Garde-corps d'accès - Application des contraintes de contrôle d'accès préventif
Access Guardrails dans Oracle Access Governance sont des contraintes de sécurité permettant de définir et d'appliquer des conditions pour réglementer et restreindre l'accès aux ressources sensibles. Access Guardrails garantit que seules les identités autorisées répondant à des critères prédéfinis peuvent y accéder. Si ces conditions ne sont pas remplies, une violation est déclenchée, ce qui vous permet de bloquer l'accès immédiatement ou de fournir un délai de grâce pour la conformité.
Aperçu
L'implémentation d'Access Guardrails nécessite que les identités répondent à une condition prédéfinie, telle que la possession d'une autorisation préalable ou d'un attribut d'identité, avant d'accorder une autorisation élevée. Un tel modèle en couches garantit que les autorisations sont accordées dans une séquence contrôlée, ce qui rend la gestion des accès sécurisée et conforme.
Access Guardrails NE S'appliquent PAS lorsque le provisionnement est effectué à l'aide des politiques Oracle Access Governance. Utilisez la fonctionnalité en libre-service de demande d'accès d'Oracle Access Governance pour déclencher Access Guardrails.
Access Guardrails aide les administrateurs de la sécurité à bloquer les accès non autorisés en s'assurant que les demandes d'accès répondent à des critères prédéfinis avant la soumission. Ils fournissent également aux approbateurs un contexte important, ce qui leur permet de prendre des décisions plus éclairées au cours du processus d'approbation.
Les garde-corps d'accès peuvent également être utilisés avec les collections d'identités. Cela permet aux administrateurs du contrôle d'accès d'établir des mesures préventives de contrôle d'accès, garantissant que seules les identités autorisées et conformes, qui répondent à des critères prédéfinis, sont membres d'une collection d'identités. Si ces conditions ne sont pas remplies, une violation est générée et vous pouvez choisir de bloquer l'accès immédiatement ou d'autoriser un délai de grâce pour la conformité.
Principales caractéristiques des garde-corps d'accès
- Modèle d'autorisation à niveaux : Les limites d'accès permettent de structurer l'accès dans des niveaux, en commençant par des rôles de base, tels que Lecteur de base de données, et en progressant vers des rôles à privilèges supérieurs uniquement lorsque les conditions prédéfinies sont remplies. Grâce à cette approche, vous pouvez vous assurer que seuls les droits minimums nécessaires sont accordés à chaque niveau.
- Empêche la violation de la séparation des fonctions : Les contraintes de sécurité dans Access Guardrails servent de vérification préalable pour bloquer l'accès qui pourrait entrer en conflit avec des rôles ou des responsabilités existants. Par exemple, dans Entra ID, un utilisateur affecté à la fois au rôle Administrateur d'utilisateur et au rôle Administrateur de rôle privilégié peut créer de nouveaux utilisateurs indépendamment et augmenter ses propres autorisations, ce qui pose un risque.
- Application conditionnelle de l'accès : Les limites d'accès exigent que les utilisateurs remplissent des conditions spécifiques, telles que le rôle, l'appartenance à un groupe, l'emplacement, etc., et surveillent en continu les modifications apportées à ces attributs pour autoriser ou bloquer l'accès.
Cadre de flux de garde-corps d'accès
Voici comment les limites d'accès fonctionnent dans Oracle Access Governance.
- L'administrateur du contrôle d'accès associe la barrière d'accès et le flux de travail d'approbation à un ensemble d'accès.
- Le service d'identité génère une demande pour un ensemble d'accès à l'aide de la fonctionnalité Demander l'accès.
- La demande est validée par rapport au garde-corps d'accès. Voici ce qui peut arriver en fonction des configurations de garde-corps :
- Aucune violation : L'approbateur prend une décision en fonction du flux de travail d'approbation.
- Infractions à risque élevé : La demande échoue et n'est pas déclenchée, ce qui déclenche l'infraction avec le statut Bloqué.
- Infraction de risque faible : La demande est transmise à l'approbateur avec des violations au statut Snoozed (Snoulé). L'approbateur prend la décision d'approuver ou de rejeter la demande. Si elle est approuvée, la demande est accordée pour le nombre de jours défini.
Exemple de mise en oeuvre d'Access Guardrails
- Restreindre l'octroi de l'accès aux identités appartenant à des groupes en conflit tels que le groupe DirectoryUserAdmins.
- Octroi de l'accès uniquement au service d'identité appartenant au service CorpIT.
Voici comment définir des garde-corps d'accès pour le scénario en question :
| Ajouter des détails |
Nom : oud-access-admin-check
Sélectionner Nouvelles demandes d'accès seulement |
| Définir les règles pour Access Guardrails | Ajoutez deux conditions, comme suit :
|
| Action en cas d'échec | Sélectionnez Risque élevé - Bloquer immédiatement l'accès. |
Une fois qu'un garde-corps d'accès est attaché à l'ensemble d'accès, la demande est validée pour ces conditions. Si un utilisateur appartient déjà au groupe DirectoryUserAdmins ou ne fait pas partie de CorpIT, la demande ne sera pas transmise à l'approbateur et les violations seront déclenchées avec le statut bloqué.