Podstawy IAM

Zarządzanie tożsamością i dostępem (IAM) to dziedzina zajmująca się zapewnieniem, aby właściwe tożsamości miały właściwy dostęp do właściwych zasobów we właściwym czasie.

Stanowi ono podstawę bezpieczeństwa organizacji.

Trzy odrębne pojęcia:

• Identyfikacja: deklarowanie, kim się jest (nazwa użytkownika).
• Uwierzytelnianie: potwierdzanie tego (hasło lub klucz).
• Autoryzacja: decydowanie, co wolno zrobić.

Tożsamość reprezentuje jednostkę: użytkownika, konto usługi lub maszynę.

W systemach kontroli dostępu uwierzytelniona tożsamość wykonująca operację na zasobie jest często nazywana podmiotem.

Tożsamości przechodzą przez cykl życia:

• Joiner: konto jest tworzone, gdy dana osoba dołącza do organizacji.
• Mover: dostęp jest aktualizowany po zmianie ról.
• Leaver: konto jest usuwane, gdy dana osoba odchodzi.

Brak usunięcia konta pozostawia niebezpieczne osierocone konta.

IAM centralizuje uwierzytelnianie, dzięki czemu użytkownicy potwierdzają tożsamość jednorazowo wobec zaufanego dostawcy tożsamości (IdP).

Eliminuje to rozproszone i niespójne systemy haseł w poszczególnych aplikacjach.

Po uwierzytelnieniu autoryzacja określa uprawnienia.

Do typowych modeli należą RBAC (oparty na rolach) i ABAC (oparty na atrybutach), które omówimy w następnej lekcji.

Trzecie A w modelu AAA (uwierzytelnianie, autoryzacja, rozliczanie) oznacza rejestrowanie informacji o tym, kto wykonał daną czynność.

Dzienniki audytowe wspierają prowadzenie dochodzeń, zgodność z przepisami i wykrywanie nadużyć.

Konta administratora i root są cennymi celami ataków. Zarządzanie dostępem uprzywilejowanym (PAM) zapewnia dodatkowe mechanizmy kontroli:

• nadawanie uprawnień na żądanie
• rejestrowanie sesji
• przechowywanie poświadczeń w sejfie

Nie wszystkie tożsamości należą do ludzi. Konta usług, klienci API i obciążenia również wymagają tożsamości.

Często jest ich więcej niż użytkowników, dlatego wymagają starannej rotacji poświadczeń i precyzyjnego określania zakresu uprawnień.

Katalog przechowuje centralnie tożsamości i grupy. Przykładami są katalogi oparte na LDAP oraz katalogi chmurowe.

Aplikacje odpytują katalog zamiast utrzymywać własną listę użytkowników.

Większość naruszeń bezpieczeństwa obejmuje skradzione lub niewłaściwie użyte poświadczenia. Silny IAM:

• Ogranicza powierzchnię ataku.
• Wymusza spójną politykę.
• Sprawia, że dostęp można poddać audytowi i odebrać.

Dowiedział się Pan / Dowiedziała się Pani podstaw IAM.

• Należy rozróżniać identyfikację, uwierzytelnianie i autoryzację.
• Należy zarządzać cyklem życia joiner-mover-leaver.
• Należy chronić uprzywilejowane i maszynowe tożsamości oraz przechowywać dzienniki audytowe.

Następnie porównamy modele kontroli dostępu RBAC i ABAC.