Fondamenti di IAM

La gestione delle identità e degli accessi (IAM) è la disciplina che garantisce che le identità giuste abbiano l'accesso giusto alle risorse giuste al momento giusto.

È il fondamento della sicurezza delle organizzazioni.

Tre concetti distinti:

• Identificazione: dichiarare chi si è (un nome utente).
• Autenticazione: dimostrarlo (una password o una chiave).
• Autorizzazione: stabilire che cosa si può fare.

Un'identità rappresenta un'entità: un utente umano, un account di servizio o una macchina.

Nei sistemi di accesso, un'identità autenticata che agisce su una risorsa viene spesso chiamata principal.

Le identità attraversano un ciclo di vita:

• Joiner: viene assegnata quando una persona entra nell'organizzazione.
• Mover: l'accesso viene aggiornato quando cambiano i ruoli.
• Leaver: viene rimossa quando la persona lascia l'organizzazione.

La mancata rimozione lascia account orfani pericolosi.

L'IAM centralizza l'autenticazione, così gli utenti dimostrano la propria identità una sola volta presso un provider di identità (IdP) di fiducia.

In questo modo si evitano sistemi di password frammentati e incoerenti tra le applicazioni.

Una volta autenticati, i soggetti vengono sottoposti all'autorizzazione, che determina i permessi.

I modelli più comuni includono RBAC (basato sui ruoli) e ABAC (basato sugli attributi), che verranno trattati nella prossima lezione.

La terza A di AAA (Authentication, Authorization, Accounting) consiste nel registrare chi ha fatto cosa.

I log di audit supportano le indagini, la conformità e il rilevamento degli abusi.

Gli account di amministrazione e root sono obiettivi di grande valore. Il Privileged Access Management (PAM) aggiunge controlli specifici:

• Elevazione just-in-time
• Registrazione delle sessioni
• Custodia delle credenziali in un vault

Non tutte le identità sono umane. Anche gli account di servizio, i client API e i workload hanno bisogno di un'identità.

Spesso sono più numerosi degli utenti umani e richiedono un'attenta rotazione e una definizione precisa dell'ambito delle credenziali.

Una directory archivia centralmente identità e gruppi. Tra gli esempi ci sono le directory basate su LDAP e le directory cloud.

Le applicazioni interrogano la directory invece di gestire ciascuna il proprio elenco di utenti.

La maggior parte delle violazioni coinvolge credenziali rubate o utilizzate in modo improprio. Un IAM robusto:

• Riduce la superficie di attacco.
• Applica policy coerenti.
• Rende gli accessi verificabili e revocabili.

Ha appreso i fondamenti dell'IAM.

• Distingua tra identificazione, autenticazione e autorizzazione.
• Gestisca il ciclo di vita joiner-mover-leaver.
• Protegga le identità privilegiate e quelle delle macchine, mantenendo i log di audit.

Ora confronteremo i modelli di controllo degli accessi RBAC e ABAC.