IAM-basisprincipes

Een identiteit vertegenwoordigt een entiteit: een menselijke gebruiker, een serviceaccount of een machine.

In toegangsbeheersystemen wordt een geauthenticeerde identiteit die toegang vraagt tot een middel vaak een principal genoemd.

Identiteiten doorlopen een levenscyclus:

• Instromer: krijgt toegang wanneer iemand binnenkomt.
• Doorstromer: krijgt bijgewerkte toegang wanneer rollen veranderen.
• Uitstromer: verliest toegang wanneer iemand vertrekt.

Als je toegang niet intrekt, blijven gevaarlijke verweesde accounts achter.

IAM centraliseert authenticatie, zodat gebruikers hun identiteit één keer bewijzen bij een vertrouwde identiteitsprovider (IdP).

Zo voorkom je versnipperde en inconsistente wachtwoordsystemen in verschillende applicaties.

Zodra een gebruiker is geauthenticeerd, bepaalt autorisatie de machtigingen.

Veelgebruikte modellen zijn onder andere RBAC (op rollen gebaseerd) en ABAC (op attributen gebaseerd); die behandelen we in de volgende les.

De derde A in AAA (Authenticatie, Autorisatie, Verantwoording) is vastleggen wie wat heeft gedaan.

Controlelogboeken ondersteunen onderzoeken en naleving van regels en helpen misbruik te detecteren.

Beheerder- en rootaccounts zijn waardevolle doelwitten. Beheer van bevoorrechte toegang (PAM) voegt extra maatregelen toe:

• Tijdelijke verhoging van rechten
• Sessieopname
• Opslag van inloggegevens in een kluis

Niet alle identiteiten zijn menselijk. Serviceaccounts, API-clients en werklasten hebben ook een identiteit nodig.

Deze zijn vaak talrijker dan menselijke gebruikers en vereisen zorgvuldig rouleren en afbakenen van inloggegevens.

Een directory slaat identiteiten en groepen centraal op. Voorbeelden zijn LDAP-gebaseerde directories en clouddirectory's.

Applicaties vragen de directory op in plaats van hun eigen gebruikerslijst bij te houden.

Bij de meeste beveiligingsinbreuken zijn gestolen of misbruikte inloggegevens betrokken. Sterk IAM:

• Verkleint het aanvalsoppervlak.
• Dwingt een consistent beleid af.
• Maakt toegang controleerbaar en intrekbaar.

Je hebt de basisbeginselen van IAM geleerd.

• Maak onderscheid tussen identificatie, authenticatie en autorisatie.
• Beheer de levenscyclus van instromers, doorstromers en uitstromers.
• Bescherm bevoorrechte en machine-identiteiten en houd controleregisters bij.

Vervolgens vergelijken we de RBAC- en ABAC-modellen voor toegangsbeheer.