Revues d'accès dans Oracle Access Governance : Certifier les privilèges d'accès avec des campagnes et des micro-certifications orientées événements
Le processus Vérifications d'accès, également appelé Certification d'accès ou Attestation d'accès, permet d'évaluer et de certifier les privilèges d'accès accordés aux identités au sein d'une entreprise. Il vérifie et certifie si les privilèges accordés sont toujours requis et s'aligne sur le travail en cours. Utilisez la fonctionnalité Révisions d'accès d'Oracle Access Governance pour vérifier les privilèges d'accès. Prenez des décisions d'examen rapides et précises en examinant les informations et les recommandations basées sur l'IA basées sur des analyses prescriptives.
Les entreprises disposent d'un vaste environnement distribué sur les systèmes on-premise et cloud. Pour éviter l'accumulation excessive d'autorisations non pertinentes ou l'accès non autorisé aux informations critiques, les révisions d'accès sont exécutées régulièrement pour surveiller et certifier les accès. Ils sont essentiels pour la gestion sécurisée des accès et les processus de conformité.
Principaux avantages d'effectuer des révisions d'accès avec Oracle Access Governance
Les révisions d'accès aident les entreprises à gérer les changements fréquents d'accès, à réduire les coûts, à gérer le cycle de vie de l'accès aux identités, à maintenir la conformité et à renforcer l'état de sécurité. Les entreprises gèrent quotidiennement de volumineux changements d'accès. Les révisions régulières peuvent détecter et supprimer de manière proactive les autorisations excessives ou les privilèges non pertinents.
La fonctionnalité Révisions d'accès d'Oracle Access Governance offre différents types de révision des privilèges d'accès. Par exemple, utilisez des campagnes pour lancer un ensemble de révisions d'accès ad hoc ou périodiques, ou utilisez des micro-certifications basées sur la modification d'événement, la modification de chronologie ou la détection d'un compte orphelin.
- Réduisez les coûts en fournissant des recommandations pour supprimer les licences ou les ressources non essentielles et indésirables. Par exemple, révoquer l'accès à l'application pour les employés qui n'en ont plus besoin.
- Renforcez l'état de sécurité d'une entreprise en examinant régulièrement les accès, en veillant à ce que les ressources appropriées aient reçu suffisamment d'accès pour leur rôle. Par exemple, Oracle Access Governance effectue des micro-certifications automatiques pour détecter les changements d'événement (changement d'emplacement, changement de service), les changements de calendrier ou pour détecter les comptes orphelins qui posent une menace pour la sécurité.
- Répondez aux exigences et à la conformité en matière de gouvernance en conservant des rapports d'audit de révision d'accès périodiques. Par exemple, assurer la conformité aux réglementations du secteur et aux lois de conformité, telles que le RGPD, l'HIPAA et la SOX, via des campagnes d'examen d'accès régulières.
- Simplifiez la prise de décision en recommandant des informations d'examen d'accès basées sur l'IA/ML, telles que l'analyse de groupes de pairs, la détection des valeurs aberrantes ou la recommandation. Par exemple, Oracle Access Governance recommande de révoquer un privilège à haut risque pour une identité basée sur des analyses prescriptives.
Types de révision d'accès proposés par Oracle Access Governance
Avec Oracle Access Governance, vous pouvez exécuter des campagnes de révision d'accès ad hoc ou périodiques sur un ensemble d'identités, de groupes, de comptes, de rôles, de stratégies et d'autorisations. Vous pouvez même exécuter des révisions de propriété pour vérifier la propriété des ressources. Utilisez des micro-certifications en temps quasi réel pour exécuter des révisions automatiques sur des composants spécifiques en fonction de l'occurrence d'un changement d'événement, d'un changement de chronologie ou de comptes sans correspondance.
Campagnes de révision d'accès : Révisions d'accès ad hoc ou périodiques
Utilisez les campagnes pour lancer un processus de vérification d'accès périodique ou ad hoc. Il s'agit de révisions basées sur des instantanés, qui capturent toutes les informations d'accès pertinentes à un moment donné, puis évaluent et génèrent des tâches de révision d'accès. Toute modification apportée aux données après la configuration des campagnes ne sera pas prise en compte dans ces révisions.
Revues d'accès aux identités
Les révisions d'accès aux identités font référence à l'évaluation des privilèges d'accès pour les identités dans votre entreprise, où l'accès à une ressource spécifique est vérifié ou validé. Vous pouvez certifier l'accès pour les identités Workforce et Consommateurs en exécutant les révisions d'accès aux identités. Les réviseurs, qui sont des utilisateurs actifs de Workforce, peuvent accepter ou révoquer les privilèges affectés.
- Utilisateurs (qui ont accès ?) : sélectionnez un ensemble d'attributs d'identité de base et personnalisés.
- Applications (à quoi accèdent-ils ?) : sélectionnez des services, des applications ou des comptes cloud.
-
Droits d'accès (quel droit d'accès ?) : sélectionnez les droits d'accès affectés directement dans votre système géré ou les droits d'accès provisionnés dans Oracle Access Governance. Vous pouvez utiliser ces critères pour certifier rapidement les privilèges de tous les systèmes orchestrés en fonction des droits d'accès inclus directement à partir du système géré. Celles-ci sont également appelées "autorisations rapprochées". Pour plus d'informations sur l'exécution des révisions en fonction des droits d'accès, reportez-vous à Révisions d'accès d'identité basées sur les droits d'accès affectés directement dans les systèmes gérés. Remarque
- Pour le système Oracle Access Governance, vous pouvez exécuter des révisions en fonction des droits d'accès affectés directement (
DIRECT) ou des groupes d'accès accordés via une demande de la vignette Quelles sont les droits d'accès ?. Les autorisations ou les comptes provisionnés par le biais de la politique ne sont pas admissibles dans cette revue. - Vous pouvez provisionner des groupes et des rôles d'application OCI IAM en créant un groupe d'accès. Pour le système Oracle Cloud Infrastructure (OCI), vous pouvez consulter les lots d'accès OCI à partir de la vignette Quelles autorisations ?.
DIRECT) ou des groupes d'accès accordés via une demande de la vignette Quelles sont les droits d'accès ?. Les autorisations ou les comptes provisionnés par le biais de la politique ne sont pas admissibles dans cette revue. - Pour le système Oracle Access Governance, vous pouvez exécuter des révisions en fonction des droits d'accès affectés directement (
- Rôles (quel rôle ?) : sélectionnez les rôles provisionnés pour les identités.
Exemple : Vous pouvez exécuter des campagnes pour évaluer et certifier si des associés subalternes ou des sous-traitants de votre organisation ont accès à des autorisations critiques ou à des informations restreintes.
Revues de l'accès aux identités en fonction des autorisations affectées directement dans les systèmes gérés
Vous pouvez certifier les accès aux identités en exécutant des révisions d'accès aux identités sur les droits d'accès inclus directement à partir du système géré. Celles-ci sont également appelées "autorisations rapprochées". Les droits d'accès rapprochés font référence aux droits d'accès inhérents qui sont provisionnés directement dans les systèmes gérés sans les provisionner à partir d'Oracle Access Governance. Exécutez ces révisions en sélectionnant le système Oracle Access Governance sur la page Campagnes.
Grâce aux informations clés et aux recommandations, les réviseurs peuvent prendre des mesures pour accepter ou révoquer ces droits d'accès. Toutefois, pour gérer vos accès à un niveau granulaire, utilisez des groupes d'accès pour provisionner les droits d'accès.
Lorsque vous sélectionnez un ensemble d'autorisations dans la mosaïque Quelles autorisations ?, le système génère des tâches de révision pour toutes les identités admissibles ayant accès à ces autorisations directement ou via une demande (Lots d'accès).
- Identités avec droits d'accès accordés directement avec le type d'octroi DIRECT.
- Identités avec droits d'accès accordés dans le cadre de groupes d'accès avec le type d'octroi Demande.
- Identités avec droits d'accès accordés via des rôles avec le type d'octroi Demande.
- Comptes des identités provisionnées directement ou demandées. Remarque
Les droits d'accès ou les comptes provisionnés via une stratégie, ou les comptes d'identité Oracle Identity Governance (OIG) et Oracle Cloud Infrastructure (OCI), ne sont pas couverts dans cette revue.
Les composants admissibles pour révision varient en fonction des critères sélectionnés. Pour plus de détails, reportez-vous au tableau dans Types de système orchestré admissibles pour lancer des campagnes de révision d'accès.
- Les autorisations affectées directement ou les groupes d'accès accordés via une demande sont disponibles pour vérification dans la mosaïque Quelles autorisations ?. Le type d'octroi doit être Demande ou DIRECT pour que les droits d'accès soient inclus dans les révisions.
- Si des droits d'accès affectés directement sont associés à un groupe d'accès, qui est ensuite provisionné pour les identités via Demande, vous ne verrez que le groupe d'accès et non les droits d'accès individuels. Pour les rôles provisionnés pour les identités via Demande, il apparaît en tant que rôle sous la mosaïque Quels rôles ?.
Exemple : si les droits d'accès Lire et Modifier sont inclus dans un groupe d'accès et provisionnés pour les identités via Demande, vous ne pourrez pas visualiser et vérifier ces droits d'accès particuliers. Vous pouvez choisir de vérifier le groupe d'accès.
- Si un compte contient des droits d'accès accordés via une stratégie, aucune tâche de révision ne sera générée pour ce compte.
Exemple : si un compte contient quatre droits d'accès, dont deux sont accordés via une stratégie, la vérification des droits d'accès ne générera pas la tâche de révision du compte.
Scénario
- Alice a accès aux droits d'accès Read et Update affectés directement.
- Jane a accès à ces autorisations dans le cadre du package d'accès, avec des autorisations d'écriture supplémentaires.
- Betty, administrateur de base de données, a accès à ces droits d'accès.
- Pour Alice, les droits d'accès sélectionnés seront vérifiés.
- Pour Jane, Access Bundle sera vérifié avec les autorisations Read, Update et Write uniquement si Access Bundle est accordé via Request.
- Pour Betty, le rôle ne sera vérifié que si le rôle est accordé via Request.
- Les comptes d'identité Alice, Jane et Betty seront pris en compte pour vérification si le compte ou les droits d'accès associés au compte n'ont pas été provisionnés à l'aide d'une stratégie.
Les réviseurs peuvent valider ces révisions d'accès à partir de la page Mes révisions d'accès → Identité en suivant le processus défini dans Exécuter les révisions d'accès.
Actions de résolution
- Si un réviseur révoque l'autorisation, elle sera révoquée du système géré.
- Si un droit d'accès fait partie d'un groupe d'accès accordé à l'identité, vous ne pourrez pas révoquer ce droit d'accès unique, sauf si vous révoquez un groupe d'accès entier.
- Les comptes associés à des droits d'accès ne sont pas révoqués si les comptes contiennent des droits d'accès accordés via une stratégie.
- Les comptes d'identité sont révoqués uniquement lorsque tous les droits d'accès associés aux comptes sont révoqués.
Révisions de police
Examen des stratégies Oracle Access Governance et des stratégies OCI Identity and Access Management (IAM) pour évaluer leur efficacité et leur conformité.
Dans Oracle Access Governance, vous pouvez créer des révisions de stratégie à la demande, dans lesquelles vous définissez les critères de sélection pour la révision des stratégies. Vous pouvez également définir le workflow d'approbation pour sélectionner le nombre de niveaux de révision, la durée de révision et les détails du réviseur. Pour plus d'informations, voir Créer des campagnes de révision de stratégie et Types de tâche de certification dans Oracle Access Governance.
Exemple : vous pouvez exécuter des révisions trimestrielles sur la stratégie de stockage et de réseau définie de votre location afin d'évaluer si celles-ci respectent le principe du moindre privilège et les exigences réglementaires applicables.
Revues de la collection d'identités
Vérification de l'adhésion d'un groupe pour vérifier si seul un ensemble admissible de membres est affecté à un groupe. C'est ce qu'on appelle communément les "examens d'adhésion de groupe".
- Collections d'identités créées dans Oracle Access Governance
- Groupes OCI dérivés d'Oracle Cloud Infrastructure (OCI)
Revues de propriété de ressource
Vérifiez la propriété des ressources créées dans Oracle Access Governance, de façon périodique ou ad hoc. En effectuant cette revue, vous pouvez vous assurer que la responsabilité des ressources incombe uniquement aux propriétaires désignés.
- Package d'accès
- Workflows d'approbation
- Collections d'identités
- Systèmes orchestrés
- Stratégies
- Rôles
- Garde-fous d'accès
En fonction du workflow d'approbation sélectionné, le propriétaire principal d'une ressource ou de toute identité active d'Oracle Access Governance du personnel sera pris en compte pour vérification. Les réviseurs peuvent certifier ou modifier la propriété des ressources lors de l'exécution des révisions. Pour plus d'informations, voir Créer des révisions de propriété et Tâche de vérification de propriété de ressource.
Micro-certifications basées sur les événements
Utilisez la configuration basée sur les événements pour configurer des micro-certifications automatisées, déclenchées uniquement en cas de modification du système d'enregistrement, d'occurrence d'un jalon de date ou d'heure important ou de détection d'un compte orphelin. Il s'agit de presque révisions en temps réel et Oracle Access Governance surveille en permanence les modifications de profil pour lancer les révisions d'accès.
Vous devez configurer les attributs pour lesquels vous voulez activer les révisions basées sur les événements. Pour plus de détails, reportez-vous à Gestion des attributs d'identité.
En tant qu'utilisateur actif du personnel, vous pouvez consulter les tâches de révision d'événement à partir de la page Mes révisions d'accès → Identité. S'il y a une modification dans l'événement mais qu'il n'y a aucun élément d'accès vérifiable pour cette identité, aucune tâche de vérification ne sera générée pour une identité.
- Evénement de modification : Déclenché par les modifications apportées au profil d'identité, chaque fois qu'un attribut d'identité est mis à jour dans le système d'enregistrement. Il peut s'agir d'attributs de base ou personnalisés.
- Evénement de calendrier : Déclenché sur l'occurrence d'une date particulière, telle que la date anniversaire de travail d'un employé pour effectuer une vérification d'accès.
- Evénement sans correspondance : déclenché lorsqu'un compte intégré ne correspond à aucune identité dans Oracle Access Governance.
Types de système orchestrés éligibles pour lancer les campagnes de révision d'accès
Le type de révision d'accès et les informations que vous pouvez vérifier dans Oracle Access Governance dépendent du type de système choisi lors de l'exécution des révisions. Vous pouvez passer en revue l'accès aux systèmes gérés par Oracle Access Governance, y compris les révisions de propriété, l'accès aux systèmes gérés par Oracle Cloud Infrastructure (OCI) et l'accès aux systèmes gérés par Oracle Identity Governance (OIG).
Vérifier l'accès aux systèmes gérés par Oracle Access Governance
Sélectionnez ce système pour exécuter des révisions d'accès ou exécuter des révisions de propriété de ressource. Dans le système Oracle Access Governance, vous pouvez exécuter des révisions d'accès aux identités pour tous les systèmes orchestrés gérés par Oracle Access Governance, tels qu'Oracle Database, Flat File, Microsoft Active Directory, etc.
- Vérifier l'accès : permet d'exécuter des révisions d'accès aux identités, des révisions de stratégie et des révisions de collecte d'identités.
- Vérifier la propriété : vous pouvez vérifier si seuls les propriétaires autorisés gèrent les ressources en exécutant des révisions de propriété.
Revues d'accès aux identités
Exécutez des révisions d'accès aux identités pour tous les systèmes orchestrés à l'aide du système Oracle Access Governance. Vous pouvez exécuter ces révisions en fonction des attributs d'identité de base ou personnalisés, des applications auxquelles ils ont accès, des droits d'accès accordés à partir du système géré, des droits d'accès provisionnés dans Oracle Access Governance dans le cadre du groupe d'accès ou des rôles accordés aux identités. Pour plus d'informations sur l'exécution des révisions d'accès aux identités, reportez-vous à Révisions d'accès aux identités.
| Critères de sélection | Composants admissibles en cours de vérification |
|---|---|
| Qui a accès ? pour sélectionner des attributs d'identité |
|
| A quoi ont-ils accès ? pour accéder aux applications |
|
Quels sont les droits d'accès ? pour sélectionner des groupes d'accès (REQUEST)
|
|
Quels sont les droits d'accès ? pour sélectionner les droits d'accès (DIRECT)
|
Remarque
Si le compte associé aux droits d'accès est également inclus pour accorder l'accès via une stratégie Oracle Access Governance, les tâches de révision de compte ne seront pas générées. |
Quels rôles ? pour sélectionner des rôles (REQUEST)
|
Rôles |
Révisions de police
Exécutez les révisions de stratégie Oracle Access Governance pour évaluer l'efficacité de la stratégie. Les stratégies créées dans Oracle Access Governance sont examinées. Les stratégies Oracle Access Governance contiennent des détails sur les ressources et les droits d'accès attachés à un groupe d'identités au moyen de rôles et/ou de lots d'accès.
Revues de la collection d'identités
Exécuter la vérification de l'adhésion d'un groupe pour vérifier si seul un ensemble autorisé de membres est affecté à un groupe. C'est ce qu'on appelle communément les "examens d'adhésion de groupe". Vous pouvez exécuter des révisions pour les collections d'identités créées dans Oracle Access Governance.
Vérifier la propriété
Vous pouvez vérifier si seuls les propriétaires autorisés gèrent les ressources en exécutant des révisions de propriété. Par exemple, vous pouvez exécuter des révisions de propriété pour vérifier si seuls les propriétaires désignés et autorisés gèrent les workflows d'approbation.
Passer en revue les accès pour les services cloud gérés par Oracle Cloud Infrastructure (OCI)
Sélectionnez ce système pour certifier les révisions d'accès aux identités, les révisions de stratégie et les révisions d'appartenance à la collection d'identités OCI IAM. Vous pouvez également vérifier l'affectation des groupes OCI IAM et des rôles d'application gérés par Oracle Access Governance.
- Révisions d'identité (direct) : droits d'accès aux identités en examinant l'accès à l'application auquel les rôles d'application sont accordés.
-
Révisions d'accès d'identité pour les accès gérés par Oracle Access Governance : droits d'accès d'identité des groupes OCI IAM et des rôles d'application de services cloud affectés dans Oracle Access Governance via une demande d'accès. Remarque
Si vous demandez et affectez des rôles Oracle Access Governance qui incluent les bundles d'accès associés contenant des rôles d'application de services cloud ou de groupes OCI IAM, choisissez de vérifier les rôles Oracle Access Governance dans le système Oracle Access Governance. - Révisions de stratégie : stratégies OCI IAM qui évaluent la construction et le fonctionnement d'une stratégie.
- Révisions de collecte d'identités : appartenances à un groupe qui évalue que seuls les membres admissibles ont accès au groupe. Si vous choisissez de vérifier les groupes OCI IAM et qu'il contient quelques membres affectés à partir d'Oracle Access Governance, vous pouvez uniquement accepter ou révoquer les membres affectés directement. Pour les membres affectés à partir d'Oracle Access Governance, choisissez de consulter les groupes d'accès OCI à l'aide de la mosaïque Quels droits d'accès ?.
Critères de sélection éligibles pour vérification dans le système Oracle Cloud Infrastructure (OCI)
Les composants admissibles à la révision varient en fonction des critères sélectionnés, comme suit :
| Critères de sélection | Composants admissibles en cours de vérification |
|---|---|
| Locations pour sélectionner des locations, un compartiment cloud ou un domaine |
|
| Qui a accès ? pour sélectionner des attributs d'identité |
|
| A quoi ont-ils accès ? pour accéder aux services cloud |
|
Quels sont les droits d'accès ? pour sélectionner des groupes d'accès (REQUEST)
|
|
Quels rôles ? pour sélectionner des rôles d'application dans OCI (DIRECT)
|
Rôles affectés directement dans OCI. |
| Quelles stratégies ? pour sélectionner des stratégies OCI | Stratégies |
Quelles collections d'identités ? pour sélectionner les groupes OCI IAM (DIRECT)
|
Collections d'identités Remarque
Si vous choisissez de vérifier les groupes OCI IAM et qu'il contient quelques membres affectés dans Oracle Access Governance, vous pouvez uniquement accepter ou révoquer les membres affectés directement. Pour les affectations gérées par Oracle Access Governance, choisissez de vérifier les groupes d'accès OCI à l'aide de la mosaïque Quels droits d'accès ?. |
Vérifier l'accès aux systèmes gérés par Oracle Identity Governance (OIG)
Sélectionnez ce système pour certifier les droits d'accès d'une identité OIG en examinant l'accès à l'application, les rôles ou les droits (droits) qui lui sont accordés. Vous ne pouvez pas combiner la révision d'une autorisation (droit) et d'un rôle spécifiques dans une seule campagne.
Exemples d'utilisation : Certifier des privilèges d'accès avec des campagnes de révision d'accès et des évaluations basées sur des événements
Voyons quelques-uns des scénarios dans lesquels les campagnes et les révisions d'accès automatisées sont utiles.
Exemple 1 : vérification des droits d'accès pour les applications à profil élevé avec fonctions critiques
Scénario : pour aider votre entreprise à prévenir toute utilisation abusive des droits d'accès pour les applications sensibles aux données, vous devez planifier des campagnes trimestrielles pour certifier l'accès aux fonctions critiques, telles que les autorisations de mise à jour et de terminaison.
Vous pouvez créer une campagne pour vérifier les autorisations ou les rôles, mais les deux ne peuvent pas être sélectionnés dans une seule campagne. Dans cet exemple, Quels rôles ? seront désactivés avec Quelles stratégies ? Comme nous avons choisi de vérifier l'accès aux identités, les paramètres de sélection de révision de la stratégie et de la collection d'identités seront également désactivés.
Exemple 2 : vérification des stratégies pour toutes les ressources cloud
Scénario : votre entreprise a mis à jour ses protocoles de sécurité pour le stockage de données. En tant qu'administrateur de sécurité cloud, vous devez effectuer des révisions d'accès à la demande de toutes les stratégies IAM disponibles dans votre compte cloud pour vous assurer qu'il respecte les dernières normes et réglementations de sécurité.
Pour ce faire, sélectionnez d'abord le système, puis ajoutez des critères de sélection pour sélectionner le fournisseur cloud, le compte cloud, le domaine ou le compartiment. Effectuez les étapes de la campagne pour affecter les détails de workflow et de campagne appropriés. Dans cet exemple, le réviseur de campagne peut vérifier toutes les tâches de révision applicables dans l'onglet Mes révisions d'accès → Contrôle d'accès, avec le type Stratégie.
Exemple 3 : examens de l'appartenance à un groupe pour les groupes de projets
Scénario : en tant que chef de projet, effectuez une vérification trimestrielle de l'appartenance à un groupe pour votre équipe afin de vous assurer que seuls les membres actuels de l'équipe ont accès aux référentiels de code et aux applications tierces requises. Ce processus vous aidera à supprimer tout accès non autorisé ainsi qu'à surveiller et contrôler le coût du projet.
Pour ce faire, sélectionnez d'abord le système OCI, ajoutez des critères de sélection pour sélectionner des groupes OCI, ajoutez un workflow d'approbation avec les détails de la campagne. Dans cet exemple, le réviseur de campagne peut vérifier toutes les tâches de révision applicables dans l'onglet Mes révisions d'accès → Contrôle d'accès, avec le type Collecte d'identités.
Exemple 4 : Activer les évaluations d'accès automatisées pour les employés déclenchés par un événement de modification
Scénario : en tant que propriétaire d'entreprise, vous devez configurer des analyses d'accès automatisées pour effectuer des micro-certifications chaque fois que le responsable, le code emploi ou le lieu change pour un employé.
Pour cela, activez les évaluations d'accès basées sur les événements pour le code emploi, le responsable et le lieu de travail. Chaque fois que la dernière synchronisation des données se produit à partir du système orchestré avec ces mises à jour, Oracle Access Governance génère automatiquement plusieurs révisions d'accès basées sur les événements associées à cette identité unique.