Verwaltung des Kontolebenszyklus in Immersive

• Nicht definierter Typ

Training

Immersive ermöglicht es Ihnen, zu definieren, wann ein Nutzer sein Passwort erneuern muss und was nach längerer Zeit ohne Nutzung mit seinem Konto passiert. Dieser Leitfaden beschreibt die Einstellungen des Administrators, mögliche Ausnahmen und zeigt Bildschirme, denen der Nutzer begegnet.

Die Beispiele verwenden jeweils eine Verlängerung 90 Tage, eine Änderung bei der Rückkehr nach 15 Tage Inaktivität, Deaktivierung nach 30 Tage und anschließend eine logische Löschung 90 Tage. Diese Werte veranschaulichen eine vom Kunden geforderte Richtlinie; sie stellen keine von Immersive auferlegten Verpflichtungen dar.

1. Verständnis der vier Regeln

1.1 Zwei Regeln für das Passwort, zwei für das Konto

Die Regeln sind unabhängig. Du kannst eine, mehrere oder keine aktivieren. Alle Dauern werden in Tagen angegeben, einschließlich regelmäßiger Passworterneuerung.

Herrschaft	Beispiel	Wirkung für den Nutzer
Periodische Erneuerung	Alle 90 Tage	Wenn sein Passwort dieses Alter erreicht, muss der Nutzer ein neues Passwort wählen, um weiterzumachen.
Veränderung nach Inaktivität	Nach 15 Tagen	Nach der Rückkehr aus dieser Phase der Inaktivität muss der Nutzer ein neues Passwort wählen.
Automatische Deaktivierung	Nach 30 Tagen	Das Konto kann sich nicht mehr anmelden. Seine Sitzungen werden widerrufen und das Konto bleibt vorhanden.
Automatische logische Löschung	Nach 90 Tagen	Das Konto wird als gelöscht markiert und sein Zugriff wird widerrufen. Seine Daten und Links werden gespeichert.

Die periodische Erneuerung hängt von ab Das Alter des Passworts. Die anderen drei Regeln hängen von ab Nutzerinaktivität. Das tägliche Einloggen verhindert nicht, dass ein Passwort sein 90-tägiges Ablaufdatum erreicht.

Nach 15 Tagen Inaktivität generiert Immersive kein neues Passwort und sendet es nicht per E-Mail. Der Nutzer muss es ändern wenn er zurückkehrt, nachdem er seine Identität bestätigt hatte.

1.2 Was ist eine Ausnahme?

A Befreiung befreit einen bestimmten Nutzer von einer bestimmten Regel. Zum Beispiel kann Camille von der wiederholten Verlängerung ausgenommen sein, während es weiterhin inaktiven Änderungen und automatischen Deaktivierungen unterliegt.

Diese Ausnahme ändert nicht die Rechte, das Passwort oder die MFA-Verpflichtungen des Kontos. MFA- und Lebenszyklus-Ausnahmen sind zwei verschiedene Bereiche.

1.3 Wie liest du die Inaktivitätsschwellenwerte?

Mit den drei Inaktivitätsregeln, die nach 15, 30 und 90 Tagen aktiviert werden, ohne Ausnahmen oder besondere Schutzmaßnahmen:

flowchart LR
    A["Dernière activité<br/>Jour 0"] --> B["Jour 15<br/>Mot de passe à changer<br/>si l'utilisateur revient"]
    B --> C["Jour 30<br/>Compte à désactiver<br/>au passage du serveur"]
    C --> D["Jour 90<br/>Compte à supprimer logiquement<br/>au passage du serveur"]

Die Tage 15, 30 und 90 wurden seitdem alle gezählt Die gleiche letzte Aktivität. Die Löschung erfolgt nicht 90 Tage nach der Deaktivierung, sondern 90 Tage nach der letzten Aktivität.

Wenn der Benutzer vor der Deaktivierung zurückkehrt, seine Anmeldung beendet und die angeforderten Kontrollen erfüllt, wird diese neue Aktivität zum Ausgangspunkt für zukünftige Leerlaufzeiten.

2. Verstehen Sie, was als Unternehmen zählt

2.1 Für den Einsatz in der realen Welt, selbst wenn eine Sitzung bereits offen ist

Ein Benutzer-Login Erfolgreich abgeschlossen ist eine Aktivität. Dazu gehören Passwort-, MFA- und SSO-Logins. Ein abgelehnter Versuch oder ein ausstehender Login für den MFA-Code reicht nicht aus.

In RestFrontage aktualisieren Interaktionen auf einer sichtbaren Seite, wie Klicken, Tippen oder Scrollen, auch das Tracking. Das bedeutet, dass Sie sich nicht abmelden und wieder anmelden müssen, um weiterhin aktiv zu bleiben.

Andererseits reichen ein offener Tab ohne Interaktion, automatische Aktualisierung oder Hintergrundbenachrichtigungen nicht aus. Das Lesen einer Seite ohne Bewegung unterscheidet keine Anwesenheit von Abwesenheit.

2.2 Externe Anwendungen und Automatisierungen

Eine Web- oder Binäranwendung, die Immersive verwendet, muss ihre eigenen Benutzerinteraktionen melden, damit sie auch nach dem Login weiterhin verfolgt werden können. Ihre Robocalls gelten nicht als menschliche Präsenz.

Aufrufe mit einem API-Schlüssel stellen keine Benutzeraktivität dar. Konten, die mit einem API-Schlüssel verknüpft sind, haben spezifische Schutzmaßnahmen, die im Kapitel über Ausnahmen besprochen werden.

2.3 Begrenzte Fortsetzung

Immersive verwaltet einen Zustand pro Nutzer, einschließlich der zuletzt bekannten Aktivität. Es erstellt keine Zeile für jeden Klick und speichert keine eingegebenen Inhalte in Feldern.

In RestFrontage werden Berichte mindestens eine Minute auseinander und Seite verteilt. Trace-Writes sind auf eine pro Minute pro Konto begrenzt, selbst bei mehreren Sitzungen. Eine Seite ohne neue Interaktion stoppt die Meldeaktivitäten.

3. Öffnen Sie das Dashboard

Verbinden Sie sich mit Cerebrate, dann öffne Sicherheits- → Kontolebenszyklus. Die Seite ist außerdem unter der zugehörigen Adresse zugänglich /Security/AccountLifecycle.

Diese Admin-Seite ist ausschließlich für Cerebrate. Ein gewöhnlicher Nutzer muss nicht darauf zugreifen, um sein Passwort zu erneuern: Das erforderliche Formular wird ihm beim Anmelden angezeigt.

Indikator	Lektüre
Aktive Regeln	Anzahl der derzeit als aktiv gespeicherten Regeln von vier.
Aktive Nutzer	Konten, die aktiviert und nicht abgelaufen sind. Dieser Zähler repräsentiert keine Personen, die derzeit eingeloggt sind.
Frist erreicht	Aktive Konten, für die eine Passwortänderung während eines Immersiv-Passwort-Logins erforderlich ist.
Befreite Nutzer	Konten mit mindestens einer manuellen Ausnahme im Register. Automatische Schutzmaßnahmen sind für sich genommen keine manuellen Ausnahmen.

Unterhalb der Inaktivitätsregeln geben zwei weitere Zahlen an, welche Konten logisch mit dem Gespeicherte Einstellungen, nachdem Ausnahmen und Schutzmaßnahmen berücksichtigt wurden. Diese Zahlen bilden nicht die Geschichte der bereits durchgeführten Handlungen.

4. Konfigurieren Sie die Richtlinie

4.1 Wähle Passwortregeln

In der Passwort → Konfiguration :

1. Vorteile Periodische Erneuerung, wähle Zwangsänderung.
2. Herein 90 in Jeden (Tag).
3. Vorteile Veränderung nach Inaktivität, wähle Zwangsänderung.
4. Herein 15 in Nach (Tage).

Dauern sind ganze Zahlen von Tagen, größer als oder gleich 1. Ein Tag entspricht einer Dauer, die um 24 Stunden verstrichen ist. 90 Tage bedeuten nicht drei Kalendermonate.

4.2 Wähle Aktionen nach der Inaktivität

In Handlungen nach der Inaktivität :

1. Vorteile Automatische Deaktivierung, wähle Konto deaktivieren und greifen 30 Tage.
2. Vorteile Automatische logische Löschung, wähle Logisch löschen und greifen 90 Tage.
3. Überprüfen Sie die für die betroffenen Konten erforderlichen Ausnahmen und Schutzmaßnahmen.
4. Klick Speicherregeln Und warte auf die Bestätigungsnachricht.

Die aktivierten Inaktivitätsschwellenwerte müssen in aufsteigender Reihenfolge erfolgen: Passwortwechsel, dann Deaktivierung, schließlich Löschung. Zum Beispiel 15, 30 und 90 Tage. Der Zeitraum für wiederkehrende Verlängerungen ist unabhängig von dieser Reihenfolge.

Die Registrierung wendet die Einstellungen an. Passwortfristen werden für nachfolgende Anmeldungen und geschützte Anfragen überprüft. Deaktivierungen und Löschungen warten auf den nächsten Durchgang der automatischen Serververarbeitung.

4.3 Eine Regel ohne Richtlinie zu hinterlassen

Wähle Keine Police Für die Regel, die du nicht anwenden möchtest, klicke dann auf Speicherregeln. Andere Regeln können weiterhin aktiv bleiben.

Standardmäßig sind keine der vier Regeln aktiviert. Eine vorab ausgefüllte Dauer in einem deaktivierten Feld ist nur ein Vorschlag, keine aktuelle Richtlinie.

Das Deaktivieren einer Regel verhindert ihre zukünftigen Aktionen. Es reaktiviert kein bereits deaktiviertes Konto und stellt auch kein bereits gelöschtes Konto logisch wieder her.

4.4 Speichern oder neu laden: zwei verschiedene Aktionen

Speicherregeln Speichert die vier angezeigten Optionen und wendet sie an.

Abrechnung vom Server spielt die bereits gespeicherten Einstellungen erneut ab. Nicht gespeicherte Änderungen am Formular werden ersetzt. Dieser Button speichert nichts und löst nicht sofort die Verarbeitung inaktiver Konten aus.

5. Befreiungen nach Benutzer verwalten

5.1 Ein Konto von einer Regel ausnehmen

1. Klick Befreiungen nach Nutzer, unter der Konfiguration.
2. Wählen Sie die Regel im Fenster aus.
3. Suche nach dem Nutzer anhand seines Kontonamens, Vornamens, Nachnamens oder Beschreibung. Die Suche akzeptiert auch den Anzeigenamen des Verzeichnisses, bekannt als DN.
4. Aktivieren Befreit auf der Leitung dieses Nutzers.
5. Warte auf die Nachricht, die bestätigt, dass die Befreiung registriert und angewendet wurde.

Jede Änderung wird sofort gespeichert. Du musst nicht zum globalen Button zurückkehren. Speicherregeln. Um eine Ausnahme zu entfernen, schalten Sie denselben Schalter aus.

Der Filter Show erlaubt es Ihnen, alle Nutzer zu konsultieren, befreit oder nicht. Das DN bleibt zugänglich, wenn ein Nutzer schwebt, ohne die Liste zu überladen.

Du kannst Ausnahmen vorbereiten, während eine Regel deaktiviert ist. Sie treten in Kraft, wenn du diese Regel dann aktivierst. Wenn sich die Einstellungen in einem anderen Fenster in der Zwischenzeit geändert haben, nutze Aktualisierungs-Ausnahmen Wenn die Benutzeroberfläche dich darum bittet, starte deine Wahl von vorne.

5.2 Cerebrate- und API-Schlüssel-Konto-Schutz

Cerebrate ist stets vor automatischer Deaktivierung und Löschung geschützt. Das Fenster zeigt diesen Schutz an und erlaubt nicht, ihn mit dem Schalter zu entfernen.

Konten, die mit mindestens einem API-Schlüssel verknüpft sind, sind ebenfalls vor beiden Aktionen geschützt, unabhängig davon, ob der Schlüssel aus der Serverkonfiguration oder der API-Schlüsselverwaltung am Standort stammt. Dieser Schutz bleibt auch bestehen, wenn der Schlüssel abgelaufen oder deaktiviert ist.

Diese Schutzmaßnahmen verhindern, dass Sie das primäre Administratorkonto oder ein von einer Anwendung genutztes Konto abschneiden, nur weil es keine menschlichen Verbindungen herstellen. Sie befreien Sie nicht von MFA oder Passworterneuerung, die beim Anmelden bei Benutzern erforderlich wären.

Das Entfernen der letzten Zuordnung zu einem API-Schlüssel beseitigt diesen automatischen Schutz. Wenn das Konto weiterhin geschützt werden muss, bereiten Sie die Ausnahmen vor, bevor Sie die Verknüpfung entfernen. Andernfalls könnte das vorherige Aktivierungsdatum es sofort für den nächsten Serverbesuch berechtigt machen.

6. Erneuere dein Passwort, wenn du dich anmeldest

6.1 Beginne mit deinem aktuellen Passwort

Öffnen Sie Ihre reguläre Login-Seite. Geben Sie Ihren Benutzernamen ein und Aktuelles Passwort, dann klicken Sie Einloggen.

Wenn MFA für Ihr Konto erforderlich ist, schließen Sie diese Verifizierung zunächst mit Ihrer Code-Anwendung durch. Die Passworterneuerung erfolgt nach der Verifizierung Ihrer Identität; sie ersetzt MFA nicht.

6.2 Wählen und bestätigen Sie das neue Passwort

Wenn die erlaubte Zeit erreicht ist, wird der Bildschirm Ändere dein Passwort erscheint automatisch. Es erklärt, warum die Änderung notwendig ist.

1. Gib dein neues Passwort ein in Neues Passwort.
2. Geben Sie genau dasselbe in neu ein. Bestätigen Sie das neue Passwort.
3. Klick Speichern und fortsetzen.

Das neue Passwort muss nicht leer sein, sich vom vorherigen unterscheiden und mit der Passwortbestätigung übereinstimmen. Die Reise kann maximal 1.024 Zeichen betragen; sie fügt keine besonderen Komplexitätsregeln hinzu. Befolgen Sie außerdem die Passwortrichtlinien Ihrer Organisation.

Nach der Registrierung wird der Login mit dem neuen Passwort fortgesetzt. Ihre alten Sitzungen werden ungültig: Ein anderes Fenster oder eine Anwendung kann Sie erneut auffordern, sich einzuloggen.

6.3 Eine andere Bestätigung korrigieren

Wenn die beiden Einträge nicht übereinstimmen, erscheint eine Nachricht im Formular. Die Änderung wird nicht gespeichert.

Die Felder werden nach dem Fehler gelöscht. Geben Sie das neue Passwort erneut ein in Die beiden Felder, dann klicken Sie nochmal Speichern und fortsetzen. Wenn die Verifizierung abgelaufen ist, melden Sie sich erneut mit Ihrem aktuellen Passwort an.

Die Zurück Ermöglicht es Ihnen, zum ersten Schritt zurückzugehen. Es beseitigt nicht die Notwendigkeit, das Passwort zu erneuern.

flowchart TD
    A["Identifiant et mot de passe actuel vérifiés"] --> B{"MFA requise ?"}
    B -->|Oui| C["Terminer la vérification MFA"]
    C -->|Vérification réussie| D{"Renouvellement requis ?"}
    B -->|Non| D
    D -->|Non| J["Connexion autorisée"]
    D -->|Oui| E["Saisir le nouveau mot de passe<br/>et sa confirmation"]
    E --> F["Cliquer sur Enregistrer et continuer"]
    F --> G{"Changement accepté ?"}
    G -->|Non| H["Lire le message<br/>et corriger les champs"]
    H --> F
    G -->|Oui| I["Nouveau mot de passe enregistré<br/>Anciennes sessions invalidées"]
    I --> J

6.4 Rückkehr nach einer Phase der Inaktivität

Nach einer Abwesenheit, die die Passwortänderungsschwelle überschreitet, ist das Verfahren dasselbe. Die Nachricht gibt an, dass die Verlängerung angefordert wird Nach einer Phase der Inaktivität.

Beispiel: Camille kehrt nach 20 Tagen ohne Nutzung zurück. Mit Schwellenwerten von 15 Tagen für Änderung und 30 Tagen für Deaktivierung kann sie sich weiterhin einloggen, bei Bedarf ihre MFA überprüfen und ein neues Passwort wählen.

Wenn ihr Konto bereits deaktiviert oder logisch gelöscht wurde, reicht die Änderung des Passworts nicht mehr aus: Sie muss den Administrator kontaktieren.

6.5 Wenn eine Sitzung bereits offen war

Eine bestehende Sitzung verhindert keine verpasste Frist. Immersive kontrolliert sie auch während geschützter Zugriffsanfragen. Melden Sie sich erneut an, wenn Sie darum gebeten werden, und schließen Sie die Verlängerung ab.

Wenn du dein aktuelles Passwort vergessen hast, handelt es sich hierbei um eine Kontowiederherstellung, nicht um die hier beschriebene Verlängerung. Nutze den in deiner Umgebung verfügbaren Wiederherstellungspfad oder kontaktiere den Administrator. Der Verlust des MFA-Telefons fällt ebenfalls unter die MFA-Wiederherstellung.

7. Verständnis der automatischen Verarbeitung

7.1 Die Rolle des periodischen Motors

Die Periodischer Motor ist die Hintergrundverarbeitung des RestFrontage-Servers, der Konten prüft und abgelaufene Deaktivierungen oder Löschungen anwendet. Es ist kein Administrator erforderlich, um die Seite offen zu halten.

Ein Durchlauf wird geplant, sobald der Server startet, und dann nicht mehr als einmal pro Stunde pro Instanz. Der Server muss laufen und seine Sicherheitsdomäne muss verfügbar sein. Daher wird ein erreichter Schwellenwert beim nächsten Durchgang verarbeitet, nicht unbedingt genau im selben Moment.

Wenn der Server ausgefallen war, werden die Konten beim Neustart überprüft. Ein Konto, das bereits 100 Tage inaktiv war, kann dann logisch direkt mit einer Schwelle von 90 Tagen gelöscht werden: Es wartet nicht auf einen neuen Zeitraum von 30 Tagen und dann 90 Tagen.

Die Engine berücksichtigt registrierte Regeln, Ausnahmen und automatische Schutzmaßnahmen. Sie ändert keine Konten, die die Verarbeitungsbedingungen nicht erfüllt haben.

7.2 Logik deaktivieren und löschen

Die Außerdienststellung Blockiert die Verbindung und behält das Konto bei. Der Administrator sollte die Situation untersuchen, bevor er den Zugriff wiederherstellt.

Die Logische Löschung Markiert das Konto als gelöscht und blockiert dessen Zugriff. Es behält die Daten, Rechte und Beziehungen des Kontos; es löscht sie nicht physisch.

In beiden Fällen erlauben die alten Sitzungen nicht mehr, Immersive weiterhin zu verwenden. Die Verarbeitung stellt keine Datenbereinigung oder eine Aufbewahrungsrichtlinie für alle Benutzerdokumente dar.

Eine vom Administrator vorgenommene Passwortänderung aktualisiert das Alter dieses Passworts. Sie simuliert keine menschliche Aktivität und verlängert von sich aus nicht die Deaktivierungs- oder Löschfristen.

8. Sonderfälle und häufig gestellte Fragen

Lage	Erklärung oder Handlung
Der Benutzer meldet sich über SSO an	Der SSO-Anbieter bleibt für sein Passwort verantwortlich. Die beiden immersiven Passwortregeln gelten nicht für diese Verbindung. Die Regeln für immersive Konteninaktivität bleiben anwendbar.
Eine Anwendung verwendet einen API-Schlüssel	API-Schlüsselaufrufe erfordern keine Passwortverlängerung. Das verknüpfte Konto ist vor automatischer Deaktivierung und Löschung geschützt.
Cerebrate sieht Erneuerung entstehen	Ihr dauerhafter Schutz betrifft Deaktivierung und Löschung, nicht Passwortregeln. Er muss sein Passwort erneuern, wenn eine Regel für ihn gilt.
Eine Ausnahme wurde hinzugefügt, aber eine weitere Maßnahme ist weiterhin möglich	Die vier Ausnahmen sind unabhängig. Überprüfen Sie die ausgewählte Regel im Fenster.
Ich habe eine Regel ausgewählt, aber es ändert sich nichts.	Klicken Sie auf Regeln speichern. Die im Formular sichtbaren Werte werden erst angewendet, wenn das Backup erfolgreich ist.
Die Deaktivierung erreicht nicht die exakte Schwelle	Es hängt davon ab, wann der Server das nächste Mal passiert. Überprüfe außerdem auf Ausnahmen, Verbindungen zu API-Schlüsseln und darauf, ob der Server funktioniert.
Ich habe keine Richtlinie gewählt, aber ein Konto bleibt blockiert	Diese Entscheidung stoppt die nächsten Aktionen in dieser Regel. Sie hebt eine bereits vorgenommene Deaktivierung oder Löschung nicht rückgängig gemacht.
Der Due Date Met-Zähler enthält einen SSO-Benutzer	Sie beschreibt, was während eines Immersive Passwort-Logins erforderlich wäre. Das bedeutet nicht, dass der SSO-Login diese Verlängerung erfordert.
Eine App funktioniert, aber ihr Nutzer scheint inaktiv zu sein	Erkundigen Sie sich beim Integrator, ob die App menschliche Interaktionen meldet. Automatisierte Austausche verlängern die Nutzeraktivität nicht.

Bevor Sie diese Richtlinie auf Ihre Nutzer anwenden, prüfen Sie die Schwellenwerte, die Ihre Organisation anfordert, welche Konten befreit werden sollen und wie der Verlängerungspfad eines Demokontos ist. Benachrichtigen Sie die Nutzer über die Änderung und wen sie kontaktieren sollen, falls sie den Zugang verlieren.