Aprovisionamiento de Profesorado y Personal

La identidad del profesorado y el personal es un problema de ciclo de vida disfrazado de problema de acceso. Un nuevo docente necesita los sistemas correctos en su primera mañana; un traslado de departamento necesita que se retire el acceso antiguo a medida que llega el nuevo; un empleado que se va debe perder todo, en todas partes, en el momento en que se marcha. Cuando esto se hace a mano a través de muchos sistemas, el modo de fallo es predecible: las personas empiezan con muy poco y terminan con demasiado.

El reto

La universidad aprovisionaba a profesorado y personal manualmente, ticket a ticket, sistema a sistema. Las nuevas contrataciones esperaban días para tener acceso mientras las solicitudes avanzaban por una cola, y luego acumulaban prerrogativas durante su permanencia que nadie revisaba jamás. Las salidas eran peores: el desaprovisionamiento dependía de que alguien recordara cada sistema que un empleado había tocado, y las brechas se convertían en cuentas inactivas que los auditores marcaban año tras año. Un solo cambio de rol podía significar una docena de tickets separados.

La universidad necesitaba un acceso que siguiera el registro de empleo automáticamente.

Qué desplegó Veripass

Veripass ligó el acceso de profesorado y personal al registro autoritativo de RR. HH. y directorio mediante aprovisionamiento SCIM. Cuando una persona es contratada, trasladada o separada aguas arriba, el cambio se propaga automáticamente a cada sistema conectado — cuentas creadas el primer día, ajustadas en un cambio de rol y completamente eliminadas al partir, sin un ticket por sistema.

Las prerrogativas se expresaron mediante claims, capacidades, roles y perfiles de acceso, de modo que la universidad modeló “profesorado titular”, “adjunto”, “administrador de departamento” y “personal de TI” como roles componibles. Una nueva contratación hereda exactamente el acceso que define su rol, y un cambio de rol intercambia un perfil por otro en lugar de desencadenar una reconfiguración manual. La federación sobre OIDC con el directorio del campus mantuvo la autenticación anclada a la identidad que los empleados ya usaban, y la política consciente del contexto aplicó MFA de step-up adaptativo por correo o TOTP de teléfono para superficies administrativas.

Cada evento de aprovisionamiento y desaprovisionamiento quedó en una traza de auditoría inmutable, de modo que la universidad pudiera probar que el acceso de un empleado que se fue se eliminó realmente.

• Aprovisionamiento SCIM ligado al registro autoritativo de RR. HH./directorio
• Prerrogativas basadas en roles mediante claims, capacidades, roles y perfiles de acceso
• Creación, ajuste y eliminación automáticos en los sistemas conectados
• Federación del directorio del campus sobre OIDC
• Trazas de auditoría inmutables para cada evento del ciclo de vida

Resultado

El nuevo profesorado y personal ahora tiene el acceso correcto en su primer día, porque el aprovisionamiento se dispara desde el registro de empleo en lugar de una cola de mesa de ayuda. El problema del arranque lento desapareció, y también su opuesto: los cambios de rol intercambian prerrogativas limpiamente, de modo que las personas dejan de acumular accesos que ya no necesitan.

Las salidas se volvieron confiables. Cuando un empleado se separa, su acceso se elimina automáticamente en cada sistema conectado, y la traza de auditoría inmutable lo demuestra. Los hallazgos de cuentas inactivas que recurrían en cada ciclo de auditoría desaparecieron en gran medida, porque el ciclo de vida ahora se cierra solo.