Fundamentos de IAM

O Gerenciamento de identidade e acesso (IAM) é a área responsável por garantir que as identidades certas tenham acesso aos recursos certos no momento certo.

Ele é a base fundamental da segurança organizacional.

Três conceitos distintos:

• Identificação: declarar quem você é (um nome de usuário).
• Autenticação: comprovar isso (uma senha ou chave).
• Autorização: decidir o que você pode fazer.

Uma identidade representa uma entidade: um usuário humano, uma conta de serviço ou uma máquina.

Nos sistemas de acesso, uma identidade autenticada que atua sobre um recurso costuma ser chamada de entidade autorizada.

As identidades passam por um ciclo de vida:

• Entrada: provisionada quando alguém chega.
• Mudança: acesso atualizado quando as funções mudam.
• Saída: desativada quando a pessoa deixa a organização.

Não remover o acesso deixa contas órfãs perigosas.

O IAM centraliza a autenticação para que os usuários comprovem sua identidade uma vez junto a um provedor de identidade (IdP) confiável.

Isso evita sistemas de senha dispersos e inconsistentes entre os aplicativos.

Depois da autenticação, a autorização determina as permissões.

Os modelos comuns incluem RBAC (baseado em funções) e ABAC (baseado em atributos), abordados na próxima lição.

O terceiro A de AAA (Autenticação, Autorização, Contabilização) é registrar quem fez o quê.

Os registros de auditoria ajudam nas investigações, na conformidade e na detecção de uso indevido.

Contas de administrador e de superusuário são alvos de alto valor. O Gerenciamento de Acesso Privilegiado (PAM) adiciona controles extras:

• Elevação sob demanda
• Gravação de sessões
• Armazenamento seguro de credenciais

Nem todas as identidades são humanas. Contas de serviço, clientes de API e cargas de trabalho também precisam de identidade.

Essas identidades geralmente são mais numerosas que as humanas e exigem rotação e definição de escopo cuidadosas das credenciais.

Um diretório armazena identidades e grupos de forma centralizada. Exemplos incluem diretórios baseados em LDAP e diretórios na nuvem.

Os aplicativos consultam o diretório em vez de manter sua própria lista de usuários.

A maioria das violações envolve credenciais roubadas ou usadas indevidamente. Um IAM forte:

• Reduz a superfície de ataque.
• Impõe uma política consistente.
• Torna o acesso auditável e revogável.

Qual é a diferença entre autenticação e autorização?

Você aprendeu os fundamentos do IAM.

• Diferencie identificação, autenticação e autorização.
• Gerencie o ciclo de vida de entrada-mudança-saída.
• Proteja identidades privilegiadas e de máquinas e mantenha registros de auditoria.

Em seguida, compararemos os modelos de controle de acesso RBAC e ABAC.