Login-controle: geen toegang bij bepaalde waarde in SQL

[sabe]

Ik heb deze week de volgende vraag gekregen: Als een gebruiker inlogt op zijn pc (domain joined), dan moet er automatisch gecontroleerd worden of zijn timesheets (project server 2013) ingevuld zijn. Als dit niet het geval is, dan moet zijn netwerk toegang geblokkeerd worden tot deze ingevuld is. Daarna kan hij z'n werk verder zetten.

Ik weet dat er eerder naar discipline moet gekeken worden, maar ik heb de opdracht gekregen om dit voor elkaar te krijgen.

Controle op timesheets kan ik bekijken met onze sharepoint consultant (waarde wegschrijven in sql of zo en dit dan uitlezen), maar de rest is nog een groot vraagteken.

Ik heb al in de richting van NAP gekeken, maar voor zover ik reeds gelezen heb, zal dit niet mogelijk zijn.

Weet er iemand een oplossing? Ideeën zijn ook meer dan welkom.

[Question Mark]

Hoe moet die medewerker zijn timesheet in gaan vullen, als zijn netwerktoegang geblokeerd is?

Wil je ook dat zijn toegang geblokeerd blijft terwijl hij eigenlijk met spoed een storing op moet gaan lossen?

Werk eerst eens goed uit wat je nu precies wilt (onder welke condities moet wat geblokeerd worden), en verzin dan eens hoe je dat kunt gaan oplossen.

[The Eagle]

Replace management. Serieus. Feitelijk ontzeg je iemand te toegang tot zijn (digitale) werkplek en maak je het hem ook nog eens onmogelijk om zijn fout te herstellen. Immers, hij zal toch echt eerst ingelogd moeten zijn voor ie uberhaupt iets kan corrigeren.

Wat ze bij mijn vorige werkgever deden (detachering, big4): van iedereen werd gewoon verwacht dat het op tijd ingevuld was. had je dat niet, dan movht je bij de directeur op het matje komen op kantoor. Die tijd mocht je niet schrijven (reistijd ook niet) en dus kostte dat je vrije dagen/uren. Je moest echt een verdomd goed excuus hebben om het niet ingevuld te hebben. Ik geloof alleen dat een plotseling overlijden in aanmerking kwam. Immers, je kon het spul ook gewoon een dag voor de dealine invullen, plus je kreeg een herinnering per sms op de dag van de deadline zelf. Dus onwetendheid of vergeten was al helemaal geen optie.

[Microkid]

Gewoon e-mail en internet blokkeren totdat de timesheet ingevuld is

[F_J_K]

Idd. Wel een maatwerkscriptje maken. Vergeet niet een override te maken voor de situaties dat het nodig is.

Titel aangevuld.

[The Eagle]

Microkid schreef op woensdag 10 juni 2015 @ 21:37:
Gewoon e-mail en internet blokkeren totdat de timesheet ingevuld is

Email block zie je niet zomaar vziw - dat merk je pas als er niks binnenkomt.
Internet block kan, maar dan moet je geen timesheet app in de cloud hebben ofzo. En dat zie je steeds vaker.
Als een bedrijf nog timesheets in word of excel bijhoudt zou ik er snel wegwezen btw. Zegt ook iets over wat er mee gedaan wordt en hoe de salarisadministratie in elkaar steekt. Hell no dat HR al die excels na gaat kijken ofzo

[sabe]

Netwerk toegang blokkeren was misschien niet de juiste verwoording. Ik dacht meer aan een netwerk beperking waarbij er enkel toegang was tot een bepaalde server. Via NAP kan je de user in een aparte vlan laten terechtkomen dus dacht ik aan hetzelfde systeem.

Ook aan een script had ik al gedacht, maar dan zal je heeeeeel veel moeten opvangen vooraleer je een waterdichte oplossing hebt. Als er 1 ding is dat de gebruiker altijd vindt, dan zijn het fouten in het systeem. Daar hebben ze wel tijd voor .

E-mail en internet blokkeren zal inderdaad weinig nut hebben vrees ik.

Momenteel is het reeds zo dat ze zich moeten verantwoorden, maar daar trekt niemand zich iets van aan blijkbaar.

[Question Mark]

Ik zou gewoon na het inloggen een pop-up venster laten verschijnen als vriendelijke reminder.

Als ze het dan nog weigeren in te vullen (tenzij dringende reden) is het gewoon werkweigering en moet het management gewoon even in gesprek gaan met deze persoon.

[CAPSLOCK2000]

Nadat ik klaar was met lachen (sorry) heb toch maar even nagedacht over je vraag.
AD is uiteindelijk een database. Het is vast wel mogelijk om naar een AD attribuut te kijken om te bepalen of een gebruiker mag in loggen of welke groep/vlan hij krijgt.
Daarnaast zou ik een apart scriptje maken dat regelmatig naar de timesheets kijkt en dan het attribuut in AD aanpast.


Zorg er wel voor dat de gebruikers snappen wat er aan de hand is en hoe ze het op moeten lossen.
Als ik jou was zou ik vrij nemen op de dag dat dit wordt ingevoerd ander staat het halve bedrijf aan jouw bureau met fakkels en hooivorken.

[E.T.O.]

sabe schreef op donderdag 11 juni 2015 @ 20:17:
Momenteel is het reeds zo dat ze zich moeten verantwoorden, maar daar trekt niemand zich iets van aan blijkbaar.

Een technische blokkade zal de mentaliteit niet veranderen, maargoed...

Ik zou een SQL job toevoegen welke via een query alle personen selecteert met daarbij de conditie wanneer wel/niet te blokkeren. Per ontvangen regel een PowerShell commando richting AD server sturen om de betreffende gebruiker toe te voegen aan een bepaalde groep of juist uit de groep te verwijderen. Je kan in de domain controller de juiste acties/restricties aan de groep toekennen.

[sabe]

CAPSLOCK2000 schreef op vrijdag 12 juni 2015 @ 09:14:
Nadat ik klaar was met lachen (sorry) heb toch maar even nagedacht over je vraag.
AD is uiteindelijk een database. Het is vast wel mogelijk om naar een AD attribuut te kijken om te bepalen of een gebruiker mag in loggen of welke groep/vlan hij krijgt.
Daarnaast zou ik een apart scriptje maken dat regelmatig naar de timesheets kijkt en dan het attribuut in AD aanpast.


Zorg er wel voor dat de gebruikers snappen wat er aan de hand is en hoe ze het op moeten lossen.
Als ik jou was zou ik vrij nemen op de dag dat dit wordt ingevoerd ander staat het halve bedrijf aan jouw bureau met fakkels en hooivorken.

Geloof mij, ik denk ook niet dat dit de oplossing is, maar ik krijg orders van bovenaf.
Een dag verlof zal niet nodig zijn aangezien ik ze direct doorverwijs naar het management aangezien dit hun beslissing is.

E.T.O. schreef op vrijdag 12 juni 2015 @ 09:54[/message]:
Een technische blokkade zal de mentaliteit niet veranderen, maargoed...

Ik zou een SQL job toevoegen welke via een query alle personen selecteert met daarbij de conditie wanneer wel/niet te blokkeren. Per ontvangen regel een PowerShell commando richting AD server sturen om de betreffende gebruiker toe te voegen aan een bepaalde groep of juist uit de groep te verwijderen. Je kan in de domain controller de juiste acties/restricties aan de groep toekennen.

Ik ben er ook van overtuigd dat deze actie meer zal kosten dan het zal opbrengen en dat dit een kwestie van mentaliteit is.
Sowieso zal er geen waterdichte oplossing zijn vrees ik. Ik had al gedacht aan mail notificaties, maar dan stellen ze gewoon een rule in die alles rechtstreeks naar de prullenbak verhuist.