Ce este gestionarea ciclului de viata al identitatii cu Azure Active Directory?

• 30.10.2020
• 4 minute de citit

In acest articol

Guvernarea identitatii ajuta organizatiile sa realizeze un echilibru intre productivitate – Cat de repede poate o persoana sa aiba acces la resursele de care are nevoie, cum ar fi cand se alatura organizatiei mele? Si securitate – Cum ar trebui sa se schimbe accesul lor in timp, cum ar fi din cauza modificarilor statutului de angajare al acelei persoane?

Gestionarea ciclului de viata al identitatii este fundamentul pentru guvernarea identitatii, iar o guvernanta eficienta la scara necesita modernizarea infrastructurii de gestionare a ciclului de viata a identitatii pentru aplicatii. Managementul ciclului de viata al identitatii isi propune sa automatizeze si sa gestioneze intregul proces al ciclului de viata al identitatii digitale.

Ce este o identitate digitala?

O identitate digitala este informatia despre o entitate utilizata de una sau mai multe resurse de calcul – cum ar fi sistemele de operare sau aplicatiile. Aceste entitati pot reprezenta persoane, organizatii, aplicatii sau dispozitive. Identitatea este de obicei descrisa de atributele care ii sunt asociate, cum ar fi numele, identificatorii, precum si proprietati precum rolurile utilizate pentru gestionarea accesului. Aceste atribute ajuta sistemele sa faca determinari precum cine are acces la ce si cui are permisiunea de a utiliza acest sistem sau altul.

Gestionarea ciclului de viata al identitatilor digitale

Gestionarea identitatilor digitale este o sarcina complexa, mai ales ca se refera la corelarea obiectelor din lumea reala, cum ar fi o persoana si relatia lor cu o organizatie ca angajat al acelei organizatii, cu o reprezentare digitala. In organizatiile mici, pastrarea reprezentarii digitale a persoanelor care necesita o identitate poate fi un proces manual – atunci cand cineva este angajat sau cand vine un contractant, un specialist IT poate crea un cont pentru ei intr-un director si le poate atribui accesul de care au nevoie . Cu toate acestea, in organizatiile de dimensiuni medii si mari, automatizarea poate permite organizatiei sa se extinda mai eficient si sa pastreze identitatile corecte.

Procesul tipic pentru stabilirea managementului ciclului de viata al identitatii intr-o organizatie urmeaza acesti pasi:

1. Determinati daca exista deja sisteme de inregistrare: surse de date pe care organizatia le considera autoritare. De exemplu, organizatia poate avea un sistem de resurse umane Workday si acest sistem este autorizat pentru furnizarea listei actuale a angajatilor si a unor proprietati ale acestora, cum ar fi numele sau departamentul angajatului. Sau un sistem de e-mail, cum ar fi Exchange Online, poate fi autoritar pentru adresa de e-mail a unui angajat.

2. Conectati aceste sisteme de inregistrare cu unul sau mai multe directoare si baze de date utilizate de aplicatii si rezolvati orice neconcordanta dintre directoare si sistemele de inregistrare. De exemplu, un director poate avea date invechite, cum ar fi un cont pentru un fost angajat, care nu mai sunt necesare.

3. Determinati ce procese pot fi utilizate pentru a furniza informatii autoritare in absenta unui sistem de inregistrare. De exemplu, daca exista identitati digitale, dar vizitatori, dar organizatia nu are o baza de date pentru vizitatori, atunci poate fi necesar sa se gaseasca o modalitate alternativa de a determina cand nu mai este necesara o identitate digitala pentru un vizitator.

4. Configurati ca modificarile din sistemul de inregistrare sau alte procese sunt reproduse in fiecare dintre directoarele sau bazele de date care necesita o actualizare.

Managementul ciclului de viata al identitatii pentru reprezentarea angajatilor si a altor persoane cu o relatie organizationala

Atunci cand planifica managementul ciclului de viata al identitatii pentru angajati sau alte persoane cu o relatie organizationala, cum ar fi un antreprenor sau un student, multe organizatii modeleaza procesul de „aderare, mutare si parasire”. Acestea sunt:

• Alaturati-va – cand o persoana intra in domeniul de aplicare al accesului, aceste identitati sunt necesare pentru o identitate, deci este posibil sa fie necesara crearea unei noi identitati digitale daca una nu este deja disponibila
• Mutare – cand o persoana se deplaseaza intre limite, care necesita autorizatii de acces suplimentare pentru a fi adaugate sau eliminate la identitatea lor digitala
• Concediu- atunci cand o persoana paraseste scopul de a avea nevoie de acces, este posibil ca accesul sa fie eliminat si, ulterior, identitatea sa nu mai fie ceruta de alte aplicatii decat in ​​scopuri de audit sau criminalistica

De exemplu, daca un angajat nou se alatura organizatiei dvs., care nu a fost niciodata afiliat cu organizatia dvs., angajatul respectiv va necesita o noua identitate digitala, reprezentata ca un cont de utilizator in Azure AD. Crearea acestui cont ar intra intr-un proces „Joiner”, care ar putea fi automatizat daca ar exista un sistem de evidenta, cum ar fi Workday, care ar putea indica cand noul angajat incepe sa lucreze. Mai tarziu, daca organizatia dvs. are un angajat care trece de la „Vanzari la marketing”, acestea ar cadea intr-un proces de „mutare”. Acest lucru ar necesita eliminarea drepturilor de acces pe care le detineau in organizatia de vanzari pe care nu le mai necesita si acordarea acestora drepturi in cadrul organizatiei de marketing pe care le solicita noi.

Managementul ciclului de viata al identitatii pentru oaspeti

Procese similare sunt necesare si pentru oaspeti si alti utilizatori. Gestionarea drepturilor Azure AD utilizeaza Azure AD business-to-business (B2B) pentru a oferi controalele ciclului de viata necesare pentru a colabora cu persoane din afara organizatiei dvs. care necesita acces la resursele organizatiei dvs. Cu Azure AD B2B, utilizatorii externi se autentifica in directorul lor principal, dar au o reprezentare in directorul dvs. Reprezentarea in directorul dvs. permite utilizatorului sa i se aloce acces la resursele dvs. Gestionarea drepturilor permite persoanelor din afara organizatiei dvs. sa solicite acces, creand o identitate digitala pentru ei, dupa cum este necesar. Aceste identitati digitale sunt eliminate automat atunci cand utilizatorul isi pierde accesul.

Azure AD ofera in prezent aceste caracteristici:

• Utilizatorii care reprezinta angajatii pot fi creati si actualizati automat in Azure AD si Active Directory utilizand aprovizionarea bazata pe resurse umane
• Utilizatorii deja prezenti in Active Directory pot fi creati si intretinuti automat in Azure AD utilizand aprovizionarea inter-director
• Utilizatorii pot fi alocati automat grupurilor pe baza proprietatilor lor, utilizand grupuri dinamice si pot, la cerere, sa fie alocati grupurilor, echipelor, rolurilor Azure AD, rolurilor resurse Azure si site-urilor SharePoint Online, utilizand gestionarea drepturilor si managementul identitatii privilegiate
• Actualizarile catre utilizatori pot fi trimise automat catre mai multe aplicatii folosind aprovizionarea cu aplicatii

Pasii urmatori

• Ce este aprovizionarea?
• Guvernati accesul pentru utilizatorii externi in gestionarea drepturilor Azure AD
• Ce este aprovizionarea bazata pe resurse umane?
• Ce este aprovizionarea cu aplicatii?
• Ce este aprovizionarea inter-director?