Séparation de domaine dans GRC

Rversion finale: Australia

Mis à jour 12 mars 2026

5 minutes de lecture

Il s’agit d’une vue d’ensemble de Séparation de domaine et des Gouvernance, risque et conformité applications. Séparation de domaine vous permet de séparer les données, les processus et les tâches administratives en groupes logiques appelés domaines. Vous pouvez contrôler plusieurs aspects de cette séparation, notamment les utilisateurs qui peuvent voir les données et y accéder.

Séparation de domaine est particulièrement adapté aux clients qui :

Nécessité d’appliquer une ségrégation absolue des données entre les entités d’entreprise (séparation des données).
Personnalisez les définitions de processus business et les interfaces utilisateur pour chaque domaine (administration déléguée).
Gérez certains processus globaux et rapports globaux en une seule instance.

Ces utilisateurs peuvent choisir d’étendre ou de réduire le champ d’application de domaine pour afficher ou masquer les données d’autres domaines.

Remarque :

Les utilisateurs ont toujours accès aux données des domaines qui leur ont été explicitement accordés par la visibilité de domaine.

Niveau de prise en charge : basique

Logique métier : garantit que les données parviennent au bon domaine pour les cas d'utilisation du fournisseur de service de l'application.
L'application prend en charge Séparation de domaine lors de l'exécution. Séparation de domaine inclut la séparation à partir de l'interface utilisateur, des clés de cache, du reporting, des déploiements et des agrégations.
Le propriétaire de l'instance doit configurer l'application de sorte qu'elle fonctionne sur plusieurs locataires.

Exemple de cas d'utilisation : lorsqu'un fournisseur de service (SP) utilise la messagerie instantanée pour répondre au message d'un locataire-client, le client doit pouvoir afficher la réponse du SP.

Pour en savoir plus sur les niveaux de prise en charge, consultez la rubrique Prise en charge de Séparation de domaine par les applications.

Comment fonctionne Séparation de domaine dans GRC

Bien que GRC prenne en charge la séparation des données, la séparation de la logique et du processus n’est pas entièrement prise en charge.
De nombreux types d’enregistrements dans GRC sont générés automatiquement par le biais des processus utilisateur. Les entités, les contrôles, les risques, les indicateurs et les tests de contrôle sont tous des champs qui peuvent être générés automatiquement. Pour les enregistrements générés automatiquement, le domaine de l’enregistrement est déterminé par l’itérateur de domaine configuré pour la tâche. Sinon, il s’agit par défaut du domaine par défaut (s’il est défini) ou du domaine global. Pour les enregistrements générés manuellement, le domaine est dérivé du domaine de l’utilisateur qui crée l’enregistrement.

La génération automatique doit être gardée à l’esprit lorsque vous travaillez dans une implémentation GRC séparée par domaine. Les utilisateurs doivent s’assurer qu’ils créent/génèrent des enregistrements au bon niveau de domaine afin qu’ils soient visibles par le bon ensemble d’utilisateurs.
Par exemple, supposons que vous ayez des domaines qui ressemblent à :
- Global
- HAUT
  - Domaine A
  - Domaine B

Si vous avez un risque ou un contrôle que vous souhaitez faire évaluer par les utilisateurs dans les domaines A et B, le risque ou le contrôle doit être généré ou créé manuellement au niveau global. Si le risque ou le contrôle est créé dans le domaine B, vous ne pourrez pas recréer le risque ou le contrôle dans le domaine A en raison de l’indexation.
Si vous avez un risque ou un contrôle que vous souhaitez faire évaluer par les utilisateurs dans TOP et le domaine A, vous pouvez créer le risque ou le contrôle dans le domaine A.

À moins que les risques et les contrôles ne se trouvent dans le domaine Global, les utilisateurs ne doivent pas affecter de risques ou de contrôles d’un domaine supérieur à des utilisateurs d’un domaine inférieur. Dans l’exemple ci-dessus, si vous avez un contrôle dans le domaine TOP, vous ne devez pas l’attribuer pour attestation aux utilisateurs des domaines A ou B car ces utilisateurs n’auraient pas accès au contrôle ; Par conséquent, le questionnaire d’attestation ou d’évaluation ne serait pas généré.

De même, les utilisateurs ne doivent pas attribuer d’objectifs de contrôle et d’énoncés de risque dans un domaine supérieur à des attestations et des évaluations dans un domaine inférieur. Sinon, le questionnaire d’attestation ou d’évaluation ne serait pas généré.

Cas d'utilisation

Les données GRC pour le service informatique peuvent être séparées des données GRC des autres départements. Chaque domaine d’activité utilisant l’application GRC peut avoir des données distinctes qui ne peuvent pas être partagées avec d’autres départements. Par conséquent, chaque département peut avoir ses propres entités, politiques, contrôles, risques, etc.

Lorsqu’il examine un contrôle à partir du domaine informatique, l’utilisateur peut choisir d’élargir le champ d’application de domaine pour afficher les valeurs du domaine financier ou de réduire le champ d’application de domaine pour afficher uniquement les contrôles qui correspondent au domaine informatique.

Par défaut, Séparation de domaine ajoute un champ de domaine aux tables Tâche [task] et Éléments de configuration [cmdb_ci] et à leurs extensions.

Vous pouvez étendre Séparation de domaine à toutes les nouvelles tables que vous créez en ajoutant un champ sys_domain à la définition de dictionnaire de la table. Par défaut, le système sépare uniquement les tables de plateforme et d’application de base de référence par domaine, le cas échéant.

Avertissement :

ServiceNow ne recommande pas les tables de plateforme de séparation de domaine (toutes les tables portant le préfixe sys_, telles que les tables Entrée de dictionnaire [sys_dictionary] et Remplacement d’entrée de dictionnaire [sys_dictionary_override] ), car cela peut produire des résultats inattendus.

Dans ce cas d’utilisation, les scripts clients, les règles métier, les workflows, les processus, etc., peuvent être séparés par domaine.

Bien que le comportement proposé avec Séparation de domaine fournisse une prise en charge de la mutualisation, celle-ci est toujours contenue dans une seule instance. Cela signifie que certaines propriétés globales, certaines données globales et certains processus globaux sont partagés entre tous les domaines. Par exemple, l’option « Se souvenir de moi » du système sur la page de connexion est globale et ne peut pas être spécifiée par domaine.

Si vous avez besoin d’une séparation complète et totale de toutes les propriétés système et que vous n’avez pas besoin de rapports ou de processus globaux, des instances distinctes sont la meilleure option.

Comment les valeurs de domaine sont allouées aux objets GRC

Enregistrements qui sont générés automatiquement. Le domaine de l’enregistrement est déterminé par l’itérateur de domaine configuré pour la tâche. La table suivante montre comment les valeurs de domaine sont allouées aux différents objets GRC :


Objets GRC	Source de domaine
Entité	Obtient la valeur de domaine à partir de Applies_to.
Entité à type d’entité	Obtient la valeur de domaine à partir du type d’entité.
Évaluation de l’élément	Obtient la valeur de domaine à partir de l’élément (risque ou contrôle).
Problème	Obtient la valeur de domaine à partir de l’élément (risque ou contrôle).
Entité à objet d’information	Obtient la valeur de domaine à partir de l’entité.
Indicateur	Obtient la valeur de domaine à partir du contrôle ou du risque.
Tâche d'indicateur	Obtient la valeur de domaine à partir de l’indicateur.
Données associées	Obtient la valeur de domaine à partir de l’indicateur.
Résultat de l'indicateur	Obtient la valeur de domaine à partir de l’indicateur.

Remarque :

Lorsque la source de domaine est globale ou nulle, le domaine de cet objet est défini sur la valeur par défaut.