การยืนยันตัวตนและอุปกรณ์

ผู้ให้บริการตัวตน คือระบบศูนย์กลางที่ยืนยันตัวตนผู้ใช้และออกโทเค็นสำหรับบริการอื่นๆ ผู้ให้บริการตัวตนสมัยใหม่รองรับ SSO, MFA และการเข้าถึงตามเงื่อนไข ตัวอย่างเช่น Okta, Azure AD (Entra ID), Google Workspace และ Ping Identity

SSO ช่วยให้ผู้ใช้ยืนยันตัวตนกับ IdP เพียงครั้งเดียวและเข้าถึงแอปพลิเคชันหลายรายการได้โดยไม่ต้องป้อนข้อมูลรับรองซ้ำ สร้างขึ้นบนโพรโทคอล SAML 2.0 หรือ OIDC ประโยชน์ด้านความปลอดภัยคือข้อมูลรับรองน้อยลงหมายถึงโอกาสถูกขโมยข้อมูลรับรองน้อยลง และการควบคุมความปลอดภัยถูกรวมศูนย์ไว้ที่ IdP

โพรโทคอล SSO ที่ใช้กันอย่างแพร่หลายสองแบบ:

• SAML 2.0 — อิง XML ใช้ในองค์กร และแอปพลิเคชันรุ่นเก่ารองรับอย่างกว้างขวาง
• OIDC (OpenID Connect) — อิง JSON/JWT เป็นเทคโนโลยีสมัยใหม่ สร้างบน OAuth 2.0 และใช้โดยแอปพลิเคชันคลาวด์และอุปกรณ์เคลื่อนที่

ทั้งสองแบบมอบหมายการยืนยันตัวตนให้ IdP และส่งโทเค็นที่มีลายเซ็นกลับไปยังแอปพลิเคชัน

ผู้ให้บริการตัวตนสมัยใหม่รองรับ การเข้าถึงตามเงื่อนไข ซึ่งเป็นการตัดสินใจเรื่องสิทธิ์เข้าถึงโดยอิงสัญญาณความเสี่ยง:

• บทบาทผู้ใช้และการเป็นสมาชิกกลุ่ม
• สถานะการปฏิบัติตามข้อกำหนดของอุปกรณ์
• ตำแหน่งทางภูมิศาสตร์
• ช่วงเวลาของวัน
• คะแนนความเสี่ยง (ความผิดปกติในการลงชื่อเข้าใช้)

สัญญาณความเสี่ยงสูงจะเรียกใช้ MFA เพิ่มเติมหรือบล็อกการเข้าถึงทั้งหมด

MDM ลงทะเบียนและจัดการอุปกรณ์ พร้อมบังคับใช้นโยบายความปลอดภัย:

• กำหนดให้ใช้ PIN หรือข้อมูลชีวมาตรสำหรับล็อกหน้าจอ
• กำหนดให้เข้ารหัสดิสก์
• บังคับอัปเดต OS
• รองรับการลบข้อมูลจากระยะไกล
• รายงานการปฏิบัติตามข้อกำหนดไปยัง IdP เพื่อใช้กับการเข้าถึงตามเงื่อนไข

ตัวอย่างเช่น Microsoft Intune, Jamf (Apple) และ VMware Workspace ONE

ใบรับรองอุปกรณ์ผูกตัวตนทางการเข้ารหัสเข้ากับอุปกรณ์ที่มีการจัดการแต่ละเครื่อง ใบรับรองออกโดย CA ขององค์กรผ่าน MDM นโยบายความเชื่อถือเป็นศูนย์สามารถกำหนดให้ต้องมีใบรับรองอุปกรณ์ที่ใช้งานได้ก่อนให้สิทธิ์เข้าถึง — อุปกรณ์ส่วนตัวที่ไม่ได้อยู่ภายใต้การจัดการจะถูกบล็อก แม้จะมีข้อมูลรับรองผู้ใช้ที่ถูกต้อง

ความเชื่อถือเป็นศูนย์ใช้ข้อมูลการตรวจวัดจาก EDR เป็นสัญญาณแสดงสถานะอุปกรณ์ IdP สามารถสอบถามได้ว่าติดตั้ง EDR แล้วและทำงานปกติหรือไม่ก่อนให้สิทธิ์เข้าถึง หาก EDR ตรวจพบอุปกรณ์ที่ถูกบุกรุก ระบบจะเพิกถอนการเข้าถึงโดยอัตโนมัติผ่านการผสานการทำงานกับการเข้าถึงตามเงื่อนไข

การเข้าถึงแบบทันเวลาพอดี (PIM — การจัดการตัวตนที่มีสิทธิ์สูง) ให้สิทธิ์ระดับสูงเฉพาะเมื่อจำเป็นและในระยะเวลาจำกัด โดยต้องได้รับอนุมัติ ไม่มีการกำหนดบทบาทผู้ดูแลระบบไว้ถาวร Azure AD PIM, ข้อมูลรับรองชั่วคราวของ AWS IAM และ HashiCorp Vault รองรับแนวทางนี้

แอปพลิเคชันก็ต้องมีการตรวจสอบตัวตนเช่นกัน แนวทางที่ใช้ ได้แก่:

• บัญชีบริการพร้อมโทเค็นอายุสั้น
• mTLS — TLS แบบสองทางที่ทั้งไคลเอ็นต์และเซิร์ฟเวอร์แสดงใบรับรอง
• SPIFFE/SPIRE — กรอบงานตัวตนของภาระงานสำหรับไมโครเซอร์วิส

ในสภาพแวดล้อมซอฟต์แวร์ในรูปแบบบริการและคลาวด์ การแยกตัวตนช่วยป้องกันการเข้าถึงข้ามผู้เช่า พื้นที่ตัวตนของลูกค้าแต่ละรายต้องถูกแยกออกจากกันอย่างเคร่งครัด ข้อบกพร่องที่ทำให้ผู้เช่ารายหนึ่งเข้าถึงข้อมูลของอีกรายได้ถือเป็นช่องโหว่ร้ายแรง

นอกเหนือจากการยืนยันตัวตนในแต่ละวัน ธรรมาภิบาลด้านตัวตนช่วยให้มั่นใจว่า:

• มีการทบทวนสิทธิ์เข้าถึงเป็นประจำ (การรับรอง) — ผู้จัดการตรวจสอบว่าใครบ้างมีสิทธิ์เข้าถึง
• จัดสรรและยกเลิกการจัดสรรโดยอัตโนมัติผ่าน SCIM
• ตรวจพบและลบบัญชีที่ไม่มีผู้ดูแล
• บังคับใช้การแบ่งแยกหน้าที่

ตัวตนในความเชื่อถือเป็นศูนย์ประกอบด้วย IdP แบบรวมศูนย์ที่มี SSO (SAML/OIDC), MFA และนโยบายการเข้าถึงตามเงื่อนไข การตรวจสอบอุปกรณ์ดำเนินการผ่านการตรวจสอบการปฏิบัติตามข้อกำหนดของ MDM และใบรับรองอุปกรณ์ การเข้าถึงแบบทันเวลาพอดี/PIM ช่วยขจัดสิทธิ์ผู้ดูแลระบบที่มีอยู่ตลอดเวลา ตัวตนของบริการใช้ mTLS และ SPIFFE ธรรมาภิบาลด้านตัวตนพร้อมการทบทวนสิทธิ์เข้าถึงและการจัดสรรผ่าน SCIM โดยอัตโนมัติ ช่วยรักษาหลักสิทธิ์น้อยที่สุดไว้ได้ตลอดเวลา