One Identity Active Roles

Co to jest One Identity Active Roles?

One Identity Active Roles to platforma do zarządzania Active Directory i Azure AD - jedno miejsce do administracji użytkownikami, grupami, komputerami. Zastępuje natywne narzędzia Microsoft (ADUC, Azure Portal) z lepszą delegacją i automatyzacją.

Główne funkcje:

• Unified Console - AD on-prem i Azure AD w jednym interfejsie
• Delegation - deleguj uprawnienia bez dawania Domain Admin
• Automation - automatyczne provisioning i lifecycle management
• Audit - kto, co, kiedy zmienił w AD

Jaki problem rozwiązuje?

flowchart LR
    subgraph Natywne AD
        A[Helpdesk potrzebuje] --> B[Domain Admin?]
        B --> C[Ryzyko]
        C --> D[Brak kontroli]
    end

    subgraph Z Active Roles
        E[Helpdesk] --> F[Delegowane uprawnienia]
        F --> G[Tylko reset hasła]
        G --> H[Pełny audit]
    end

    style A fill:#dc2626,stroke:#b91c1c,color:#fff
    style B fill:#dc2626,stroke:#b91c1c,color:#fff
    style C fill:#dc2626,stroke:#b91c1c,color:#fff
    style D fill:#dc2626,stroke:#b91c1c,color:#fff
    style E fill:#22c55e,stroke:#16a34a,color:#fff
    style F fill:#22c55e,stroke:#16a34a,color:#fff
    style G fill:#22c55e,stroke:#16a34a,color:#fff
    style H fill:#22c55e,stroke:#16a34a,color:#fff

Typowe problemy:

• Helpdesk ma Domain Admin bo “inaczej nie może resetować haseł”
• Multi-forest / multi-tenant - logowanie do wielu konsol
• Brak automatyzacji - ręczne tworzenie kont, grup
• Natywna delegacja AD jest skomplikowana i łatwa do złamania
• Brak audytu kto co zmienił w AD

Jak działa Active Roles?

flowchart TD
    A[Administrator/Helpdesk] --> B[Active Roles Console]
    B --> C[Active Roles Service]
    C --> D{Sprawdź uprawnienia}
    D -->|OK| E[Wykonaj w AD]
    D -->|Brak| F[Odmowa]
    E --> G[Active Directory]
    E --> H[Azure AD]
    C --> I[Audit Log]

    style A fill:#6366f1,stroke:#4f46e5,color:#fff
    style B fill:#8b5cf6,stroke:#7c3aed,color:#fff
    style C fill:#f59e0b,stroke:#d97706,color:#fff
    style D fill:#f59e0b,stroke:#d97706,color:#fff
    style E fill:#22c55e,stroke:#16a34a,color:#fff
    style F fill:#dc2626,stroke:#b91c1c,color:#fff
    style G fill:#22c55e,stroke:#16a34a,color:#fff
    style H fill:#22c55e,stroke:#16a34a,color:#fff
    style I fill:#8b5cf6,stroke:#7c3aed,color:#fff

Kluczowa różnica: Użytkownicy nie łączą się bezpośrednio z AD. Active Roles pośredniczy i kontroluje co mogą zrobić.

Główne funkcje

Delegation Model

Active Roles używa “virtual permissions” - nie modyfikuje uprawnień w AD:

flowchart LR
    A[Access Template] --> B[Managed Unit]
    B --> C[Trustee]

    A --> D["Reset Password"]
    A --> E["Create User"]
    A --> F["Modify Groups"]

    B --> G["OU=Sales"]
    B --> H["OU=IT"]

    C --> I["Helpdesk Group"]
    C --> J["HR Admins"]

    style A fill:#6366f1,stroke:#4f46e5,color:#fff
    style B fill:#22c55e,stroke:#16a34a,color:#fff
    style C fill:#f59e0b,stroke:#d97706,color:#fff

Przykład: “Helpdesk może resetować hasła tylko w OU=Sales” - bez żadnych zmian w natywnych ACL Active Directory.

Hybrid AD Management

Zarządzanie środowiskiem hybrydowym:

Obiekt	AD on-prem	Azure AD	Active Roles
Users	ADUC	Azure Portal	Unified
Groups	ADUC	Azure Portal	Unified
Computers	ADUC	Intune	Unified
Exchange	EMC	Exchange Admin	Unified

Jeden interfejs dla wszystkich operacji - tworzenie user w AD automatycznie provisionuje do Azure AD.

Dla kogo?

Active Roles vs natywne narzędzia

Aspekt	ADUC / Azure Portal	Active Roles
Multi-forest	Osobna konsola per forest	Unified
Multi-tenant	Osobny portal per tenant	Unified
Delegation	Skomplikowana, ACL-based	Role-based, wirtualna
Automation	PowerShell scripting	Built-in workflows
Audit	Event logs, rozproszone	Centralny audit log
Self-service	Brak natywnego	Portal dla userów

Specyfikacja

Parametr	Wartość
Deployment	On-premises (Windows Server)
Supported	AD 2016-2025, Azure AD, M365
Console	MMC snap-in, Web interface
API	PowerShell, REST
HA	Clustering
Integration	SIEM, ServiceNow, Identity Manager

FAQ

Czy to zastępuje ADUC? Tak dla codziennej administracji. ADUC nadal działa, ale Active Roles daje lepszą kontrolę i audit.

Czy modyfikuje uprawnienia w AD? Nie. Active Roles używa “virtual permissions” - kontroluje dostęp bez zmian w AD ACL.

Jak integruje z Azure AD? Przez connector. Operacje wykonane w Active Roles są replikowane do Azure AD.

Czy helpdesk musi się uczyć nowej konsoli? Konsola jest prosta. Helpdesk widzi tylko to do czego ma uprawnienia - mniej skomplikowane niż ADUC.

Jak działa z Identity Manager? Active Roles może być “execution layer” dla Identity Manager. IM definiuje polityki, AR wykonuje w AD.

Jak długo trwa wdrożenie? Podstawowe: 2-4 tygodnie. Z pełną automatyzacją i integracjami: 1-2 miesiące.

Czy nFlo wdraża Active Roles? Tak. Wdrożenia, konfiguracja delegacji, automatyzacja lifecycle, integracja z Azure AD.