Role Mining

Role Mining sucht in den direkten Zuweisungen eines Bereichs nach wiederkehrenden Mustern und schlägt daraus Business-Rollen vor. Nova legt dabei nichts von selbst an: Administratoren prüfen jeden Vorschlag, und übernommen werden nur akzeptierte. Die Funktion steht nur Administratoren zur Verfügung, unter „Rollen“ → „Role Mining“.

Welche Daten Nova auswertet

• Scope: eine Org-Einheit, auf Wunsch mit Unterbereichen („Unterbereiche einbeziehen“, voreingestellt an). Ein Lauf umfasst höchstens 10 000 Identitäten.
• Identitäten: nur aktive; technische Identitäten und KI-Agenten bleiben voreingestellt außen vor.
• Zuweisungen: nur direkte. Was eine Identität über Business-Rollen erhält, ist bereits gebündelt; bestehende Business-Rollen und ihre Zuweisungen lässt der Lauf unberührt. KI-Fähigkeiten (nova-ai:*) wertet Nova nicht aus.
• Struktur: Org-Einheiten und Planstellen nutzt Nova, um Vorschläge daran zu binden.

Zu Beginn friert Nova den Scope ein; Prüfung und Vorschau arbeiten auf diesem Stand. Es läuft immer nur ein Lauf zur selben Zeit.

Wie Vorschläge entstehen

Nova rechnet vier Schichten nacheinander. Was eine Schicht abdeckt, zählt in den folgenden nicht mehr mit. So landet jede direkte Zuweisung in genau einem Vorschlag oder bleibt direkt.

Schicht	Gebildet aus (Voreinstellung)	Bindung
„Globale Grundrolle“	Rollen, die mindestens 90 % der Identitäten im Scope halten	Org-Einheit des Scopes
„Bereichs-Grundrollen“	je Org-Einheit die Rollen, die mindestens 70 % ihrer Mitglieder halten	diese Org-Einheit
„Funktionsrollen“	Rollen, die alle Inhaber einer Planstelle teilen, sowie häufige Kombinationen aus mindestens 2 Rollen bei mindestens 3 Identitäten	Planstelle oder Identitäten
„Sonderfunktionen“	je Identität mindestens 2 Rollen, die im Scope weniger als 3 Identitäten halten	diese Identität

Die Schwellen sind im Dialog „Neuer Mining-Lauf“ einstellbar, ebenso die „Maximale Anzahl BRs“ (Voreinstellung 12; Sonderfunktionen zählen nicht mit). Kandidaten jenseits dieses Budgets – gereiht nach der Zahl der überführten Zuweisungen – erscheinen als „Über BR-Budget“. Im „Ausreißer-Modus“ „Nur berichten“ erscheinen Sonderfunktionen nur als „Ausreißer“. Alle Zahlen, etwa Abdeckung und Auswirkungen, berechnet Nova selbst.

KI-Prüfung (optional)

Ist ein KI-Modus aktiv, bewertet eine KI die Kandidaten, bevor sie als Vorschläge erscheinen:

• Sie schlägt Name und Beschreibung vor, bestätigt einen Kandidaten oder legt ein Veto ein und ordnet Sonderfunktionen als Sonderfunktion oder Anomalie ein.
• Ein Veto macht aus dem Kandidaten die Auffälligkeit „Keine Schicht gebildet“ mit der Begründung der KI; eine Anomalie erscheint als „Anomalie“ mit Empfehlung.
• Die KI kann keine Rollen oder Identitäten hinzufügen. Antworten mit unbekannten Kennungen verwirft Nova; Zahlen der KI übernimmt Nova nicht.
• Die KI erhält Kennzahlen, Namen, Beschreibungen und Bewertungen der Rollen sowie Namen von Org-Einheiten, Planstellen und bestehenden Business-Rollen. Bei personengebundenen Kandidaten kommen Namen von Identitäten hinzu, bei Sonderfunktionen auch deren Abteilung und Planstelle.
• Ohne KI oder bei einem Fehler der KI liefert der Lauf dieselben statistischen Kandidaten mit generischen Namen.

Prüfen und übernehmen

• Vorschläge beginnen als „Offen“. Administratoren „Akzeptieren“ oder „Ablehnen“ sie, können sie umbenennen und einzelne Rollen entfernen („Rolle entfernen“). Ein Vorschlag ohne Rollen gilt als abgelehnt.
• „Anwenden…“ zeigt zuerst eine Vorschau gegen den aktuellen Datenbestand: wie viele direkte Zuweisungen überführt werden und welche Identitäten Rollen neu erhielten („Neuvergaben“).
• Nova übernimmt nur akzeptierte Vorschläge. Je Vorschlag legt Nova eine Business-Rolle an – mit der höchsten Risikobewertung ihrer Rollen –, weist sie den geprüften Identitäten zu und ersetzt deren abgedeckte direkte Zuweisungen durch Zuweisungen über die Business-Rolle. Gültigkeitsdaten übernimmt Nova dabei.
• „Business-Rollen an Org-Einheiten und Planstellen binden“ (voreingestellt an) hängt die Business-Rolle zusätzlich an die Org-Einheit oder Planstelle, sodass später Hinzukommende sie erben. Ausgeschaltet erhalten nur die geprüften Identitäten die Rolle.
• Weicht der aktuelle Datenbestand vom geprüften Stand ab, überspringt Nova den Vorschlag („Übersprungen (Drift)“). Ein neuer Lauf liefert dann ein aktuelles Bild.
• „Auffälligkeiten“ und „Verbleibende Direktzuweisungen“ sind nur ein Bericht; Nova entzieht daraus nichts. Entzüge laufen über die Rezertifizierung oder manuelle Pflege.

Nova protokolliert Start, Prüfentscheidungen und Übernahme eines Laufs sowie jede angelegte Business-Rolle mit ihrer Herkunft aus dem Lauf.