kann die Rollenklasse nicht mehr geändert werden. Übergeordnete Geschäftsrolle Die neue Geschäftsrolle kann einer vorhandenen Geschäftsrolle der ausgewählten Rollenklasse untergeordnet werden. Interner Name Zusätzliche interne Bezeichnung für die Geschäftsrolle. Beschreibung Ausführliche Beschreibung der Geschäftsrolle. 27

28 Quest One Identity Manager Über die Schaltfläche <Ok> speichern Sie die Geschäftsrolle und schließen den Assistenten. Der Identity Manager fragt nach, ob Sie die Geschäftsrolle sofort anzeigen möchten. Wenn Sie die Nachfrage über die Schaltfläche <Ja> bestätigen, können Sie weitere Stammdaten zu der neu angelegten Geschäftsrolle erfassen. Wollen Sie die Geschäftsrolle nicht oder zu einem späteren Zeitpunkt bearbeiten, schließen Sie das Meldungsfenster über die Schaltfläche <Nein>. Erfassen von Servicekategorien Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Einzelne Leistungspositionen können Sie zu Servicekategorien zusammenfassen und damit einen Servicekatalog erstellen. Durch kundenspezifische Bildungsregeln können die benötigten Preisinformationen auf die einzelnen Leistungspositionen abgebildet werden. Beispiel für einen Servicekatalog Servicekategorien bearbeiten Sie im in der Kategorie <IT Shop>/<Basisdaten zur Konfiguration>/ <Servicekatalog> oder in der Kategorie <IT Shop>/<Servicekatalog>. Allgemeine Stammdaten für eine Servicekategorie Zu einer Servicekategorie erfassen Sie folgende Stammdaten: Servicekategorie Bezeichnung der Servicekategorie Spezielle Servicekategorie Gibt an, ob die Servicekategorie einem speziellen Einsatzzweck dient. 28

29 Einrichten einer IT Shop-Lösung Übergeordnete Servicekategorie Wenn Sie Servicekategorien hierarchisch strukturieren wollen, wählen Sie eine übergeordnete Servicekategorie aus der Auswahlliste aus. Produkteigner Ordnen Sie eine Anwendungsrolle <IT Shop>\<Produkteigner> zu. Produkteigner können in einem entsprechend definierten Genehmigungsverfahren innerhalb des IT Shops als Entscheider ermittelt werden. Sie dürfen über die Bestellung der Leistungspositionen entscheiden, die der Servicekategorie zugewiesen sind. Lesen Sie dazu auch den Abschnitt Auswahl der verantwortlichen Entscheider auf Seite 52. Attestierer Ordnen Sie eine Anwendungsrolle <IT Shop>\<Attestierer> zu. Die Mitglieder dieser Anwendungsrolle können als Attestierer in einem Attestierungsverfahren ermittelt werden. Lesen Sie dazu den Abschnitt Entscheidungsverfahren für Attestierung auf Seite 643 im Handbuch Identity Management. Entscheidungsrichtlinie Entscheidungsrichtlinie, nach der die Entscheider ermittelt werden, wenn eine Leistungsposition mit dieser Servicekategorie im IT Shop bestellt wird. Lesen Sie dazu den Abschnitt Ermitteln der wirksamen Entscheidungsrichtlinie auf Seite 51. Bestelleigenschaft Wählen Sie die Gruppierung, über die zusätzliche Eigenschaften für eine Bestellung definiert sind. Die Bestelleigenschaften werden im Web Portal, je nach Konfiguration, dem Besteller oder dem Entscheider angezeigt. Die Einrichtung von zusätzlichen Eigenschaften für Bestellungen ist im Abschnitt Erfassen produktspezifischer Bestelleigenschaften auf Seite 30 beschrieben. Einkaufspreis, Verkaufspreis, Interner Preis, Währung Erfassen Sie die erforderlichen Preisinformationen zur Abrechnung der Servicekategorie. Reihenfolge Unternehmensspezifisches Kriterium zur Sortierung der zugewiesenen Leistungspositionen. Beschreibung Umfassende Beschreibung der Servicekategorie. Auf dem Tabreiter <Abbildung> importieren Sie ein Bild zu der Servicekategorie in die Datenbank. Dazu wählen Sie den Pfad, in dem die Abbildung zu finden ist, aus. Um zusätzliche unternehmensspezifische Informationen zu einer Servicekategorie zu erfassen, nutzen Sie die Eingabefelder für benutzerdefinierten Eigenschaften auf dem Tabreiter <Benutzerdefiniert>. Die Anzeigenamen, Formate und Bildungsregeln für die Eingabefelder (standardmäßig <Freies Feld Nr. 01> bis <Freies Feld Nr. 10>) können Sie mit dem Designer anpassen. Zusätzliche Aufgaben zur Verwaltung von Servicekategorien Nachdem Sie die Stammdaten der Servicekategorie erfasst haben, können Sie verschiedene Aufgaben auf die Servicekategorie anwenden. Die wichtigsten Informationen erhalten Sie über das Überblicksformular. Über die Aufgabe <Leistungsposition zuweisen> weisen Sie der Servicekategorie beliebige Leistungspositionen zu. 29

30 Quest One Identity Manager Erfassen produktspezifischer Bestelleigenschaften Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Bei der Bestellung von Produkten im Web Portal können dynamisch produktspezifische Bestelleigenschaften abgefragt werden. Um produktspezifische Bestelleigenschaften zu nutzen, legen Sie zunächst fest, welche Eigenschaften, für welches Produkt zulässig sind. Bestelleigenschaften können Sie den Leisungspositionen oder den Servicekategorien zuweisen. Bei der Bestellung eines Produktes werden die Bestelleigenschaften der Leistungsposition angezeigt. Sind für die Leistungsposition keine zusätzlichen Bestelleigenschaften hinterlegt, dann werden die Bestelleigenschaften der Servicekategorie verwendet. Wie Sie Bestelleigenschaften einer Leistungsposition oder einer Servicekategorie zuweisen, lesen Sie in den Abschnitten Allgemeine Stammdaten einer Leistungsposition auf Seite 21 und Erfassen von Servicekategorien auf Seite 28. Zusätzliche Bestelleigenschaften bearbeiten Sie in der Kategorie <IT Shop>/<Basisdaten zur Konfiguration>\<Bestelleigenschaften>. Bearbeiten von Bestelleigenschaften Einzelne Bestelleigenschaften werden zusammengefasst. Für eine solche Gruppierung erfassen Sie folgende Stammdaten: Bezeichnung für die Bestelleigenschaften Mit dieser Bezeichnung können die Bestelleigenschaften an Leistungspositionen und Servicekategorien ausgewählt werden. ausführliche Beschreibung 30

31 Einrichten einer IT Shop-Lösung Über die Schaltfläche <Hinzufügen> fügen Sie die einzelnen Bestelleigenschaften zu. Zu einer einzelnen Bestelleigenschaft erfassen Sie folgende Stammdaten: Spalte Wählen Sie eine Spalte, die als zusätzlicher Eigenschaft an einer Bestellung angegeben werden soll. Anzeigewert Mit dieser Bezeichnung wird die Bestelleigenschaft im Web Portal angezeigt. Für die sprachabhängige Verwendung der Bezeichnung übersetzen Sie diese über die Schaltfläche neben dem Eingabefeld. Reihenfolge Legen Sie fest, in welcher Reihenfolge die Bestelleigenschaften im Web Portal angezeigt werden. Pflichtparameter Setzen Sie die Option, wenn die Bestelleigenschaft zwingend bei der Bestellung eines Produktes angegeben werden muss. Nur Leserechte Wenn Sie diese Option setzen, wird die Bestelleigenschaft nur angezeigt und ist nicht bearbeitbar. Bearbeitbar für den Entscheider Setzen Sie die Option, wenn die Bestelleigenschaft durch Besteller und Enscheider bearbeitbar sein soll. Ist die Option nicht gesetzt, kann nur der Besteller diese Bestelleigenschaft bearbeiten. Bedingung Für die Spalten Abteilung und Kostenstelle können die Werte, die im Web Portal auswählbar sind, über eine Bedingung weiter eingeschränkt werden. Mehrfach bestellbare Produkte Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Die Produkte des IT Shops sind in der Regel nur einmal bestellbar. Ist ein Produkt dem Kunden zugewiesen, kann er das Produkt nicht ein zweites Mal bestellen. Unter Umständen ist es jedoch erforderlich ein Produkt mehrfach zu bestellen. So kann die Bestellung von Dienstleistungen, wie beispielsweise die Bestellung von Speichererweiterungen mehrfach notwendig sein. 31

32 Quest One Identity Manager Um dieses abzubilden, kennzeichnen Sie die Leistungsposition des Produktes zur Mehrfachbestellung. Bearbeiten Sie dazu in der Kategorie <IT Shop>/<Servicekatalog>/<Bestellbare Leistungspositionen> die Stammdaten der Leistungsposition. Leistungsposition für die mehrfache Bestellung kennzeichnen Dazu stehen an der Leistungsposition zwei Optionen zur Verfügung: Mehrfachbestellung möglich Wird ein mehrfach bestellbares Produkt im IT Shop bestellt und genehmigt, dann wird dieses intern sofort wieder abbestellt. Mehrfachbestellung abbestellbar Wird ein derart gekennzeichnetes Produkt im IT Shop bestellt und genehmigt, so wird dieses Produkt intern nicht sofort abbestellt. Die Abbestellung erfolgt durch den Kunden über den IT Shop. 32

33 Einrichten einer IT Shop-Lösung Produkte für zeitlich begrenzte Bestellungen Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Der Kunde behält ein bestelltes Produkt in der Regel bis zu dem Zeitpunkt, an dem er ihn selbst wieder abbestellt. Bisweilen werden Produkte jedoch nur für eine bestimmte Zeitspanne benötigt und könnten nach dieser Zeitspanne automatisch abbestellt werden. So kann beispielsweise die Mitgliedschaft in einer Zielsystemgruppe nur für den Zeitraum eines bestimmten Projektes notwendig sein. Produkte, die für eine zeitlich begrenzte Bestellung vorgesehen sind, kennzeichnen Sie mit einem Gültigkeitszeitraum. Bearbeiten Sie dazu in der Kategorie <IT Shop>/<Servicekatalog>/<Bestellbare Leistungspositionen> die Stammdaten der Leistungsposition. Im Eingabefeld <Max. Tage gültig> tragen Sie die Zeitspanne ein, für die das Produkt bestellt werden kann. Handelt es sich um ein mehrfach bestellbares Produkt, dann können Sie den Gültigkeitszeitraum nur angeben, wenn das Produkt auch wieder abbestellbar ist. Aus dem aktuellen Datum und dem Gültigkeitszeitraum berechnet der Identity Manager zum Zeitpunkt der Bestellung und Genehmigung das Datum, an dem das Produkt automatisch abbestellt wird. Leistungsposition für die zeitlich begrenzte Bestellung kennzeichnen 33

34 Quest One Identity Manager Produktbestellung bei Wechsel des Kunden in einen anderen Shop Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Bestellt ein Kunde ein Produkt aus einem Shop und wechselt zu einem späteren Zeitpunkt den Shop oder das Shoppingcenter, dann wird die Produktbestellung geschlossen und das Produkt abbestellt. Um die Bestellung eines Produktes bei Umzug des Kunden zu erhalten, können Sie die Leistungsposition des Produktes mit der Angabe <Zuweisung der Leistungsposition bleibt bei Umzug bestehen> versehen. Bearbeiten Sie die Stammdaten der Leistungsposition in der Kategorie <IT Shop>/<Servicekatalog>/<Bestellbare Leistungspositionen>. Kennzeichnung der Leistungsposition für den Umzug der Bestellung Zuweisungsbestellung und Delegierung Mit dem Identity Manager können auch Rollen, wie Abteilungen oder Geschäftsrollen, über den IT Shop bestellt und an Personen zugewiesen werden. Damit können beliebige Zuweisungen über IT Shop-Bestellungen realisiert werden. Vorteil dieser Vorgehensweise ist, dass jegliche Zuweisungen über ein Genehmigungsverfahren autorisiert werden. Gleichermaßen unterliegen auch die Verlängerung einer Zuweisung und der Entzug von Zuweisungen einem Genehmigungsverfahren. Über die Bestellhistorie ist 34

35 Einrichten einer IT Shop-Lösung jederzeit nachvollziehbar, wer wann und warum welche Zuweisungen bestellt, verlängert oder abbestellt hat. Eine spezielle Form der Zuweisungsbestellung ist die Delegierung. Dabei kann eine Person eine beliebige Rollenzuordnung zeitweilig an andere Personen abgeben. Auch Delegierungen durchlaufen ein definiertes Genehmigungsverfahren. Für diese Zuweisungsbestellungen stellt der Identity Manager in der Standardinstallation im Shop Identity Lifecyle spezielle Produkte bereit. Zuweisungsbestellungen vorbereiten Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Für Zuweisungsbestellungen benötigen Sie separate Ressourcen, sogenannte Zuweisungsressourcen. In der Standardinstallation sind die Zuweisungsressourcen Mitgliedschaft in Geschäftsrollen und Berechtigungszuordnung zu Geschäftsrollen bereits als Produkte im Shop Identity Lifecycle, im Regal Identity Lifecycle vorhanden. Sie können diese Zuweisungsressourcen nutzen, um Zuweisungen von Geschäftsrollen und Zuweisungen von Systemberechtigungen oder Zielsystemgruppen an Geschäftsrollen zu bestellen. Sie können auch eigene Zuweisungsressourcen erstellen und dem Shop Identity Lifecycle oder einem beliebigen anderen Shop zuweisen. Zuweisungsressourcen bearbeiten Sie im Identity Manager in der Kategorie <Berechtigungen>\<Ressourcen> oder im Manager in der Kategorie <Ressourcen & Gruppen>\<Ressourcen>. Wie Sie Zuweisungsressourcen erstellen, ist im Abschnitt Ressourcen bearbeiten auf Seite 129 im Handbuch Identity Management erläutert. Damit Sie Ressourcen für die Zuweisungsbestellung im IT Shop nutzen können, bereiten Sie die Ressource folgendermaßen vor: Option <Zuweisungsressource> aktivieren. Optionen <IT Shop> und <Nur für den IT Shop> aktivieren. Separate Leistungsposition zuordnen. An der Leistungsposition aktivieren Sie die Option <Mehrfach bestellbar>. Die Option <Mehrfachbestellung abbestellbar> können Sie bei Bedarf aktivieren. Lesen Sie dazu den Abschnitt Mehrfach bestellbare Produkte auf Seite 31. Ist die Zuweisungsressource einem Shop als Produkt zugewiesen, können die Kunden dieses Shops Zuweisungen über diese Zuweisungsressource bestellen. Für Bestellungen nutzen Sie das Web Portal. Lesen Sie dazu den Abschnitt Rollen auf Seite 39 in der Web Portal Anwenderdokumentation. Folgende Tabelle zeigt eine Übersicht aller Objekte, die über Zuweisungsressourcen bestellt werden können. Objekte für Zuweisungsbestellungen BESTELLEN VON Unternehmensressourcen FÜR Abteilung, Kostenstelle, Standort, Geschäftsrolle 35

36 Quest One Identity Manager Objekte für Zuweisungsbestellungen BESTELLEN VON Abteilung, Kostenstelle, Standort, Geschäftsrolle Identity Manager Anwendungsrollen FÜR Person Person Beispiel: Frau Spitze ist Projektleiterin des Projekts X. Damit alle Mitarbeiter des Projekts mit den notwendigen Berechtigungen versorgt werden, wird im Identity Manager eine Geschäftsrolle Projekt X angelegt. Damit Frau Spitze selbst Mitglied in der Geschäftsrolle Projekt X wird, bestellt sie im Web Portal für sich das Produkt Mitgliedschaft in Geschäftsrollen. Dabei wählt sie die Geschäftsrolle Projekt X als zu bestellendes Objekt aus. Des weiteren möchte Frau Spitze, dass alle Projektmitarbeiter Mitglied in der Active Directory Gruppe Projekt X AD-Berechtigungen werden. Dafür bestellt sie im IT Shop für die Geschäftsrolle Projekt X das Produkt Berechtigungszuordnung zu Geschäftsrollen. Sie wählt die Active Directory Gruppe Projekt X AD-Berechtigungen als zu bestellendes Objekt aus. Über interne Vererbungsvorgänge wird Frau Spitze damit Mitglied in der Active Directory Gruppe Projekt X AD-Berechtigungen. Damit alle Projektmitarbeiter diese Mitgliedschaft erhalten, bestellt Frau Spitze für jeden Mitarbeiter des Projekts im Web Portal das Produkt Mitgliedschaft in Geschäftsrollen. Dabei wählt sie die Geschäftsrolle Projekt X als zu bestellendes Objekt aus. Über interne Vererbungsvorgänge werden damit alle Mitarbeiter des Projekts Mitglied in der Active Directory Gruppe Projekt X AD-Berechtigungen. Delegierungen vorbereiten Konfigurationsparameter für Delegierung KONFIGURATIONSPARAMETER QER\ITShop\Delegation BEDEUTUNG Präprozessorrelevanter Konfigurationsparameter zur Steuerung der Modellbestandteile zur Delegierung von Rollenmitgliedschaften. Nach Änderung des Parameters müssen Sie die Datenbank kompilieren. Ist der Parameter aktiviert, sind die Bestandteile zur Delegierung verfügbar. Eine spezielle Form der Zuweisungsbestellung ist die Delegierung. Dabei kann eine Person eine beliebige Rollenzuordnung oder Verantwortung zeitweilig an andere Personen abgeben. Um Delegierungen im Identity Manager durchführen zu können, aktivieren Sie den Konfigurationsparameter QER\ITShop\Delegation und kompilieren anschließend die Datenbank. Auch Delegierungen durchlaufen ein definiertes Genehmigungsverfahren. Für Delegierungen benötigen Sie eine separate Zuweisungsressource Delegierung. Diese ist in der Standardinstallation bereits als Produkt im Shop Identity Lifecycle, im Regal Identity Lifecycle vorhanden. 36

37 Einrichten einer IT Shop-Lösung In der Standardinstallation sind folgende Objekte delegierbar. Delegierbare Objekte MITGLIEDSCHAFTEN IN Abteilungen Kostenstellen Standorte Geschäftsrollen Identity Manager Anwendungsrollen IT Shop Kundenknoten VERANTWORTUNGEN FÜR Abteilungen Kostenstellen Standorte Geschäftsrollen Personen IT Shop Strukturen (Eigentümer) Welche der Mitgliedschaften delegierbar sind, können Sie über die Option <Delegierbar> an den zugehörigen Rollenklassen unternehmensspezifisch festlegen. Lesen Sie dazu den Abschnitt Rollenklassen auf Seite 97 im Handbuch Identity Management. Um Rollen oder Verantwortungen zu delegieren, nutzen Sie das Web Portal. Informationen zum Ablauf von Delegierungen erhalten Sie imabschnitt Aufgabendelegierung auf Seite 41 in der Web Portal Anwenderdokumentation. Zuweisen und Entfernen der Produkte Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Nachdem Sie die Produkte für die Bestellung vorbereitet haben, weisen Sie diese an ein Regal oder eine Regalvorlage zu. An einem Regal stehen verschiedene Aufgaben zur Verfügung, um die Produkte zuzuweisen und wieder zu entfernen. Aufgaben zum Zuweisen und Entfernen von bestellbaren Produkten PRODUKTE Applikationen Ressourcen Systemrollen Unified Namespace Systemberechtigungen Active Directory Gruppen SharePoint Berechtigungen AUFGABE Applikationen zuweisen Ressourcen zuweisen Systemrollen zuweisen Systemberechtigungen zuweisen Active Directory Gruppen zuweisen SharePoint Gruppen zuweisen SharePoint Rollen zuweisen LDAP Gruppen Lotus Notes Gruppen LDAP Gruppen zuweisen Notes Gruppen zuweisen 37

38 Quest One Identity Manager Aufgaben zum Zuweisen und Entfernen von bestellbaren Produkten PRODUKTE SAP R/3 Berechtigungen AUFGABE BI Analyseberechtigungen zuweisen SAP Gruppen zuweisen SAP Profile zuweisen SAP Rollen zuweisen Strukturelle Profile zuweisen Zuweisen eines Produktes Um ein Produkt, beispielsweise eine Ressource, dem Regal Identity Lifecycle zuzuweisen, gehen Sie folgendermaßen vor: 1. Wählen Sie im Shop Identity Lifecycle das Regal Identity Lifecycle aus. 2. Öffnen Sie über die Aufgabe <Ressource zuweisen> das Zuweisungsformular. 3. Wählen Sie im Bereich Zuordnungen hinzufügen die Ressource aus und weisen Sie diese per Mausklick-Doppelklick auf das Symbol oder über das Kontextmenü <Zuweisen> zu. 4. Speichern Sie die Zuweisung. Über die Vererbungsmechanismen des DBSchedulers und anschließende Prozessverarbeitung wird innerhalb des Regals für jedes zugewiesene Produkt ein separater Produktknoten erzeugt. Dieser Produktknoten trägt die Bezeichnung der Leistungsposition des Produktes. Entfernen eines Produktes Um ein Produkt, beispielsweise eine Ressource, aus dem Regal Identity Lifecycle zu entfernen, gehen Sie folgendermaßen vor: 1. Wählen Sie im Shop Identity Lifecycle das Regal Identity Lifecycle aus. 2. Öffnen Sie über die Aufgabe <Ressource zuweisen> das Zuweisungsformular. 3. Wählen Sie im Bereich Zuordnungen entfernen die Ressource aus und entfernen Sie diese per Mausklick-Doppelklick auf das Symbol oder über das Kontextmenü <Entfernen>. 4. Speichern Sie die Änderung. Entfernen Sie ein Produkt aus einem Regal, dann wird der Produktknoten durch den DBScheduler aufgelöst. Beim Löschen eines Produktes werden offene Bestellungen dieses Produktes geschlossen, genehmigte Bestellungen werden abbestellt. Um ein Produkt aus allen Regalen zu entfernen, rufen Sie am jeweiligen Produkt, beispielsweise an der Ressource, die Aufgabe <Entfernen aus allen Regalen> auf. Durch die Aufgabe werden sofort die Zuordnungen des Produktes zu manuell eingerichteten Regalen und zu Regalvorlagen entfernt. Anschließend werden durch den DBScheduler die Zuordnungen des Produktes zu Regalen, die aufgrund einer Vorlagedefinition entstanden sind, entfernt. Bei der Nutzung dieser Aufgabe sollten Sie Performanceüberlegungen in Betracht ziehen. 38

39 Einrichten einer IT Shop-Lösung Verschieben eines Produktes in ein anderes Regal Werkzeuge: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Um ein Produkt in ein anderes Regal zu verschieben, gehen Sie folgendermaßen vor: 1. Wählen Sie das Produkt im IT Shop Regal aus. 2. Führen SIe die Aufgabe <Produkt in ein anderes Regal verschieben...> aus. 3. Wählen Sie das neue Regal aus und bestätigen Sie mit <OK>. Wechseln eines Produktes Werkzeuge: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Sollte es erforderlich sein, zu einem bestimmten Zeitpunkt ein Produkt durch ein anderes Produkt zu ersetzen, gehen Sie folgendermaßen vor: 1. Wählen Sie in der Kategorie <IT Shop>/<Servicekatalog> die Leistungsposition des Produktes aus, das ersetzt werden soll. 2. Führen Sie die Aufgabe <Produkt wechseln> aus. 3. Geben Sie die folgenden Daten ein und bestätigen diese Sie mit <OK>: Auslaufdatum Datum, an dem das Produkt durch ein anderes ersetzt wird. Alternatives Produkt Leistungsposition, die stattdessen bestellt werden kann. Alle Personen, die das Produkt bestellt haben, erhalten eine Benachrichtigung. Die Konfiguration der Benachrichtigung ist im Abschnitt Ablauf einer befristeten Bestellung auf Seite 71 beschrieben. Bestellvorlagen Wenn Sie Produkte im IT Shop bestellen, wählen Sie die gewünschten Produkte aus einem Leistungskatalog aus und legen Sie zunächst in einen Einkaufswagen. Die Produkte bleiben solange im Einkaufswagen, bis Sie die Bestellung absenden. Um die Produktsammlung eines Einkaufswagens für weitere Bestellungen nutzen zu können, können Sie den gesamten Einkaufswagen oder einzelne Produkte daraus in einer Bestellvorlage speichern. Sie können jederzeit Produkte zu Bestellvorlagen hinzufügen oder daraus entfernen. Um Bestellvorlagen einzurichten nutzen Sie das Web Portal (siehe Abschnitt Einkaufswagen auf Seite 56 in der Web Portal Anwenderdokumentation oder den Identity Manager. Wie Sie Bestellvorlagen mit dem Identity Manager einrichten, ist im Folgenden beschrieben. 39

40 Quest One Identity Manager Bestellvorlagen bearbeiten Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Konfigurationsparameter für die Nutzung von Bestellvorlagen KONFIGURATIONSPARAMETER QER\ITShop\ShoppingCartPattern QER\ITShop\ShoppingCartPattern\AutoQualified BEDEUTUNG Der Konfigurationsparameter legt fest, ob Bestellvorlagen im IT Shop verwendet werden können. Der Konfigurationsparameter legt fest, ob öffentliche Bestellvorlagen automatisch als "Freigegeben" markiert werden oder durch einen Verantwortlichen manuell freigegeben werden müssen. Um Bestellvorlagen nutzen zu können, aktivieren Sie den Konfigurationsparameter QER\ITShop\ShoppingCartPattern. Bestellvorlagen erstellen Sie im Identity Manager in der Kategorie <IT Shop>\<Bestellvorlagen>. Auf dem Tabreiter <Allgemein> erfassen Sie die allgemeinen Stammdaten für Bestellvorlagen. Allgemeine Stammdaten für eine Bestellvorlage Auf dem Tabreiter <Allgemein> erfassen Sie die folgenden Stammdaten. Belegnummer Beliebige Zeichenfolge zur eindeutigen Identifikation der Bestellvorlage. Wenn Sie nichts erfassen, vergibt der Identity Manager beim Speichern automatisch eine Nummer. Bestellvorlage Name der Bestellvorlage. Kurzname, Bezeichnung Beliebige zusätzliche Bezeichnungen für die Bestellvorlage. Eigentümer Person, die die Vorlage erstellt, wird automatisch eingetragen. Der Wert kann beliebig geändert werden. Beschreibung Detaillierte Beschreibung der Bestellvorlage. 40

41 Einrichten einer IT Shop-Lösung Öffentliche Vorlage Ist die Option aktiviert, stellt der Eigentümer die Bestellvorlage allen Identity Manager-Benutzern zur Verfügung. Freigegeben Ist die Option aktiviert, kann die Bestellvorlage von allen Identity Manager-Benutzern verwendet werden. Diese Option kann nur im Identity Manager durch Benutzer in der Anwendungsrolle <IT Shop>\<Administratoren> geändert werden. Wenn eine öffentliche Vorlage freigegeben ist und die Option Öffentliche Vorlage wird deaktiviert, wird die Option Freigegeben ebenfalls deaktiviert Ist der Konfigurationsparameter QER\ITShop\ShoppingCartPattern\AutoQualified aktiviert, werden Bestellvorlagen automatisch freigegeben, sobald die Option Öffentliche Vorlage aktiviert wird. Auf dem Tabreiter <Bestellpositionen> ordnen Sie der Bestellvorlage die Produkte zu. Ist noch kein Produkt vorhanden, klicken Sie die Schaltfläche <Einfügen>. Damit wird eine Auswahlliste eingeblendet, die alle Leistungspositionen enthält, deren Produkte mindestens einem Regal im IT Shop zugewiesen sind. Wählen Sie die gewünschte Leistungsposition aus und erfassen Sie im Eingabefeld <Menge> die Anzahl der zu bestellenden Produkte. Um die Werte dieses Eingabefeldes zu nutzen, passen Sie Ihren IT Shop unternehmensspezifisch an. Weitere Produkte fügen Sie über die Schaltfläche <Einfügen> neben der Auswahlliste hinzu. Bestellvorlagen löschen Um Bestellvorlagen zu löschen, nutzen Sie die entsprechenden Symbole in der Benutzeroberfläche des Identity Managers bzw. Managers. Jeder Eigentümer kann seine eigenen Bestellvorlagen im IT Shop löschen. Identity Manager- Benutzer mit der Anwendungsrolle <IT Shop>\<Administratoren> können die Bestellvorlagen aller Eigentümer löschen. Genehmigungsverfahren für IT Shop-Bestellungen Alle Bestellungen im IT Shop durchlaufen ein definiertes Genehmigungsverfahren. Während dieses Genehmigungsverfahrens entscheiden autorisierte Personen positiv oder negativ über die Zuweisung des Produktes. Diese Genehmigungsverfahren können Sie variabel gestalten und somit an Ihre unternehmensspezifischen Richtlinien anpassen. Für Genehmigungsverfahren definieren Sie Entscheidungsrichtlinien und Entscheidungsworkflows. In Entscheidungsrichtlinien legen Sie fest, welche Entscheidungsworkflows auf eine Bestellung angewendet werden sollen. Über Entscheidungsworkflows ermitteln Sie, welche Person, zu welchem Zeitpunkt einer Bestellung die Bestellung genehmigen oder ablehnen kann. Ein Entscheidungsworkflow kann mehrere Entscheidungsebenen und diese mehrere Entscheidungsschritte enthalten, wenn beispielsweise mehrere Hierarchien der Leitungsebene über eine Bestellung entscheiden müssen. In jedem Entscheidungsschritt werden über spezielle Entscheidungsverfahren die verantwortlichen Entscheider ermittelt. Entscheidungsrichtlinien werden im Identity Manager auch für Attestierungsvorgänge genutzt. Durch die Zuordnung von Entscheidungsworkflows zu den Entscheidungsrichtlinien legen Sie fest, ob diese nur für Attestierung oder nur für IT Shop-Bestellungen oder beides genutzt werden können. 41

42 Quest One Identity Manager In der Standardinstallation ist dem Shop Identity Lifecycle die Entscheidungsrichtlinie Default Selfservice zugewiesen. Damit werden Bestellungen aus diesem Shop automatisch durch den Identity Manager genehmigt. Sollen Bestellungen aus diesem Shop ein unternehmensspezifisches Genehmigungsverfahren durchlaufen, weisen Sie dem Shop, dem Regal oder den Leistungspositionen des Regals Identity Lifecycle eine Entscheidungsrichtlinie zu. Bearbeiten von Entscheidungsrichtlinien Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Entscheidungsrichtlinien bearbeiten Sie in der Kategorie <IT Shop>\<Basisdaten zur Konfiguration>\<Entscheidungsrichtlinien>. Entscheidungsrichtlinie erstellen Folgende Stammdaten erfassen Sie für eine Entscheidungsrichtlinie. Entscheidungsrichtlinie Bezeichnung der Entscheidungsrichtlinie Rollentyp Im Zusammenhang mit dem IT Shop können Sie Rollentypen nutzen, um die Vererbung von Entscheidungsrichtlinien innerhalb einer IT Shop-Lösung festzulegen. Lesen Sie dazu den Abschnitt Ermitteln der wirksamen Entscheidungsrichtlinie auf Seite 51. Die benötigten Rollentypen legen Sie in der Kategorie <IT Shop>\<Basisdaten zur Konfiguration>\<Rollentypen> an. Lesen Sie dazu den Abschnitt Rollentypen auf Seite 81. Priorität Numerisch ganze Zahl mit maximal einer Stelle. Für den Fall, dass nach den beschriebenen Regeln mehrere Entscheidungsrichtlinien gleichzeitig als gültig erkannt werden, wird anhand der Priorität entschieden, welche Entscheidungsrichtlinie anzuwenden ist. Höchste Priorität hat die größte Zahl. 42

43 Einrichten einer IT Shop-Lösung Entscheidungsworkflow Workflow, durch den die Entscheider für Bestellungen im IT Shop ermittelt werden. Wählen Sie einen beliebigen Entscheidungsworkflow aus der Auswahlliste aus oder richten Sie einen neuen Entscheidungsworkflow über die Schaltfläche neben dem Eingabefeld ein. Lesen Sie dazu den Abschnitt Einrichten von Entscheidungsworkflows auf Seite 46. Verlängerungsworkflow Entscheidungsworkflow, durch den die Entscheider ermittelt werden, wenn ein bestelltes Produkt verlängert wird. Wählen Sie einen beliebigen Entscheidungsworkflow aus der Auswahlliste aus oder richten Sie einen neuen Entscheidungsworkflow über die Schaltfläche neben dem Eingabefeld ein. Lesen Sie dazu den Abschnitt Einrichten von Entscheidungsworkflows auf Seite 46. Abbestellworkflow Entscheidungsworkflow, durch den die Entscheider ermittelt werden, wenn ein bestelltes Produkt abbestellt wird. Wählen Sie einen beliebigen Entscheidungsworkflow aus der Auswahlliste aus oder richten Sie einen neuen Entscheidungsworkflow über die Schaltfläche neben dem Eingabefeld ein. Lesen Sie dazu den Abschnitt Einrichten von Entscheidungsworkflows auf Seite 46. Mailvorlagen Nach Abschluss eines Genehmigungsverfahrens für eine Bestellung kann eine Benachrichtigung an den Besteller versendet werden. Wählen Sie eine Mailvorlage, die für die Erzeugung von Benachrichtigungen bei Genehmigung, Ablehnung, Fristablauf oder Abbruch einer Bestellung verwendet wird. Die Einrichtung der Benachrichtigungsverfahren ist im Abschnitt Benachrichtigungen im Bestellprozess auf Seite 70 beschrieben. Freigeschaltet für Gibt die Funktion an, für die die Entscheidungsrichtlinie genutzt werden kann. Werte sind: IT Shop, Attestierung, IT Shop + Attestierung. Der Wert ist abhängig von den zugeordneten Entscheidungsworkflows. ausführliche Beschreibung der Entscheidungsrichtlinie Entscheidungsrichtlinien werden im Identity Manager auch für Attestierungsvorgänge genutzt. Durch die Zuordnung von Entscheidungsworkflows zu den Entscheidungsrichtlinien legen Sie fest, ob diese nur für Attestierung oder nur für IT Shop-Bestellungen oder beides genutzt werden können. In der Ergebnisliste werden nur die Entscheidungsrichtlinien angezeigt, die für IT Shop zugelassen sind. Zusätzliche Aufgaben für Entscheidungsrichtlinien Nachdem Sie die Stammdaten für Entscheidungsrichtlinien erfasst haben, können Sie verschiedene Aufgaben auf die Entscheidungsrichtlinien anwenden. Die wichtigsten Informationen erhalten Sie über das Überblicksformular einer Entscheidungsrichtlinie. Über die Aufgabenansicht stehen verschiedene Formulare zur Verfügung, mit denen Sie folgenden Aufgaben ausführen können. In IT Shop aufnehmen Entscheidungsrichtlinien können Sie an Shops, Shoppingcenter oder Regale zuweisen. Die zugewiesene Entscheidungsrichtlinie wird auf alle Bestellungen aus dem jeweiligen IT Shop-Knoten angewendet, wenn an untergeordnete IT Shop-Knoten keine Entscheidungsrichtlinien zugewiesen sind. Lesen Sie dazu den Abschnitt Ermitteln der wirksamen Entscheidungsrichtlinie auf Seite 51. Auf Fehler untersuchen Wenn Sie eine Entscheidungsrichtlinie bearbeitet haben, sollten Sie diese auf ihre Gültigkeit prüfen. Führen Sie dazu die Aufgabe <Auf Fehler untersuchen> aus. Die Aufgabe prüft, ob die Entscheidungs- 43

44 Quest One Identity Manager schritte in den Entscheidungsworkflows in ihrer Kombination zulässig sind. Unzulässige Entscheidungsschritte werden im Fehlermeldungsfenster ausgegeben. Entscheidungsworkflows bearbeiten Über die Aufgaben <1. Entscheidungsworkflow bearbeiten>, <2. Verlängerungsworkflow bearbeiten> und <3. Abbestellworkflow bearbeiten> wechseln Sie in den Workfloweditor. Hier können Sie die Entscheidungsworkflows, die der Entscheidungsrichtlinie zugeordnet sind, bearbeiten. Lesen Sie dazu den Abschnitt Arbeiten mit dem Workfloweditor auf Seite 44. Arbeiten mit dem Workfloweditor Entscheidungsworkflows erstellen und bearbeiten Sie mit dem Workfloweditor. Der Workfloweditor erlaubt die Verkettung von Entscheidungsebenen. Mehrstufige Genehmigungsverfahren werden grafisch anschaulich dargestellt. Workfloweditor Im Workfloweditor werden die Entscheidungsebenen und die Entscheidungsschritte eines Entscheidungsworkflows über spezielle Steuerelemente dargestellt und bearbeitet. Der Workfloweditor verfügt über eine eigene Toolbox. Die Methoden der Toolbox werden abhängig von ihrer Anwendbarkeit auf das ausgewählte Steuerelement aktiviert und deaktiviert. Die Layoutposition der Steuerelemente im Workfloweditor können Sie mausgesteuert verändern. Wenn Sie einen neuen Entscheidungsworkflow erstellen, wird zunächst ein neues Workflowelement erzeugt. Mit der Methode <Entscheidungsebenen>\<Hinzufügen> fügen Sie neue Ebenenelemente ein. Beim Einfügen eines neuen Ebenenelementes wird sofort ein Eigenschaftsfenster geöffnet, in welchem Sie den ersten Entscheidungsschritt dieser Ebene bearbeiten. Zum Einfügen weiterer Entscheidungsschritte in eine Entscheidungsebene verwenden Sie die Methode <Entscheidungsschritte>\<Hinzufügen>. 44

45 Einrichten einer IT Shop-Lösung Jedes der Elemente besitzt ein Eigenschaftsfenster, über das Sie die Daten des Entscheidungsworkflows, der Entscheidungsebene oder des Entscheidungsschrittes bearbeiten. Das Eigenschaftsfenster öffnen Sie über die jeweilige Methode <Bearbeiten...>. Eigenschaftsfenster eines Entscheidungsworkflows Über die Schaltfläche <OK> übernehmen Sie die Eingaben, über die Schaltfläche <Abbrechen> verwerfen Sie die Änderungen. In beiden Fällen wird das Eigenschaftsfenster geschlossen. Die einzelnen Elemente verketten Sie über Verbinder miteinander. Die Verbindungspunkte aktivieren Sie mausgesteuert. Bei der Auswahl eines Verbindungspunktes wechselt der Mauszeiger zum Pfeilsymbol. Halten Sie die linke Maustaste gedrückt und ziehen Sie einen Verbinder von einem Verbindungspunkt zum zweiten Verbindungspunkt. Standardmäßig wird beim Einfügen der ersten Entscheidungsebene sofort eine Verbindung zwischen Workflowelement und Ebenenelement hergestellt. Soll die Hierarchie der Ebenen geändert werden, können Sie ausgehend vom Workflowelement den Verbinder zu einem Ebenenelement neu herstellen und diese Ebene somit zur ersten Ebene herauf stufen. Die Verbinder zwischen den weiteren Ebenenelementen können Sie alternativ über die Methoden <Zuordnungen>\<Positiv entfernen>, <Zuordnungen>\<Negativ entfernen> oder <Zuordnungen>\<Zurückweisung entfernen> lösen und anschließend die neuen Verbinder einfügen. Auf den Ebenenelemente werden abhängig von der Konfiguration der Entscheidungsschritte verschiedene Symbole dargestellt. Symbole auf einem Ebenenelement SYMBOL BEDEUTUNG Die Entscheidung wird vom System vorgenommen. Die Entscheidung wird manuell vorgenommen. Der Entscheidungsschritt enthält eine Erinnerungsfunktion. Der Entscheidungsschritt enthält ein Timeout-Intervall. Änderungen an den einzelnen Elementen übernehmen Sie erst durch das Speichern des gesamten Entscheidungsworkflows. Zusätzlich zum Inhalt des Entscheidungsworkflows wird auch die Layoutposition der einzelnen Elemente im Workfloweditor gespeichert. 45

46 Quest One Identity Manager Einrichten von Entscheidungsworkflows Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Ein Entscheidungsworkflow besteht aus einer oder mehreren Entscheidungsebenen. Eine Entscheidungsebene kann einen Entscheidungsschritt oder mehrere parallele Entscheidungsschritte umfassen. Innerhalb des Genehmigungsverfahrens müssen alle Entscheidungsschritte einer Entscheidungsebene durchlaufen werden, bevor die nächste Entscheidungsebene aufgerufen wird. Entscheidungsworkflows bearbeiten Sie in der Kategorie <IT Shop>\<Basisdaten zur Konfiguration>\<Entscheidungsworkflows>. Entscheidungsworkflow Wenn Sie einen neuen Entscheidungsworkflow erstellen, wird zunächst ein neues Workflowelement erzeugt. Öffnen Sie das Eigenschaftsfenster des Workflows über die Methode <Workflow>\<Bearbeiten...>. Im Eigenschaftsfenster der Entscheidungsworkflows erfassen Sie die folgenden Daten: Bezeichnung des Entscheidungsworkflows Systemabbruch (Tage) Tragen Sie die Anzahl der Tage ein, nach deren Ablauf der Entscheidungsworkflow, und somit das gesamte Genehmigungsverfahren, automatisch durch das System beendet wird. Lesen Sie dazu auch den Abschnitt Abbruch einer Bestellung bei Zeitüberschreitung auf Seite

47 Einrichten einer IT Shop-Lösung Beschreibung des Entscheidungsworkflows Einrichten eines Entscheidungsworkflows Entscheidungsebenen und Entscheidungsschritte bearbeiten Fügen Sie über die Methode <Entscheidungsebenen>\<Hinzufügen> Entscheidungsebenen in den Entscheidungsworkflow ein. Eine Entscheidungsebene dient zur Gruppierung einzelner Entscheidungsschritte. Alle Entscheidungsschritte einer Entscheidungsebene werden zeitlich parallel ausgeführt. Alle Entscheidungsschritte verschiedener Entscheidungsebenen werden zeitlich nacheinander ausgeführt. Die Reihenfolge legen Sie über die Verbinder fest. In den Entscheidungsebenen legen Sie die einzelnen Entscheidungsschritte fest. Pro Entscheidungsebene ist mindestens ein Entscheidungsschritt notwendig. Sie können mehrere Entscheidungsschritte auf einer Entscheidungsebene definieren. Die Entscheider einer Entscheidungsebene können in diesem Fall für eine Bestellung parallel, statt nacheinander, entscheiden. Erst wenn innerhalb des Genehmigungsverfahrens alle Entscheidungsschritte einer Entscheidungsebene abgeschlossen sind, wird die Bestellung den Entscheidern der nächsten Entscheidungsebene vorgelegt. 47

48 Quest One Identity Manager Wenn Sie eine Entscheidungsebene hinzufügen, erfassen Sie zuerst die erforderlichen Entscheidungsschritte. Einrichten eines Entscheidungsschrittes Im Eigenschaftsfenster eines Entscheidungsschrittes erfassen Sie die folgenden Daten: Einzelschritt Bezeichnung des Entscheidungsschrittes Entscheidungsverfahren Anzuwendendes Verfahren zur Ermittlung der Entscheider. In der Auswahlliste finden Sie die im Abschnitt Auswahl der verantwortlichen Entscheider auf Seite 52 beschriebenen Verfahren zur Ermittlung der entscheidungsberechtigten Personen. Bearbeitungsstatus Für jeden Entscheidungsschritt können Sie einen Bearbeitungsstatus für den Erfolgsfall oder den Fehlerfall hinterlegen. Abhängig von einer positiven oder negativen Entscheidung über eine Bestellung wird der entsprechende Bearbeitungsstatus für die Bestellung gesetzt. Bearbeitungsstatus erfassen Sie in der Kategorie <IT Shop>\<Basisdaten>\<Bearbeitungsstatus>. Lesen Sie dazu den Abschnitt Bearbeitungsstatus auf Seite 81. Mailvorlagen Nach Abschluss eines Entscheidungsschrittes für eine Bestellung kann eine Benachrichtigung an den Besteller oder den Genehmiger versendet werden. Wählen Sie eine Mailvorlage, die für die Erzeugung von Benachrichtigungen bei Aufforderung zur Genehmigung, Genehmigung, Ablehnung oder Eskalation einer Bestellung sowie als Erinnerungsbenachrichtigung verwendet wird. Die Einrichtung der Benachrichtigungsverfahren ist im Abschnitt Benachrichtigungen im Bestellprozess auf Seite 70 beschrieben. 48

49 Einrichten einer IT Shop-Lösung Relevanz für Compliance Legen Sie fest, ob Regelverletzungen, die durch eine Bestellung verursacht werden, dem Entscheider mitgeteilt werden. Folgende Werte sind zulässig. Zulässige Werte für Relevanz WERT nicht relevant Information Maßnahmen nötig BESCHREIBUNG Eine Information über Regelverletzungen ist für die Entscheider in diesem Entscheidungsschritt nicht relevant. Im Genehmigungsverfahren werden für die Entscheider keine zusätzlichen Informationen angezeigt. Die Entscheider in diesem Entscheidungsschritt erhalten im Genehmigungsverfahren eine Information, wenn durch die Bestellung gegen eine Complianceregel verstoßen wird. Die Entscheider entscheiden selbst, ob sie die Bestellung genehmigen oder ablehnen. Die Entscheider in diesem Entscheidungsschritt erhalten im Genehmigungsverfahren eine Information, wenn durch die Bestellung gegen eine Complianceregel verstoßen wird. Die Bestellung wird automatisch abgelehnt. Anzahl Entscheider Werden für einen Entscheidungsschritt mehrere Personen als Entscheider ermittelt, dann bestimmt die hier angegebene Anzahl, wie viele Personen dieses Personenkreises eine Bestellung genehmigen müssen. Erst danach wird die Bestellung den Entscheidern der nächsten Ebene vorgelegt. Beschreibung des Entscheidungsschrittes Begründung Für Entscheidungsregeln, deren Entscheidungen automatisch vorgenommen werden, können Sie zur besseren Nachvollziehbarkeit der Entscheidung Begründungstexte für die Genehmigung und die Ablehnung eintragen. Diese Begründungen werden im Entscheidungsverlauf einer Bestellung angezeigt. Erinnerungsintervall (Arbeitsstunden) Tragen Sie die Anzahl der Arbeitsstunden ein, nach deren Ablauf eine Entscheider per Benachrichtigung erinnert wird, dass noch offene Bestellungen zur Genehmigung vorliegen. Lesen Sie dazu auch den Abschnitt Erinnerung der Entscheider auf Seite

50 Quest One Identity Manager Timeout (Arbeitsstunden) und Verhalten bei Timeout Tragen Sie im Eingabefeld <Timeout (Arbeitsstunden)> die Anzahl der Arbeitsstunden an, nach deren Ablauf der Entscheidungsschritt automatisch geschlossen wird. Wählen Sie in der Auswahlliste <Verhalten bei Timeout> mit welcher Aktion der Entscheidungsschritt im Falle einer Zeitüberschreitung ausgeführt wird. Mögliche Verfahren bei Zeitüberschreitung VERFAHREN Genehmigung Ablehnung Eskalation Abbruch BESCHREIBUNG Die Bestellung wird in diesem Entscheidungsschritt genehmigt. Es wird der nächsten Entscheidungsschritt aufgerufen. Die Bestellung wird in diesem Entscheidungsschritt abgelehnt. Es wird der nächsten Entscheidungsschritt aufgerufen. Der Bestellprozess wird eskaliert. Es wird der Entscheidungsschritt zur Eskalation aufgerufen. Der Entscheidungsschritt, und somit das gesamte Genehmigungsverfahren, für die Bestellung wird abgebrochen. Weitere Informationen zur Konfiguration des Verhaltens bei Zeitüberschreitung erhalten Sie in den Abschnitten Eskalieren eines Entscheidungsschrittes auf Seite 67, Automatische Entscheidung bei Zeitüberschreitung auf Seite 69 und Abbruch einer Bestellung bei Zeitüberschreitung auf Seite 69. Für die Ermittlung der gültigen Arbeitszeiten stellen Sie sicher, dass in den Stammdaten der Personen ein Bundesland und/oder ein Bundesstaat eingetragen ist. Weitere Informationen erhalten Sie im Abschnitt Ermitteln der Arbeitszeit einer Person auf Seite 60 im Handbuch Identity Management. Abhängig vom ausgewählten Entscheidungsverfahren werden zusätzlich die Eingabefelder <Geschäftsrolle>, <Bedingung> oder <Ereignis> angezeigt. Diese Eingabefelder sind bei den jeweiligen Entscheidungsverfahren im Abschnitt Auswahl der verantwortlichen Entscheider auf Seite 52 beschrieben. Sobald Sie eine Entscheidungsebene mit mindestens einem Entscheidungsschritt erstellt haben, können Sie die Eigenschaften dieser Entscheidungsebene bearbeiten. Im Eigenschaftsfenster der Entscheidungsebene legen Sie den Anzeigenamen der Entscheidungsebene fest. Wenn Sie Entscheidungsworkflows mit mehreren Entscheidungsebenen einrichten, müssen Sie die einzelnen Ebenen miteinander verbinden. Dabei können Sie folgende Verknüpfungen erstellen: Nachfolgende Entscheidungsebene bei positiver Entscheidung einer Bestellung auf der aktuellen Entscheidungsebene Nachfolgende Entscheidungsebene bei negativer Entscheidung einer Bestellung auf der aktuellen Entscheidungsebene Vorhergehende Entscheidungsebene bei Zurückweisung einer Entscheidung Bei nichtausreichender Begründung einer Entscheidung wird die Bestellung den Entscheidern einer vorhergehenden Entscheidungsebene nochmals zur Entscheidung vorgelegt. 50

51 Einrichten einer IT Shop-Lösung Sind keine nachfolgenden Entscheidungsebenen zur aktuellen Entscheidungsebene angegeben, dann gilt bei einer positiven Entscheidung die Bestellung als genehmigt. Bei einer negativen Entscheidung gilt die Bestellung dann als endgültig abgelehnt. Das Genehmigungsverfahren ist in beiden Fällen abgeschlossen. Entscheidungsworkflow kopieren Über die Aufgabe <Workflow kopieren...> können Sie eine Kopie des ausgewählten Entscheidungsworkflows erzeugen. Es wird ein Dialogfenster geöffnet, auf dem Sie einen Namen für die Kopie angeben. Die Kopieraktion starten Sie über die Schaltfläche <Ok>. Über die Schaltfläche <Abbrechen> brechen Sie die Aktion ab. In beiden Fällen wird das Dialogfenster geschlossen. Die Kopie können Sie anschließend umbenennen und weiter bearbeiten. Entscheidungsworkflow löschen Um Entscheidungsworkflows zu löschen, entfernen Sie zuerst alle Zuordnungen zu Entscheidungsrichtlinien. Nutzen Sie danach die Schaltflächen in den Symbolleisten, um den Entscheidungsworkflow zu löschen. Ermitteln der wirksamen Entscheidungsrichtlinie Entscheidungsrichtlinien können Sie auf verschiedene IT Shop Strukturen und Leistungspositionen anwenden. Haben Sie mehrere Entscheidungsrichtlinien innerhalb Ihrer IT Shop-Lösung eingerichtet, wird anhand definierter Regeln die anzuwendende Entscheidungsrichtlinie ermittelt. Die wirksame Entscheidungsrichtlinie wird folgendermaßen ermittelt: Als gültige Entscheidungsrichtlinie wird diejenige verwendet, die der bestellten Leistungsposition zugeordnet ist. Ist der Leistungsposition keine Entscheidungsrichtlinie zugeordnet, wird die Entscheidungsrichtlinie der zugeordneten Servicekategorie verwendet. Ist der Servicekategorie keine Entscheidungsrichtlinie zugeordnet, wird die Entscheidungsrichtlinie verwendet, die dem Regal des bestellten Produktes zugeordnet ist. Ist dem Regal keine Entscheidungsrichtlinie zugeordnet, wird eine dem Shop zugeordnete Entscheidungsrichtlinie verwendet. Ist auch dem Shop keine Entscheidungsrichtlinie zugeordnet, so wird eine dem Shoppingcenter zugeordnete Entscheidungsrichtlinie verwendet. Eine nach diesem Vorgehen gefundene Entscheidungsrichtlinie ist nur dann anwendbar, wenn sie keinen Rollentyp enthält oder der enthaltene Rollentyp gleich dem Rollentyp des Regals ist. Werden nach den beschriebenen Regeln mehrere wirksame Entscheidungsrichtlinien erkannt, so wird diejenige verwendet, die die in alphanumerischer Sortierfolge höchste Prioritätsangabe hat. Wird hiermit keine Eindeutigkeit erzielt, gilt die Entscheidungsrichtlinie mit der geringsten Schrittanzahl. Ist auch hiermit keine Eindeutigkeit zu erreichen, so wird zur Erzielung von Eindeutigkeit die zuerst gefundene Entscheidungsrichtlinie herangezogen. Wird eine wirksame Entscheidungsrichtlinie für einen Bestellvorgang gefunden, so wird derjenige Entscheidungsschritt zur Auswahl der Entscheider angewendet, welcher der Entscheidungsebene des Bestellvorgangs entspricht. 51

52 Quest One Identity Manager Haben Sie keine Entscheidungsrichtlinie zugewiesen, so kann keine Bestellung ausgelöst werden. Können auf einer Entscheidungsebene keine verantwortlichen Entscheider ermittelt werden, so ist die Bestellung nicht entscheidbar. Offene Bestellungen werden abgelehnt und geschlossen. Abbestellte Produkte bleiben zugewiesen. Zu verlängernde Produkte bleiben bis zum Gültig bis -Datum zugewiesen. Ändern Sie eine Entscheidungsrichtlinie im laufenden Betrieb, werden offene Bestellungen wieder zurückgesetzt. Das bedeutet, diese Bestellungen müssen das Genehmigungsverfahren nochmals von Beginn an durchlaufen. Auswahl der verantwortlichen Entscheider Ein Entscheider ist eine Person, die innerhalb eines Genehmigungsverfahrens eine Bestellung (Verlängerung oder Abbestellung) genehmigen oder ablehnen kann. In jedem Entscheidungsschritt können Sie einen anderen Personenkreis als Entscheider festlegen. Der Identity Manager unterstützt verschiedene Vorgehensweisen zur Festlegung der Entscheider: Wenn Sie Verantwortliche und Stellvertreter an den verschiedenen Rollen im Identity Manager (Abteilung, Kostenstelle, IT Shop Struktur) pflegen, können die hier zugeordneten Personen als Entscheider ermittelt werden. Gleiches gilt für die Manager von Personen und deren Stellvertretern. An Stellen, an denen mehrere Personen entscheidungsberechtigt sein sollen, unterstützt der Identity Manager die Festlegung der Entscheider über Anwendungsrollen. In diesem Fall werden als Entscheider alle die Personen ermittelt, die Mitglied in der angegebenen Anwendungsrolle sind. Gleiches gilt für Personen, die Mitglieder von Geschäftsrollen sind. Wenn Sie Personen als Entscheider ermitteln wollen, die keiner der eben genannten Personenkreise angehören, definieren Sie unternehmensspezifische Bedingungen. Es werden alle Personen als Entscheider ermittelt, die der angegebenen Bedingung entsprechen. Werden für einen Entscheidungsschritt mehrere Personen als Entscheider ermittelt, dann bestimmt die am Entscheidungsschritt angegebene Anzahl, wie viele Personen dieses Personenkreises eine Bestellung genehmigen müssen. Erst danach wird die Bestellung den Entscheidern der nächsten Ebene vorgelegt. Für die Auswahl der verantwortlichen Entscheider sind die nachfolgend aufgeführten Entscheidungsverfahren definiert. Die Angabe erfolgt über Abkürzungen, die aus zwei Zeichen bestehen. Entscheidungsverfahren für IT Shop-Bestellungen ABKÜR- ZUNG BEZEICHNUNG DES ENTSCHEIDUNGS- VERFAHRENS VERANTWORTLICHE ENTSCHEIDER SB Selbstbedienung - OA Produkteigner Alle Mitglieder der zugeordneten Anwendungsrolle OR Inhaber einer bestimmten Rolle Alle Mitglieder einer Geschäftsrolle und deren Stellvertreter CP Errechneter Personenkreis über Bedingung ermittelt CR Compliance Risiko Bewertung - CC Überprüfung der Compliance Regeln - 52

53 Einrichten einer IT Shop-Lösung Entscheidungsverfahren für IT Shop-Bestellungen Genehmiger (IT) des Standortes des Empfängers ABKÜR- ZUNG BEZEICHNUNG DES ENTSCHEIDUNGS- VERFAHRENS VERANTWORTLICHE ENTSCHEIDER OC Ausnahmegenehmiger der verletzten Regeln Alle Mitglieder der zugeordneten Anwendungsrolle OH Ausnahmegenehmiger der schwersten Regelverletzung Alle Mitglieder der zugeordneten Anwendungsrolle PM Kostenstellenverantwortliche des Empfängers Verantwortlicher/Stellvertreter DM Abteilungsleiter des Empfängers Verantwortlicher/Stellvertreter PP DP Verantwortliche der in Bestellung angegebenen Kostenstelle Leiter der in Bestellung angegebenen Abteilung Verantwortlicher/Stellvertreter Verantwortlicher/Stellvertreter CM Manager des Empfängers Verantwortlicher/Stellvertreter RP Genehmiger der Kostenstelle des Empfängers Alle Mitglieder der zugeordneten Anwendungsrolle RD Genehmiger der Abteilung des Empfängers Alle Mitglieder der zugeordneten Anwendungsrolle PR DR IP ID PI DI Genehmiger der in Bestellung angegebenen Kostenstelle Genehmiger der in Bestellung angegebenen Abteilung Genehmiger (IT) der Kostenstelle des Empfängers Genehmiger (IT) der Abteilung des Empfängers Genehmiger (IT) der in Bestellung angegebenen Kostenstelle Genehmiger (IT) der in Bestellung angegebenen Abteilung Alle Mitglieder der zugeordneten Anwendungsrolle Alle Mitglieder der zugeordneten Anwendungsrolle Alle Mitglieder der zugeordneten Anwendungsrolle Alle Mitglieder der zugeordneten Anwendungsrolle Alle Mitglieder der zugeordneten Anwendungsrolle Alle Mitglieder der zugeordneten Anwendungsrolle CD Errechnete Entscheidung - WC Warten auf andere Entscheidung - EX Extern vorzunehmende Entscheidung - RL Genehmiger des Standortes des Empfängers Alle Mitglieder der zugeordneten Anwendungsrolle RO Genehmiger der primären Rolle des Empfängers Alle Mitglieder der zugeordneten Anwendungsrolle IL Alle Mitglieder der zugeordneten Anwendungsrolle IO Genehmiger (IT) der primären Rolle des Empfängers Alle Mitglieder der zugeordneten Anwendungsrolle H0 Eigentümer des Regals Eigentümer/Stellvertreter 53

54 Quest One Identity Manager Entscheidungsverfahren für IT Shop-Bestellungen ABKÜR- ZUNG BEZEICHNUNG DES ENTSCHEIDUNGS- VERFAHRENS VERANTWORTLICHE ENTSCHEIDER H1 Eigentümer des Shops Eigentümer/Stellvertreter H2 Eigentümer des Shoppingcenters Eigentümer/Stellvertreter P0 P1 P2 Verantwortliche der dem Regal zugeordneten Kostenstelle Verantwortliche der dem Shop zugeordneten Kostenstelle Verantwortliche der dem Shoppingcenter zugeordneten Kostenstelle Verantwortlicher/Stellvertreter Verantwortlicher/Stellvertreter Verantwortlicher/Stellvertreter D0 Leiter der dem Regal zugeordneten Abteilung Verantwortlicher/Stellvertreter D1 Leiter der dem Shop zugeordneten Abteilung Verantwortlicher/Stellvertreter D2 Leiter der dem Shoppingcenter zugeordneten Abteilung Verantwortlicher/Stellvertreter Welche Person, in welcher Entscheidungsebene entscheidungsberechtigt ist, wird durch den DBScheduler berechnet. Beachten Sie bei der Einrichtung von Entscheidungsworkflows die Besonderheiten der einzelnen Entscheidungsverfahren zur Ermittlung der entscheidungsberechtigten Personen. Selbstbedienung Einen Entscheidungsworkflow mit dem Entscheidungsverfahren SB (Selbstbedienung) definieren Sie immer als einstufigen Workflow, das bedeutet zu einem Entscheidungsschritt für Selbstbedienung können Sie keinen weiteren Entscheidungsschritt einrichten. Die Festlegung von Entscheidern ist für dieses Entscheidungsverfahren nicht erforderlich. Eine Bestellung mit Selbstbedienung wird sofort automatisch positiv entschieden. In der Standardinstallation sind der Entscheidungsworkflow und die Entscheidungsrichtlinie Default Selfservice standardmäßig vorhanden und dem Shop Identity Lifecycle zugewiesen. Ermittlung der Entscheider über die IT Shop Strukturen Sollen die Eigentümer eines Regals (Entscheidungsverfahren H0 ), eines Shops (Entscheidungsverfahren H1 ) oder eines Shoppingcenters (Entscheidungsverfahren H2 ) als Entscheider ermittelt werden, tragen Sie die Eigentümer und deren Stellvertreter an dem entsprechenden IT Shop-Knoten ein. Sollen die Leiter der Abteilung eines Regals (Entscheidungsverfahren D0 ), eines Shops (Entscheidungsverfahren D1 ) oder eines Shoppingcenters (Entscheidungsverfahren D2 ) als Entscheider ermittelt werden, benötigen diese IT Shop Strukturen eine Abteilung. Die Leiter und stellvertretenden Leiter dieser Abteilung sind dann entscheidungsberechtigt. Sollen die Verantwortlichen der Kostenstelle eines Regals (Entscheidungsverfahren P0 ), eines Shops (Entscheidungsverfahren P1 ) oder eines Shoppingcenters (Entscheidungsverfahren P2 ) als Entscheider ermittelt werden, benötigen diese IT Shop Strukturen eine Kostenstelle. Die verantwortlichen Personen dieser Kostenstelle sind dann entscheidungsberechtigt. 54

55 Einrichten einer IT Shop-Lösung Ermittlung der Entscheider über den Kunden Sollen die Manager eines Kunden (Entscheidungsverfahren CM ) als Entscheider ermittelt werden, müssen Sie in den Personenstammdaten einen Manager eintragen. Soll der Leiter der Abteilung des Kunden (Entscheidungsverfahren DM ) als Entscheider ermittelt werden, muss der Kunde einer primären Abteilung zugeordnet sein. Die Leiter und stellvertretenden Leiter dieser Abteilung sind dann entscheidungsberechtigt. Sollen die Verantwortlichen der Kostenstelle des Kunden (Entscheidungsverfahren PM ) als Entscheider ermittelt werden, muss der Kunde einer primären Kostenstelle zugewiesen sein. Die verantwortlichen Personen dieser Kostenstelle sind dann entscheidungsberechtigt. Ermittlung der Inhaber einer Geschäftsrolle Sollen die Mitglieder einer Geschäftsrolle (Entscheidungsverfahren OR ) als Entscheider ermittelt werden, müssen Sie im Entscheidungsschritt ergänzend eine Geschäftsrolle angeben. In diesem Fall werden als Entscheider alle die Personen erkannt, die über die sekundäre Zuordnung Mitglieder in der angegebenen Geschäftsrolle sind. Haben diese Personen in den Personenstammdaten einen Stellvertreter IT Shop eingetragen, ist dieser zusätzlich entscheidungsberechtigt. Ermittlung der Produkteigner Sollen die Produkteigner (Entscheidungsverfahren OA ) als Entscheider ermittelt werden, müssen Sie der Leistungsposition des Produktes im Eingabefeld <Produkteigner> eine Anwendungsrolle zuordnen. In diesem Fall werden als Entscheider alle die Personen erkannt, die über die sekundäre Zuordnung der angegebenen Anwendungsrolle zugewiesen sind. Ermittlung von Entscheidern über eine Genehmigerrolle Sollen die Genehmiger einer Rolle (Entscheidungsverfahren RD, RL, RO, RP ) als Entscheider ermittelt werden, müssen Sie der primären Abteilung (Kostenstelle, Standort bzw. Geschäftsrolle) des Kunden im Eingabefeld <Genehmiger> eine Anwendungsrolle zuordnen. Alle sekundär zugewiesenen Personen dieser Anwendungsrolle sind entscheidungsberechtigt. Entscheider über Genehmiger einer Abteilung ermitteln Ermittlung der Entscheider am Beispiel einer Genehmigerrolle für die primäre Abteilung des Kunden (Entscheidungsverfahren RD ): 1. Es wird die primäre Abteilung ( UID_Department) des Kunden ermittelt. 2. Über den Genehmiger dieser Abteilung ( UID_RulerContainer ) wird die Anwendungsrolle ( UID_AERole ) ermittelt. 55

56 Quest One Identity Manager 3. Für diese Anwendungsrolle werden die sekundär zugewiesenen Personen ermittelt. Diese sind entscheidungsberechtigt. 4. Ist für die primäre Abteilung keine Genehmigerrolle angegeben, so wird die Genehmigerrolle der übergeordneten Abteilung ermittelt. 5. Kann bis zur obersten Abteilung keine Genehmigerrolle ermittelt werden, dann ist die Bestellung nicht entscheidbar. 6. Sind der Anwendungsrolle keine Personen zugewiesen, werden die Personen übergeordneter Anwendungsrollen ermittelt, wenn die Option <Vererbung blockieren> an der Anwendungsrolle deaktiviert ist. Informationen zu dieser Option erhalten Sie im Handbuch Identity Management, im Abschnitt Allgemeine Stammdaten einer Anwendungsrolle auf Seite Sind bis zur obersten Anwendungsrolle keine Personen zugewiesen, dann ist die Bestellung nicht entscheidbar. Die Auswahl der Entscheider über den Genehmiger (IT) einer Rolle (Entscheidungsverfahren ID, IL, IO, IP ) erfolgt nach dem gleichen Prinzip. Der primären Abteilung (Kostenstelle, Standort bzw. Geschäftsrolle) des Kunden muss im Eingabefeld <Genehmiger (IT)> eine Anwendungsrolle zugeordnet sein. Alle sekundär zugewiesenen Personen dieser Anwendungsrolle sind entscheidungsberechtigt. Ermittlung von Entscheidern über eine Bestellung Sollen die Entscheider über die Kostenstelle einer Bestellung ermittelt werden, muss der Besteller bei der Bestellung eine Kostenstelle zur Abrechnung angeben. Sollen die Entscheider über die Abteilung einer Bestellung ermittelt werden, muss der Besteller bei der Bestellung eine Abteilung zur Abrechnung angeben. Es sind die Verantwortlichen der Kostenstelle (Entscheidungsverfahren PP ) bzw. die Leiter der Abteilung (Entscheidungsverfahren DP ) entscheidungsberechtigt. Sollen die Genehmiger der angegebenen Kostenstelle oder Abteilung (Entscheidungsverfahren PR, DR ) als Entscheider ermittelt werden, muss der angegebenen Kostenstelle oder Abteilung eine Anwendungsrolle im Eingabefeld <Genehmiger> zugeordnet sein. Alle Mitglieder der hier zugeordneten Anwendungsrolle sind entscheidungsberechtigt. Sollen die Genehmiger (IT) der angegebenen Kostenstelle oder Abteilung (Entscheidungsverfahren PI, DI ) als Entscheider ermittelt werden, muss der angegebenen Kostenstelle oder Abteilung eine Anwendungsrolle im Eingabefeld <Genehmiger (IT)> zugeordnet sein. Alle Mitglieder der hier zugeordneten Anwendungsrolle sind entscheidungsberechtigt. Die Entscheider werden nach dem im Abschnitt Ermittlung von Entscheidern über eine Genehmigerrolle auf Seite 55 beschriebenen Prinzip ermittelt. Dynamisch errechneter Personenkreis Sollten die vordefinierten Entscheidungsverfahren zur Ermittlung der verantwortlichen Entscheider nicht den Anforderungen entsprechen, können Sie eigene Datenbankabfragen zur Ermittlung der entscheidungsberechtigten Personen erstellen (Entscheidungsverfahren CP ). Dabei können Sie beispielsweise vorher festgelegte Entscheider ermitteln (Beispiel 1). Sie können die Entscheider auch dynamisch in Abhängigkeit der zu genehmigenden Bestellung ermitteln. Dafür greifen Sie innerhalb der Datenbankabfrage über die (SQL) bzw. v_uid_personwantsorg (Oracle) auf die zu genehmigende Bestellung zu (Beispiel 2). Die Datenbankabfrage für die Berechnung des Personenkreises geben Sie bei der Einrichtung des Entscheidungsschrittes im Eingabefeld <Bedingung> ein. Die Datenbankabfrage muss als Select-Statement formuliert werden. Achten Sie darauf, dass die über die Datenbankabfrage selektierte Spalte zwingend eine UID_Person liefern muss. Ergebnis der Abfrage sind eine oder mehrere Personen, denen 56

57 Einrichten einer IT Shop-Lösung die Bestellung zur Entscheidung vorgelegt wird. Liefert die Abfrage kein Ergebnis, wird die Bestellung abgebrochen. Beispiel 1: Die Bestellungen sollen durch einen festgelegten Entscheider genehmigt werden. Beispiel 2: select UID_Person from Person where InternalName='Rittersgrün, Dr. Rüdiger von' Der Entscheider soll über die Abteilung des Bestellers ermittelt werden. Wobei der Besteller die Person ist, die eine Bestellung auslöst (UID_PersonInserted, beispielsweise beim Bestellen für Mitarbeiter). Entscheidungsberechtigt ist der Verantwortliche der Kostenstelle, die der primären Abteilung des Bestellers zugeordnet sind. select pc.uid_personhead from PersonWantsOrg pwo join Person p on pwo.uid_personinserted = p.uid_person join Department d on p.uid_department = d.uid_department join ProfitCenter pc on d.uid_profitcenter = pc.uid_profitcenter where pwo.uid_personwantsorg = '@UID_PersonWantsOrg' Verzögerte Entscheidung einer Bestellung Um innerhalb des Genehmigungsverfahrens sicherzustellen, dass vor der Genehmigung einer Bestellung eine definierte Voraussetzung erfüllt ist, können Sie verzögerte Entscheidungen (Entscheidungsverfahren WC ) einsetzen. So sollte die Genehmigung einer Berechtigungsgruppe nur erfolgen können, wenn sichergestellt ist, dass auch ein entsprechendes Benutzerkonto existiert. Der Einsatz von verzögerten Entscheidungen bietet sich an, wenn zusätzlich die Überprüfung der Bestellungen hinsichtlich ihrer Regelkonformität erfolgt. Ist bei der Überprüfung bestellter Berechtigungsgruppen das Benutzerkonto nicht vorhanden, so würden mögliche Regelverletzungen durch die Bestellung nicht protokolliert werden. Durch eine entsprechend definierte Bedingung können Sie festlegen, welche Voraussetzungen erfüllt sein müssen, damit eine Bestellung zur Genehmigung vorgelegt wird. Die Bedingung wird als Funktionsaufruf ausgewertet. Um zu prüfen, ob bei der Bestellung von Berechtigungsgruppen, das benötigte 57

58 Quest One Identity Manager Benutzerkonto vorhanden ist, können Sie die mitgelieferte Funktion vi_f_pwogroupdecision verwenden. Aufruf der Funktion einer verzögerten Entscheidung Abhängig vom Rückgabewert der Funktion wird eine der folgenden Aktionen ausgeführt. Rückgabewert > 0: Das Benutzerkonto ist vorhanden, die Bedingung ist somit erfüllt. Die verzögerte Entscheidung wird positiv entschieden. Die Bestellung wird an den nächsten Entscheidungsschritt weitergereicht. Es muss nun ein Entscheidungsschritt folgen, über den die Entscheider für die Bestellung ermittelt werden. Rückgabewert = 0: Die Bedingung ist nicht erfüllt. Es gibt aber eine offene Bestellung für ein Benutzerkonto oder die Person besitzt eine Benutzerkontenressource, durch die ein Benutzerkonto entstehen könnte. Die Entscheidung wird daher zurückgestellt und beim nächsten Lauf des DBSchedulers erneut geprüft. Rückgabewert < 0: Die Bedingung ist nicht erfüllt. Das Benutzerkonto ist nicht vorhanden, es gibt keine offene Bestellung für ein Benutzerkonto und die Person besitzt auch keine Benutzerkontenressource aus der ein Benutzerkonto resultieren könnte. Die verzögerte Entscheidung wird negativ entschieden. Die Bestellung wird an den nächsten Entscheidungsschritt weitergereicht. Funktionen für weitere Anwendungsfälle können kundenspezifisch implementiert werden. Die Funktion muss als Parameter die UID der Bestellung (PersonWantsOrg.UID_PersonWantsOrg) akzeptieren. Der Ergebniswert muss ein Integer-Wert sein. Errechnete Entscheidung Unter Umständen kann es sich als sinnvoll erweisen, anhand einer definierte Bedingung zu bestimmen, wem die Bestellung zur Entscheidung vorgelegt werden soll. Liegt beispielsweise der Preis einer Bestellung unter einem definierten Limit, so kann der Abteilungsleiter die Entscheidung treffen. Bei Überschreitung des Preislimits ist die Bestellung dem Kostenstellenverantwortlichen zur Entscheidung vorzulegen. In einem anderen Anwendungsfall können Bestellungen von Mitarbeitern der Abteilung XY sofort genehmigt werden, sofern mit der Bestellung ein definiertes Preislimit nicht überschritten wird. 58

59 Einrichten einer IT Shop-Lösung Wird das Limit überschritten oder gehört der Mitarbeiter zu einer anderen Abteilung muss eine Genehmigung durch den Abteilungsleiter erfolgen. Für die Berechnung einer Entscheidung (Entscheidungsverfahren CD ) müssen Sie bei der Einrichtung des Entscheidungsschrittes eine Bedingung eingeben. Die Bedingung wird als gültige Where-Klausel für Datenbankabfragen definiert. Sie können diese direkt als SQL-Abfrage eingeben oder über einen Assistenten zusammenstellen. Die Bedingung wird immer für die aktuelle Bestellung (Tabelle PersonWantsOrg ) und den aktuellen Besteller geprüft (SQL) bzw. v_uid_personwantsorg (Oracle) ). Beispiel für eine Bedingung: Bestellungen mit einem Preis unter 1000 Euro werden vom Abteilungsleiter des Bestellers entschieden. Bestellungen mit einem Preis über 1000 Euro werden dem Kostenstellenverantwortlichen des Bestellers vorgelegt. isnull(uid_org, '') in (Select UID_ITShopOrg From ITShopOrg Where isnull(uid_accproduct, '') In (Select UID_AccProduct From AccProduct Where isnull(purchaseprice, 0) < 1000)) Die zusammengesetzte Abfrage lautet dann: select 1 from Personwantsorg where (isnull(uid_org, '') in (Select UID_ITShopOrg From ITShopOrg Where isnull(uid_accproduct, '') In (Select UID_AccProduct From AccProduct Where isnull(purchaseprice, 0) < 1000))) and uid_personwantsorg Der mögliche Aufbau der Entscheidungsrichtlinie ist in der folgenden Abbildung dargestellt. Darstellung eines Entscheidungsschrittes mit errechneter Entscheidung Im Workfloweditor wird ein solcher Entscheidungsschritt mit einem speziellen Ebenenelement dargestellt. Für dieses Ebenenelement sind die im Abschnitt Arbeiten mit dem Workfloweditor auf Seite 44 beschriebenen Funktionen verfügbar. 59

60 Quest One Identity Manager Extern vorzunehmende Entscheidung Wenn eine Bestellung genehmigt werden soll, sobald ein definiertes Ereignis außerhalb des Identity Managers eintritt, nutzen Sie die extern vorzunehmende Entscheidung (Entscheidungsverfahren EX ). Sie können dieses Verfahren auch nutzen, um Bestellungen durch Personen genehmigen zu lassen, die keinen Zugriff auf den Identity Manager haben. Im Entscheidungsschritt legen Sie ein Ereignis fest, das eine externe Entscheidung auslöst. Durch das Ereignis wird ein Prozess angestoßen, der die externe Entscheidung für die Bestellung initiiert und das Ergebnis der Entscheidung auswertet. Der Identity Manager wartet, bis das Ergebnis der externen Entscheidung an den Identity Manager übermittelt wird. Abhängig von dieser Entscheidung definieren Sie weitere Entscheidungsschritte. Um das Entscheidungsverfahren nutzen zu können, definieren Sie eigene Prozesse. Diese Prozesse müssen eine externe Entscheidung auslösen, die Ergebnisse der externen Entscheidung auswerten und daraufhin den externen Entscheidungsschritt im Identity Manager positiv oder negativ entscheiden. Als Basisobjekt für den Prozess geben Sie PersonWantsOrg an. Ist das externe Ereignis eingetreten, muss der Status des Entscheidungsschrittes im Identity Manager geändert werden. Nutzen Sie dafür die Prozessfunktion CallMethod mit der Methode MakeDecision. Übergeben Sie der Prozessfunktion folgende Parameter: MethodName: Value = "MakeDecision" ObjectType: Value = "PersonWantsOrg" Param1: Value = "sa" Param2: Value = <Entscheidung> ("true" = zugestimmt; "false" = abgelehnt) Param3: Value = <Begründung der Entscheidung> WhereClause: Value = "UID_PersonWantsOrg ='"& $UID_PersonWantsOrg$ &"'" Durch die Parameter legen Sie fest, welche Bestellung durch die externe Entscheidung entschieden werden soll (WhereClause). Parameter Param1 legt den Entscheider fest. Entscheider ist immer der Systembenutzer sa. Mit dem Parameter Param2 wird die Entscheidung übergeben. Wurde der Bestellung zugestimmt, muss der Wert true übergeben werden. Wurde die Bestellung abgelehnt, muss der Wert false übergeben werden. Über den Parameter Param3 übergeben Sie einen Begründungstext für die Entscheidung. Prozesse definieren und bearbeiten Sie mit dem Prozesseditor. Die Arbeit mit dem Prozesseditor ist im Abschnitt Prozessverarbeitung im Identity Manager auf Seite 37 im Handbuch Prozess-Orchestrierung beschrieben. Beispiel: Alle genehmigten Bestellungen sollen in einem externen Ticketsystem erfasst und ausgelöst werden. Ist eine Bestellung im externen Ticketsystem abgeschlossen, muss sie auch im Identity Manager abgeschlossen werden. Nutzen Sie das Entscheidungsverfahren für extern vorzunehmende Entscheidungen und definieren Sie: einen Prozess <P1>, der ein Ticket mit den Informationen zum bestellten Produkt im externen System erstellt und die Ticketnummer in den Bestellvorgang im Identity Manager übernimmt, ein Ereignis <E1>, das den Prozess <P1> auslöst, einen Prozess <P2>, der prüft, ob der Status des Tickets abgeschlossen ist und der im Identity Manager die Funktion CallMethod mit der Methode MakeDecision aufruft, ein Ereignis <E2>, das den Prozess <P2> auslöst, einen Zeitplan, der regelmäßig das Ereignis <E2> auslöst, 60

61 Einrichten einer IT Shop-Lösung Das Ereignis <E1> tragen Sie im Entscheidungsschritt im Eingabefeld <Ereignis> als Auslöser für die externe Entscheidung ein. Im Prozess <P1> übergeben Sie mittels Parameter Informationen zum bestellten Produkt und zum Kunden, für den das Produkt bestellt wird, an das externe Ticketsystem. In einem weiteren Parameter übergeben Sie die Ticketnummer aus dem externen Ticketsystem an den Identity Manager. Im Prozess <P2> überprüfen Sie anhand der Ticketnummer den Status des Tickets. Ist das Ticket abgeschlossen, rufen Sie die Methode MakeDecision auf und übergeben mittels Parameter den Status des Tickets aus dem externen Ticketsystem an den Identity Manager (Param2). In einem weiteren Parameter legen Sie den Systembenutzer fest, der den Status des Entscheidungsschrittes im Identity Manager ändert (Param1). Als Wert für diesen Parameter übergeben Sie sa. Den Begründungstext für die Entscheidung übergeben Sie im Parameter Param3. Prüfen von Bestellungen auf Regelkonformität In den Entscheidungsworkflow können Sie die Prüfung der IT Shop Bestellungen auf Regelkonformität integrieren. Dafür werden verschiedene Entscheidungsverfahren angeboten. Diese Entscheidungsverfahren überprüfen, ob der Kunde bei Genehmigung seiner Bestellungen bestehende Complianceregeln verletzen würde und protokollieren das Ergebnis der Überprüfung im Entscheidungsverlauf der Bestellung. Der Identity Manager stellt zwei Entscheidungsverfahren für die Regelprüfung bereit: 1. Compliance Risiko Bewertung (Entscheidungsverfahren CR ) Schnelle Prüfung der aktuellen Bestellung auf mögliche Regelverletzungen. Berücksichtigt das bestellte Produkt und alle bereits zugewiesenen Unternehmensressourcen des Kunden. Als Standardverfahren für Regelprüfungen empfohlen! Lesen Sie dazu den Abschnitt Risikobewertung von Bestellungen auf Seite Überprüfung der Compliance Regeln (Entscheidungsverfahren CC ) Vollständige Prüfung der aktuellen Bestellung auf mögliche Regelverletzungen. Berücksichtigt alle bereits zugewiesenen Unternehmensressourcen des Kunden, das bestellte Produkt und alle Unternehmensressourcen, die der Kunde durch die Bestellung zusätzlich erhalten würde. Zeitintensives Verfahren! Lesen Sie dazu den Abschnitt Vollständige Überprüfung der Bestellungen auf Seite 63. Voraussetzungen für die Prüfung der Bestellungen sind die Definition eines Regelwerkes und die Erweiterung der Entscheidungsworkflows um eine Regelprüfung. Die Einrichtung von Complianceregeln im Rahmen des Identity Audits ist im Abschnitt Einrichten eines Regelwerkes auf Seite 585 im Handbuch Identity Management ausführlich beschrieben. Nachfolgend wird auf den Bestellablauf im Falle einer Regelprüfung und die Erweiterung der Entscheidungsworkflows eingegangen. Risikobewertung von Bestellungen Um einen Überblick über potentielle Regelverletzungen zu erhalten, können Sie eine Risikobewertung der Bestellungen erstellen. Dazu nutzen Sie die Compliance Risiko Bewertung (Entscheidungsverfahren CR ). Mit diesem Entscheidungsverfahren kann eine schnelle Vorprüfung der Bestellungen hinsichtlich möglicher Regelverletzungen erfolgen. Es wird keine vollständige Überprüfung der Bestellungen durchgeführt. Aus Performancegründen wird die Compliance Risiko Bewertung (Entscheidungsverfahren CR ) als Standardverfahren für die Regelprüfung empfohlen. 61

62 Quest One Identity Manager Eine vollständige Prüfung der Zuweisungen wird mit der zyklischen Prüfung der Complianceregeln über Zeitpläne erreicht. Damit werden alle Regelverletzungen erkannt, die durch die Bestellungen entstanden sind. Lesen Sie dazu den Abschnitt Prüfen einer Regel auf Seite 614 im Handbuch Identity Management. In die Risikobewertung werden alle offenen Bestellungen eines Kunden einbezogen. Bei dieser Überprüfung werden alle Unternehmensressourcen, die dem Kunden bereits zugewiesen sind, berücksichtigt. Weiterhin fließen alle Benutzerkonten des Kunden sowie alle Berechtigungsgruppen, die der Kunde über diese Benutzerkonten erhalten hat, mit in die Überprüfung ein. Für die Risikobewertung werden regelmäßig berechnete Hilfstabellen für Objektzuordnungen ausgewertet. Das Entscheidungsverfahren erkennt damit keine Objekte, die der Kunde gegebenenfalls durch Vererbung über das bestellte Produkt erhalten würde. Außerdem berücksichtigt das Entscheidungsverfahren nur solche Complianceregeln, die über die vereinfachte Definition erstellt wurden. Dadurch liefert es wesentlich schneller mögliche Regelverletzungen als eine vollständige Überprüfung der Complianceregeln. Ein weiterer Vorteil ist die Detaillierung der protokollierten Regelverletzungen. Hierbei kann nicht nur festgestellt werden, welche Regel eine Bestellung verletzt, sondern es kann ermittelt werden, welches Produkt der Bestellung die Regelverletzung verursacht. Damit ist eine detaillierte Auswertung der Regelverletzungen möglich. Für die Nutzung des Entscheidungsverfahrens innerhalb einer Entscheidungsrichtlinie gelten folgende Beschränkungen: Pro Entscheidungsrichtlinie können Sie nur einen Entscheidungsschritt mit dem Entscheidungsverfahren CR einfügen. Die nachfolgende Entscheidungsebene bei negativer Entscheidung darf nur einen Entscheidungsschritt zur Ermittlung der Ausnahmegenehmiger enthalten. Dazu lesen Sie auch den Abschnitt Ermitteln der Ausnahmegenehmiger auf Seite 65. Wenn die nachfolgende Entscheidungsebene bei positiver Entscheidung einen weiteren Entscheidungsschritt enthält, dann sollten genehmigte Ausnahmen des Entscheidungsverfahrens CR ebenfalls diesen Entscheidungsschritt durchlaufen. Beispiel für einen Entscheidungsworkflow mit Risikobewertung mit Compliance Risiko Bewertung Wird ein Entscheidungsschritt zur Risikobewertung nach dem Entscheidungsverfahren CR erkannt, werden alle Produkte offener Bestellungen dem Kunden zugeordnet. Es wird also angenommen, dass alle offenen Bestellungen genehmigt würden und der Kunde somit die Produkte erhalten würde. An- 62

63 Einrichten einer IT Shop-Lösung schließend wird die aktuell verarbeitete Bestellung hinsichtlich potentieller Verstöße gegen die definierten Regeln analysiert. Wird keine Regelverletzung festgestellt, wird der Entscheidungsschritt automatisch positiv entschieden und die Bestellung an die Entscheider der nächsten Entscheidungsebene zur Genehmigung übergeben. Wird eine Regelverletzung festgestellt, wird der Entscheidungsschritt automatisch negativ entschieden. Sofern die Definition der verletzten Regel es zulässt, kann die Bestellung, per Ausnahmegenehmigung dennoch genehmigt werden. Die für eine Regelverletzung zuständigen Ausnahmegenehmiger definieren Sie bereits in der Regel. Damit die Ausnahmegenehmiger die Bestellung zur Entscheidung erhalten, verbinden Sie einen Entscheidungsschritt mit dem Verfahren OC oder OH mit dem Verbindungspunkt für die negative Entscheidung. Bei der Regelprüfung werden die festgelegten IT Shop Eigenschaften der einzelnen Regeln berücksichtigt. Für die Regelprüfung nach dem Entscheidungsverfahren CR gelten die folgenden Einschränkungen: Die Einstellung der IT Shop Eigenschaft der Regel <Nur aktuelle Bestellungen berücksichtigen> ist nicht relevant. Es werden alle offenen Bestellungen der Person berücksichtigt. Die Erkennung einer Regelverletzung richtet sich nach der Einstellung der Eigenschaft <Erkennung einer Regelverletzung>. Zur Konfiguration der Regeln lesen Sie den Abschnitt IT Shop Eigenschaften einer Regel auf Seite 599 im Handbuch Identity Management. Vollständige Überprüfung der Bestellungen Abhängig von der Anzahl der zugewiesenen und vererbten Objekte kann die vollständige Überprüfung einer Bestellung mit dem Entscheidungsverfahren CC sehr viel Zeit beanspruchen! Nutzen Sie zur Überprüfung der Bestellungen auf Regelkonformität vorrangig die Compliance Risiko Bewertung (Entscheidungsverfahren CR ) (siehe Abschnitt Risikobewertung von Bestellungen auf Seite 61). Bei der vollständigen Überprüfung von Bestellungen (Entscheidungsverfahren CC ) wird die aktuelle Bestellung eines Kunden auf die Einhaltung der definierten Regeln geprüft. Bei dieser Überprüfung werden alle Unternehmensressourcen berücksichtigt, die dem Kunden zugewiesen sind. Außerdem berücksichtigt das Entscheidungsverfahren alle Complianceregeln, also auch die, die über den erweiterten Modus erstellt wurden. Es werden also alle Regelverletzungen erkannt, die bei Genehmigung der aktuellen Bestellung im Zusammenhang mit den bereits zugewiesenen Unternehmensressourcen neu auftreten würden. Beispiel: Es wurde eine Regel definiert, die aufdecken soll, ob eine Person gleichzeitig zwei Berechtigungen A und B besitzt. Die Berechtigung A wurde der Person durch eine frühere Bestellung bereits zugewiesen. Bestellt diese Person nun die Berechtigung B, so würde durch die Überprüfung der Bestellung eine Regelverletzung aufgedeckt werden. Für die Nutzung des Entscheidungsverfahrens innerhalb einer Entscheidungsrichtlinie gelten folgende Beschränkungen: Pro Entscheidungsrichtlinie können Sie nur einen Entscheidungsschritt mit dem Entscheidungsverfahren CC einfügen. 63

64 Quest One Identity Manager Die nachfolgende Entscheidungsebene bei negativer Entscheidung darf nur einen Entscheidungsschritt zur Ermittlung der Ausnahmegenehmiger enthalten. Dazu lesen Sie auch den Abschnitt Ermitteln der Ausnahmegenehmiger auf Seite 65. Beispiel für einen Entscheidungsworkflow mit Regelprüfung mit vollständiger Überprüfung von Bestellungen Erreicht die Bestellung einen Entscheidungsschritt zur Regelprüfung mit dem Entscheidungsverfahren CC, dann erfolgt eine Simulation der aktuellen Bestellung inklusive der Vererbung und der daraus resultierenden Berechtigungen. Das bestellte Produkt wird dem Kunden zugeordnet. Das bedeutet, es wird angenommen, dass die Bestellung genehmigt wird. Anschließend wird die aktuelle Bestellung hinsichtlich potentieller Verstöße gegen die definierten Regeln analysiert. Wird während der Simulation keine Regelverletzung durch die Bestellung festgestellt, wird der Entscheidungsschritt automatisch positiv entschieden und die Bestellung an die Entscheider der nächsten Entscheidungsebene zur Genehmigung übergeben. Wird während der Simulation eine Regelverletzung festgestellt, so kann diese nur durch die Bestellung verursacht worden sein. Der Entscheidungsschritt wird automatisch negativ entschieden. Sofern die Definition der verletzten Regel es zulässt, kann die Bestellung, per Ausnahmegenehmigung dennoch genehmigt werden. Die für eine Regelverletzung zuständigen Ausnahmegenehmiger definieren Sie bereits in der Regel. Damit die Ausnahmegenehmiger die Bestellung zur Entscheidung erhalten, verbinden Sie einen Entscheidungsschritt mit dem Verfahren OC oder OH mit dem Verbindungspunkt für die negative Entscheidung. Gibt es für den Kunden noch Bestellungen, welche die Regelprüfung bereits durchlaufen haben aber noch nicht endgültig entschieden sind, so wird gewartet bis die Genehmigungsverfahren dieser Bestellungen abgeschlossen sind. Erst dann wird die Überprüfung der aktuellen Bestellung gestartet. Dieses Verhalten kann zu einer Verzögerung der einzelnen Genehmigungsverfahren führen. Um die Regelprüfung innerhalb der Genehmigungsverfahren zu beschleunigen, nutzen Sie die Compliance Risiko Bewertung (Entscheidungsverfahren CR ) (siehe Abschnitt Risikobewertung von Bestellungen auf Seite 61). Bei der Regelprüfung werden die IT Shop Eigenschaften der einzelnen Regeln berücksichtigt. Für die Regelprüfung nach dem Entscheidungsverfahren CC gelten die folgenden Einschränkungen: Es werden nur die Regeln berücksichtigt, bei denen die IT Shop Eigenschaft <Nur aktuelle Bestellungen berücksichtigen> nicht aktiviert ist. 64

65 Einrichten einer IT Shop-Lösung Die Erkennung einer Regelverletzung richtet sich nach der Einstellung der IT Shop Eigenschaft <Erkennung einer Regelverletzung>. Zur Konfiguration der Regeln lesen Sie den Abschnitt IT Shop Eigenschaften einer Regel auf Seite 599 im Handbuch Identity Management. Überprüfung der Bestellungen mit Selbstbedienung Die Selbstbedienung (Entscheidungsverfahren SB ) wird immer als einstufiges Verfahren definiert, das bedeutet zu einem Entscheidungsschritt für Selbstbedienung können Sie keinen weiteren Entscheidungsschritt einrichten. Um eine Überprüfung der Bestellungen mit Selbstbedienung hinsichtlich der Einhaltung der Regeln zu realisieren, reicht es jedoch aus, eine Entscheidungsrichtlinie bestehend aus einem Entscheidungsschritt zur Regelprüfung, beispielsweise mit einer vollständigen Überprüfung der Bestellungen (Entscheidungsverfahren CC ), zu erstellen. Bei positiv durchlaufener Regelprüfung wird die Bestellung genehmigt und somit eine implizite Selbstbedienung erreicht. Ermitteln der Ausnahmegenehmiger Eine Bestellung, die eine Regelverletzung zur Folge hat, kann per Ausnahmegenehmigung dennoch genehmigt werden. Dazu müssen Sie an der Regel die zuständigen Ausnahmegenehmiger definieren. Welche Regelverletzungen einem Ausnahmegenehmiger vorgelegt werden, konfigurieren Sie ebenfalls pro Regel über die Eigenschaft <Explizite Ausnahmegenehmigung>. Zur Konfiguration der Regeln lesen Sie den Abschnitt Erstellen und Bearbeiten von Regeln auf Seite 592 im Handbuch Identity Management. Welche Ausnahmegenehmiger letztendlich die Entscheidung treffen, kann über zwei Entscheidungsverfahren ermittelt werden, die Sie als weitere Entscheidungsschritte in die Entscheidungsrichtlinien aufnehmen. Diese Entscheidungsverfahren sind: Entscheidungsverfahren OC (Ausnahmegenehmiger der verletzten Regeln) Die Entscheidung wird von den Ausnahmegenehmigern der verletzten Regel getroffen. Da mit einer Bestellung durchaus mehrere Regeln verletzt werden können, wird die Bestellung allen Ausnahmegenehmigern parallel vorgelegt. Eine Ablehnung der Ausnahmegenehmigung durch einen der Ausnahmegenehmiger führt zur Ablehnung der Bestellung. Entscheidungsverfahren OH (Ausnahmegenehmiger der schwersten Regelverletzung) Die Entscheidung wird durch die Ausnahmegenehmiger der Regel mit dem höchsten Gefährdungsgrad getroffen. Damit kann bei Verletzung mehrerer Regeln durch eine Bestellung das Verfahren der Ausnahmegenehmigung verkürzt werden. Für dieses Entscheidungsverfahren müssen Sie sicherstellen, dass: 1. der Gefährdungsgrad in den Bewertungskriterien aller Complianceregeln festgelegt ist, 2. die Ausnahmegenehmiger für die höchste Regelverletzung in allen betroffenen Regeln zu den Ausnahmegenehmigern gehören. Entgegen dem sonst angewendeten Verantwortlicher/Stellvertreter-Prinzip ist der Stellvertreter eines Ausnahmegenehmigers selbst nicht berechtigt eine Ausnahmegenehmigung zu erteilen. 65

66 Quest One Identity Manager Genehmigung von Bestellungen eines Entscheiders Konfigurationsparameter für die Genehmigung von Bestellungen eines Entscheiders KONFIGURATIONSPARAMETER QER\ITShop\PersonInsertedNoDecide QER\ITShop\PersonOrderedNoDecide BEDEUTUNG Der Konfigurationsparameter legt fest, ob die Person, die eine Bestellung auslöst, diese auch entscheiden darf. Der Konfigurationsparameter legt fest, ob die Person, für die eine Bestellung auslöst wird, diese auch entscheiden darf. Für Kunden eines Shops, die gleichzeitig auch Entscheider über die Bestellungen dieses Shops sind, muss geregelt werden, ob sie ihre eigenen Bestellungen genehmigen dürfen. Da Entscheider auch für andere Kunden ihres Verantwortungsbereiches Bestellungen auslösen können, muss zusätzlich geklärt werden, wie diese Bestellungen innerhalb des Genehmigungsverfahrens zu behandeln sind. Mit der Aktivierung des Konfigurationsparameters QER\ITShop\PersonOrderedNoDecide verhindern Sie, dass ein Entscheider über seine eigenen Bestellungen entscheiden darf. Der Konfigurationsparameter wirkt auf die Bestellungen, die ein Entscheider für sich selbst bestellt hat sowie auf alle Bestellungen, die ein anderer Entscheider für ihn bestellt hat. Ist der Konfigurationsparameter nicht aktiviert, dann ist der Entscheider auch für seine eigenen Bestellungen entscheidungsberechtigt. Seine Bestellung wird ihm dann selbst zur Genehmigung vorgelegt. Um zu verhindern, dass ein Entscheider Bestellungen, die er für sich oder für andere Kunden ausgelöst hat, entscheiden kann, aktivieren Sie den Konfigurationsparameter QER\ITShop\PersonInsertedNoDecide. Ist der Konfigurationsparameter nicht aktiviert, so ist der Entscheider auch für diese Bestellungen entscheidungsberechtigt. Beispiel: Der Abteilungsleiter löst für seinen Stellvertreter eine Bestellung aus. Beide Personen werden durch das Entscheidungsverfahren als Entscheider ermittelt. Um zu verhindern, dass der Abteilungsleiter die Bestellung genehmigen kann, aktivieren Sie den Parameter QER\ITShop\PersonInsertedNoDecide. Um zu verhindern, dass der Stellvertreter die Bestellung genehmigen kann, aktivieren Sie den Parameter QER\ITShop\PersonOrderedNoDecide. Automatische Entscheidung von Bestellungen Konfigurationsparameter für die automatische Entscheidung von Bestellungen KONFIGURATIONSPARAMETER QER\ITShop\AutoDecision QER\ITShop\DecisionOnInsert QER\ITShop\ReuseDecision BEDEUTUNG Der Konfigurationsparameter regelt die automatische Entscheidung von IT Shop-Bestellungen über mehrere Entscheidungsebenen. Der Konfigurationsparameter regelt die Entscheidung einer Bestellung bereits beim Einfügen der Bestellung. Der Konfigurationsparameter gibt an, ob die Entscheidung eines Entscheiders für alle durch ihn entscheidbaren Schritte im Verlauf einer Genehmigung übernommen werden soll. Bei der Einrichtung mehrstufiger Entscheidungsrichtlinien kann es vorkommen, dass ein Verantwortlicher auf mehreren Entscheidungsebenen entscheidungsberechtigt ist. Damit er eine Bestellung nicht mehrfach vorgelegt bekommt, können Sie die automatische Entscheidung zulassen. 66

67 Einrichten einer IT Shop-Lösung Nutzen Sie den Konfigurationsparameter QER\ITShop\AutoDecision um zuzulassen, dass die Entscheidungen eines Entscheiders in mehreren aufeinander folgenden Entscheidungsebenen automatisch getroffen werden. Ist der Konfigurationsparameter aktiviert und der Wert des Parameters AllStepsNo- Jump, wird die Entscheidung der ersten Entscheidungsebene für alle unmittelbar nachfolgenden Entscheidungsebenen, für die der Entscheider entscheidungsberechtigt ist, übernommen. Ist der Konfigurationsparameter deaktiviert, kann der Entscheider nur den aktuellen Entscheidungsschritt entscheiden. Die Bestellung wird ihm auf der nächsten Entscheidungsebene wieder vorgelegt. Um zu erreichen, dass die Entscheidungen eines Entscheiders auch für alle nicht aufeinander folgende Entscheidungsebenen automatisch übernommen werden, nutzen Sie den Konfigurationsparameter QER\ITShop\ReuseDecision. Ist der Konfigurationsparameter aktiviert, so wird die aktuelle Entscheidung aus einem früheren Entscheidungsschritt übernommen. Ist der Konfigurationsparameter nicht aktiviert, muss der Entscheider auf der aktuellen Entscheidungsebene nochmals genehmigen. Bei der Aktivierung des Konfigurationsparameters ist jedoch Vorsicht geboten. Ist der Entscheider gleichzeitig ein Ausnahmegenehmiger für verletzte Complianceregeln, so wird ihm die Bestellung bei Verstoß gegen die Complianceregeln nicht zur Ausnahmegenehmigung vorgelegt, sondern ebenfalls automatisch entschieden. Ein Entscheider kann selbst Kunde in einem Shop sein und somit für sich selbst Bestellungen auslösen. Zusätzlich hat der Entscheider die Möglichkeit für andere Kunden Bestellungen auszulösen. Ist er gleichzeitig der erste Entscheider im Genehmigungsverfahren dieser Bestellungen, sollte die erste Entscheidung sofort positiv getroffen werden. Aktivieren Sie dafür den Konfigurationsparameter QER\ITShop\DecisionOnInsert. Ist der Konfigurationsparameter nicht aktiviert, so muss der Entscheider, nachdem er die Bestellung ausgelöst hat, nochmals manuell entscheiden. Um zu verhindern, dass ein Entscheider über die von ihm eingestellten Bestellungen entscheiden darf, nutzen Sie den Konfigurationsparameter QER\ITShop\PersonInsertedNoDecide. Lesen Sie dazu den Abschnitt Genehmigung von Bestellungen eines Entscheiders auf Seite 66. Einholen weiterer Informationen zur Bestellung durch einen Entscheider Ein Entscheider hat die Möglichkeit weitere Informationen zu einer Bestellung einzuholen. Diese Nachfragemöglichkeit ersetzt jedoch nicht die Genehmigung oder Ablehnung einer Bestellung. Zur Informationseinholung ist kein zusätzlicher Entscheidungsschritt in einem Entscheidungsworkflow erforderlich. Der Entscheider kann eine Anfrage an jede beliebige Person stellen. Die Bestellung erhält für den Zeitpunkt der Anfrage einen Hold-Status. Liefert die angefragte Person die benötigten Informationen, wird der Hold-Status der Bestellung wieder aufgehoben. Die Anfrage des Entscheiders und die Antwort der angefragten Person werden im Entscheidungsverlauf aufgezeichnet und stehen somit dem Entscheider zur Verfügung. Eskalieren eines Entscheidungsschrittes Entscheidungen können bei Überschreitung eines festgelegten Zeitraumes automatisch eskaliert werden. Die Bestellung wird einem weiteren Entscheiderkreis vorlegt. Anschließend kann die Bestellung wieder im normalen Entscheidungsworkflow weiter bearbeitet werden. Für die Eskalation einer Bestellung nehmen Sie folgende Anpassungen am Entscheidungsworkflow vor: 1. Richten Sie eine zusätzliche Entscheidungsebene mit einem Entscheidungsschritt zur Eskalation ein. 67

68 Quest One Identity Manager 2. Verbinden Sie den Entscheidungsschritt, der bei Zeitüberschreitung eskaliert werden soll, mit dem neuen Entscheidungsschritt. Nutzen Sie dazu im Workfloweditor den Verbindungspunkt für Eskalation. Beispiel für Entscheidungsworkflow mit Eskalation 3. Konfigurieren Sie am Entscheidungsschritt, der bei Zeitüberschreitung eskaliert werden soll, das Verhalten. Verwenden Sie dazu die Eigenschaften: Timeout (Arbeitsstunden) Tragen Sie die Anzahl der Arbeitsstunden an, nach deren Ablauf der Entscheidungsschritt automatisch eskaliert wird. Für die Ermittlung der gültigen Arbeitszeiten stellen Sie sicher, dass in den Stammdaten der Personen ein Bundesland und/oder ein Bundesstaat eingetragen ist. Weitere Informationen erhalten Sie im Abschnitt Ermitteln der Arbeitszeit einer Person auf Seite 60 im Handbuch Identity Management. Verhalten bei Timeout Wählen Sie, mit welcher Aktion der Entscheidungsschritt im Falle einer Zeitüberschreitung ausgeführt wird. Mögliche Verfahren für automatische Entscheidung bei Zeitüberschreitung VERFAHREN Eskalation BESCHREIBUNG Der Bestellprozess wird eskaliert. Es wird der Entscheidungsschritt zur Eskalation aufgerufen. Um den Genehmiger per darüber zu benachrichtigen, dass neue Entscheidungen für ihn anstehen, konfigurieren Sie das Benachrichtigungsverfahren, wie im Abschnitt Aufforderung zur Entscheidung auf Seite 71 beschrieben. Der Besteller erhält bei Eskalation seiner Bestellung eine Benachrichtigung. Die Benachrichtigung des Bestellers konfigurieren Sie wie im Abschnitt Eskalation einer Bestellung auf Seite 73 beschrieben. 68

69 Einrichten einer IT Shop-Lösung Automatische Entscheidung bei Zeitüberschreitung Bestellungen können bei Überschreitung eines festgelegten Zeitraumes automatisch entschieden werden. Zur Konfiguration dieses Verhaltens, erfassen Sie am Entscheidungsschritt folgende Daten: Timeout (Arbeitsstunden) Tragen Sie die Anzahl der Arbeitsstunden an, nach deren Ablauf der Entscheidungsschritt automatisch entschieden wird. Für die Ermittlung der gültigen Arbeitszeiten stellen Sie sicher, dass in den Stammdaten der Personen ein Bundesland und/oder ein Bundesstaat eingetragen ist. Weitere Informationen erhalten Sie im Abschnitt Ermitteln der Arbeitszeit einer Person auf Seite 60 im Handbuch Identity Management. Verhalten bei Timeout Wählen Sie mit welcher Aktion der Entscheidungsschritt im Falle einer Zeitüberschreitung ausgeführt wird. Mögliche Verfahren für automatische Entscheidung bei Zeitüberschreitung VERFAHREN Genehmigung Ablehnung BESCHREIBUNG Die Bestellung wird in diesem Entscheidungsschritt genehmigt. Es wird der nächsten Entscheidungsschritt aufgerufen. Die Bestellung wird in diesem Entscheidungsschritt abgelehnt. Es wird der nächsten Entscheidungsschritt aufgerufen. Der Besteller erhält bei Entscheidung seiner Bestellung eine Benachrichtigung. Die Benachrichtigung des Bestellers konfigurieren Sie wie im Abschnitt Genehmigung oder Ablehnung einer Bestellung auf Seite 72 beschrieben. Abbruch einer Bestellung bei Zeitüberschreitung Bestellungen können bei Überschreitung eines festgelegten Zeitraumes automatisch abgebrochen werden. Der Abbruch kann erfolgen, wenn ein einzelner Entscheidungsschritt oder das gesamte Genehmigungsverfahren einen bestimmten Zeitraum überschreitet. Für Abbruch nach Zeitüberschreitung eines einzelnen Entscheidungsschrittes erfassen Sie am Entscheidungsschritt die folgenden Daten: Timeout (Arbeitsstunden) Tragen Sie die Anzahl der Arbeitsstunden an, nach deren Ablauf der Entscheidungsschritt automatisch abgebrochen wird. Für die Ermittlung der gültigen Arbeitszeiten stellen Sie sicher, dass in den Stammdaten der Personen ein Bundesland und/oder ein Bundesstaat eingetragen ist. Weitere Informationen erhalten Sie im Abschnitt Ermitteln der Arbeitszeit einer Person auf Seite 60 im Handbuch Identity Management. 69

70 Quest One Identity Manager Verhalten bei Timeout Wählen Sie in der Auswahlliste, mit welcher Aktion der Entscheidungsschritt im Falle einer Zeitüberschreitung ausgeführt wird. Verfahren für Abbruch einer Bestellung bei Zeitüberschreitung VERFAHREN Abbruch BESCHREIBUNG Der gesamte Entscheidungsworkflow für die Bestellung wird abgebrochen. Für Abbruch nach Zeitüberschreitung des gesamten Genehmigungsverfahrens erfassen Sie am Entscheidungsworkflow die folgenden Daten: Systemabbruch (Tage) Tragen Sie die Anzahl der Tage ein, nach deren Ablauf der Entscheidungsworkflow automatisch durch das System beendet wird. Der Besteller erhält bei Abbruch seiner Bestellung eine Benachrichtigung. Die Benachrichtigung des Bestellers konfigurieren Sie wie im Abschnitt Abbruch einer Bestellung auf Seite 72 beschrieben. Benachrichtigungen im Bestellprozess Konfigurationsparameter für Benachrichtigungen KONFIGURATIONSPARAMETER Common\MailNotification\DefaultCulture Common\MailNotification\SMTPPort Common\MailNotification\SMTPRelay QER\ITShop\DefaultSenderAddress BEDEUTUNG Der Konfigurationsparameter enthält die Standardsprachkultur, in der Benachrichtigungen versendet werden, wenn für einen Empfänger keine Sprachkultur ermittelt werden kann. Port des SMTP-Dienstes auf dem SMTP Server (Standard: 25). SMTP Server zum Versenden von Benachrichtigungen. Der Konfigurationsparameter enthält die Absender Adresse für automatisch generierte Benachrichtigungen innerhalb des IT Shops. Bei Änderungen einer Bestellung innerhalb des Bestellprozesses werden verschiedene Benachrichtigungen an Besteller und Genehmiger versendet. Die Benachrichtigungsverfahren nutzen Mailvorlagen zur Erzeugung der Benachrichtigungen. In einer Mailvorlage sind die Mailtexte in verschiedenen Sprachen definiert. Somit wird bei Generierung einer -Benachrichtigung die Sprache des Empfängers berücksichtigt. In der Standardinstallation sind bereits Mailvorlagen enthalten, die Sie zur Konfiguration der Benachrichtigungsverfahren verwenden können. Zur Einrichtung kundenspezifischer Mailvorlagen lesen Sie den Abschnitt Erstellen kundenspezifischer Mailvorlagen für Benachrichtigungen auf Seite 104. Um Benachrichtigungen im Bestellprozess zu nutzen, sind folgende Voraussetzungen zu erfüllen: Aktivieren Sie den Konfigurationsparameter QER\ITShop\DefaultSenderAddress und tragen Sie die Absenderadresse ein, mit der die Benachrichtigungen verschickt werden. 70

71 Einrichten einer IT Shop-Lösung Stellen Sie sicher, dass alle Personen eine Standard- Adresse besitzen. An diese Adresse werden die Benachrichtigungen versendet. Lesen Sie dazu auch den Abschnitt Sonstige Personenstammdaten auf Seite 57 im Handbuch Identity Management. Stellen Sie sicher, dass für alle Personen eine Sprachkultur ermittelt werden kann. Nur so erhalten die Personen die Benachrichtigungen in ihrer Sprache. Lesen Sie dazu den Abschnitt Ermitteln der Sprache einer Person auf Seite 59 im Handbuch Identity Management. Konfigurieren Sie die Benachrichtigungsverfahren wie nachfolgend beschrieben. Aufforderung zur Entscheidung Bestellt ein Kunde ein Produkt, dann erhält der Entscheider eine Benachrichtigung, dass neue Entscheidungen für ihn anstehen. Für dieses Benachrichtigungsverfahren erfassen Sie am Entscheidungsschritt die folgenden Daten: Mailvorlage Aufforderung Wählen Sie die Mailvorlage IT Shop Bestellung - Aufforderung zur Entscheidung. Erinnerung der Entscheider Hat ein Entscheider nach Ablauf eines festgelegten Erinnerungsintervalls noch nicht über eine Bestellung entschieden, kann er eine Erinnerungsbenachrichtigung erhalten. Für dieses Benachrichtigungsverfahren erfassen Sie am Entscheidungsschritt die folgenden Daten: Erinnerungsintervall (Arbeitsstunden) Tragen Sie die Anzahl der Arbeitsstunden ein, nach deren Ablauf eine Entscheider per Benachrichtigung erinnert wird, dass noch offene Bestellungen zur Genehmigung vorliegen. Für die Ermittlung der gültigen Arbeitszeiten stellen Sie sicher, dass in den Stammdaten der Personen ein Bundesland und/oder ein Bundesstaat eingetragen ist. Weitere Informationen erhalten Sie im Abschnitt Ermitteln der Arbeitszeit einer Person auf Seite 60 im Handbuch Identity Management. Mailvorlage Erinnerung Wählen Sie die Mailvorlage IT Shop Bestellung - Erinnerung Entscheider. Ablauf einer befristeten Bestellung Konfigurationsparameter für die Erinnerung von Entscheidern KONFIGURATIONSPARAMETER QER\ITShop\ValidityWarning BEDEUTUNG Anzahl der Tage vor Ablauf der Bestellung. Ist die Anzahl der Tage erreicht, wird der Kunde über ablaufende Bestellungen informiert. Der Besteller behält ein Produkt in der Regel bis zu dem Zeitpunkt an dem er es selbst wieder abbestellt. Bisweilen werden Produkte jedoch nur für eine bestimmte Zeitspanne benötigt und können nach dieser Zeitspanne automatisch abbestellt werden. Dazu lesen Sie den Abschnitt Zeitlich begrenzte Bestellungen auf Seite

72 Quest One Identity Manager Vor Erreichen des Ablaufdatums erhält der Besteller eine Benachrichtigung und hat die Möglichkeit die Bestellung zu verlängern. Um dieses Benachrichtigungsverfahren zu nutzen, gehen Sie folgendermaßen vor: Aktivieren Sie den Konfigurationsparameter QER\ITShop\ValidityWarning und tragen Sie die Vorwarnzeit (in Tagen) für ablaufende Bestellungen ein. Aktivieren Sie den Zeitplan IT Shop bald ablaufende Bestellungen erinnern. Lesen Sie dazu auch den Abschnitt Automatisierte Ausführung von Prozessen auf Seite 74 im Handbuch Prozess-Orchestrierung. Wählen Sie an der Entscheidungsrichtlinie im Eingabefeld <Mailvorlage Fristablauf> die Mailvorlage aus, die für die Benachrichtigung genutzt wird. In der Standardinstallation sind die Mailvorlagen IT Shop Bestellung - Produkt verfällt und IT Shop Bestellung - abgelaufen verfügbar. Genehmigung oder Ablehnung einer Bestellung Bei Genehmigung oder Ablehnung einer Bestellung erhält der Besteller eine Benachrichtigung. Diese Benachrichtigung kann bei Genehmigung oder Ablehnung eines einzelnen Entscheidungsschrittes oder bei Abschluss des gesamten Genehmigungsverfahrens erfolgen. Bestellungen können bei Überschreitung eines festgelegten Zeitraumes automatisch entschieden werden. Der Besteller erhält dann ebenfalls eine Benachrichtigung. Für die Benachrichtigung bei Entscheidung eines einzelnen Entscheidungsschrittes erfassen Sie am Entscheidungsschritt die folgenden Daten: Mailvorlage Genehmigung Wählen Sie die Mailvorlage IT Shop Bestellung - positiver Genehmigungsschritt. Mailvorlage Ablehnung Wählen Sie die Mailvorlage IT Shop Bestellung - negativer Genehmigungsschritt. Für die Benachrichtigung bei Abschluss des gesamten Genehmigungsverfahrens erfassen Sie an der Entscheidungsrichtlinie die folgenden Daten: Mailvorlage Genehmigung Wählen Sie die Mailvorlage IT Shop Bestellung - positiv entschieden. Mailvorlage Ablehnung Wählen Sie die Mailvorlage IT Shop Bestellung - negativ entschieden. Abbruch einer Bestellung Bestellungen werden bei Überschreitung eines festgelegten Zeitraumes automatisch abgebrochen. Der Besteller erhält eine Benachrichtigung. Für dieses Benachrichtigungsverfahren erfassen Sie an der Entscheidungsrichtlinie die folgenden Daten: Mailvorlage Abbruch Wählen Sie die Mailvorlage IT Shop Bestellung - abgebrochen. 72

73 Einrichten einer IT Shop-Lösung Eskalation einer Bestellung Bestellungen können bei Überschreitung eines festgelegten Zeitraumes eskaliert werden. Der Besteller erhält eine Benachrichtigung. Für dieses Benachrichtigungsverfahren erfassen Sie an der Entscheidungsrichtlinie die folgenden Daten: Mailvorlage Eskalation Wählen Sie die Mailvorlage IT Shop Bestellung - eskalieren. Ablauf einer Bestellung Um Produkte zu bestellen, abzubestellen, Bestellungen zu genehmigen oder sich einen Überblick über offene und abgeschlossene Bestellungen zu verschaffen, nutzen Sie das Web Portal. Für den Umgang mit dem Web Portal lesen Sie die Web Portal Anwenderdokumentation. Einen Überblick über offene und abgeschlossene Bestellungen erhalten Sie auch im Identity Manager und Manager. Ist eine Person Kunde in einem Shop, so kann sie aus allen Regalen dieses Shops Produkte bestellen. Bestellt der Kunde ein Produkt, muss die Bestellung zunächst im Genehmigungsverfahren positiv entschieden werden, damit das Produkt dem Kunden zugewiesen wird. Dabei wird der Kunde Mitglied in der Rolle des Produktes. Ist die Mitgliedschaft zustande gekommen, setzt der Standardmechanismus der Vererbung ein. Benötigt der Kunde das Produkt nicht mehr und bestellt das Produkt ab, wird die Mitgliedschaft des Kunden in der Rolle des Produktes aufgelöst. Für zeitlich begrenzte Bestellungen kann die Abbestellung auch automatisiert erfolgen. Überblick über Bestellungen Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Einen Überblick über alle offenen und abgeschlossenen Bestellungen erhalten Sie in der Kategorie <IT Shop>\<Bestellungen>. Zu jeder Bestellung werden detaillierte Informationen angezeigt. Für offene Bestellungen sehen Sie einen Überblick über den aktuellen Stand des Genehmigungsverfahrens. Die Ansichten dienen nur zur Information. Eine Bearbeitung der Bestellungen und ein Eingriff in den Entscheidungsverlauf ist an dieser Stelle nicht möglich. 73

74 Quest One Identity Manager Details der Bestellung Detaillierte Informationen einer Bestellung werden über die Aufgabe <Details der Bestellung> angezeigt. Sie sehen die allgemeinen Bestelldaten, den aktuellen Bearbeitungsstatus der Entscheidungsschritte und den Entscheidungsverlauf einer Bestellung. Details einer Bestellung Entscheidungsverlauf Ist eine Bestellung noch nicht abgeschlossen, erhalten Sie über die Aufgabe <Entscheidungsverlauf> den aktuellen Stand des Genehmigungsverfahrens. Darstellung des Entscheidungsverlaufes 74

75 Einrichten einer IT Shop-Lösung Die einzelnen Entscheidungsebenen eines Entscheidungsworkflows werden über ein spezielles Steuerelement dargestellt. Die verantwortlichen Entscheider eines Entscheidungsschrittes werden über einen Tooltip angezeigt. Offene Nachfragen zu einem Entscheidungsschritt werden ebenfalls im Tooltip angezeigt. Die Steuerelemente werden farblich hinterlegt. Der Farbcode spiegelt den aktuellen Status der Entscheidungsebenen wieder. Bedeutung der Farben im Entscheidungsverlauf (in absteigender Priorität) FARBE Blau Grün Rot Gelb Grau BEDEUTUNG Die Entscheidungsebene wird aktuell bearbeitet. Die Entscheidungsebene wurde positiv entschieden. Die Entscheidungsebene wurde negativ entschieden. Die Entscheidungsebene wurde aufgrund einer Nachfrage zurückgestellt. Die Entscheidungsebene wurde (noch) nicht erreicht. Genehmigungshistorie Über die Aufgabe <Genehmigungshistorie> sehen Sie alle abgeschlossenen Entscheidungsschritte. Sie können hier den Ablauf und die Entscheidungen im Genehmigungsverfahren nachvollziehen. In der Genehmigungshistorie sehen Sie den Entscheidungsworkflow, die Ergebnisse der einzelnen Entscheidungsschritte und die Entscheider. Die Genehmigungshistorie wird sowohl für offene als auch für abgeschlossene Bestellungen angezeigt. Darstellung der Genehmigungshistorie 75

76 Quest One Identity Manager Die Steuerelemente werden farblich hinterlegt. Der Farbcode spiegelt den Status der Entscheidungsschritte wieder. Bedeutung der Farben in der Genehmigungshistorie FARBE Gelb Grün Rot Grau Violett Orange Blau BEDEUTUNG Bestellung ausgelöst. Entscheider hat Bestellung genehmigt. Entscheider hat Bestellung abgelehnt oder die Bestellung wurde eskaltiert. Produkt wurde abbestellt. Bestellung wurde abgebrochen. Bestellung wurde verlängert. Entscheider hat eine Nachfrage. Nachfrage wurde beantwortet. Entscheider hat Bestellung zurückgewiesen. Mehrfache Bestellung eines Produktes Produkte des IT Shops sind in der Regel nur einmal bestellbar. Ist ein Produkt dem Kunden zugewiesen, kann dieser das Produkt nicht ein zweites Mal bestellen. Unter Umständen ist es jedoch erforderlich ein Produkt mehrfach zu bestellen. Um dieses abzubilden, muss das Produkt zur Mehrfachbestellung gekennzeichnet sein. Davon abhängig wird bei Genehmigung eines mehrfach bestellbaren Produktes dieses intern sofort wieder abbestellt oder die Abbestellung über den Kunden ermöglicht. Zur Einrichtung mehrfach bestellbarer Produkte lesen Sie den Abschnitt Mehrfach bestellbare Produkte auf Seite 31. Nach der Genehmigung eines mehrfach bestellbaren Produktes wird der Kunde nicht Mitglied in der Rolle des Produktes. Das bedeutet, das Produkt wird dem Kunden nicht über interne Vererbung zugewiesen. Um bei der Genehmigung eines mehrfach bestellbaren Produktes eine definierte Aktion auszulösen, definieren Sie kundenspezifische Prozesse mit dem Basisobjekt PersonWantsOrg für das Ereignis OrderGranted. Lesen Sie dazu den Abschnitt Prozessverarbeitung im Identity Manager auf Seite 37 im Handbuch Prozess-Orchestrierung. Zeitlich begrenzte Bestellungen Der Kunde behält ein bestelltes Produkt in der Regel bis zu dem Zeitpunkt an dem er ihn selbst wieder abbestellt. Bisweilen werden Produkte jedoch nur für eine bestimmte Zeitspanne benötigt und könnten nach dieser Zeitspanne automatisch abbestellt werden. Produkte, die für eine zeitlich begrenzte Bestellung vorgesehen sind, müssen mit einem Gültigkeitszeitraum gekennzeichnet werden. Dazu lesen Sie den Abschnitt Produkte für zeitlich begrenzte Bestellungen auf Seite 33. Bei der Bestellung eines zeitlich begrenzten Produktes berechnet der Identity Manager das Datum, zu dem das Produkt automatisch abbestellt wird ( Gültig bis -Datum), aus dem aktuellen Datum und dem Gültigkeitszeitraum, der an der Leistungsposition angegeben ist. Dieses Datum kann vom Besteller bei der Bestellung bei Bedarf weiter angepasst werden. 76

77 Einrichten einer IT Shop-Lösung Zusätzlich kann bei der Bestellung ein Gültig von -Datum angegeben werden. Damit wird festgelegt, zu welchem Zeitpunkt eine Zuweisung wirksam werden soll. Ist dieses Datum angegeben, wird das Gültig bis -Datum aus dem Gültig von -Datum und dem Gültigkeitszeitraum berechnet. Sobald eine Bestellung von allen Entscheidern genehmigt wurde, wird das Gültig bis -Datum aus dem aktuellen Datum und dem Gültigkeitszeitraum neu berechnet. Damit ist sichergestellt, dass der Gültigkeitszeitraum ab dem Tag der Zuweisung wirksam wird. Vor Erreichen des Ablaufdatums erhält der Besteller eine Benachrichtigung und hat die Möglichkeit die Bestellung zu verlängern. Lesen Sie dazu den Abschnitt Ablauf einer befristeten Bestellung auf Seite 71. Bei Ablauf des Gültigkeitszeitraums wird die Bestellung geschlossen und deaktiviert. Der Kunde hat die Möglichkeit eine Bestellung zu verlängern. Nutzt der Kunde diese Möglichkeit, so muss die Verlängerung (wie bereits die ursprüngliche Bestellung) durch ein Genehmigungsverfahren entschieden werden. Wird die Verlängerung abgelehnt, läuft die Originalbestellung zum angegebenen Ablaufdatum aus. Wechsel des Kunden in einen anderen Shop Bestellt ein Kunde ein Produkt aus einem Shop und wechselt zu einem späteren Zeitpunkt den Shop oder das Shoppingcenter, dann wird die Produktbestellung geschlossen und das Produkt abbestellt. Das heißt, seine Mitgliedschaft in den Rollen dieser Produkte wird entfernt. Um die Bestellung eines Produktes bei Umzug des Kunden zu erhalten, können Sie die Leistungsposition des Produktes mit der Angabe <Zuweisung der Leistungsposition bleibt bei Umzug bestehen> versehen. Dazu lesen Sie den Abschnitt Produktbestellung bei Wechsel des Kunden in einen anderen Shop auf Seite 34. Alle offenen oder genehmigten Bestellungen des zu verlassenden Shops werden dann in den ersten gefundenen Shop umgesetzt, in dem die Person ebenfalls Kunde ist und der auch das bestellbare Produkt enthält. Offene Bestellungen werden in diesem Zusammenhang zurückgesetzt, dass heißt, diese Bestellungen müssen das Genehmigungsverfahren nochmals von Beginn an durchlaufen. 77

78 Quest One Identity Manager Bestellungen für Mitarbeiter Konfigurationsparameter für Bestellungen für Mitarbeiter KONFIGURATIONSPARAMETER QER\ITShop\PersonHead Ist der Konfigurationsparameter aktiv, werden zusätzliche Menüeinträge in der IT Shop-Benutzeroberfläche freigeschaltet. QER\ITShop\PersonHead\Cancel- ForEmployee QER\ITShop\PersonHead\EditEmployee QER\ITShop\PersonHead\OrderForEmployee BEDEUTUNG Der Konfigurationsparameter enthält den Namen der Datenbanksicht die bestimmt, wer für wen im IT Shop etwas abbestellen kann. Der Konfigurationsparameter enthält den Namen der Datenbanksicht die bestimmt, wer für wen die persönlichen Daten im IT Shop ändern kann. Der Konfigurationsparameter enthält den Namen der Datenbanksicht die bestimmt, wer für wen im IT Shop etwas bestellen kann. In der Standardinstallation des Web Portals können Entscheider Produkte für andere Personen bestellen und abbestellen. Ein Entscheider kann für eine Person nur Produkte aus Shops bestellen, für die er als Entscheider verantwortlich ist und in denen die ausgewählte Person auch Kunde ist. Weiterhin dürfen Abteilungsleiter und deren Stellvertreter die Daten der Mitarbeiter ihrer Abteilung bearbeiten. Die Auswertung der Zuständigkeiten erfolgt über die folgenden Datenbanksichten (Views): vi_orderforemployee Die Sicht liefert die Entscheider und die Mitarbeiter, für die Produkte bestellbar sind. vi_cancelforemployee Die Sicht liefert die Entscheider und die Mitarbeiter, für die Produkte abbestellbar sind. vi_editemployee Die Sicht liefert die Abteilungsleiter, deren Stellvertreter und die Mitarbeiter, deren Daten bearbeitet werden dürfen. Die Sichten werden genutzt, wenn die zugehörigen Konfigurationsparameter aktiviert sind. Sollen abweichend vom Standard andere Personenkreise zuständig sein, definieren Sie kundenspezifische Datenbanksichten und tragen Sie diese in die Konfigurationsparameter ein. Die Sichten müssen immer eine UID_PersonHead (die Verantwortlichen) und eine UID_Person (die Mitarbeiter) liefern. Beispiel: Der Abteilungsleiter und dessen Stellvertreter können die Daten der Mitarbeiter ihrer Abteilung bearbeiten. Create view vi_editemployee as select p.uid_person, d.uid_personhead from person p join department d on p.uid_department = d.uid_department where d.uid_personhead > ' ' union select p.uid_person, d.uid_personheadsecond as uid_personhead from person p join department d on p.uid_department = d.uid_department where d.uid_personheadsecond > ' ' 78

79 Einrichten einer IT Shop-Lösung Bearbeiten des IT Shops Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Konfigurationsparameter für die Einrichtung eines IT Shops KONFIGURATIONSPARAMETER QER\ITShop BEDEUTUNG Präprozessorrelevanter Konfigurationsparameter zur Steuerung der Modellbestandteile für den IT Shop. Nach Änderung des Parameters müssen Sie die Datenbank kompilieren. Ist der Parameter aktiviert, sind die Bestandteile des IT Shops verfügbar. Nachfolgend wird beschrieben, wie Sie kundenspezifische Shops, Shoppingcenter oder Regale einrichten. Sie können den mitgelieferten Standardshop Identity Lifecycle erweitern oder eine eigenständige IT Shop-Lösung einrichten. Richten Sie den IT Shop mit Hilfe des IT Shop Assistenten ein. Sie starten den Assistenten in der Kategorie <Mein Identity Manager>\<IT Shop Assistenten>\<Shop anlegen>. Der Assistent umfasst die wichtigsten Konfigurationsschritte zur Inbetriebnahme eines IT Shops. Wenn Sie den IT Shop Assistenten zum Einrichten des IT Shops nutzen, werden Sie durch die einzelnen Schritte geführt. Nach Abschluss des Assistenten sind weitere Konfigurationsschritte erforderlich. Shops, Shoppingcenter und Regale werden in der Kategorie <IT Shop> dargestellt. Die technische Abbildung der IT Shop-Lösung basiert auf den Mechanismen der Rollenverwaltung im Identity Manager, wie sie im Abschnitt Unternehmensstrukturen als Rollen im Identity Manager auf Seite 85 beschrieben sind. Alle Objekte eines IT Shops werden als Rolle mit der Rollenklasse IT Shop Struktur angelegt. Dadurch kann ein IT Shop als hierarchische Struktur im Identity Manager abgebildet werden. 79

80 Quest One Identity Manager Folgende Abbildung zeigt einen IT Shop mit Shoppingcenter, Shops, Regalen, Produkten und Kunden. Abbildung einer IT Shop In den nachfolgenden Abschnitten wird die Vorgehensweise zur manuellen Einrichtung eines IT Shops erläutert. 80

81 Einrichten einer IT Shop-Lösung Basisdaten für den IT Shop Rollentypen Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Zur Einteilung von Rollen erstellen Sie Rollentypen. Sie können die Rollentypen nutzen, um die Vererbung von Entscheidungsrichtlinien innerhalb eines IT Shops festzulegen. Dafür ordnen Sie Rollentypen den Regalen und Entscheidungsrichtlinien zu. Lesen Sie dazu den Abschnitt Ermitteln der wirksamen Entscheidungsrichtlinie auf Seite 51. Sie können Rollentypen auch Shops zuordnen, wenn Sie die Shops nach weiteren Kriterien unterscheiden wollen. Rollentypen an Shops haben jedoch keinen Einfluss auf die Vererbung von Entscheidungsrichtlinien. Rollentypen erstellen Sie im Identity Manager in der Kategorie <IT Shop>\<Basisdaten>\<Rollentypen>. Für einen Rollentyp erfassen Sie eine Bezeichnung und eine nähere Beschreibung. Entscheidungsrichtlinien und Entscheidungsworkflows Entscheidungsrichtlinien und Entscheidungsworkflows werden genutzt, um Bestellungen zu autorisieren. Wie Sie Entscheidungsrichtlinien und Entscheidungsworkflows einrichten, erfahren Sie im Abschnitt Genehmigungsverfahren für IT Shop-Bestellungen auf Seite 41. Bearbeitungsstatus Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Definieren Sie eigene Bearbeitungsstatus für Bestellungen. Für jeden Entscheidungsschritt in einem Entscheidungsworkflow können Sie Bearbeitungsstatus für den Erfolgsfall und Fehlerfall der Entscheidung angeben. Abhängig von einer positiven oder negativen Entscheidung wird der entsprechende Bearbeitungsstatus für die Bestellung gesetzt. Bearbeitungsstatus erstellen Sie im Identity Manager in der Kategorie <IT Shop>\<Basisdaten>\<Bearbeitungsstatus>. Erfassen Sie folgende Informationen: Bezeichnung des Bearbeitungsstatus Für die sprachabhängige Verwendung des Namens übersetzen Sie diesen über die Schaltfläche neben dem Eingabefeld. ausführliche Beschreibung des Bearbeitungsstatus zusätzliche Eigenschaften des Bearbeitungsstatus Für kundenspezifische Implementierungen können Sie einen Bearbeitungsstatus mit den Optionen <Erfolg>, <Abgeschlossen> und <Manuell nachzubearbeiten> näher kennzeichnen. Zusätzlich können Sie eine Reihenfolge der Bearbeitungsstatus festlegen. 81

82 Quest One Identity Manager Anwendungsrollen Attestierer IT Shop Strukturen können Personen zugewiesen werden, die als verantwortliche Attestierer für Attestierungsvorgänge herangezogen werden können. Dazu ordnen Sie in den allgemeinen Stammdaten einer IT Shop Struktur (Shoppingcenter, Shop, Regal, Produkt) eine Anwendungsrolle <Attestierer> zu. Dieser Anwendungsrolle weisen Sie die Personen zu, die berechtigt sind Bestellungen zu attestieren. Attestierer bearbeiten Sie im Manager in der Kategorie <IT Shop>\<Basisdaten zur Konfiguration>\<Attestierer> oder im Identity Manager in der Kategorie <Identity Manager Administration>\<IT Shop>\<Attestierer>. Detaillierte Informationen zu Anwendungsrollen erhalten Sie im Abschnitt Identity Manager Rollenmodell auf Seite 73. Wie Sie Attestierer zuweisen, lesen Sie im Abschnitt Allgemeine Stammdaten einer Leistungsposition auf Seite 21 und Erfassen von Servicekategorien auf Seite 28. Produkteigner Leistungspositionen und Servicekategorien können Personen zugewiesen werden, die als verantwortliche Entscheider in Genehmigungsverfahren bei Bestellungen dieser Leistungspositionen herangezogen werden können. Dazu ordnen Sie in den allgemeinen Stammdaten einer Leistungsposition oder Servicekategorie eine Anwendungsrolle <Produkteigner> zu. Dieser Anwendungsrolle weisen Sie die Personen zu, die berechtigt sind, Bestellungen im IT Shop zu genehmigen und die Stammdaten der Leistungsposition zu bearbeiten. Produkteigner bearbeiten Sie im Manager in der Kategorie <IT Shop>\<Basisdaten zur Konfiguration>\<Produkteigner> oder im Identity Manager in der Kategorie <Identity Manager Administration>\<IT Shop>\<Produkteigner>. Detaillierte Informationen zu Anwendungsrollen erhalten Sie im Abschnitt Identity Manager Rollenmodell auf Seite 73. Wie Sie Produkteigner zuweisen, lesen Sie im Abschnitt Allgemeine Stammdaten einer Leistungsposition auf Seite 21 und Erfassen von Servicekategorien auf Seite 28. Mailvorlagen Mailvorlagen werden genutzt, um Benachrichtigungen an Besteller und Genehmiger zu versenden. Weitere Informationen erhalten Sie in den Abschnitten Benachrichtigungen im Bestellprozess auf Seite 70 und Erstellen kundenspezifischer Mailvorlagen für Benachrichtigungen auf Seite 104. Partnerfirmen Für Leistungspositionen kann ein Hersteller angegeben werden. Die Informationen zu Herstellern pflegen Sie in der Kategorie <IT Shop>\<Basisdaten zur Konfiguration>\<Partnerfirmen>. Hier erfassen Sie die Angaben zu externen Firmen, die als Hersteller, Lieferanten oder Partner auftreten können. Für eine Partnerfirma können Sie Firmennamen, allgemeine Adressangaben und die -Adresse aufnehmen. Ist für eine Partnerfirma eine Webseite eingetragen, wird über die Schaltfläche <Browsen> diese Seite im Standardwebbrowser angezeigt. Für eine Partnerfirma können Sie kennzeichnen, ob diese Partner, Leasinggeber, Lieferant oder Hersteller ist sowie die Kundennummer hinterlegen. Servicekategorien Einzelne Leistungspositionen können Sie zu Servicekategorien zusammenfassen und damit einen Servicekatalog erstellen. Wie Sie Servicekategorien erstellen und bearbeiten ist im Abschnitt Erfassen von Servicekategorien auf Seite 28 beschrieben. 82

83 Einrichten einer IT Shop-Lösung Bestelleigenschaften Bei der Bestellung von Produkten im Web Portal können dynamisch produktspezifische Bestelleigenschaften abgefragt werden. Diese Bestelleigenschaften werden im Web Portal, je nach Konfiguration, dem Besteller oder dem Entscheider angezeigt. Um produktspezifische Bestelleigenschaften zu nutzen, legen Sie zunächst fest, welche Eigenschaften, für welches Produkt zulässig sind. Lesen Sie dazu den Abschnitt Erfassen produktspezifischer Bestelleigenschaften auf Seite 30. Einrichten eines Shoppingcenters Abhängig von Ihrer Unternehmensstruktur definieren Sie für Ihre IT Shop-Lösung optional Shoppingcenter, unter denen Sie mehrere Shops zusammenfassen. Ein Shoppingcenter fügen Sie immer in der obersten Ebene des IT Shops ein. Eine hierarchische Abbildung von Shoppingcentern untereinander ist nicht zulässig. Shoppingcenter einrichten Folgende Stammdaten erfassen Sie für ein Shoppingcenter: IT Shop Knoten, Interner Name Bezeichnung des IT Shop Knotens für das Shoppingcenter und die interne Bezeichnung des Shoppingcenters. IT Shop Information Über diese Angabe wird der Aufbau des IT Shops geregelt. Legen Sie den Wert Shoppingcenter fest. Die Auswahlliste wird nur beim Einfügen eines neuen Shoppingcenters angezeigt. Rollentyp Der Rollentyp hat für Shoppingcenter keine Relevanz. Lassen Sie dieses Eingabefeld leer. Übergeordneter IT Shop Knoten Shoppingcenter bilden immer den obersten Knoten eines IT Shops. Lassen Sie dieses Eingabefeld daher leer. 83

84 Quest One Identity Manager Standort, Abteilung, Kostenstelle Ordnen Sie eine Abteilung, eine Kostenstelle sowie einen Standort zu. Diese Angaben können Sie in Entscheidungsworkflows für die Ermittlung der verantwortlichen Entscheider für Bestellungen aus diesem Shoppingcenter nutzen. Eigentümer, Stellvertreter Legen Sie die verantwortlichen Personen (Eigentümer, Stellvertreter) für das Shoppingcenter fest. Auch diese Angaben können Sie in Entscheidungsworkflows nutzen. Attestierer Legen Sie fest, aus welcher Anwendungsrolle entscheidungsberechtigte Personen in einem Attestierungsverfahren ermittelt werden. Die Mitglieder dieser Anwendungsrolle können Zuweisungen zu dem Shoppingcenter attestieren. Lesen Sie dazu den Abschnitt Entscheidungsverfahren für Attestierung auf Seite 643 im Handbuch Identity Management. ausführliche Beschreibung für das Shoppingcenter Benutzerdefinierte Stammdaten Hier erfassen Sie zusätzliche unternehmensspezifische Informationen zu einem Shoppingcenter. Die Anzeigenamen, Formate und Bildungsregeln für die Eingabefelder (standardmäßig <Freies Feld Nr. 01> bis <Freies Feld Nr. 10>) können Sie mit dem Designer an Ihre Anforderungen anpassen. Shoppingcentervorlage zuordnen Um die Shops eines Shoppingcenters automatisch zu füllen, werden Shoppingcentervorlagen eingesetzt. Zur Definition und Arbeitsweise von Shoppingcentervorlagen lesen Sie den Abschnitt Vorlagen zur automatischen IT Shop-Befüllung auf Seite 90. Shoppingcentervorlagen können Sie vorhandenen Shoppingcentern auf dem Stammdatenformular, im Eingabefeld <Regalvorlage> zuordnen. Shoppingcentervorlage zuordnen 84

85 Einrichten einer IT Shop-Lösung Zusätzliche Aufgaben für Shoppingcenter An ein Shoppingcenter können Sie Entscheidungsrichtlinien zuweisen. Diese werden auf alle Bestellungen aus diesem Shoppingcenter angewendet, wenn an untergeordneten IT Shop Knoten keine Entscheidungsrichtlinien zugewiesen sind. Lesen Sie dazu den Abschnitt Genehmigungsverfahren für IT Shop-Bestellungen auf Seite 41. Einrichten eines Shops Jeder Shop beinhaltet eine Anzahl von Regalen, aus denen ein Kunde Produkte bestellen kann. Shops können Sie in der obersten Ebene des IT Shops oder unterhalb eines Shoppingcenters einrichten. Eine hierarchische Abbildung von Shops ist nicht zulässig. Shop einrichten Folgende Stammdaten erfassen Sie für einen Shop: IT Shop Knoten, Interner Name Bezeichnung des IT Shop Knotens für den Shop und die interne Bezeichnung des Shops. IT Shop Information Über diese Angabe wird der Aufbau des IT Shops geregelt. Legen Sie den Wert Shop fest. Die Auswahlliste wird nur beim Einfügen eines neuen Shops angezeigt. Rollentyp Den Rollentyp können Sie zur weiteren Einteilung von Shops nutzen. Der Rollentyp an Shops hat keinen Einfluss auf die Vererbung von Entscheidungsrichtlinien. Übergeordneter IT Shop Knoten Die Angabe eines übergeordneten IT Shop Knotens ist für den hierarchischen Aufbau des IT Shops erforderlich. Liegt der Shop in der obersten Ebene eines IT Shops, lassen Sie das Eingabefeld leer. Liegt der Shop in einem Shoppingcenter, dann wählen Sie das entsprechende Shoppingcenter aus. Über dieses Eingabefeld können auch nachträglich Shops zu Shoppingcentern hinzugefügt werden. 85

86 Quest One Identity Manager Standort, Abteilung, Kostenstelle Ordnen Sie eine Abteilung, eine Kostenstelle sowie einen Standort zu. Diese Angaben können Sie in Entscheidungsworkflows für die Ermittlung der verantwortlichen Entscheider für Bestellungen aus diesem Shop nutzen. Eigentümer, Stellvertreter Legen Sie die verantwortlichen Personen (Eigentümer, Stellvertreter) für den Shop fest. Auch diese Angaben können Sie in Entscheidungsworkflows nutzen. Attestierer Legen Sie fest, aus welcher Anwendungsrolle entscheidungsberechtigte Personen in einem Attestierungsverfahren ermittelt werden. Die Mitglieder dieser Anwendungsrolle können Zuweisungen zu dem Shop attestieren. Lesen Sie dazu den Abschnitt Entscheidungsverfahren für Attestierung auf Seite 643 im Handbuch Identity Management. ausführliche Beschreibung für den Shop Benutzerdefinierte Stammdaten Hier erfassen Sie zusätzliche unternehmensspezifische Informationen zu einem Shop. Die Anzeigenamen, Formate und Bildungsregeln für die Eingabefelder (standardmäßig <Freies Feld Nr. 01> bis <Freies Feld Nr. 10>) können Sie mit dem Designer an Ihre Anforderungen anpassen. Zusätzliche Aufgaben für Shops An einen Shop können Sie Entscheidungsrichtlinien zuweisen. Diese werden auf alle Bestellungen aus diesem Shop angewendet, wenn an untergeordneten IT Shop Knoten keine Entscheidungsrichtlinien zugewiesen sind. Lesen Sie dazu den Abschnitt Genehmigungsverfahren für IT Shop-Bestellungen auf Seite 41. Einrichten von Kundenknoten Zur Verwaltung der Kunden richten Sie für jeden Shop genau einen Kundenknoten ein. In diesen Kundenknoten nehmen Sie die Personen auf, die aus diesem Shop Produkte bestellen dürfen. Kundenknoten einrichten 86

87 Einrichten einer IT Shop-Lösung Folgende Stammdaten erfassen Sie für einen Kundenknoten: IT Shop Knoten, Interner Name Bezeichnung des IT Shop Knotens für die Kunden und die interne Bezeichnung des Kundenknotens. IT Shop Information Über diese Angabe wird der Aufbau des IT Shops geregelt. Legen Sie den Wert Kunden fest. Die Auswahlliste wird nur beim Einfügen einer neuen Kundenstruktur angezeigt. Übergeordneter IT Shop Knoten Die Angabe eines übergeordneten IT Shop Knotens ist für den hierarchischen Aufbau des IT Shops erforderlich. Wählen Sie den Shop aus, in dem der Kundenknoten angelegt wird. Pro Shop ist nur ein Kundenknoten zulässig. ausführliche Beschreibung für die Kundenstruktur Regalvorlage, Rollentyp, Standort, Abteilung, Kostenstelle, Eigentümer, Stellvertreter und Attestierer haben für Kundenknoten keine Relevanz. Lassen Sie diese Eingabefelder leer. Benutzerdefinierte Stammdaten Hier erfassen Sie zusätzliche unternehmensspezifische Informationen zu einem Kundenknoten. Die Anzeigenamen, Formate und Bildungsregeln für die Eingabefelder (standardmäßig <Freies Feld Nr. 01> bis <Freies Feld Nr. 10>) können Sie mit dem Designer an Ihre Anforderungen anpassen. Zusätzliche Aufgaben für Kundenknoten Nehmen Sie die bestellberechtigten Personen für den Shop in den Kundenknoten auf. Dafür haben Sie zwei Möglichkeiten. Personen zuweisen Über diese Aufgabe weisen Sie Personen direkt an den Kundenknoten zu. Dynamische Rolle bearbeiten Mit dieser Aufgabe weisen Sie Personen über dynamische Rollen an den Kundenknoten zu. Für eine dynamische Rolle für einen Kundenknoten erfassen Sie folgende Daten: die Objektklasse Person den IT Shop Knoten, auf den die dynamische Rolle verweist Diese Angabe ist mit dem ausgewählten Kundenknoten vorbelegt. Erfüllen die Objekte die Bedingung der dynamischen Rolle, so werden sie in diesen Kundenknoten aufgenommen. Alle weiteren Informationen zum Einrichten einer dynamischen Rolle erhalten Sie im Abschnitt Einrichten von dynamischen Rollen auf Seite 115 im Handbuch Identity Management. 87

88 Quest One Identity Manager Einrichten eines Regals In Regalen werden verschiedene Produkte zur Bestellung angeboten. Die Einrichtung der Regale nehmen Sie unterhalb der einzelnen Shops vor. Regal einrichten Folgende Stammdaten erfassen Sie für ein Regal: IT Shop Knoten, Interner Name Bezeichnung des IT Shop Knotens für das Regal und die interne Bezeichnung des Regals IT Shop Information Über diese Angabe wird der Aufbau des IT Shops geregelt. Legen Sie den Wert Regal fest. Die Auswahlliste wird nur beim Einfügen eines neuen Regals angezeigt. Rollentyp Im Zusammenhang mit dem IT Shop können Sie die Rollentypen nutzen, um die Vererbung von Entscheidungsrichtlinien innerhalb eines IT Shops festzulegen. Lesen Sie dazu den Abschnitt Ermitteln der wirksamen Entscheidungsrichtlinie auf Seite 51. Die benötigten Rollentypen legen Sie in der Kategorie <IT Shop>\<Basisdaten zur Konfiguration>\<Rollentypen> an. Lesen Sie dazu den Abschnitt Rollentypen auf Seite 81. Übergeordneter IT Shop Knoten Die Angabe eines übergeordneten IT Shop Knotens ist für den hierarchischen Aufbau des IT Shops erforderlich. Wählen Sie den Shop aus, in dem das Regal angelegt wird. Standort, Abteilung, Kostenstelle Ordnen Sie eine Abteilung, eine Kostenstelle sowie einen Standort zu. Diese Angaben können Sie in Entscheidungsworkflows für die Ermittlung der verantwortlichen Entscheider für Bestellungen aus diesem Regal nutzen. Eigentümer, Stellvertreter Legen Sie die verantwortlichen Personen (Eigentümer, Stellvertreter) für das Regal fest. Auch diese Angaben können Sie in Entscheidungsworkflows nutzen. 88

89 Einrichten einer IT Shop-Lösung Attestierer Legen Sie fest, aus welcher Anwendungsrolle entscheidungsberechtigte Personen in einem Attestierungsverfahren ermittelt werden. Die Mitglieder dieser Anwendungsrolle können Zuweisungen zu dem Regal attestieren. Lesen Sie dazu den Abschnitt Entscheidungsverfahren für Attestierung auf Seite 643 im Handbuch Identity Management. ausführliche Beschreibung für das Regal Regalvorlage Um die Shops automatisch zu füllen, können Sie Regalvorlagen einsetzen. Für Regale, die über die automatische Befüllung des Shop entstanden sind, ist auf dem Stammdatenformular bestehender Regale, im Eingabefeld <Regalvorlage> der Verweis auf die genutzte Regalvorlage eingetragen. Zur Definition und Arbeitsweise von Regalvorlagen lesen Sie den Abschnitt Vorlagen zur automatischen IT Shop-Befüllung auf Seite 90. Benutzerdefinierte Stammdaten Hier erfassen Sie zusätzliche unternehmensspezifische Informationen zu einem Regal. Die Anzeigenamen, Formate und Bildungsregeln für die Eingabefelder (standardmäßig <Freies Feld Nr. 01> bis <Freies Feld Nr. 10>) können Sie mit dem Designer an Ihre Anforderungen anpassen. Zusätzliche Aufgaben für Regale Nachdem Sie die Stammdaten für Regale erfasst haben, können Sie verschiedene Aufgaben auf die Regale anwenden. Die wichtigsten Informationen erhalten Sie über das Überblicksformular eines Regals. Über die Aufgabenansicht stehen verschiedene Formulare zur Verfügung, mit denen Sie folgenden Aufgaben ausführen können. Entscheidungsrichtlinien zuweisen An ein Regal können Sie Entscheidungsrichtlinien zuweisen. Diese werden auf alle Bestellungen aus diesem Regal angewendet, wenn den bestellten Leistungspositionen keine Entscheidungsrichtlinien zugeordnet sind. Lesen Sie dazu den Abschnitt Genehmigungsverfahren für IT Shop-Bestellungen auf Seite 41. Die für das Regal wirksame Entscheidungsrichtlinie wird auf dem Überblicksformular angezeigt. Bestellbare Produkte zuweisen Einem Regal weisen Sie die Unternehmensressourcen zu, die die Kunden des Shops als Produkte bestellen dürfen. Für jede zugewiesene Unternehmensressource wird ein Produktknoten unterhalb des Regals angelegt. Sie können nur solche Unternehmensressourcen auswählen, die mit der Option <IT Shop> gekennzeichnet sind und denen eine Leistungsposition zugeordnet ist. Um Unternehmensressourcen zuzuweisen, wählen Sie eine der Aufgaben aus der Aufgabenansicht aus. Wie Sie Unternehmensressourcen auf die Nutzung im IT Shop vorbereiten, ist im Abschnitt Vorbereitung der Produkte zur Bestellung auf Seite 19 näher erläutert. Löschen von IT Shop Strukturen Um IT Shop Strukturen zu löschen, müssen Sie zuvor alle untergeordneten IT Shop Strukturen entfernen. Das gilt gleichermaßen für manuell angelegte IT Shop Strukturen wie für Regale und Produkte, die aus Regalvorlagen erzeugt wurden. 89

90 Quest One Identity Manager Kundenknoten löschen Um einen Kundenknoten zu löschen, entfernen Sie zuvor alle zugewiesenen Personen. Wenn der Kundenknoten über eine dynamische Rolle gefüllt wird, löschen Sie zuvor die dynamische Rolle. Regale löschen Soll ein Regal komplett aufgelöst werden, müssen Sie zunächst alle Produktzuordnungen zum Regal entfernen. Beim nächsten Lauf des DBSchedulers werden offene Bestellungen der Produkte geschlossen und genehmigte Bestellungen abbestellt. Anschließend können Sie das Regal löschen. Wollen Sie Regale löschen, die aus einer speziellen Regalvorlage entstanden sind, müssen Sie genehmigte Bestellungen aus diesen Regalen abbestellen, offene Bestellungen stornieren, die Zuordnung der Regalvorlage an den Shop entfernen. Regale, die aus einer globalen Regalvorlage oder einer Shoppingcentervorlage erzeugt wurden, können nicht gelöscht werden. Shops löschen Wollen Sie einen Shop löschen, löschen Sie zuvor den Kundenknoten und die vorhandenen Regale. Shoppingcenter löschen Wollen Sie ein Shoppingcenter löschen, löschen Sie zuvor alle Shops. Vorlagen zur automatischen IT Shop-Befüllung Um Regale automatisiert anzulegen und mit Unternehmensressourcen zu versehen, können Sie Vorlagen erstellen. Vorlagen nutzen Sie, wenn Sie in mehreren Shops oder Shoppingcentern Regale mit identischer Produktzusammenstellung erstellen möchten. Sie können folgende Vorlagen definieren: Globale Regalvorlagen Eine globale Regalvorlage wird automatisch an alle Shops innerhalb der IT Shop-Lösung verteilt. Die globale Regalvorlage wird in alle Shops repliziert. In allen Shops wird ein entsprechendes Regal mit Produkten erzeugt. Wird innerhalb der IT Shop-Lösung ein neuer Shop eingerichtet, dann wird die globale Regalvorlage ebenfalls in diesen Shop repliziert. Spezielle Regalvorlagen Eine spezielle Regalvorlage weisen Sie manuell an einen oder mehrere Shops zu. Die spezielle Regalvorlage wird in diese Shops repliziert und ein entsprechendes Regal mit Produkten angelegt. Zusätzlich können Sie eine spezielle Regalvorlage an Shoppingcentervorlagen verteilen. 90

91 Einrichten einer IT Shop-Lösung Shoppingcentervorlagen Eine Shoppingcentervorlage verweist auf ein oder mehrere Shoppingcenter, in welche sie repliziert werden soll. Einem Shoppingcenter können Sie genau eine Shoppingcentervorlage zuordnen. Indem Sie eine spezielle Regalvorlage an eine Shoppingcentervorlage zuweisen, wird innerhalb der Shoppingcentervorlage ein Regal aus der Regalvorlage erstellt. Dieses Regal wird anschließend in allen Shops des Shoppingcenters eingerichtet. Zur Vereinfachung werden diese Vorlagen im Weiteren mit dem Begriff Regalvorlagen zusammengefasst. Alle Regalvorlagen werden im Identity Manager als Rolle mit der Rollenklasse IT Shop Vorlage abgebildet. Für alle Regalvorlagen gilt: Wird eine Regalvorlage geändert, dann wird diese Änderung an allen aus dieser Regalvorlage erzeugten Regalen nachvollzogen. Wird eine Regalvorlage gelöscht, dann werden die daraus entstandenen Regale an den Shops ebenfalls entfernt. Bestehende Bestellungen werden abgeschlossen. Regalvorlagen können erst gelöscht werden, wenn die ihr zugeordneten Produkte und Entscheidungsrichtlinien entfernt wurden. In der nachfolgenden Abbildung sind die erstellbaren Regalvorlagen, deren Zuweisungen und die daraus resultierende IT Shop-Lösung dargestellt. 91

92 Quest One Identity Manager Zuweisung von Regalvorlagen 92

93 Einrichten einer IT Shop-Lösung Vorgehensweise beim Erstellen von Regalvorlagen Um die verschiedenen Regalvorlagen zu erstellen, gehen Sie wie folgt vor. Globale Regalvorlage Globale Regalvorlage erstellen Produkte und Entscheidungsrichtlinien an die globale Regalvorlage zuweisen Die globale Regalvorlage wird automatisch in alle Shops des IT Shops repliziert. Die erzeugten Regale erhalten einen Verweis auf die globale Regalvorlage, aus der sie entstanden sind. Die Produkte werden in die erzeugten Regale übernommen. Spezielle Regalvorlage Spezielle Regalvorlage erstellen Produkte und Entscheidungsrichtlinien an die spezielle Regalvorlage zuweisen Spezielle Regalvorlage an einen oder mehrere Shops zuweisen Die spezielle Regalvorlage wird automatisch in die zugewiesenen Shops des IT Shops repliziert. Die erzeugten Regale erhalten einen Verweis auf die spezielle Regalvorlage, aus der sie entstanden sind. Die Produkte werden in die erzeugten Regale übernommen. Shoppingcentervorlage Shoppingcentervorlage erstellen Spezielle Regalvorlage erstellen und Produkte sowie Entscheidungsrichtlinien zuweisen Spezielle Regalvorlage zur Shoppingcentervorlage zuweisen Shoppingcentervorlage den gewünschten Shoppingcentern zuordnen Die spezielle Regalvorlage wird automatisch in die Shoppingcentervorlage repliziert. Anschließend wird das erzeugte Regal der Shoppingcentervorlage in alle Shops der zugeordneten Shoppingcenter verteilt. Die erzeugten Regale erhalten einen Verweis auf das Regal, aus dem sie entstanden sind. In den nachfolgenden Abschnitten werden die einzelnen Schritte zur Erstellung von Regalvorlagen näher erläutert. 93

94 Quest One Identity Manager Regalvorlagen erstellen Konfigurationsparameter für die Nutzung von Regalvorlagen KONFIGURATIONSPARAMETER QER\ITShop\Templates BEDEUTUNG Präprozessorrelevanter Konfigurationsparameter zur Steuerung der Modellbestandteile für den IT Shop-Befüllungsassistenten. Nach Änderung des Parameters müssen Sie die Datenbank kompilieren. Ist der Parameter aktiviert, sind die Bestandteile des Befüllungsassistenten verfügbar. Regalvorlagen erstellen Sie im Identity Manager in der Kategorie <IT Shop>\<Regalvorlagen>. Melden Sie sich dazu mit einem rollenbasierten Authentifizierungsmodul in der Anwendungsrolle <IT Shop>\<Administratoren> an. Sie können Regalvorlagen auch im Manager erstellen. Beispiel für eine spezielle Regalvorlage Unabhängig von der Art der Regalvorlage erfassen Sie die folgenden Stammdaten. IT Shop Knoten, Interner Name Bezeichnung des IT Shop-Knotens für die Regalvorlage und die interne Bezeichnung der Regalvorlage. Diese Bezeichnungen werden für die erzeugten Regale übernommen. Rollentyp Im Zusammenhang mit dem IT Shop können Sie die Rollentypen nutzen, um die Vererbung von Entscheidungsrichtlinien innerhalb eines IT Shops festzulegen. Lesen Sie dazu den Abschnitt Ermitteln der wirksamen Entscheidungsrichtlinie auf Seite 51. Die benötigten Rollentypen legen Sie in der Kategorie <IT Shop>\<Basisdaten zur Konfiguration>\<Rollentypen> an. Lesen Sie dazu den Abschnitt Rollentypen auf Seite 81. Der Rollentyp wird für die erzeugten Regale übernommen. IT Shop Information Die Festlegung, ob es sich um eine globale Regalvorlage, eine spezielle Regalvorlage oder eine Shoppingcentervorlage handelt, treffen Sie anhand der IT Shop Information. Die zulässigen Werte sind: - Globale Regalvorlage - Spezielle Regalvorlage 94

95 Einrichten einer IT Shop-Lösung - Shoppingcentervorlage Die IT Shop Information kann nur beim Erstellen einer Regalvorlage festgelegt werden. Nach dem Speichern sind keine Änderungen möglich. Standort, Abteilung, Kostenstelle Ordnen Sie eine Abteilung, eine Kostenstelle sowie einen Standort zu. Diese Angaben können Sie in Entscheidungsworkflows für die Ermittlung der verantwortlichen Entscheider für Bestellungen aus den erzeugten Regalen nutzen. Eigentümer, Stellvertreter Legen Sie die verantwortlichen Personen (Eigentümer, Stellvertreter) für die Regale fest. Auch diese Angaben können Sie in Entscheidungsworkflows nutzen. Attestierer Legen Sie fest, aus welcher Anwendungsrolle entscheidungsberechtigte Personen in einem Attestierungsverfahren ermittelt werden. Die Mitglieder dieser Anwendungsrolle können Zuweisungen zu den Regalen attestieren. Lesen Sie dazu den Abschnitt Entscheidungsverfahren für Attestierung auf Seite 643 im Handbuch Identity Management. Ausführliche Beschreibung der Regalvorlage Der Beschreibungstext wird für die erzeugten Regale übernommen. Benutzerdefinierte Stammdaten Hier erfassen Sie zusätzliche unternehmensspezifische Informationen zu der Regalvorlage. Die Anzeigenamen, Formate und Bildungsregeln für die Eingabefelder (standardmäßig <Freies Feld Nr. 01> bis <Freies Feld Nr. 10>) können Sie mit dem Designer an Ihre Anforderungen anpassen. Diese Angaben werden standardmäßig nicht für die erzeugten Regale übernommen. Zusätzliche Aufgaben für Regalvorlagen Entscheidungsrichtlinien zuweisen An globale und spezielle Regalvorlagen können Sie Entscheidungsrichtlinien zuweisen. Diese werden für alle erzeugten Regale übernommen. Weitere Informationen über Entscheidungsrichtlinien erhalten Sie im Abschnitt Genehmigungsverfahren für IT Shop-Bestellungen auf Seite 41. Unternehmensressourcen zuweisen An globale und spezielle Regalvorlagen weisen Sie die Unternehmensressourcen zu. Diese Unternehmensressourcen werden in alle erzeugten Regale als Produktknoten übernommen. Sie können nur solche Unternehmensressourcen auswählen, die mit der Option <IT Shop> gekennzeichnet sind und denen eine Leistungsposition zugeordnet ist. Um Unternehmensressourcen zuzuweisen, wählen Sie eine der Aufgaben aus der Aufgabenansicht aus. Wie Sie Unternehmensressourcen auf die Nutzung im IT Shop vorbereiten, ist im Abschnitt Bestellbare Produkte auf Seite 18 näher erläutert. Regalbefüllungsassistent Mit dieser Aufgabe weisen Sie spezielle Regalvorlagen an Shops und Shoppingcentervorlagen zu. Lesen Sie dazu den Abschnitt Regalvorlagen an Shops und Shoppingcentervorlagen zuweisen auf Seite

96 Quest One Identity Manager Regalvorlagen an Shops und Shoppingcentervorlagen zuweisen Globale Regalvorlagen werden sofort in alle Shops eines IT Shops verteilt. Spezielle Regalvorlagen weisen Sie manuell an Shops und Shoppingcentervorlagen zu. Dazu führen Sie die Aufgabe <Regalbefüllungsassistent> an der speziellen Regalvorlage aus. Regalbefüllungsassistent Auf dem Tabreiter <Regale anlegen/löschen> werden die Shops und die Shoppingcentervorlagen dargestellt, denen die Regalvorlage zugewiesen und wieder entzogen werden kann. In der Auswahlliste <Regalvorlage> werden alle verfügbaren speziellen Regalvorlagen angezeigt. Standardmäßig ist die Liste mit der Regalvorlage vorbelegt, über die das Formular aufgerufen wurde. Über einen <Filter> schränken Sie die Anzahl der dargestellten Shops und Shoppingcentervorlagen ein. Es werden alle Einträge angezeigt, die die in der Filterbedingung eingetragene Zeichenkette enthalten. Groß- und Kleinschreibung wird nicht beachtet. Der Filter wird erst nach nochmaliger Auswahl der Regalvorlage in der Auswahlliste <Regalvorlage> wirksam. Für die Zuweisung einer Regalvorlage aktivieren Sie das Kontrollkästchen neben dem gewünschten Shop oder dem Shoppingcenter. Um die Regalvorlage allen Shops zuzuweisen, nutzen Sie die Schaltfläche <Allen zuweisen>. Um die Zuordnungen allen Shops zu entziehen, verwenden Sie die Schaltfläche <Allen entfernen>. Sie können mehrere Einträge gemeinsam selektieren (<Strg>+<linke Maustaste> bzw. <Shift>+<linke Maustaste>) und über die Schaltfläche <Auswahl umdrehen> die Zuweisung ändern. In jedem Fall bestätigen Sie die Aktion mit der Schaltfläche <Übernehmen>! Shoppingcentervorlagen müssen Sie zusätzlich den gewünschten Shoppingcentern zuordnen. Diese Zuordnung wird am Shoppingcenter vorgenommen. Lesen Sie dazu den Abschnitt Shoppingcentervorlage zuordnen auf Seite 84. Auf dem Tabreiter <Zuordnungen durch Shoppingcentervorlagen> des Regalbefüllungsassistenten werden die Shops dargestellt, die das Regal der speziellen Regalvorlage aufgrund einer Shoppingcentervorlage erhalten haben. Diese Darstellung dient lediglich als Übersicht, eine Bearbeitung der Zuordnung ist nicht möglich. Beachten Sie, dass ein Filter sich auch auf die Darstellung auf diesem Tabreiter auswirkt. 96

97 Einrichten einer IT Shop-Lösung Regalvorlagen löschen Konfigurationsparameter für das Löschen von Regalvorlagen KONFIGURATIONSPARAMETER QER\ITShop\UseITShopTemplates\DeleteRecursive BEDEUTUNG Der Konfigurationsparameter legt fest, ob das rekursive Löschen von Regalvorlagen erlaubt ist. Beim Löschen einer Regalvorlage wird der Konfigurationsparameter QER\ITShop\UseITShopTemplates\DeleteRecursive beachtet. Ist der Konfigurationsparameter aktiviert, können Sie eine Regalvorlage ohne weitere Vorbereitungsarbeiten löschen. Mit dem Löschen einer Regalvorlage werden, die auf dieser Regalvorlage beruhenden Regale und deren Produkte in den Shops ebenfalls gelöscht. Ist der Konfigurationsparameter deaktiviert, gehen Sie wie folgt vor. Globale Regalvorlage löschen 1. Alle Produkte aus der Regalvorlage entfernen. 2. Globale Regalvorlage löschen. Spezielle Regalvorlage löschen 1. Alle Produkte aus der Regalvorlage entfernen. 2. Zuweisungen zu Shops und Shoppingcentervorlagen entfernen. 3. Spezielle Regalvorlage löschen. Shoppingcentervorlage löschen 1. Zuordnung zu Shoppingcentern entfernen. 2. Zuweisungen von speziellen Regalvorlagen an die Shoppingcentervorlage entfernen. 3. Shoppingcentervorlage löschen. Übernahme vorhandener Benutzerkonten, Gruppenzuordnungen und Rollenmitgliedschaften in IT Shop Bestellungen Bei der Inbetriebnahme des Identity Managers können Sie für die vorhandenen Benutzerkonten, Gruppenzuordnungen, Zuweisungen an Rollen IT Shop Bestellungen erzeugen. Für diese Umsetzungen werden über den Customizer verschiedene Methoden zur Verfügung gestellt. Mittels dieser Methoden werden Bestellungen erzeugt, die abgeschlossen und genehmigt sind. Damit sind diese Bestellungen zu einem späteren Zeitpunkt wieder abbestellbar. Zusätzlich zu den initialen Daten für die Bestellungen, können Sie über jede Methode ein kundenspezifisches Skript ausführen, das weitere kundenspezifische Eigenschaften an einer Bestellung besetzt. 97

98 Quest One Identity Manager Bestellungen für Benutzerkonten Um Bestellungen für vorhandene Benutzerkonten zu erzeugen, stehen die folgenden Methoden zur Verfügung. Methoden zur Übernahme von Benutzerkonten in IT Shop Bestellungen BASISOBJEKT CUSTOMIZERMETHODE BEDEUTUNG ADSAccount UNSAccountB ADSAccount LDAPAccount NotesUser SAPUser SPSUser public void CreateITShopAccount- Order (string CustomScriptName) public void CreateITShopMailOrder (string CustomScriptName) public void CreateITShopOrder (string CustomScriptName) Die Methode erzeugt aus einem vorhandenen Active Directory Benutzerkonto eine Bestellung. Die Methode erzeugt aus einem vorhandenen Unified Namespace Benutzerkonto eine Bestellung. Die Methode erzeugt aus einem vorhandenen Microsoft Exchange Postfach eine Bestellung. Die Methode erzeugt aus einem vorhandenen LDAP Benutzerkonto eine Bestellung. Die Methode erzeugt aus einem vorhandenen Lotus Notes Benutzerkonto eine Bestellung. Die Methode erzeugt aus einem vorhandenen SAP R/3 Benutzerkonto eine Bestellung. Die Methode erzeugt aus einem vorhandenen SharePoint Benutzerkonto eine Bestellung. Folgende Voraussetzungen sind zu gewährleisten, damit Bestellungen für vorhandene Benutzerkonten erzeugt werden können. Es ist eine Benutzerkontenressource für den Zielsystembereich (Active Directory, SharePoint Websitesammlung, Lotus Notes, SAP R/3, LDAP) vorhanden. Diese Benutzerkontenressource ist für die Verwendung im IT Shop vorbereitet (siehe Vorbereitung der Produkte zur Bestellung auf Seite 19). Die Benutzerkontenressource ist innerhalb des IT Shops einem Regal zugewiesen. Jedes Benutzerkonto, für welches eine gültige Bestellung erzeugt werden soll, ist mit einer Person verbunden. Die Personen sind Kunden des Shops, zu dem auch die Benutzerkontenressource gehört. Die Erzeugung der Bestellungen umfasst folgende Schritte: 1. Gültige Benutzerkontenressource ermitteln 2. Betroffene Personen ermitteln 3. IT Shop ermitteln, dem die Personen und die Benutzerkontenressourcen zugewiesen sind 4. Bestellung mit initialen Daten erzeugen 98

99 Einrichten einer IT Shop-Lösung 5. Kundenspezifisches Skript ausführen 6. Bestellung speichern (Eintrag in der Tabelle PersonWantsOrg ) 7. Person zur Produktstruktur zuweisen (Eintrag in der Tabelle PersonInITShopOrg ) 8. Indirekte Ressourcenzuordnung erstellen (Eintrag in der Tabelle PersonHasRessourceTotal ) 9. Eventuell vorhandene direkte Zuordnung einer Benutzerkontenressource löschen (Tabelle PersonHasRessource ) Bestellungen für Gruppenzuordnungen Um Bestellungen für vorhandene Gruppenzuordnungen zu erzeugen, stehen die folgenden Methoden zur Verfügung. Methoden zur Übernahme von Gruppenzuordnungen in IT Shop Bestellungen BASISOBJEKT CUSTOMIZERMETHODE BEDEUTUNG ADSAccountInADSGroup SPSUserInSPSGroup SPSUserHasSPSRLAsgn LDAPAccountInLDAPGroup NotesUserInGroup SAPUserInSAPGroup UNSAccountBInUNS- GroupB public void CreateITShopOrder (string CustomScript- Name) Die Methode erzeugt aus einer vorhandenen Active Directory Gruppenmitgliedschaft eine Bestellung. Die Methode erzeugt aus einer vorhandenen SharePoint Gruppenmitgliedschaft eine Bestellung. Die Methode erzeugt aus einer vorhandenen Rollenzuweisung eine Bestellung. Die Methode erzeugt aus einer vorhandenen LDAP Gruppenmitgliedschaft eine Bestellung. Die Methode erzeugt aus einer vorhandenen Lotus Notes Gruppenmitgliedschaft eine Bestellung. Die Methode erzeugt aus einer vorhandenen SAP R/3 Gruppenmitgliedschaft eine Bestellung. Die Methode erzeugt aus einer vorhandenen Unified Namspace Gruppenmitgliedschaft eine Bestellung. Folgende Voraussetzungen sind zu gewährleisten, damit Bestellungen für vorhandene Gruppenzuordnungen erzeugt werden können. Die Gruppen sind für die Verwendung im IT Shop vorbereitet (siehe Vorbereitung der Produkte zur Bestellung auf Seite 19). Die Gruppen sind innerhalb des IT Shops einem Regal zugewiesen. Jedes Benutzerkonto, für welches eine gültige Bestellung seiner Gruppenzuordnungen erzeugt werden soll, ist mit einer Person verbunden. Die Personen sind Kunden des Shops, zu dem auch die Gruppen gehören. 99

100 Quest One Identity Manager Die Erzeugung der Bestellungen umfasst folgende Schritte: 1. Benutzerkonten und ihrer Gruppenzuordnungen ermitteln 2. Betroffene Personen ermitteln 3. IT Shop ermitteln, dem die Personen und Gruppen zugewiesen sind 4. Bestellung mit initialen Daten erzeugen 5. Kundenspezifisches Skript ausführen 6. Bestellung speichern (Eintrag in der Tabelle PersonWantsOrg ) 7. Person zur Produktstruktur zuweisen (Eintrag in der Tabelle PersonInITShopOrg ) 8. Indirekte Gruppenzuordnung für die betroffenen Benutzerkonten erstellen 9. Eventuelle direkte Gruppenzuordnung für die betroffenen Benutzerkonten löschen Bestellungen für Zuweisungen an Rollen Um Zuweisungsbestellungen aus vorhandenen Zuweisungen von Unternehmensressourcen oder Personen an Rollen zu erzeugen, stehen die folgenden Methoden zur Verfügung. Methoden zur Übernahme vorhandener Zuweisungen an Rollen in IT Shop-Bestellungen BASISOBJEKT CUSTOMIZERMETHODE BEDEUTUNG <Rolle>HasADSGroup <Rolle>HasApp <Rolle>HasESet <Rolle>HasSPSGroup <Rolle>HasSPSRLAsgn <Rolle>HasLDAPGroup <Rolle>HasNotesGroup <Rolle>HasRessource <Rolle>HasSAPGroup <Rolle>HasUNSGroupB PersonInDepartment PersonInProfitCenter PersonInLocality PersonInOrg PersonInAERole public void CreateITShopOrder (string struid_orgproduct, string struid_personordered, string CustomScriptName) Die Methode erzeugt aus einer vorhandenen Zuweisung einer Unternehmensressource an eine Rolle eine Bestellung. Rollen können sein: Abteilung, Kostenstelle, Standort, Geschäftsrolle. Die Customizermethoden werden also auf die entprechenden Basisobjekte DepartmentHas..., ProfitCenterHas..., LocalityHas..., OrgHas... angewendet. Die Methode erzeugt aus einer vorhandenen Zuweisung einer Rolle an eine Person ein Bestellung. Rollen können sein: Abteilung, Kostenstelle, Standort, Geschäftsrolle, Anwendungsrolle. Folgende Vorausssetzungen sind zu gewährleisten, damit Zuweisungsbestellungen aus vorhandenen Zuweisungen an Rollen erzeugt werden können. Für die Zuweisungsbestellung ist eine Zuweisungsressource vorhanden (siehe Zuweisungsbestellungen vorbereiten auf Seite 35). Die Zuweisungsressource ist für die Verwendung im IT Shop vorbereitet (siehe Vorbereitung der Produkte zur Bestellung auf Seite 19). 100

101 Einrichten einer IT Shop-Lösung Die Zuweisungsressource ist innerhalb des IT Shops einem Regal als Produkt zugewiesen. Die UID_ITShopOrg dieses Produkts wird als Parameter struid_orgproduct an die Methode übergeben. Eine Person wird als Besteller für die Zuweisungsbestellung ausgewählt. Die UID_Person dieser Person wird als Parameter struid_personordered an die Methode übergeben. Die ausgewählte Person ist Kunde in dem Shop, zu dem die Zuweisungsressource als Produkt zugewiesen ist. Die Erzeugung der Zuweisungsbestellung umfasst folgende Schritte: 1. Rollen und ihre zugewiesenen Unternehmensressourcen und Personen ermitteln. 2. Besteller aus struid_person ermitteln. 3. Produkt aus struid_orgproduct ermitteln. 4. Bestellung aus den ermittelten Objekten mit initialen Daten erzeugen. 5. Kundenspezifisches Skript ausführen. 6. Bestellung speichern (Eintrag in Tabelle PersonWantsOrg ). 7. UID_PersonWantsOrg der erzeugten Bestellung in die Spalte UID_PWOOrigin der betroffenen Basistabelle übernehmen. Beispiel zur Erzeugung von Bestellungen für bestehende Benutzerkonten Für die bestehenden SAP Benutzerkonten sollen gültige Bestellungen erzeugt werden, so dass die Benutzerkonten zu einem späteren Zeitpunkt wieder abbestellbar sind. Die Umsetzung soll pro SAP Mandant über eine Aufgabe im Identity Manager ausführbar sein. Das SAP System des SAP Mandanten wird in allen Bestellungen in der Spalte CustomProperty01 erfasst, in der Spalte CustomProperty02 wird die Anmerkung automatisch erzeugt eingetragen. Der Benutzer, der die Aufgabe ausführt, wird in allen Bestellungen als Bestellauslöser (Spalte UID_PersonInserted ) übernommen. Diese Anforderungen können beispielsweise folgendermaßen umgesetzt werden: Erstellen eines kundenspezifischen Skriptes, um weitere Eigenschaften der Bestellung zu ermitteln Erstellen eines Prozesses für die Erzeugung der Bestellungen aus den vorhandenen SAP Benutzerkonten Erstellen einer Methodendefinition, um den Prozess über den Manager auszulösen Beispiel für ein kundenspezifisches Skript Für jede Bestellung (PWO), die aus einem bestehenden SAP Benutzerkonto (Baseobject) erzeugt wird, soll in der Spalte CustomProperty01 das SAP System des SAP Mandanten eingetragen werden. Die Spalte CustomProperty02 erhält den Wert automatisch erzeugt. Dazu wird ein kundenspezifisches Skript DOC_CustomScript erstellt, welches im Prozess übergeben wird. Das kundenspezifische Skript könnte folgendermaßen gestaltet werden: 101

102 Quest One Identity Manager Public Sub DOC_CustomScript (ByVal dbbaseobject As ISingleDbObject, ByVal dbpwo As ISingleDbObject) Dim f As ISqlFormatter = dbpwo.connection.sqlformatter Dim strwhere As String Dim strcpath As String Dim strdestinationname As String = String.Empty ' Ressource WhereClause erstellen und dann ConnectionPath ermitteln strwhere = String.Format("UID_AccProduct in (select UID_AccProduct from ITShopOrg where {0})", _ f.comparison("uid_itshoporg", dbpwo.getvalue("uid_org").string,_ ValType.String, CompareOperator.Equal, FormatterOptions.None)) ' Im ConnectionPath steht der FK auf das Zielsystem (bei SAP UID_SAPMandant) strcpath = dbpwo.connection.getsingleproperty("ressource", "ConnectionPath", strwhere).string ' Destinationname aus dem SAP System ermitteln If Not String.IsNullOrEmpty(strCPath) Then strwhere = String.Format("UID_SAPSystem in (select UID_SAPSystem from SAPMandant where {0})", _ f.comparison("uid_sapmandant", strcpath, ValType.String,_ CompareOperator.Equal, FormatterOptions.None)) strdestinationname = Connection.GetSingleProperty("SAPSystem", "Destinationname", strwhere) End If ' wenn kein Destinationname ermittelt wurde, dann Fehlermeldung ausgeben If String.IsNullOrEmpty(strDestinationname) Then Throw New Exception("Der Destinationname konnte nicht ermittelt werden.") End If ' CustomProperties besetzen dbpwo.putvalue("customproperty01", strdestinationname) dbpwo.putvalue("customproperty02", "automatisch erzeugt") End Sub Beispiel für einen Prozess Es wird ein Prozess erstellt, der die Prozessfunktion CallMethod der Prozesskomponente HandleObjectComponent nutzt. Diese Prozessfunktion erlaubt die Ausführung von Customizermethoden. Die Customizermethode CreateITShopOrder (Parameter MethodName ) wird für alle SAP Benutzerkonten (Parameter ObjectType ) eines SAP Mandanten (Parameter WhereClause ) aufgerufen. Der Parameter Param1 übergibt das kundenspezifische Skript DOC_CustomScript, über welches weitere Eigenschaften für die Bestellung definiert werden. Um sicherzustellen, dass der Bestellauslöser ermittelt werden kann, werden über den Parameter AuthenticationString die Authentifizierungsdaten ermittelt. Prozess: Ereignis: Basisobjekttyp: Prozessschritt: Prozessfunktion: Parameter: ConnectionProvider ConnectionString MethodName DOC_CreateITShopOrders CreateOrder SAPMandant CallMethod CreateITShopOrder CallMethod Value = VID_GetValueOfDialogdatabases("ConnectionProvider") Value = VID_GetValueOfDialogdatabases("ConnectionString") Value = "CreateITShopOrder" 102

103 Einrichten einer IT Shop-Lösung ObjectType Param1 WhereClause AuthenticationString Value = "SAPUser" Value = "DOC_CustomScript" Value = "uid_sapmandant ='" & $UID_SAPMandant$ & "'" Value = VID_BuildAuthString() Beispiel für eine Methodendefinition Der Prozess soll pro SAP Mandant über eine Aufgabe im Identity Manager ausgelöst werden. Dazu wird, wie im Abschnitt Methodendefinitionen für die Benutzeroberfläche auf Seite 214 im Handbuch Konfiguration beschrieben, mit dem Designer eine Methodendefinition erstellt und der Rechtegruppe vi_4_namespaceadmin_sapr3 zugewiesen. Für die Methode IT Shop Bestellungen erzeugen wird die Objektdefinition SAPMandant gewählt. Das Methodenskript könnte folgendermaßen aussehen: Try ' Generiert das Ereignis fuer das Erzeugen der IT Shop Bestellungen VI.DB.JobGeneration.JobGen.Generate(Base, "CreateOrder") MsgBox (#LD("Prozess zum Erzeugen der IT Shop Bestellungen wird generiert!")#,_ MsgBoxStyle.OKOnly Or MsgBoxStyle.Information, "Information") Bei Fehler in der Methode wird eine Fehlermeldung ausgegeben Catch ex As Exception Throw New ViException(#LD("In der Methode 'IT Shop Bestellungen erzeugen' trat ein Fehler auf.")#, ex) End Try 103

104 Quest One Identity Manager Erstellen kundenspezifischer Mailvorlagen für Benachrichtigungen Werkzeug: Identity Manager mit der Anwendungsrolle <IT Shop>\<Administratoren> Manager Zur einfachen Erstellung von Benachrichtigungen ist im Identity Manager ein Mailvorlageneditor integriert. Mit dem Mailvorlageneditor können Mailtexte im WYSIWYG-Modus erstellt und bearbeitet werden. In einer Mailvorlage werden die Mailtexte in verschiedenen Sprachen definiert. Somit wird bei Generierung einer -Benachrichtigung die Sprache des Empfängers berücksichtigt. Mailvorlagen bearbeiten Sie in der Kategorie <IT Shop>\<Basisdaten zur Systemkonfiguration>\<Mailvorlagen>. Erstellen einer Mailvorlage Mailvorlage kopieren Wählen Sie die Mailvorlage, die Sie kopieren möchten, in der Navigationsansicht aus und kopieren Sie die Mailvorlage über die Aufgabe <Mailvorlage kopieren...>. Geben Sie einen Namen an, unter dem die Kopie gespeichert wird. Die neu erzeugte Mailvorlage wird im Mailvorlageneditor zur Bearbeitung geöffnet. 104