Revues de l'accès dans Oracle Access Governance : Certifier les privilèges d'accès avec des campagnes et des microcertifications axées sur les événements
Les révisions d'accès, également appelées certification d'accès ou attestation d'accès, sont le processus permettant d'évaluer et de certifier les privilèges d'accès accordés aux identités au sein d'une entreprise. Il vérifie et certifie si les privilèges accordés sont toujours requis et s'alignent sur l'emploi en cours. Utilisez la fonction Révisions d'accès d'Oracle Access Governance pour vérifier les privilèges d'accès. Prenez des décisions d'examen rapides et précises en examinant des renseignements et des recommandations fondées sur l'intelligence artificielle et fondées sur des analyses prescriptives.
Les entreprises disposent d'un vaste paysage distribué entre les systèmes sur place et en nuage. Pour éviter une accumulation excessive d'autorisations non pertinentes ou un accès non autorisé aux informations critiques, les révisions d'accès sont exécutées régulièrement pour surveiller et certifier les accès. Ces éléments sont essentiels pour la gestion des accès sécurisés et les processus de conformité.
Principaux avantages d'effectuer des révisions d'accès avec Oracle Access Governance
Les révisions d'accès aident les entreprises à gérer les changements fréquents d'accès, à réduire les coûts, à gérer le cycle de vie de l'accès aux identités, à maintenir la conformité et à renforcer la sécurité. Les entreprises gèrent quotidiennement de nombreux changements d'accès. Les examens réguliers peuvent détecter et supprimer de manière proactive les autorisations excessives ou les privilèges non pertinents.
La fonction Révisions d'accès d'Oracle Access Governance offre différents types de révision des privilèges d'accès. Par exemple, utilisez des campagnes pour lancer un jeu de révisions d'accès ponctuelles ou périodiques, ou utilisez des micro-certifications, qui sont basées sur une modification d'événement, une modification de graphique temporel ou la détection d'un compte orphelin.
- Réduire le coût en fournissant des recommandations pour supprimer les ressources ou licences non essentielles et indésirables. Par exemple, révoquer l'accès à l'application pour les employés qui n'en ont plus besoin.
- Renforcez la sécurité d'une entreprise en vérifiant régulièrement les accès, en vous assurant que les ressources appropriées disposent d'un nombre suffisant d'accès pour leur rôle. Par exemple, Oracle Access Governance effectue des microcertifications automatiques pour détecter les modifications d'événement (modification d'emplacement, modification de service), les modifications de chronologie ou les comptes orphelins qui posent une menace pour la sécurité.
- Satisfaire aux exigences et à la conformité en matière de gouvernance en tenant à jour des rapports de vérification périodiques de la vérification des accès. Par exemple, assurer la conformité aux réglementations de l'industrie et aux lois de conformité, telles que GDPR, HIPAA, SOX, au moyen de campagnes de révision d'accès régulières.
- Simplifier la prise de décision en recommandant des analyses d'examen des accès basées sur l'intelligence artificielle ou l'apprentissage automatique, telles que l'analyse de groupes de pairs, la détection des valeurs aberrantes ou des recommandations. Par exemple, Oracle Access Governance recommande de révoquer un privilège à risque élevé pour une identité basée sur des analyses prescriptives.
Types de révisions d'accès offertes par Oracle Access Governance
Oracle Access Governance vous permet d'exécuter des révisions d'accès ad hoc ou périodiques des campagnes sur un jeu d'identités, de groupes, de comptes, de rôles, de politiques et d'autorisations. Vous pouvez même exécuter des révisions de responsabilité pour vérifier la responsabilité des ressources. Utilisez des microcertifications en temps quasi réel pour exécuter des révisions automatiques sur des composants spécifiques en fonction de l'occurrence d'un changement d'événement, d'un changement de chronologie ou de comptes sans correspondance.
Campagnes de révision d'accès : Révisions d'accès ad hoc ou périodiques
Utilisez des campagnes pour lancer un processus de révision d'accès périodique ou ad hoc. Il s'agit de évaluations basées sur des instantanés, qui saisissent toutes les informations d'accès pertinentes à un moment donné, puis qui évaluent et génèrent des tâches de révision d'accès. Toute modification apportée aux données après la configuration des campagnes ne sera pas prise en compte dans ces évaluations.
Révisions d'accès aux identités
Les révisions d'accès aux identités font référence à l'évaluation des privilèges d'accès pour les identités de votre entreprise, où l'accès à une ressource spécifique est vérifié ou validé. Vous pouvez certifier l'accès pour les identités du main-d'oeuvre et des consommateurs en exécutant les révisions d'accès aux identités. Les réviseurs, qui sont des utilisateurs actifs du service Effectif, peuvent accepter ou révoquer les privilèges affectés.
- Utilisateurs (qui a accès?) : Sélectionnez un jeu d'attributs d'identité de base et personnalisés.
- Applications (à quoi accèdent-elles?) : Sélectionnez des services, des applications ou des comptes en nuage.
-
Autorisations (quelles autorisations?) : Sélectionnez les autorisations affectées directement dans votre système géré ou les autorisations provisionnées dans Oracle Access Governance. Vous pouvez utiliser ces critères pour certifier rapidement les privilèges de tous les systèmes orchestrés en fonction des autorisations ingérées directement à partir du système géré. Celles-ci sont également appelées "autorisations réconciliées". Pour plus d'informations sur l'exécution de révisions basées sur des autorisations, voir Révisions d'accès aux identités basées sur les autorisations affectées directement dans les systèmes gérés. Note
- Pour le système Oracle Access Governance, vous pouvez exécuter des révisions en fonction des autorisations affectées directement (
DIRECT) ou des ensembles d'accès accordés à la suite d'une demande de la vignette Quelles autorisations? . Les autorisations ou les comptes provisionnés au moyen de la politique ne sont pas admissibles dans cette vérification. - Vous pouvez provisionner des groupes et des rôles d'application OCI IAM en créant un ensemble d'accès. Pour le système Oracle Cloud Infrastructure (OCI), vous pouvez vérifier les ensembles d'accès OCI à partir de la vignette Quelles autorisations? .
DIRECT) ou des ensembles d'accès accordés à la suite d'une demande de la vignette Quelles autorisations? . Les autorisations ou les comptes provisionnés au moyen de la politique ne sont pas admissibles dans cette vérification. - Pour le système Oracle Access Governance, vous pouvez exécuter des révisions en fonction des autorisations affectées directement (
- Rôles (quel rôle?) : Sélectionnez les rôles provisionnés pour les identités.
Exemple : Vous pouvez exécuter des campagnes pour évaluer et certifier si des collaborateurs juniors ou des sous-traitants de votre organisation ont accès à des autorisations critiques ou à des informations restreintes.
Révisions d'accès aux identités basées sur les autorisations affectées directement dans les systèmes gérés
Vous pouvez certifier les accès d'identité en exécutant des révisions d'accès aux identités sur les autorisations ingérées directement à partir du système géré. Celles-ci sont également appelées "autorisations réconciliées". Les autorisations rapprochées font référence aux autorisations inhérentes qui sont provisionnées directement dans les systèmes gérés sans les provisionner à partir d'Oracle Access Governance. Exécutez ces révisions en sélectionnant le système Oracle Access Governance dans la page Campagnes.
À l'aide de synthèses et de recommandations, les réviseurs peuvent prendre des mesures pour accepter ou révoquer ces autorisations. Toutefois, pour gérer vos accès à un niveau granulaire, utilisez les ensembles d'accès pour provisionner les autorisations.
Lorsque vous sélectionnez un jeu d'autorisations dans la vignette Quelles autorisations?, le système génère des tâches de vérification pour toutes les identités admissibles ayant accès à ces autorisations directement ou au moyen d'une demande (ensembles d'accès).
- Identités avec autorisations accordées directement avec le type d'autorisation DIRECT.
- Identités avec des autorisations accordées dans le cadre d'ensembles d'accès avec le type d'autorisation Demande.
- Identités avec des autorisations accordées au moyen de rôles ayant le type d'autorisation Demande.
- Comptes des identités qui sont provisionnées directement ou demandées. Note
Les autorisations ou les comptes provisionnés au moyen d'une politique, ou les comptes d'identité Oracle Identity Governance (OIG) et Oracle Cloud Infrastructure (OCI) ne sont pas couverts par cette révision.
Les composants admissibles à la révision varient en fonction des critères sélectionnés. Pour plus de détails, consultez le tableau sous Types de système orchestrés admissibles pour lancer des campagnes de révision d'accès.
- Les autorisations affectées directement ou les ensembles d'accès accordés au moyen d'une demande sont disponibles pour révision dans la vignette Quelles autorisations?. Le type d'autorisation doit être Request (Demande) ou DIRECT (DIRECT) pour que les autorisations soient incluses dans les évaluations.
- Si des autorisations directement affectées sont associées à un ensemble d'accès, qui est ensuite provisionné pour les identités au moyen de la demande, vous ne verrez que l'ensemble d'accès et non les autorisations individuelles. Pour les rôles provisionnés aux identités au moyen de la demande, elle apparaît en tant que rôle sous la vignette Quels rôles?.
Exemple : Si les autorisations Lecture et Modifier sont incluses dans un ensemble d'accès et provisionnées pour des identités au moyen de la demande, vous ne pourrez pas voir et vérifier ces autorisations particulières. Vous pouvez choisir de vérifier l'ensemble d'accès.
- Si un compte contient des autorisations accordées au moyen d'une politique, aucune tâche de révision ne sera générée pour ce compte.
Exemple : Si un compte contient quatre autorisations, dont deux sont accordées au moyen d'une politique, la révision des autorisations ne générera pas la tâche de révision de compte.
Scénario
- Alice a accès aux autorisations Lecture et Mettre à jour affectées directement.
- Jane a accès à ces autorisations dans le cadre de l'ensemble d'accès, avec une autorisation Écrire supplémentaire.
- Betty est l'administrateur de base de données qui a accès à ces autorisations.
- Pour Alice, les autorisations sélectionnées seront vérifiées.
- Pour le volet, l'ensemble d'accès sera révisé avec les autorisations Lecture, Mise à jour et Écrire uniquement si l'ensemble d'accès est accordé au moyen de la demande.
- Pour Betty, le rôle ne sera révisé que si le rôle est octroyé au moyen de la demande.
- Les comptes d'identité Alice, Jane et Betty seront pris en compte pour vérification si le compte ou les autorisations associés au compte n'ont pas été provisionnés à l'aide de la politique.
Les réviseurs peuvent valider ces révisions d'accès à partir de la page Mes révisions d'accès → Identité après le processus défini dans Effectuer des révisions d'accès.
Actions correctives
- Si un réviseur révoque la permission, celle-ci est révoquée du système géré.
- Si une autorisation fait partie d'un ensemble d'accès accordé à l'identité, vous ne pourrez pas révoquer cette autorisation unique, sauf si vous révoquez un ensemble d'accès complet.
- Les comptes associés aux autorisations ne sont pas révoqués si les comptes contiennent des autorisations accordées au moyen d'une politique.
- Les comptes d'identité ne sont révoqués que lorsque toutes les autorisations associées aux comptes sont révoquées.
Révisions de politique
Passer en revue les politiques d'Oracle Access Governance et les politiques d'OCI Identity and Access Management (IAM) pour évaluer son efficacité et sa conformité.
Dans Oracle Access Governance, vous pouvez créer des révisions de politique sur demande, où vous définissez les critères de sélection pour réviser les politiques. Vous pouvez également définir le flux des travaux d'approbation pour sélectionner le nombre de niveaux d'évaluation, la durée de l'évaluation et les détails du réviseur. Pour plus d'informations, voir Créer des campagnes de révision de politique et Types de tâches de certification dans Oracle Access Governance.
Exemple : Vous pouvez exécuter des révisions trimestrielles sur le réseau et la politique de stockage définis de votre location pour évaluer si ceux-ci répondent au principe du privilège minimal et aux exigences réglementaires applicables.
Révisions de la collection d'identités
Examen de l'appartenance d'un groupe pour vérifier si seul un jeu de membres admissible est affecté à un groupe. C'est ce qu'on appelle communément les " revues d'adhésion de groupe ".
- Collections d'identités créées dans Oracle Access Governance
- Groupes OCI dérivés d'Oracle Cloud Infrastructure (OCI)
Révisions de responsabilité de ressource
Réviser la responsabilité des ressources créées dans Oracle Access Governance, de façon périodique ou ponctuelle. En effectuant cet examen, vous pouvez vous assurer que la responsabilité des ressources incombe uniquement aux propriétaires désignés.
- Ensemble d'accès
- Flux de travail d'approbation
- Collections d'identités
- Systèmes orchestrés
- Politiques
- Rôles
- Limites d'accès
Selon le flux de travail d'approbation sélectionné, le responsable principal d'une ressource ou de toute identité Oracle Access Governance active de la main-d'oeuvre sera considéré pour révision. Les réviseurs peuvent certifier ou modifier la responsabilité des ressources lors de l'exécution des révisions. Pour plus d'informations, voir Créer des révisions de responsabilité et Tâche de révision de la responsabilité des ressources.
Micro-certifications basées sur les événements
Utilisez Configuration basée sur les événements pour configurer les microcertifications automatisées, déclenchées uniquement en cas de modifications dans le système d'enregistrement, d'occurrence d'un jalon de date ou d'heure important ou de détection d'un compte orphelin. Il s'agit de près de révisions en temps réel et Oracle Access Governance surveille continuellement les modifications de profil pour lancer les révisions d'accès.
Vous devez configurer les attributs pour lesquels vous souhaitez activer les évaluations basées sur les événements. Pour plus de détails, voir Gérer les attributs d'identité.
En tant qu'utilisateur actif du personnel, vous pouvez vérifier les tâches de révision d'événement à partir de la page Mes révisions d'accès → Identité. S'il y a une modification dans l'événement mais qu'il n'y a pas d'éléments d'accès révisables pour cette identité, aucune tâche de révision ne sera générée pour une identité.
- Modifier l'événement : Déclenché par les modifications apportées au profil d'identité, chaque fois qu'un attribut d'identité est mis à jour dans le système d'enregistrements. Il peut s'agir d'attributs de base ou personnalisés.
- Événement de graphique temporel : déclenché à l'occurrence d'une date particulière, telle que la date anniversaire de travail d'un employé pour effectuer une révision d'accès.
- Événement sans correspondance : Déclenché lorsqu'un compte intégré ne correspond à aucune identité dans Oracle Access Governance.
Types de système orchestrés admissibles pour lancer des campagnes de révision d'accès
Le type de révisions d'accès et ce que vous pouvez réviser dans Oracle Access Governance dépend du type de système choisi lors de l'exécution des révisions. Vous pouvez vérifier l'accès aux systèmes gérés par Oracle Access Governance, y compris les révisions de propriété, l'accès pour Oracle Cloud Infrastructure (OCI) et l'accès aux systèmes gérés par Oracle Identity Governance (OIG).
Réviser l'accès aux systèmes gérés par Oracle Access Governance
Sélectionnez ce système pour exécuter des révisions d'accès ou exécuter des révisions de responsabilité des ressources. Dans le système Oracle Access Governance, vous pouvez exécuter des révisions d'accès aux identités pour tous les systèmes orchestrés gérés par Oracle Access Governance, tels qu'Oracle Database, Flat File, Microsoft Active Directory, etc.
- Accès à l'évaluation : pour exécuter des révisions d'accès aux identités, des révisions de politique et des révisions de collection d'identités.
- Révision de responsabilité : Vous pouvez vérifier si seuls les responsables autorisés gèrent les ressources en exécutant des révisions de responsabilité
Révisions d'accès aux identités
Exécuter des révisions d'accès aux identités pour tous les systèmes orchestrés à l'aide du système Oracle Access Governance. Vous pouvez exécuter ces révisions en fonction des attributs d'identité de base ou personnalisés, des applications auxquelles ils ont accès, des autorisations accordées à partir du système géré, des autorisations provisionnées dans Oracle Access Governance dans le cadre de l'ensemble d'accès ou des rôles accordés aux identités. Pour plus d'informations sur l'exécution des révisions d'accès aux identités, voir Révisions d'accès aux identités.
| Critères de sélection | Composants admissibles en révision |
|---|---|
| Qui a accès? pour sélectionner des attributs d'identité |
|
| À quoi accèdent-ils? pour accéder aux applications |
|
Quelles autorisations? pour sélectionner les ensembles d'accès (REQUEST)
|
|
Quelles autorisations? pour sélectionner les autorisations (DIRECT)
|
Note
Si le compte associé aux autorisations est également inclus pour accorder l'accès au moyen d'une politique Oracle Access Governance, les tâches de révision de compte ne seront pas générées. |
Quels rôles? pour sélectionner les rôles (REQUEST)
|
Rôles |
Révisions de politique
Exécuter des révisions de politique Oracle Access Governance afin d'évaluer l'efficacité de la politique. Les politiques créées dans Oracle Access Governance sont révisées. Les politiques Oracle Access Governance contiennent des détails sur les ressources et les autorisations attachées à un groupe d'identités au moyen de rôles ou d'ensembles d'accès.
Révisions de la collection d'identités
Exécutez la vérification de l'appartenance d'un groupe pour vérifier si seul un jeu autorisé de membres est affecté à un groupe. C'est ce qu'on appelle communément les " revues d'adhésion de groupe ". Vous pouvez exécuter des révisions pour les collections d'identités créées dans Oracle Access Governance.
Réviser la responsabilité
Vous pouvez vérifier si seuls les responsables autorisés gèrent les ressources en exécutant des révisions de responsabilité. Par exemple, vous pouvez exécuter des révisions de propriété pour vérifier si seuls les responsables désignés et autorisés gèrent les flux des travaux d'approbation.
Réviser les accès pour les services en nuage gérés par Oracle Cloud Infrastructure (OCI)
Sélectionnez ce système pour certifier les révisions d'accès aux identités, les révisions de politiques et les révisions d'appartenance à la collection d'identités OCI IAM. De plus, vous pouvez vérifier l'affectation des groupes OCI IAM et des rôles d'application gérés par Oracle Access Governance.
- Révisions d'identité (directes) : Droits d'accès aux identités en vérifiant l'accès à leur application, rôles d'application accordés.
-
Révisions d'accès aux identités pour les accès gérés par Oracle Access Governance : Droits d'accès aux identités des groupes OCI IAM et des rôles d'application de services en nuage affectés dans Oracle Access Governance au moyen d'une demande d'accès. Note
Si vous demandez et affectez des rôles Oracle Access Governance qui incluent les ensembles d'accès associés contenant des groupes OCI IAM ou des rôles d'application de services en nuage, choisissez de vérifier les rôles Oracle Access Governance dans le système Oracle Access Governance. - Révisions de politique : Politiques OCI IAM qui évaluent la construction et le fonctionnement d'une politique.
- Évaluations de la collecte d'identités : Appartenances à un groupe qui évalue que seuls les membres admissibles ont accès au groupe. Si vous choisissez de vérifier les groupes OCI IAM et qu'il contient quelques membres affectés à partir d'Oracle Access Governance, cette vérification vous permet uniquement d'accepter ou de révoquer les membres affectés directement. Pour les membres affectés à partir d'Oracle Access Governance, choisissez de vérifier les ensembles d'accès OCI à l'aide de la vignette Quelles autorisations?.
Critères de sélection admissibles pour révision dans le système Oracle Cloud Infrastructure (OCI)
Les composantes admissibles à l'évaluation varient en fonction des critères sélectionnés, comme suit :
| Critères de sélection | Composants admissibles en révision |
|---|---|
| Locations pour sélectionner des locations, un compartiment en nuage ou un domaine |
|
| Qui a accès? pour sélectionner des attributs d'identité |
|
| À quoi accèdent-ils? Pour accéder aux services en nuage |
|
Quelles autorisations? pour sélectionner les ensembles d'accès (REQUEST)
|
|
Quels rôles? pour sélectionner des rôles d'application dans OCI (DIRECT)
|
Rôles affectés directement dans OCI. |
| Quelles politiques? pour sélectionner des politiques OCI | Politiques |
Quelles collections d'identités? pour sélectionner les groupes OCI IAM (DIRECT)
|
Collections d'identités Note
Si vous choisissez de vérifier les groupes OCI IAM et qu'il contient quelques membres affectés dans Oracle Access Governance, vous ne pouvez accepter ou révoquer que les membres affectés directement. Pour les affectations gérées par Oracle Access Governance, choisissez de vérifier les ensembles d'accès OCI à l'aide de la vignette Quelles autorisations?. |
Consulter l'accès aux systèmes gérés par Oracle Identity Governance (OIG)
Sélectionnez ce système pour certifier les droits d'accès d'une identité OIG en vérifiant l'accès à l'application, les rôles ou les autorisations accordés (droits). Vous ne pouvez pas combiner une évaluation pour une autorisation (droit) et un rôle spécifiques dans une seule campagne.
Exemples d'utilisation : Certification des privilèges d'accès avec des campagnes de révision d'accès et des révisions basées sur les événements
Voyons quelques-uns des scénarios où les campagnes et les révisions d'accès automatisées sont utiles.
Exemple 1 : Réviser les autorisations d'accès pour les applications à profil élevé avec des fonctions critiques
Scénario : Pour aider votre entreprise à dissuader toute utilisation abusive des droits d'accès pour les applications sensibles aux données, vous devez programmer des campagnes trimestrielles pour certifier l'accès aux fonctions critiques, telles que les autorisations mettre à jour et mettre fin.
Vous pouvez créer une campagne pour vérifier les autorisations ou les rôles, mais les deux ne peuvent pas être sélectionnés dans une seule campagne. Dans cet exemple, Quels rôles? sera désactivé avec Quelles politiques? Comme nous avons choisi de vérifier l'accès aux identités, les paramètres de sélection de révision de politique et de collection d'identités seront également désactivés.
Exemple 2 : Vérifier les politiques pour toutes les ressources en nuage
Scénario : Votre société a mis à jour ses protocoles de sécurité pour le stockage de données. En tant qu'administrateur de la sécurité en nuage, vous devez effectuer des révisions d'accès sur demande pour toutes les politiques IAM disponibles dans votre compte en nuage afin de vous assurer qu'elle respecte les normes et réglementations de sécurité les plus récentes.
Pour ce faire, sélectionnez d'abord le système, ajoutez des critères de sélection pour sélectionner un fournisseur en nuage, un compte en nuage, un domaine ou un compartiment. Effectuez les étapes de campagne pour affecter le flux de travail et les détails de campagne appropriés. Dans cet exemple, le réviseur de campagne peut vérifier toutes les tâches de révision applicables dans l'onglet Mes révisions d'accès → Contrôle d'accès, avec le type Politique.
Exemple 3 : Révisions d'appartenance à un groupe pour les groupes de projets
Scénario : En tant que gestionnaire de projet, effectuez une vérification trimestrielle de l'appartenance à un groupe pour votre équipe afin de vous assurer que seuls les membres courants de l'équipe ont accès aux référentiels de code et aux applications de tierce partie requises. Ce processus vous aidera à supprimer tout accès non autorisé ainsi qu'à surveiller et à contrôler le coût du projet.
Pour ce faire, sélectionnez d'abord le système OCI, ajoutez des critères de sélection pour sélectionner des groupes OCI, ajoutez un flux de travail d'approbation ainsi que les détails de la campagne. Dans cet exemple, le réviseur de campagne peut vérifier toutes les tâches de révision applicables dans l'onglet Mes révisions d'accès → Contrôle d'accès, avec le type Collecte d'identités.
Exemple 4 : Activation des révisions d'accès automatisé pour les employés déclenchées par un événement de modification
Scénario : En tant que responsable d'entreprise, vous devez configurer des révisions d'accès automatisées pour effectuer des microcertifications chaque fois que le gestionnaire, le code d'emploi ou l'emplacement changent pour un employé.
Pour cela, activez les révisions d'accès basées sur les événements pour le code d'emploi, le gestionnaire et l'emplacement. Chaque fois que la dernière synchronisation des données se produit à partir du système orchestré avec ces mises à jour, Oracle Access Governance déclenche automatiquement plusieurs révisions d'accès basées sur les événements associées à cette identité unique.