Kas yra ne žmonių tapatybės?

Yra įvairių ne žmonių tapatybių tipų, ir kiekvienas jų organizacijoje kuriamas, naudojamas ir valdomas skirtingai. Kiekvienas tipas atlieka konkretų tikslą, tačiau visi sukurti tam, kad programinės įrangos sistemos galėtų saugiai pasiekti išteklius be žmogaus įsikišimo.

Štai keli iš dažniausių tipų:

1. Tarnybos paskyros yra dažnai naudojamos, rankiniu būdu kuriamos paskyros, kurios leidžia programoms ar tarnyboms sąveikauti su sistemomis. Jos naudojamos norint:
 

• ⁠Vykdyti fonines užduotis arba automatizuotus darbus.
• ⁠Pasiekti failus arba duomenų bazes.
• ⁠Sujungti paslaugas skirtingose sistemose.

Reguliariems sistemos darbams atlikti daugelis organizacijų naudoja tarnybos paskyras, tačiau be tinkamo valdymo jos gali gauti prieigą prie sistemos dalių, kurių joms iš tikrųjų nereikia, o tai gali padidinti riziką saugai.

2. Valdomos tapatybės automatiškai kuriamos ir valdomos debesies platformų, todėl lengviau kontroliuoti, prie ko programinė įranga gali prisijungti. Kiekviena tapatybė susieta su konkrečia sistema ar tarnyba ir egzistuoja tik tol, kol jos reikia. Tai panaikina poreikį kūrėjams rankiniu būdu tvarkyti naudotojų vardus ar slaptažodžius, todėl sumažėja nutekėjimo tikimybė ir pagerėja sauga. Jos dažnai naudojamos norint:
 

• Saugiai autentifikuotis prie debesies tarnybų nesaugant slaptųjų raktų, pvz., slaptažodžių, API raktų ar prieigos atpažinimo ženklų.
• Priskirti prieigos teises pagal vaidmenis, nustatydami minimalų konfigūravimą.
• Efektyviau valdyti programines tapatybes plečiantis debesies aplinkoms.

Naudojant valdomas tapatybes lengviau supaprastinti prieigą, sumažinti prisijungimo informacijos valdymą ir riziką, kad programinė įranga turės daugiau prieigos, nei jai reikia.

3. Tarnybos nariai yra saugos tapatybės, kurias programos arba tarnybos naudoja debesies ištekliams pasiekti. Jie veikia kaip programos tapatybė tapatybių platformoje ir plačiai naudojami:
 

• Automatizavimo ir scenarijų kūrimo užduotims.
• ⁠Kuriant, testuojant ir diegiant darbo eigas.
• Ryšiams tarp debesies paslaugų ir trečiųjų šalių įrankių.

Tarnybos nariai suteikia lankstų, detalų valdymą, kas gali pasiekti programinę įrangą, bet juos reikia atidžiai stebėti, kad būtų išvengta netinkamo naudojimo ir sistemos išliktų saugios.

4. DI agentai yra besiformuojanti ne žmonių tapatybių klasė. DI agentai, veikiantys pagal agentų DI, yra autonomiškos, dinamiškos ne žmonių tapatybės, kurios gali samprotauti, deleguoti ir veikti keliose sistemose be tiesioginio žmogaus įsikišimo. Skirtingai nuo tradicinių NHI, DI agentai gali:
 

• Būti kuriami pagal poreikį ir naudojami keliose srityse.
• Pasiekti API, duomenų bazes ir paslaugas naudojant trumpalaikę arba nuo konteksto priklausančią prisijungimo informaciją.
• Samprotauti apie užduotis ir keisti vaidmenis – kartais veikdami kaip sistemos agentai, kartais žmonių vardu.

Dinamiškas DI agento gyvavimo ciklas kelia iššūkių tradicinėms tapatybių sistemoms, pvz., OAuth arba SAML, kurios skirtos statinėms žmogaus arba mašinos tapatybėms. Naudojant DI agentus, jūsų ne žmonių tapatybių valdymo strategijoms atsiranda naujų reikalavimų, įskaitant:
 

• Trumpalaikė prisijungimo informacija, kuri galioja neilgai ir automatiškai panaikinama.
• ⁠Strategijos vertinimas realiuoju laiku, kad būtų suteikta dinamiška mažiausių būtinų teisių prieiga.
• ⁠Atsakomybė ir audito galimybės už autonominius veiksmus, kuriuos atlieka agentai.
• Žmogiškoji priežiūra slaptoms arba didelės rizikos užduotims, kurias vykdo agentai.

Be tinkamo valdymo DI agentai gali sukurti daug nevaldomų tapatybių, o tai lemtų prisijungimo informacijos išsibarstymą, nepagrįstą teisių augimą ir saugumo spragas.

Organizacijoms naudojant daugiau programinės įrangos įrankių ir paslaugų, ne žmonių tapatybių skaičius vis didėja, o kartu didėja ir poreikis jas išmaniai valdyti. Be atidaus stebėjimo šios tapatybės gali tapti nežinomomis saugos spragomis, ypač jei jos turi per daug teisių, nėra stebimos arba lieka aktyvios, kai jų nebereikia. Tinkamas jų valdymas padeda sumažinti riziką, padidinti matomumą ir apsaugoti sistemas.

Ką tai daro

Ne žmonių tapatybių valdymas apima tapatybių, priklausančių programoms, įrankiams, robotams ir kitoms automatizuotoms sistemoms, aptikimą, organizavimą, apsaugojimą ir stebėjimą. Tai apima:
 

• Tapatybių kūrimą naudojant saugias pavadinimų suteikimo ir prieigos konvencijas.
• Vaidmenų ir teisių priskyrimą pagal tai, ko reikia kiekvienai sistemai.
• Prisijungimo informacijos, pvz., atpažinimo ženklų, raktų ir sertifikatų, apsaugą.
• Naudojimo auditą, siekiant aptikti neįprastą elgesį arba netinkamą teisių naudojimą.
• Automatinį nenaudojamų arba pasibaigusio galiojimo tapatybių pašalinimą.

Kodėl tai svarbu

Organizacijos turėtų naudoti tokius įrankius kaip tapatybių ir prieigos valdymo (IAM) sistemos, kad saugos komandos galėtų valdyti tiek žmonių, tiek ne žmonių tapatybes iš vienos vietos.

Ne žmonių tapatybėms tapatybės ir prieigos valdymo sistemos suteikia:
 

• Matomumo, kurios sistemos pasiekia kuriuos išteklius.
• Strategija pagrįstą prieigos valdymą, užtikrinantį mažiausias būtinas teises.
• Gyvavimo ciklo automatizavimą, mažinantį rankinės priežiūros poreikį.
• Stebėjimą ir registravimą, padedančius aptikti netinkamą naudojimą arba rizikingą elgesį.
• Prisijungimo informacijos rotavimą ir saugojimą saugyklose, kad apsauga būtų geresnė.

Šie įrankiai padeda saugos ir IT komandoms užtikrinti, kad ne žmonių tapatybės veiktų saugiai apibrėžtose ribose ir nekeltų spragų atitikties, matomumo ar valdymo srityse.

Kas veikia geriausiai

Norint efektyviai valdyti ne žmonių tapatybes reikia saugos, automatizavimo ir matomumo pusiausvyros. Ši geriausia praktika padeda sumažinti riziką, išvengti tapatybių išsibarstymo ir užtikrinti, kad sistemos liktų apsaugotos augant jūsų sistemai.

1. Naudokite mažiausių būtinų teisių prieigą. Suteikite tik tokias teises, kokių reikia kiekvienai tapatybei, ir nieko daugiau. Stenkitės nesuteikti plačios arba administratoriaus lygio prieigos. Taip sumažinamas poveikis, jei tapatybė būtų pažeista.

2. Automatizuokite gyvavimo ciklo valdymą. Naudokite tapatybių įrankius, norėdami automatizuoti ne žmonių tapatybių kūrimą, keitimą ir pašalinimą. Tapatybių susiejimas su jų palaikomos užduoties ar tarnybos gyvavimo ciklu padeda išvengti nenaudojamų paskyrų jūsų aplinkoje.

3. Naudokite valdomas tapatybes, kai tik įmanoma. Debesies aplinkose valdomos tapatybės automatiškai pasirūpina saugia prieiga ir slaptažodžių atnaujinimais. Tai reiškia, kad nereikia saugoti slaptos informacijos, pvz., slaptažodžių ar prieigos raktų, savo kode.

4. Centralizuokite matomumą ir kontrolę. Sekite visas ne žmonių tapatybes, naudodami centralizuotą IAM sistemą. Matomumas debesyje, vietinėje ir hibridinėje aplinkose padeda lengviau pastebėti nenaudojamas, neteisingai sukonfigūruotas ar rizikingas tapatybes.

5. Apsaugokite prisijungimo informaciją. Laikykite slaptą informaciją, pvz., slaptažodžius, prieigos raktus ir saugos sertifikatus, saugioje saugykloje, o ne programos kode ar parametrų failuose. Reguliariai juos atnaujinkite ir stebėkite bet kokią neįprastą veiklą.

6. Stebėkite ir tikrinkite veiklą. Nustatykite registravimą ir įspėjimus, kad galėtumėte sekti, kaip naudojamos ne žmonių tapatybės. Ieškokite neįprastų, per didelių prieigos bandymų arba netikėto elgesio, kuris galėtų rodyti netinkamą naudojimą.

7. Reguliariai peržiūrėkite ir išvalykite. Planuokite reguliarias ne žmonių tapatybių ir jų teisių peržiūras. Pašalinkite nenaudojamas tapatybes ir apribokite pernelyg plačią prieigą, kad aplinka būtų švari ir saugi.

Taikydamos šią geriausią praktiką, organizacijos gali užkirsti kelią su tapatybėmis susijusioms rizikoms ir kartu užtikrintai palaikyti automatizavimą ir inovacijas.

Ką tai suteikia
 

• Didesnis saugumas ribojant dažnai nepastebimas prieigos vietas.
• Paprastesnis auditas ir atitikties užtikrinimas, geriau sekant, kas arba kokios sistemos turi prieigą.
• Mažesnė klaidų ar per didelio prieigos naudojimo tikimybė, nes teisės yra gerai valdomos.
• Didesnis efektyvumas automatizuojant tapatybių nustatymą, stebėjimą ir valymą.

Turint tinkamas sistemas ir praktiką, ne žmonių tapatybių valdymas tampa galimybe sustiprinti saugumą ir kartu užtikrinti šiuolaikinių IT operacijų spartą ir mastą.

Prieigai valdyti šiandieniniame debesies sujungtame pasaulyje reikia daugiau nei tik tradicinių tapatybių įrankių. „Microsoft“ tapatybės ir prieigos valdymo sprendimai padeda organizacijoms apsaugoti naudotojus, įrenginius, programas ir automatizuotas paslaugas, nesvarbu, iš kur jie jungiasi ar kokius metodus arba technologijas naudoja.

„Microsoft Entra“ tapatybės ir tinklo prieigos valdymo sprendimai sukurti tam, kad padėtų užkirsti kelią atakoms, užtikrintų mažiausių būtinų teisių prieigą ir pagerintų naudotojų patirtį, kartu suteikdami saugią prieigą prie išteklių. Tokie įrankiai kaip Microsoft Entra ID, „Microsoft Entra ID“ valdymas, „Microsoft Entra“ išorinis ID ir „Microsoft Entra“ darbo krūvio ID yra specialiai sukurti ne žmonių tapatybėms valdyti.

Kaip išsamus prieigos valdymo sprendimas „Microsoft Entra“ suteikia saugią prieigą darbo jėgos, klientų, partnerių ir ne žmonių tapatybėms prie išteklių vietinėse ir debesies aplinkose. Tai apima tokias galimybes kaip:
 

• Vienkartinis prisijungimas, kad prieiga prie programų ir paslaugų būtų paprastesnė.
• Kelių dalių autentifikavimas, įskaitant be slaptažodžio, ir dviejų veiksnių autentifikavimas, pvz., biometrija, FIDO raktai ir autentifikavimo programos.
• ⁠Privilegijuotosios prieigos valdymas, skirtas apsaugoti ir stebėti didelį poveikį turinčias paskyras su daugiau teisių.
• Prisijungimo sauga, apsauganti nuo brutalia jėga vykdomų atakų, pakartotinio slaptažodžių naudojimo ir sesijos perėmimo.
• ⁠Sąlyginė prieiga, kuri koreguoja teises pagal realaus laiko signalus, pvz., rizikos lygį, vietą ir įrenginio būklę.
• Tapatybės apsauga realiu laiku aptinkant grėsmes ir automatiškai reaguojant.
• Šiuolaikinė tinklo prieiga prie viešų ir privačių tinklų.
• Prieigos valdymas, skirtas stebėti, peržiūrėti ir automatizuoti, kaip naudotojai ir sistemos gauna prieigą.

Ši vieninga platforma padeda apsaugoti visas tapatybes – žmonių ir ne žmonių – kartu palaikydama saugią prieigą debesies ir hibridinėse aplinkose. Su integruotais valdymo, teisių ir automatizavimo įrankiais „Microsoft Entra“ suteikia organizacijoms lankstumo valdyti tapatybes kiekviename lygyje.

„Microsoft Entra“ darbo krūvio ID

Kai įmonės naudoja daugiau automatizavimo, debesies programėlių ir susietų tarnybų, valdyti programinės įrangos tapatybes tampa tiek pat svarbu kaip ir apsaugoti žmonių tapatybes. „Microsoft Entra“ darbo krūvio ID suteikia centralizuotų įrankių šioms ne žmonių tapatybėms apsaugoti apimdamos tarnybų narius, programėles ir valdomas tapatybes, kad padėtų komandoms:
 

• Priskirti prieigą be stipriai užkoduotos prisijungimo informacijos
• ⁠Sekti, kaip programinė įranga jungiasi skirtingose aplinkose
• ⁠Stebėti tapatybės būklę ir naudojimą

Kartu su „Microsoft Entra ID“ apsauga darbo krūvio ID nuolat stebi ne žmonių tapatybes, ar nėra pažeidimo požymių, pavyzdžiui, nutekėjusių slaptųjų raktų, neįprastų prisijungimo modelių ar grėsmių žvalgybos atitikčių, ir pažymi jas, kad būtų galima nedelsiant pašalinti grėsmę.

Funkcijos

Saugiai valdykite ne žmonių prieigą didelėse aplinkose naudodami tokias „Microsoft Entra“ darbo krūvio ID funkcijas kaip:
 

• Automatinis tapatybių aptikimas. Aptikite ir inventorizuokite užduočių tapatybes, pavyzdžiui, programėles, tarnybas ir scenarijus, „Azure“ ir hibridinėse aplinkose.
• ⁠Autentifikavimas be prisijungimo informacijos. Panaikinkite poreikį saugoti slaptažodžius ar kodo prieigos raktus naudodami valdomas tapatybes ir laikinuosius saugios, automatizuotos prieigos atpažinimo ženklus.
• ⁠Mažiausių būtinų teisių prieigos užtikrinimas. Taikykite pagal vaidmenį suteiktas teises, kurios suteikia prieigą tik tiek, kiek reikia kiekvienai užduočiai, ir taip padeda sumažinti riziką dėl pernelyg daug teisių turinčių tapatybių.
• ⁠Sąlyginė prieiga darbo krūviams. Taikykite realiojo laiko strategijas pagal rizikos lygį, vietą ir kontekstą, kad nulinio pasitikėjimo valdikliai būtų taikomi ir ne žmonių tapatybėms.
• ⁠Centralizuotas stebėjimas ir ataskaitos. Naudodami integruotą registravimą, neatitikimų aptikimą ir auditui paruoštas ataskaitas, matykite darbo krūvio tapatybės veiklą.
• ⁠Integravimas su „Microsoft Entra“ ekosistema. Naudokite „Microsoft“ darbo krūvio ID kartu su „Entra ID“, ID apsauga, ID valdymu ir kitais „Microsoft“ saugos įrankiais, kad tapatybių sauga būtų vieninga.

Rezultatai

Organizacijos, naudojančios „Microsoft Entra“ darbo krūvio ID, gali:
 

• Automatiškai aptikti ir valdyti darbo krūvio tapatybes „Azure“ ir kitose aplinkose.
• ⁠Taikyti mažiausių būtinų teisių prieigą su vaidmenimis pagrįsta prieigos kontrole ir sąlyginės prieigos strategijomis.
• Stiprinti prisijungimo informacijos apsaugą pašalinant stipraus kodo slaptuosius raktus ir įgalinant saugius autentifikavimo metodus.
• ⁠Pagerinti saugos matomumą nuolat vykdant stebėseną ir aptinkant riziką keliančią veiklą.
• Palengvinti auditą ir atitiktį naudojant centralizuotą tapatybės valdymą ir strategijų valdiklius.

Pavyzdiniai scenarijai, atspindintys realaus pasaulio iššūkius

Saugių programinės įrangos leidimų automatizavimas finansų tarnybose

Finansų įstaiga kuria ir diegia klientams skirtas programėles, naudodama automatizuotus įrankius programinei įrangai kurti ir paleisti. Kad sumažintų prisijungimo informacijos nutekėjimo riziką, jie naudoja „Microsoft Entra“ darbo krūvio ID ir kiekvienam leidimo ciklo etapui priskiria valdomas tapatybes.

Tai padeda organizacijai:
 

• Pašalinti stipraus kodo slaptuosius raktus automatizavimo scenarijuose.
• Apriboti prieigą prie slaptų finansinių duomenų ir API, atsižvelgdami į aplinką ir užduotį.
• Paspartinti atitikties patikras, palaikant aiškias prieigos sekas.

Patikimų duomenų mainų palaikymas sveikatos priežiūros institucijų internetu sąveikaujančių įrenginių sistemose

Sveikatos priežiūros paslaugų teikėjas naudoja su internetu sąveikaujančiais įrenginiais susietus medicinos įrenginius, kad rinktų ir siųstų paciento telemetrijos duomenis į debesyje talpinamas programėles ir stebėtų realiuoju laiku. Kiekvienam įrenginiui suteikiama unikali tapatybė naudojant „Microsoft Entra“ darbo krūvio ID, kad būtų patvirtintas jo autentiškumas ir užtikrintas saugus ryšys.

Taikydamas šį metodą, paslaugų teikėjas gali:
 

• Automatiškai autentifikuoti įrenginius prieš jiems perduodant paciento duomenis.
• Neleisti neautorizuotiems įrenginiams pasiekti reguliuojamų sveikatos sistemų.
• Supaprastinti tapatybių valdymą keičiant ar šalinant įrenginius.

Prieigos apsauga mažmeninės prekybos automatizavimo robotams

Didelė mažmeninės prekybos įmonė naudoja DI valdomus robotus inventoriui sekti, atsargoms užsakyti ir pardavimo vietų tendencijoms analizuoti. Kiekvienam robotui reikia pritaikytos prieigos prie vidinių sistemų, pvz., inventoriaus duomenų bazių ar tiekėjų API. „Microsoft Entra“ darbo krūvio ID leidžia IT komandai paskirti ir įjungti konkrečias teises kiekvienam robotui.

Tai leidžia įmonei:
 

• Priskirti prieigą pagal konkrečią kiekvieno roboto funkciją.
• Sumažinti riziką išvengiant plačių, numatytųjų teisių.
• Tikrinti veiklą, kad užtikrintų atitiktį vidaus ir pramonės standartams.