Автоматизация выдачи и отзыва доступов сотрудников охватывает весь жизненный цикл полномочий. Заявка должна закончиться подтверждённым изменением в целевой системе, а увольнение — проверяемым отзывом нужного доступа. Закрытая задача исполнителя сама по себе не доказывает, что прежние полномочия удалены.
Источники событий и каталог систем
Определяем источник приёма, перевода, изменения роли и увольнения. Сопоставляем кадровый идентификатор с учётными записями в каталоге и приложениях. Один человек может иметь несколько аккаунтов и служебных назначений; совпадение ФИО не обеспечивает корректную связь.
Составляем каталог систем, владельцев, поддерживаемых интерфейсов и способов проверки. Для части приложений доступна автоматизация, для других — контролируемая ручная процедура. Не заявляем полное автоматическое покрытие до обследования каждой целевой системы.
Роли и согласование полномочий
Описываем стандартные роли, допустимые комбинации, владельца согласования и срок действия. Отдельно выделяем повышенные, временные и нестандартные полномочия. Должность сотрудника может помогать выбору шаблона, но не должна безусловно выдавать любой административный доступ.
Проверяем изменение решения и отказ. Согласование разрешает определённый состав полномочий, а не произвольное последующее расширение. Для временной роли заранее задаём окончание и владельца продления.
Исполнение через каталог, API или SCIM
Подбираем доступные механизмы: каталог учётных записей, штатное provisioning-подключение, SCIM или API конкретного продукта. Microsoft Entra и другие платформы рассматриваем с учётом лицензий и поддерживаемых возможностей, а не как обязательный инструмент для любой компании.
Создание аккаунта, членство в группе и прикладная роль могут требовать разных действий. Исполнительный компонент имеет минимально необходимые права и защищённые секреты. Ошибку одного шага нельзя скрывать общим статусом «доступ выдан», если часть целевых систем не обновилась.
Перевод и отзыв доступа
При переводе определяем, какие права прекращаются и какие выдаются заново. Добавление новой роли без удаления прежней со временем создаёт накопление полномочий. Для увольнения согласуем порядок блокировки, отзыва активных возможностей и дальнейшей обработки данных владельцем.
Удаление аккаунта не используем как универсальный первый шаг: могут быть нужны передача ответственности и сохранение истории по правилам заказчика. Сессии, токены и служебные интеграции проверяются отдельно в доступном составе. Одно удаление группы не гарантирует, что все способы доступа уже прекращены.
Сверка фактического состояния
Получаем подтверждение целевой системы или выполняем доступную проверку. Сравниваем запрошенные, согласованные и фактические полномочия. Ручные исключения сохраняем с владельцем, причиной и сроком, иначе они выпадают из контроля.
Журнал должен отвечать: кто запросил, кто разрешил, что выполнено и что не удалось проверить. При недоступности приложения процесс остаётся в понятном промежуточном состоянии. Контрольная задача помогает восстановить выполнение после сбоя, а не закрывается автоматически по истечении таймера.
Пилот и приёмка
Испытываем приём, временный доступ, изменение подразделения, отказ согласования, частичный сбой и увольнение. Для отзыва проверяем фактическое состояние, а не только запись в портале. Пилот выбираем по системам с известными интерфейсами и ответственными.
Результат автоматизации доступов — согласованные роли, рабочая схема исполнения, сверка и список непокрытых систем. Это не обещание устранить все риски безопасности компании. Расширение на новые приложения проходит отдельную проверку интерфейса и критериев отзыва.
Вопросы по услуге
Можно автоматизировать систему без API?
Иногда остаётся контролируемое ручное исполнение с подтверждением. Автоматизацию интерфейса рассматриваем отдельно по устойчивости и рискам. Отсутствие API нельзя скрыть обещанием одинаково надёжного подключения всех приложений.
Выдача учётной записи равна выдаче доступа?
Не всегда. Нужны группы, лицензии и прикладные роли, а иногда дополнительные подтверждения. Проверяем фактическое право выполнить нужную операцию. Существующий аккаунт может не иметь необходимых полномочий или, наоборот, сохранять лишние.
Как проверить отзыв после увольнения?
Сверяем согласованный список систем и доступные признаки блокировки, ролей, сессий и токенов. Участки, где проверить результат технически нельзя, фиксируем как исключения с ответственным. Закрытая заявка не заменяет эту сверку.
Что происходит при сбое одной системы?
Остальные шаги не должны маскировать незавершённый доступ. Сохраняем частичный результат, назначаем ответственного и выполняем допустимый повтор. Итоговый статус отражает фактическое покрытие.
Зачем периодическая сверка, если выдача автоматизирована?
Права могут изменяться вручную или внешними процессами. Сверка помогает обнаружить отклонение от согласованного состояния. Её периодичность и охват выбираются по требованиям компании, а не устанавливаются одинаково для всех систем.