Основы IAM

Управление идентификацией и доступом (IAM) — это область, которая обеспечивает правильным идентичностям правильный доступ к правильным ресурсам в правильное время.

Это основа безопасности организации.

Три разных понятия:

• Идентификация: заявление о том, кто Вы (имя пользователя).
• Аутентификация: подтверждение этого (паролем или ключом).
• Авторизация: определение того, что Вам разрешено делать.

Идентичность представляет сущность: человека, служебную учетную запись или машину.

В системах управления доступом аутентифицированную идентичность, выполняющую действия с ресурсом, часто называют субъектом.

Идентичности проходят жизненный цикл:

• Прием: учетная запись создается, когда человек приходит в организацию.
• Перевод: доступ обновляется при изменении роли.
• Увольнение: доступ отменяется, когда человек покидает организацию.

Если не отменить доступ, останутся опасные бесхозные учетные записи.

IAM централизует аутентификацию: пользователи один раз подтверждают свою идентичность у доверенного поставщика идентификации.

Это избавляет приложения от разрозненных и несогласованных систем паролей.

После аутентификации авторизация определяет разрешения.

К распространенным моделям относятся RBAC (на основе ролей) и ABAC (на основе атрибутов), которые мы рассмотрим на следующем уроке.

Третья A в AAA (аутентификация, авторизация и учет) — это ведение журнала того, кто что сделал.

Журналы аудита помогают расследовать инциденты, обеспечивать соответствие требованиям и выявлять злоупотребления.

Учетные записи администраторов и суперпользователей — ценные цели для атак. Управление привилегированным доступом (PAM) добавляет дополнительные меры защиты:

• своевременное повышение привилегий
• запись сеансов
• хранение учетных данных в защищенном хранилище

Не все идентичности принадлежат людям. Служебные учетные записи, клиенты программных интерфейсов и рабочие нагрузки также нуждаются в идентичности.

Их часто больше, чем людей, поэтому необходимо тщательно менять их учетные данные и ограничивать область их действия.

Каталог централизованно хранит идентичности и группы. Примерами служат каталоги на основе LDAP и облачные каталоги.

Приложения запрашивают данные в каталоге, а не ведут собственный список пользователей.

Большинство утечек связано с украденными или неправомерно использованными учетными данными. Надежный IAM:

• уменьшает поверхность атаки;
• обеспечивает единообразное применение политик;
• делает доступ проверяемым и позволяет его отзывать.

Вы изучили основы IAM.

• Различайте идентификацию, аутентификацию и авторизацию.
• Управляйте жизненным циклом приема, перевода и увольнения.
• Защищайте привилегированные и машинные идентичности и ведите журналы аудита.

Далее мы сравним модели управления доступом RBAC и ABAC.