OS2ilm

OS2ilm (OS2sofd – ILM, Ikke Lønbærende Medarbejdere) er et modul til OS2sofd, der håndterer de personer, som arbejder for kommunen uden at være ansat og aflønnet af den, fx eksterne konsulenter, ansatte på selvejende institutioner og medarbejdere hos private leverandører af hjemmepleje. I løsningen kaldes de alle medarbejdere, og en medarbejder er altid knyttet til en virksomhed.

Formålet er en sikker, praktisk og hurtig håndtering af disse medarbejderes adgang til kommunens it-infrastruktur, fra den første anmodning til adgangen lukkes igen.

OS2ilm installeres, driftes og opsættes særskilt og har sin egen adresse. Kontakt driftleverandøren for de nærmere vilkår, se Support og kontakt.

• Arbejdsgange beskriver oprettelse, godkendelse, integrationsflowet og kontoens livscyklus.
• Opsætning af OS2ilm beskriver virksomheder, Arketyper, brugernavne, tekster og beskeder.
• Ændringslog viser ændringerne i hver version af OS2ilm.

Problemet OS2ilm løser#

For fastansatte er livscyklussen veldefineret: Ansættelsen registreres i lønsystemet, OS2sofd opretter personen, brugerkontoen dannes, rettighederne følger stillingen, og når ansættelsen ophører, lukkes adgangen igen. Se IdM.

For ikke-lønbærende medarbejdere findes den kilde ikke. Oprettelsen sker typisk via blanketter og e-mails, og det giver en række kendte problemer:

• Manuelle processer, der tager tid. Hver oprettelse kræver, at nogen i it-afdelingen indtaster oplysninger og opretter kontoen i hånden.
• Fokus på oprettelse, ikke på nedlukning. Udløbsdatoer er svære at holde styr på, og konti lever videre, efter opgaven er slut.
• Manglende sporbarhed. Det er svært bagefter at dokumentere, hvem der bad om adgangen, hvem der godkendte den, og hvornår.
• Rettigheder uden standarder. Hver medarbejder får rettigheder efter et konkret skøn i stedet for efter faste profiler.
• Genaktivering er lige så besværlig som nyoprettelse. Når en tidligere medarbejder vender tilbage, starter processen forfra.

Det får kommunen med OS2ilm#

• Én indgang for alle ikke-lønbærende medarbejdere, uanset om der er tale om en konsulent, en ansat på en selvejende institution eller en medarbejder hos en privat leverandør.
• Virksomhederne gør selv en del af arbejdet. Medarbejderen registrerer sig med MitID, og lederen i virksomheden godkender. Kommunens administrator tager kun stilling til det, som kun kommunen kan afgøre: placering, rettigheder og periode.
• Kommunen har altid det sidste ord. Der oprettes ingen konto, før en af kommunens administratorer har godkendt medarbejderen.
• Standardiserede rettigheder. Rettigheder tildeles via Arketyper, der samler AD-grupper, jobfunktionsroller og rollebuketter i faste profiler.
• Nedlukningen er besluttet fra start. Adgangen gives for en periode, og kontoen deaktiveres automatisk, når slutdatoen er passeret.
• Samme datagrundlag som for de fastansatte. Medarbejderen oprettes i OS2sofd med et tilhørsforhold til en enhed, så lederoverblik, organisationsdata og de øvrige integrationer fra OS2sofd også omfatter de ikke-lønbærende.
• Log-spor. Anmodning, godkendelser, oprettelse og alle senere ændringer logges med tidspunkt og aktør.
• Mindre indtastning. Navn og CPR-nummer hentes fra MitID, og virksomhedens navn slås op i CVR-registret.

Overblik#

OS2ilm er en webportal, der bruges af tre grupper: medarbejderne selv, deres ledere i virksomhederne og kommunens administratorer. Portalen er koblet til kommunens identitetssystemer.

flowchart TB
    FK["<b>FK Adgang</b><br/>Administratorer"] -- login --> ILM
    MITID["<b>NemLog-in (MitID)</b><br/>Medarbejdere og ledere"] -- login --> ILM
    ILM(["<b>OS2ilm</b>"])
    ILM <--> SOFD["<b>OS2sofd</b><br/>Personer, tilhørsforhold<br/>og enheder"]
    ILM --> AD["<b>Active Directory</b><br/>Brugerkonti, grupper<br/>og kodeord"]
    ILM <--> RC["<b>OS2rollekatalog</b><br/>Jobfunktionsroller<br/>og rollebuketter"]
    ILM --> POST["<b>Digital Post / e-mail</b><br/>Beskeder"]
    ILM <--> CVR["<b>CVR-registret</b><br/>Virksomheder"]
    style ILM fill:#2f4050,stroke:#2f4050,color:#fff

Roller#

En leder kan kun se og håndtere medarbejdere i de virksomheder, lederen er knyttet til. Man bliver leder på en af to måder:

• Oprettet på forhånd. En administrator opretter lederen i OS2ilm og knytter vedkommende til en eller flere virksomheder. Lederen kan oprettes med CPR-nummer og logger så ind med MitID privat.
• MitID Erhverv fra virksomheden. Har kommunen slået det til, oprettes lederen automatisk første gang, vedkommende logger ind med et MitID Erhverv, der er udstedt til virksomhedens CVR-nummer.

Ledere fra kommunens egen organisation kan tilsvarende logge ind via FK Adgang med en lederrolle. Den afgørende kontrol ligger fortsat i administratorens godkendelse.

Integrationer#

Integrationen til Active Directory sker via Digital Identitys AD-agent, en Windows-service på kommunens netværk, som selv forbinder sig ud til løsningen. CPR-nummeret skrives på kontoen i en aftalt AD-attribut, så OS2sofd kan genkende kontoen. Se også On-premise agenter.

OS2ilm har desuden et API, beskyttet med API-nøgler, til udtræk af medarbejdere og virksomheder, til at hente antallet af medarbejdere, der afventer godkendelse, og til at overtage AD-konti, der er oprettet uden for OS2ilm, så de herefter kan administreres herfra.

Forudsætninger#

• OS2sofd.
• Tilslutning til NemLog-in for MitID-login.
• Jobfunktionsroller til OS2ilm i FK Adgang for administratorer og administratorer med læseadgang.
• Digital Identitys AD-agent installeret på kommunens netværk.
• OS2rollekatalog, hvis rettigheder skal tildeles via Arketyper.
• Digital Post til beskeder til medarbejderne.