მთავარი დასკვნა
დოკუმენტურად აღწერეთ დაფარული ამოცანები, სისტემები და მონაცემები, რომლებზეც მომწოდებელს წვდომა აქვს, ასევე დამტკიცებასა და ესკალაციაზე პასუხისმგებელი პირები.
განსაზღვრეთ სერვისის საზღვრები და პასუხისმგებელი პირები
დააზუსტეთ, მოიცავს თუ არა სერვისი ანგარიშების შექმნასა და გაუქმებას, როლების ცვლილებას, MFA‑ს, წვდომის გადახედვას, მონიტორინგსა და ინციდენტებზე რეაგირებას. თითოეულ ნაბიჯზე პასუხისმგებლობა მომხმარებელს, მომწოდებელსა და იდენტობის სისტემას შორის გაანაწილეთ. განსაზღვრეთ გადაწყვეტილებაზე პასუხისმგებელი პირი და დამტკიცების გზა ანგარიშის გადაუდებელი შეზღუდვისა და თანამშრომლის წასვლისთვის. მოლოდინები რეალურ შეთანხმებას დაუყრდენით და არა ხელშეკრულებებსა თუ SLA‑ებზე ფართო სარეკლამო განცხადებებს.
| საქმიანობა | მომხმარებლის გადაწყვეტილება | მომწოდებელთან შესათანხმებელი ამოცანა |
|---|---|---|
| წვდომის პოლიტიკა და დამტკიცება | ამტკიცებს რესურსზე პასუხისმგებელი პირი | შეთანხმებული ფარგლების ცვლილების შესრულება |
| ინციდენტის შეკავება | ქმედებებისა და ესკალაციის ნებართვა | გამოკვლევა და მხოლოდ შეთანხმებული ქმედებების შესრულება |
| წვდომის გადახედვა | პასუხისმგებელი პირი ადასტურებს საჭიროების შენარჩუნებას | მტკიცებულებების შეგროვება და გაუქმების აღრიცხვა |
| სერვისის შეწყვეტა | მომხმარებელი აკონტროლებს მომსახურების დასრულებისა და მონაცემების მოთხოვნებს | მომწოდებლის წვდომის გაუქმება და მტკიცებულებების გადაცემა |
მინიმუმამდე შეამცირეთ მომწოდებლის წვდომა
განსაზღვრეთ, როდის შეუძლიათ მომწოდებლის თანამშრომლებს მომხმარებლისა და ადმინისტრატორის ანგარიშებზე წვდომა, როგორ გადიან ავთენტიფიკაციას და როგორ აღირიცხება სესიები. მოითხოვეთ ინდივიდუალური ანგარიშები, MFA, შეზღუდული როლები, დამტკიცება, მოქმედების ვადა და მოვალეობების გამიჯვნა. სადაც შესაძლებელია, გამოიყენეთ მომხმარებლის კონტროლქვეშ მყოფი წვდომა მხოლოდ საჭირო მომენტისთვის. შეაფასეთ მხარდაჭერის სისტემებზე წვდომა, მონაცემთა შენახვა, ქვეკონტრაქტორები და ხელშეკრულების დასრულებისას ავტორიზაციის მონაცემების გაუქმება.
გაზომეთ შედეგები და ინციდენტებისთვის მზადყოფნა
შეათანხმეთ ანგარიშგება ანგარიშების დროულ გაუქმებაზე, ჭარბი წვდომის აღმოჩენასა და გაუქმებაზე, დამტკიცების შეფერხებებზე, MFA‑ს დაფარვასა და ღია გამონაკლისებზე. მაჩვენებლები სერვისის რეალურ ფარგლებს უნდა ასახავდეს; ნუ ივარაუდებთ ისეთ შედეგებს, როგორიცაა „სრული დაცვა“. ერთობლივად გაივარჯიშეთ, ვინ იღებს იდენტობასთან დაკავშირებული ინციდენტის შეტყობინებას, როგორ ზიარდება მტკიცებულებები, ვინ თიშავს ანგარიშებსა და ტოკენებს და როგორ აღდგება სერვისი.
IAM‑ის ძირითადი საოპერაციო მოვალეობები
IAM ჩვეულებრივ ასინქრონებს იდენტობების საცავებს, ქმნის, ცვლის და თიშავს ანგარიშებსა და ჯგუფებს, ახორციელებს მომხმარებლებისა და სერვისების ავთენტიფიკაციას, გასცემს როლზე დაფუძნებულ უფლებებს და ხელს უწყობს წვდომის გადახედვას. SAML და OIDC ფედერაციულ შესვლას უზრუნველყოფს; SCIM‑ს ან მხარდაჭერილ კონექტორებსა და API‑ებს აპლიკაციების ანგარიშების შექმნა, განახლება და გათიშვა შეუძლია. ხელმისაწვდომობა აპლიკაციასა და ტენანტის კონფიგურაციაზეა დამოკიდებული; SSO‑ს წარმატებული ინტეგრაცია წვდომის გაუქმებას არ ადასტურებს. ტექნიკურ ავტომატიზაციასთან ერთად დაგეგმეთ ადამიანური დამტკიცებები, გამონაკლისები და თანამშრომელთა წასვლის პროცესები.