Mit dem von einem Identityprovider (IdP) verwalteten Zugriff können Sie den Benutzerzugriff und die Berechtigungen innerhalb von Smartsheet mithilfe von rollenbasierten Gruppen, die auf Ihrem IdP definiert sind, effektiv steuern. Dies verbessert nicht nur die Sicherheit, sondern vereinfacht auch die Zugriffsverwaltung und lässt sich nahtlos in Ihr aktuelles IdP-System integrieren.
USM Content
Überblick
Durch die Integration der rollenbasierten Zugriffsverwaltung in einen IdP können Berechtigungen automatisch aktualisiert werden, wenn sich Rollen innerhalb Ihres Unternehmens ändern. Dadurch entfällt der manuelle und zeitaufwendige Prozess der Aktualisierung des Zugriffs auf Smartsheet-Elemente, wenn ein*e Mitarbeiter*in in ein anderes Team wechselt.
Wenn ein*e Mitarbeiter*in beispielsweise von einer Finanzrolle zu einer Marketingrolle wechselt, muss die Organisation seinen*ihren Zugriff auf finanzbezogene Elemente nicht manuell entfernen und keinen Zugriff auf Marketingelemente gewähren. Dies führt häufig zu Sicherheitslücken, da jede Verzögerung beim Entfernen des Zugriffs auf die vertraulichen Informationen einer vorherigen Rolle das Risiko eines unbefugten Zugriffs erhöht.
Mit IdP-verwaltetem Zugriff werden Benutzerrollen automatisch zwischen IdP-Rollen, die in Ihrem Identitätsanbieter definiert sind (wie Okta oder Microsoft Entra ID), und rollenbasierten IdP-Gruppen in Smartsheet synchronisiert, um eine direkte Korrespondenz zwischen Rollen in beiden Systemen sicherzustellen.
Voraussetzungen
- SAML-Einrichtung auf Domänenebene: Security Assertion Markup Language (SAML) ist erforderlich, um Zugriff und Berechtigungen mithilfe domänenbasierter, IdP-rollenbasierter Gruppen zuzuweisen. Systemadmins müssen sicherstellen, dass SAML-SSO auf Domänenebene eingerichtet ist, um den IdP-verwalteten Zugriff zu aktivieren. Wenn sich ein*e Benutzer*in mit der SAML-Anmeldung bei Smartsheet anmeldet, gibt SAML die IdP-Rolle des*der Benutzer*in in Echtzeit von IdP für Smartsheet frei.
- Spezifische IdP-Konfiguration: Befolgen Sie je nach verwendetem IdP-System die folgenden Anweisungen, um sicherzustellen, dass Benutzerrollen in Ihrem IdP korrekt mit Smartsheet synchronisiert werden:
- Okta-spezifische Anweisungen
- Entra-ID-spezifische Anweisungen (früher Azure AD)
- Andere IdPs
Zu beachten
- Enterprise-Pläne: Systemadmins von Plänen, bei denen eine Domäne validiert wurde, können den IdP-verwalteten Zugriff für ihre Pläne über Admin Center aktivieren oder deaktivieren, sodass sie den Benutzerzugriff über ihre rollenbasierten IdP-Gruppen verwalten können.
- EPM-Familien: Nur Systemadmins des Enterprise Plan Manager (EPM)-Hauptplans können diese Funktion aktivieren oder deaktivieren. Systemadmins von untergeordneten Plänen in EPM-Familien erben Einstellungen aus dem Hauptplan und haben schreibgeschützten Zugriff. Sie können keine rollenbasierten IdP-Gruppen in ihrem Plan erstellen, bearbeiten oder entfernen.
IdP-verwalteten Zugriff aktivieren
- Wählen Sie in Admin Center oben links das Symbol für das Menü aus.
Navigieren Sie zu Einstellungen > IdP-verwalteter Zugriff.
Brandfolder Image
Aktivieren Sie die Option IdP-verwalteter Zugriff.
Brandfolder Image
Wenn Sie die Funktion „IdP-verwalteter Zugriff“ aktivieren, wird das Sheet „IdP-verwalteter Zugriff“ automatisch generiert und für alle aktuellen Systemadmins im Plan freigegeben. Bei Bedarf können Systemadmins es wie jedes andere Sheet auch für andere Systemadmins freigeben.
Sie können die Seite IdP-verwalteter Zugriff auch über die Sicherheitskarte auf der Startseite von Admin Center aufrufen.
IdP-verwalteten Zugriff deaktivieren
- Deaktivieren Sie die Option IdP-verwalteter Zugriff auf der Seite IdP-verwalteter Zugriff.
Wer kann IdP-Gruppen erstellen?
- Systemadmins von Plänen, in denen die Domäne aktiviert ist
- Gruppenadmins aktivierter Domänen, wenn der*die Systemadmin dies zugelassen hat
- Gruppenadmins aus validierten Domänen können die Erstellung von IdP-Gruppen anfordern.
Können meine Benutzer*innen Daten für Smartsheet- und IdP-Gruppen freigeben?
Ja. Der Domänenname wird am Ende (im Freigabemodal) aufgelistet, damit Benutzer*innen erkennen können, dass es sich um eine IdP-Gruppe handelt.
Welche Änderungen treten auf, wenn ich die Funktion zum ersten Mal in einem Plan aktiviere, in dem die Domäne aktiviert ist?
- Ein neues Sheet wird für IdP-Rollen- und IdP-Gruppenzuordnungen erstellt.
- IdP-Gruppenmitgliedschaften werden automatisch erstellt und aktualisiert, wenn sich Benutzer*innen anmelden.
- Sie können Smartsheet-Elemente für IdP-Gruppen freigeben. Außerdem erhalten Benutzer*innen Zugriff basierend auf ihrer IdP-Rolle.
Wie wirkt sich die Deaktivierung der Funktion auf einen Plan aus, in dem die Domäne aktiviert ist?
- Das Sheet wird gelöscht, aber alle Rollenzuordnungen werden auf Domänenebene für die zukünftige Verwendung in der Datenbank beibehalten.
- Die Synchronisierung von Rollen- und Gruppenmitgliedschaften wird beendet.
- Benutzer*innen können Smartsheet-Elemente nicht mehr für IdP-Gruppen freigeben und Gruppenmitgliedschaften werden entfernt.
- Bestehende Gruppenmitgliedschaften werden gelöscht. Benutzer*innen verlieren den Zugriff auf freigegebene Elemente über IdP-Gruppen.
Was passiert, nachdem ich die Funktion in einem Plan mit einer aktivierten Domäne erneut aktiviere?
- Das Sheet wird mit den vorherigen Zuordnungen der Rolle in der Datenbank neu erstellt.
- Die Synchronisierung von Rollen und Gruppenmitgliedschaften wird fortgesetzt und die Gruppenmitgliedschaften der Benutzer*innen werden aktualisiert.
- Die Freigabe von Elementen für IdP-Gruppen ist wieder verfügbar, wodurch der Zugriff für Benutzer*innen mit den entsprechenden Rollen wiederhergestellt wird.
Wie wirkt sich die Domänendeaktivierung auf den IdP-verwalteten Zugriff aus, wenn sie aktiviert ist?
- Das Sheet bleibt bestehen, aber die Synchronisierung für die deaktivierte Domäne wird beendet.
- Bestehende Rollen- und Gruppenmitgliedschaften bleiben erhalten, aber es werden keine neuen Zuordnungen vorgenommen.
- Benutzer*innen in deaktivierten Domänen verlieren den Zugriff auf Smartsheet-Elemente, die über IdP-Gruppen freigegeben wurden.
Was passiert, wenn eine Domäne mit einer IdP-Rolle aktiviert wird, die bereits im Sheet definiert ist?
- Wenn bereits Zuordnungen für Rollen vorhanden sind, werden sie mit dem Sheet synchronisiert, wenn die Domäne aktiviert wird.
- Das System stellt sicher, dass die richtigen Daten im neuen oder bestehenden Sheet verfügbar sind, wodurch der Benutzerzugriff wiederhergestellt wird.
Wie funktioniert das Aktivieren, Deaktivieren oder erneute Aktivieren der Funktion in einem Plan, in dem eine Domäne validiert wird?
- Es gibt keine direkten Auswirkungen auf das Sheet, da es vom aktivierten Plan verwaltet wird.
- Gruppenmitgliedschaften werden basierend auf Benutzeranmeldungen aktualisiert, bei Deaktivierung der Funktion aber entfernt.
- Die Freigabe von Elementen und die Gruppenmitgliedschaft funktionieren wie erwartet und ähnlich wie bei aktivierten Plänen, werden aber über den aktivierten Hauptplan verwaltet.
Welche Auswirkungen hat die Ungültigkeitserklärung einer Domäne in einem validierten Domänenplan?
- Gruppenmitgliedschaften für Benutzer*innen in der ungültigen Domäne werden entfernt.
- Benutzer*innen in diesen Domänen verlieren den Zugriff auf Elemente, die für IdP-Gruppen freigegeben wurden.
Gibt es besondere Fälle, die ich bei der Deaktivierung oder erneuten Aktivierung von Domänen beachten muss?
- Wenn eine Domäne deaktiviert wird, werden die entsprechenden Zeilen im Sheet gelöscht, aber die Zuordnungen der Rolle bleiben erhalten.
- Wenn die letzte Domäne eines Plans deaktiviert ist, wird das Sheet gelöscht und die Funktion für den Plan deaktiviert.
- Wenn eine Domäne erneut aktiviert wird, werden alle bestehenden Rollenzuordnungen erneut mit dem Sheet synchronisiert und die Benutzer*innen erhalten wieder Zugriff.