IAM Temelleri

Kimlik ve Erişim Yönetimi (IAM), doğru kimliklerin doğru kaynaklara doğru zamanda doğru erişime sahip olmasını sağlama disiplinidir.

Kurumsal güvenliğin belkemiğidir.

Birbirinden farklı üç kavram:

• Kimlik belirleme: kim olduğunuzu belirtmeniz (bir kullanıcı adı).
• Kimlik doğrulama: bunu kanıtlamanız (bir parola veya anahtar).
• Yetkilendirme: ne yapabileceğinize karar verilmesi.

Bir kimlik, bir varlığı temsil eder: insan kullanıcı, hizmet hesabı veya makine.

Erişim sistemlerinde, bir kaynak üzerinde işlem yapan kimliği doğrulanmış kimliğe çoğunlukla yetki öznesi adı verilir.

Kimlikler bir yaşam döngüsünden geçer:

• Katılan: biri kuruma geldiğinde hesabı sağlanır.
• Geçiş yapan: roller değiştiğinde erişimi güncellenir.
• Ayrılan: kurumdan ayrıldığında hesabı devre dışı bırakılır.

Hesapların erişimini kaldırmamak, tehlikeli sahipsiz hesaplar bırakır.

IAM, kimlik doğrulamayı merkezileştirerek kullanıcıların kimliklerini güvenilir bir kimlik sağlayıcısına (IdP) karşı bir kez kanıtlamasını sağlar.

Bu, uygulamalar arasında dağınık ve tutarsız parola sistemlerinin oluşmasını önler.

Kimlik doğrulandıktan sonra izinleri yetkilendirme belirler.

Yaygın modeller arasında bir sonraki derste ele alınacak RBAC (role dayalı) ve ABAC (öznitelik tabanlı) bulunur.

AAA'daki üçüncü A (Authentication, Authorization, Accounting), kimin ne yaptığını kaydetmektir.

Denetim kayıtları incelemeleri ve uyumluluğu destekler, kötüye kullanımı belirlemeye yardımcı olur.

Yönetici ve root hesapları yüksek değerli hedeflerdir. Ayrıcalıklı Erişim Yönetimi (PAM) ek denetimler sağlar:

• Tam zamanında yetki yükseltme
• Oturum kaydı
• Kimlik bilgilerini kasada saklama

Tüm kimlikler insanlara ait değildir. Hizmet hesaplarının, API istemcilerinin ve iş yüklerinin de kimliğe ihtiyacı vardır.

Bunların sayısı çoğu zaman insan kullanıcıların sayısını aşar ve kimlik bilgilerinin dikkatle yenilenmesini ve kapsamının belirlenmesini gerektirir.

Bir dizin, kimlikleri ve grupları merkezi olarak saklar. Örnekler arasında LDAP tabanlı dizinler ve bulut dizinleri bulunur.

Uygulamalar kendi kullanıcı listelerini tutmak yerine dizine sorgu gönderir.

Güvenlik ihlallerinin çoğu çalınmış veya kötüye kullanılmış kimlik bilgilerini içerir. Güçlü IAM:

• Saldırı yüzeyini azaltır.
• Tutarlı bir politika uygular.
• Erişimi denetlenebilir ve geri alınabilir hâle getirir.

IAM'in temellerini öğrendiniz.

• Kimlik belirleme, kimlik doğrulama ve yetkilendirme kavramlarını birbirinden ayırınız.
• Katılan-geçiş yapan-ayrılan yaşam döngüsünü yönetiniz.
• Ayrıcalıklı ve makine kimliklerini koruyunuz ve denetim kayıtlarını saklayınız.

Sırada RBAC ve ABAC erişim denetimi modellerini karşılaştıracağız.