Genehmigungsabläufe

Ein Genehmigungsablauf – in der Oberfläche „Workflow“ – legt fest, wer über einen Antrag auf eine Rolle entscheidet. Jede Berechtigung und jede Business-Rolle verweist über das Feld „Genehmigungs-Workflow“ auf höchstens einen Ablauf. Ohne Ablauf ist sie nicht anfragbar.

Abläufe pflegen

Administratoren pflegen Abläufe unter „Administration“ → „Workflows“. Ein Ablauf besteht aus den Feldern „ID (Slug)“, „Name“ und „Beschreibung“ sowie einer geordneten Liste von Schritten („Approval-Schritte“); jeder Schritt hat einen Genehmiger-Typ.

• Nur Administratoren legen Abläufe an, ändern oder löschen sie.
• Ein Ablauf braucht mindestens einen Schritt; ohne Schritte nimmt Nova keinen Antrag an.
• Einen Ablauf, auf den noch Rollen verweisen, löscht Nova nicht.
• Beim Einreichen übernimmt Nova die Schritte in den Antrag. Spätere Änderungen am Ablauf gelten für neue Anträge.

Wer einen Schritt entscheidet

Genehmiger-Typ	Wer entscheidet
„Manager“	die Führungskraft der Ziel-Identität, eingetragen oder aus der Organisation abgeleitet; bei einer Abteilung deren Leitung
„Rollen-Eigentümer“	der „Owner“ der beantragten Rolle
„Agent-Owner“	die verantwortliche Person des KI-Agenten
„Risiko-Eigentümer“	die im Schritt hinterlegte Identität
„Bestimmte Identität“	die im Schritt hinterlegte Identität
„Security“	jede Identität mit der Berechtigung „Security“
„SoD-Prüfung“	jede Identität mit der Berechtigung „SoD Reviewer“ oder „Security“

• Für offene Schritte ermittelt Nova die zuständige Person laufend neu. Wechselt etwa die Führungskraft, darf die neue entscheiden; die beim Einreichen ermittelte Person bleibt ebenfalls berechtigt.
• Lässt sich niemand ermitteln – etwa weil eine Rolle keinen Owner hat –, können nur Administratoren den Schritt entscheiden.
• Ein Schritt „SoD-Prüfung“ wird nur aktiv, wenn offene Risiko-Befunde vorliegen; sonst überspringt Nova ihn. Wer ihn trotz offener Befunde genehmigt, muss einen Kommentar angeben. Mehr dazu unter Funktionstrennung.
• Administratoren können jeden offenen Schritt entscheiden und einen Antrag als Ganzes mit „Genehmigen (Admin)“ oder „Ablehnen (Admin)“ abschließen. Nova protokolliert diesen Eingriff als eigenes Ereignis und benachrichtigt Antragsteller und offene Genehmiger.

Reihenfolge und Ergebnis

• Alle Schritte eines Ablaufs sind ab dem Einreichen offen und lassen sich in beliebiger Reihenfolge entscheiden. Die Nummer eines Schritts bestimmt die Reihenfolge der Benachrichtigungen.
• Eine beantragte Rolle ist genehmigt, wenn alle ihre Schritte genehmigt oder übersprungen sind. Eine einzige Ablehnung lehnt sie ab.
• „Genehmigen“ und „Ablehnen“ in der Anfrage entscheiden alle offenen Schritte, für die die angemeldete Identität als Genehmiger ermittelt ist, auf einmal. Ein Kommentar ist optional.
• Besteht ein Ablauf nur aus Schritten „SoD-Prüfung“ und liegen keine Befunde vor, gilt die Rolle beim Einreichen als genehmigt.

Vertretung bei Abwesenheit

An einer Identität lassen sich ein „Vertreter“ sowie unter „Abwesenheit“ die Daten „Abwesend von“ und „Abwesend bis“ pflegen. Sind beide Daten gesetzt und liegt der heutige Tag in diesem Zeitraum, darf die Vertretung die offenen Schritte der abwesenden Person zusätzlich entscheiden.

• Die abwesende Person bleibt selbst berechtigt.
• Ketten löst Nova nicht auf: Ist die Vertretung ebenfalls abwesend, geht die Befugnis nicht an deren Vertretung weiter.
• Im Reiter „Zu genehmigen“ tragen solche Anfragen den Hinweis „In Vertretung für …“. Nova protokolliert die Entscheidung zusammen mit der vertretenen Person.
• Benachrichtigungen an Genehmiger erhält während der Abwesenheit zusätzlich die Vertretung.

Erinnerung und Eskalation

Der Hintergrundjob „Genehmigungs-Eskalation“ macht überfällige Schritte sichtbar. Nova legt ihn nicht selbst an; Administratoren richten ihn unter „Monitoring“ → „Hintergrund-Jobs“ mit „Neuer Job“ ein.

• Ab „Erinnerung nach (Tagen)“ – Voreinstellung 3 – erinnert Nova die zuständigen Genehmiger, höchstens einmal täglich.
• Ab „Eskalation nach (Tagen)“ – Voreinstellung 7 – alarmiert Nova einmalig die Administratoren. Die Erinnerungen laufen weiter.
• Das Alter eines Schritts zählt ab der letzten Entscheidung eines früheren Schritts derselben Rolle, sonst ab dem Einreichen.
• Der Job genehmigt nichts und überspringt keinen Schritt.

Benachrichtigungen

Ereignis	Empfänger
„Zugriffsanfrage eingereicht“	ermittelte Genehmiger des ersten aktiven Schritts
„Genehmigungsschritt abgeschlossen“	ermittelte Genehmiger des nächsten Schritts
„Zugriffsanfrage genehmigt“	Antragsteller, Ziel-Identität
„Zugriffsanfrage abgelehnt“	Antragsteller
„Zugriffsanfrage storniert“	Genehmiger offener Schritte
„Admin-Eingriff bei Anfrage“	Antragsteller, Genehmiger offener Schritte
„Erinnerung an offene Genehmigung“	zuständige Genehmiger
„Überfällige Genehmigung eskaliert“	Administratoren

Unter „Administration“ → „Benachrichtigungen“ legen Administratoren je Ereignis fest, ob Nova benachrichtigt und über welche Kanäle; die Texte lassen sich anpassen. Der Kanal „E-Mail“ versendet nur mit eingerichtetem Mailserver. Der „Versandmodus“ („Aktiv“, „Pausiert“, „Aus“) gilt für alle Kanäle.

Microsoft Teams ist ein Zusatzmodul: Nach dem Einschalten von „Microsoft Teams Notifications“ unter „Administration“ → „Plugins“ kann Nova Nachrichten über einen Webhook in einen Teams-Kanal senden. Ist zusätzlich „Interaktive Genehmigungen (in Teams genehmigen)“ eingerichtet, erhalten die benachrichtigten Genehmiger über einen Power-Automate-Flow eine Karte mit „Approve“ und „Reject“. Ein Klick entscheidet einen offenen Schritt dieser Person; Nova prüft die Berechtigung dabei wie bei einer Entscheidung in Nova.