Accedi a revisioni in Oracle Access Governance: Certifica i privilegi di accesso con campagne e micro certificazioni basate sugli eventi
Le revisioni accessi, note anche come certificazione di accesso o attestazione di accesso, sono il processo per valutare e certificare i privilegi di accesso concessi alle identità all'interno di un'azienda. Verifica e certifica se i privilegi concessi sono ancora necessari e si allineano alla mansione corrente al lavoro. Utilizzare la funzione Revisioni accessi di Oracle Access Governance per esaminare i privilegi di accesso. Prendi decisioni di revisione rapide e accurate esaminando insight e suggerimenti basati sull'intelligenza artificiale basati su analytics prescrittivi.
Le aziende dispongono di un ampio panorama distribuito tra sistemi on-premise e cloud. Per evitare un eccessivo accumulo di autorizzazioni irrilevanti o l'accesso non autorizzato a informazioni critiche, le revisioni accessi vengono eseguite regolarmente per monitorare e certificare gli accessi. Questi sono fondamentali per la gestione sicura degli accessi e i processi di compliance.
Vantaggi principali dell'esecuzione delle revisioni degli accessi con Oracle Access Governance
Le revisioni degli accessi aiutano le aziende a gestire le frequenti modifiche degli accessi, a ridurre i costi, a gestire il ciclo di vita dell'accesso alle identità, a mantenere la conformità e a rafforzare il livello di sicurezza. Le aziende gestiscono quotidianamente cambiamenti di accesso voluminosi. Le revisioni regolari possono rilevare e rimuovere in modo proattivo autorizzazioni eccessive o privilegi irrilevanti.
La funzione Revisioni accessi di Oracle Access Governance offre vari tipi per esaminare i privilegi di accesso. Ad esempio, utilizzare Campagne per avviare un set di revisioni degli accessi ad hoc o periodiche oppure utilizzare microcertificazioni basate su modifica degli eventi, modifica della sequenza temporale o rilevamento di un conto orfano.
- Riduci i costi fornendo suggerimenti per rimuovere licenze o risorse non essenziali e indesiderate. Ad esempio, la revoca dell'accesso all'applicazione per i dipendenti che non ne hanno più bisogno.
- Rafforzare le impostazioni di sicurezza di un'azienda esaminando regolarmente gli accessi, assicurando che alle risorse giuste siano stati concessi un numero sufficiente di accessi per il proprio ruolo. Ad esempio, Oracle Access Governance esegue micro-certificazioni automatiche per rilevare le modifiche agli eventi (cambio di ubicazione, cambio di reparto), le modifiche della sequenza temporale o gli account isolati che rappresentano una minaccia per la sicurezza.
- Soddisfa i requisiti e la conformità della governance gestendo i report periodici di audit della revisione degli accessi. Ad esempio, garantire la conformità alle normative del settore e alle leggi sulla conformità, come GDPR, HIPAA, SOX, attraverso campagne di revisione degli accessi regolari.
- Semplifica il processo decisionale consigliando insight sulla revisione degli accessi basati su AI/ML, come l'analisi dei gruppi di pari livello, il rilevamento dei valori anomali o i suggerimenti. Ad esempio, Oracle Access Governance consiglia di revocare un privilegio ad alto rischio per un'identità basata su analisi prescrittive.
Tipi di revisioni degli accessi offerti da Oracle Access Governance
Con Oracle Access Governance, è possibile eseguire revisioni ad hoc o periodiche degli accessi Campagne su un set di identità, gruppi, account, ruoli, criteri e autorizzazioni. È anche possibile eseguire revisioni della proprietà per verificare la proprietà delle risorse. Utilizza micro-certificazioni quasi in tempo reale per eseguire revisioni automatiche su componenti specifici in base al verificarsi di una modifica di evento, di una modifica della sequenza temporale o di account senza corrispondenza.
Accedi a campagne di revisione: revisioni accessi ad hoc o periodiche
Utilizzare Campagne per avviare il processo di revisione degli accessi periodico o ad hoc. Si tratta di revisioni basate su snapshot, che acquisiscono tutte le informazioni di accesso pertinenti in un determinato momento, quindi valutano e generano i task di revisione degli accessi. Qualsiasi modifica apportata ai dati dopo l'impostazione delle campagne non si rifletterà in queste revisioni.
Revisioni accesso alle identità
Le revisioni dell'accesso alle identità fanno riferimento alla valutazione dei privilegi di accesso per le identità nell'azienda, in cui l'accesso a una risorsa specifica viene verificato o convalidato. È possibile certificare l'accesso per le identità di Workforce e Consumatori eseguendo le revisioni degli accessi alle identità. I revisori, che sono utenti attivi di Workforce, possono accettare o revocare i privilegi assegnati.
- Utenti (chi dispone dell'accesso?): selezionare un set di attributi di identità di base e personalizzati.
- Applicazioni (a cosa stanno accedendo?): selezionare servizi, applicazioni o account cloud.
-
Autorizzazioni (quali autorizzazioni?): selezionare le autorizzazioni assegnate direttamente nel sistema gestito o le autorizzazioni di cui è stato eseguito il provisioning all'interno di Oracle Access Governance. È possibile utilizzare questi criteri per certificare rapidamente i privilegi per tutti i sistemi orchestrati in base alle autorizzazioni incluse direttamente dal sistema gestito. Questi sono anche chiamati "autorizzazioni riconciliate". Per ulteriori informazioni sull'esecuzione delle revisioni in base alle autorizzazioni, vedere Revisioni di accesso alle identità in base alle autorizzazioni assegnate direttamente nei sistemi gestiti. Nota
- Per il sistema Oracle Access Governance, è possibile eseguire revisioni in base alle autorizzazioni assegnate direttamente (
DIRECT) o ai bundle accessi concessi tramite richiesta dalla sezione Quali autorizzazioni?. Le autorizzazioni o gli account di cui è stato eseguito il provisioning tramite criteri non sono idonei in questa revisione. - È possibile eseguire il provisioning dei gruppi e dei ruoli applicazione IAM OCI creando un bundle accessi. Per il sistema Oracle Cloud Infrastructure (OCI), puoi esaminare i bundle di accesso OCI dalla sezione Quali autorizzazioni? .
DIRECT) o ai bundle accessi concessi tramite richiesta dalla sezione Quali autorizzazioni?. Le autorizzazioni o gli account di cui è stato eseguito il provisioning tramite criteri non sono idonei in questa revisione. - Per il sistema Oracle Access Governance, è possibile eseguire revisioni in base alle autorizzazioni assegnate direttamente (
- Ruoli (quali ruoli?): selezionare i ruoli assegnati alle identità.
Esempio: è possibile eseguire campagne per valutare e certificare se gli associati junior o gli appaltatori dell'organizzazione hanno accesso a autorizzazioni critiche o a informazioni limitate.
Revisioni di accesso alle identità basate su autorizzazioni assegnate direttamente nei sistemi gestiti
È possibile certificare gli accessi alle identità eseguendo revisioni degli accessi alle identità sulle autorizzazioni incluse direttamente dal sistema gestito. Questi sono anche chiamati "autorizzazioni riconciliate". Le autorizzazioni riconciliate si riferiscono alle autorizzazioni intrinseche di cui viene eseguito il provisioning direttamente nei sistemi gestiti senza eseguirne il provisioning da Oracle Access Governance. Eseguire queste revisioni selezionando il sistema Oracle Access Governance dalla pagina Campagne.
Utilizzando approfondimenti e suggerimenti, i revisori possono intraprendere azioni per accettare o revocare queste autorizzazioni. Tuttavia, per gestire gli accessi a livello granulare, utilizzare i bundle accessi per eseguire il provisioning delle autorizzazioni.
Quando si seleziona un set di autorizzazioni dalla casella Quali autorizzazioni?, il sistema genera task di revisione per tutte le identità idonee che hanno accesso a queste autorizzazioni direttamente o tramite una richiesta (bundle accessi).
- Identità con autorizzazioni concesse direttamente con il tipo di privilegio DIRECT.
- Identità con autorizzazioni concesse come parte dei bundle accessi con tipo di privilegio Richiesta.
- Identità con autorizzazioni concesse tramite ruoli con tipo di privilegio Richiesta.
- Account delle identità fornite direttamente o richieste. Nota
Le autorizzazioni o gli account di cui è stato eseguito il provisioning tramite criteri o gli account di identità Oracle Identity Governance (OIG) e Oracle Cloud Infrastructure (OCI) non sono coperti da questa revisione.
I componenti idonei per la revisione variano in base ai criteri selezionati. Per ulteriori dettagli, fare riferimento alla tabella in Tipi di sistema orchestrati idonei per l'avvio delle campagne di revisione degli accessi.
- Le autorizzazioni assegnate direttamente o i bundle accessi concessi tramite richiesta sono disponibili per la revisione nella casella Quali autorizzazioni?. Per poter includere le autorizzazioni nelle revisioni, il tipo di privilegio deve essere Richiesta o DIRECT.
- Se le autorizzazioni assegnate direttamente sono associate a un bundle accessi, di cui viene quindi eseguito il provisioning per le identità tramite Richiesta, verrà visualizzato solo il bundle accessi e non le autorizzazioni individuali. Per i ruoli assegnati alle identità tramite Richiesta, viene visualizzato come ruolo nella casella Quali ruoli?.
Esempio: se le autorizzazioni Lettura e Modifica sono incluse in un bundle accessi e ne viene eseguito il provisioning per le identità tramite Richiesta, non sarà possibile visualizzare e rivedere queste autorizzazioni specifiche. È possibile scegliere di rivedere il bundle accessi.
- Se un account contiene autorizzazioni concesse tramite criteri, non verrà generato alcun task di revisione per tale account.
Esempio: se un account contiene quattro autorizzazioni, due delle quali concesse tramite criteri, la revisione delle autorizzazioni non genererà il task di revisione dell'account.
Scenario
- Alice ha accesso alle autorizzazioni di lettura e aggiornamento assegnate direttamente.
- Jane dispone dell'accesso a queste autorizzazioni come parte del bundle accessi, con ulteriori autorizzazioni di scrittura.
- Betty, che è l'amministratore del database, ha accesso a queste autorizzazioni.
- Per Alice, verranno riviste le autorizzazioni selezionate.
- Per Jane, il bundle accessi verrà esaminato con le autorizzazioni Leggi e Aggiorna e Scrivi solo se il bundle accessi viene concesso tramite Richiesta.
- Per Betty, il ruolo verrà rivisto solo se viene concesso tramite Richiesta.
- Gli account di identità Alice, Jane e Betty verranno presi in considerazione per la revisione se non è stato eseguito il provisioning dell'account o delle autorizzazioni associate all'account utilizzando il criterio.
I revisori possono convalidare queste revisioni degli accessi dalla pagina Revisioni accessi personali → Identità seguendo il processo definito in Esegui revisioni accessi.
Azioni rimedio
- Se un revisore revoca l'autorizzazione, verrà revocato dal sistema gestito.
- Se un'autorizzazione fa parte di un bundle accessi concesso all'identità, non sarà possibile revocare tale singola autorizzazione a meno che non si revochi un intero bundle accessi.
- Gli account associati alle autorizzazioni non vengono revocati se gli account contengono autorizzazioni concesse tramite criteri.
- Gli account di identità vengono revocati solo quando vengono revocate tutte le autorizzazioni associate agli account.
Revisioni criteri
Esame dei criteri Oracle Access Governance e di OCI Identity and Access Management (IAM) per valutarne l'efficacia e la conformità.
In Oracle Access Governance è possibile creare revisioni dei criteri su richiesta, in cui definire i criteri di selezione per rivedere i criteri. È inoltre possibile definire il flusso di lavoro di approvazione per selezionare il numero di livelli di revisione, la durata della revisione e i dettagli del revisore. Per ulteriori informazioni, vedere Crea campagne di revisione dei criteri e Tipi di task di certificazione in Oracle Access Governance.
Esempio: è possibile eseguire revisioni trimestrali sulla rete definita e sul criterio di storage della tenancy per valutare se tali revisioni soddisfano il principio di privilegio minimo e i requisiti normativi applicabili.
Recensioni raccolta identità
Revisione dell'appartenenza di un gruppo per verificare se a un gruppo sono assegnati solo set di membri idonei. Questo è comunemente noto come "revisioni di appartenenza al gruppo".
- Raccolte di identità create in Oracle Access Governance
- Gruppi OCI derivati da Oracle Cloud Infrastructure (OCI)
Revisioni proprietà risorsa
Revisione della proprietà delle risorse create all'interno di Oracle Access Governance, periodicamente o ad hoc. Eseguendo questa revisione, è possibile garantire che la responsabilità delle risorse sia affidata solo ai proprietari designati.
- Bundle accessi
- Workflow di approvazione
- Raccolte di identità
- Sistemi orchestrati
- Criteri
- Ruoli
- Guardrail accesso
In base al flusso di lavoro di approvazione selezionato, il proprietario principale di una risorsa o qualsiasi identità Oracle Access Governance della forza lavoro attiva verrà preso in considerazione per la revisione. I revisori possono certificare o modificare la proprietà delle risorse durante l'esecuzione delle revisioni. Per ulteriori informazioni, vedere Crea valutazioni proprietà e Task di revisione proprietà risorsa.
Microcertificazioni basate su eventi
Utilizzare Impostazione basata su evento per configurare microcertificazioni automatizzate, attivate solo in caso di modifiche nel sistema di record, occorrenza di una milestone di data o ora importante o rilevamento di un conto orfano. Queste sono quasi revisioni in tempo reale e Oracle Access Governance monitora continuamente le modifiche dei profili per avviare le revisioni degli accessi.
È necessario configurare gli attributi per i quali si desidera abilitare le revisioni basate su eventi. Per ulteriori dettagli, vedere Gestisci attributi identità.
Come utente forza lavoro attivo, è possibile rivedere i task di revisione degli eventi dalla pagina Revisioni accesso personale → Identità. Se si verifica una modifica nell'evento ma non vi sono elementi di accesso rivedibili per tale identità, non verrà generato alcun task di revisione per un'identità.
- Evento di modifica: attivato dalle modifiche apportate nel profilo di identità ogni volta che un attributo di identità viene aggiornato nel sistema di record. Questi possono essere attributi Core o Custom.
- Evento sequenza temporale: attivato all'occorrenza di una determinata data, ad esempio la data di anniversario lavorativo di un dipendente per eseguire la revisione degli accessi.
- Evento senza corrispondenza: attivato quando un account inserito non corrisponde ad alcuna identità in Oracle Access Governance.
Tipi di sistema orchestrati idonei per l'avvio delle campagne di revisione accessi
Il tipo di revisioni degli accessi e le informazioni che è possibile esaminare in Oracle Access Governance dipendono dal tipo di sistema scelto durante l'esecuzione delle revisioni. Puoi rivedere l'accesso ai sistemi gestiti da Oracle Access Governance, incluse le revisioni della proprietà, l'accesso di revisione per Oracle Cloud Infrastructure (OCI) e l'accesso ai sistemi gestiti da Oracle Identity Governance (OIG).
Rivedere l'accesso ai sistemi gestiti da Oracle Access Governance
Selezionare questo sistema per eseguire le revisioni accessi o eseguire le revisioni della proprietà delle risorse. Nel sistema Oracle Access Governance è possibile eseguire revisioni degli accessi alle identità per tutti i sistemi orchestrati gestiti da Oracle Access Governance, ad esempio Oracle Database, Flat File, Microsoft Active Directory e così via.
- Rivedi accesso: per eseguire revisioni degli accessi alle identità, revisioni dei criteri e revisioni della raccolta di identità.
- Rivedi proprietà: è possibile verificare se solo i proprietari autorizzati gestiscono le risorse eseguendo revisioni della proprietà.
Revisioni accesso alle identità
Esegui revisioni degli accessi alle identità per tutti i sistemi orchestrati utilizzando il sistema Oracle Access Governance. È possibile eseguire queste revisioni in base agli attributi di identità di base o personalizzati, alle applicazioni a cui hanno accesso, alle autorizzazioni concesse dal sistema gestito, alle autorizzazioni di cui è stato eseguito il provisioning all'interno di Oracle Access Governance come parte del bundle di accesso o ai ruoli concessi alle identità. Per ulteriori informazioni sull'esecuzione delle revisioni degli accessi alle identità, vedere Revisioni degli accessi alle identità.
| Criteri di selezione | Componenti idonei in revisione |
|---|---|
| Chi ha accesso? per selezionare gli attributi di identità |
|
| A cosa stanno accedendo? per accedere alle applicazioni |
|
Quali autorizzazioni? per selezionare i bundle accessi (REQUEST)
|
|
Quali autorizzazioni? per selezionare le autorizzazioni (DIRECT)
|
Nota
Se l'account associato alle autorizzazioni viene incluso anche per concedere l'accesso tramite un criterio Oracle Access Governance, i task di revisione dell'account non verranno generati. |
Quali ruoli? per selezionare i ruoli (REQUEST)
|
Ruoli |
Revisioni criteri
Eseguire le revisioni dei criteri di Oracle Access Governance per valutare l'efficacia dei criteri. Vengono esaminati i criteri creati all'interno di Oracle Access Governance. I criteri di Oracle Access Governance contengono i dettagli delle risorse e delle autorizzazioni associate a un gruppo di identità per mezzo di ruoli e/o bundle di accesso.
Recensioni raccolta identità
Eseguire la revisione dell'appartenenza di un gruppo per verificare se a un gruppo viene assegnato solo il set autorizzato di membri. Questo è comunemente noto come "revisioni di appartenenza al gruppo". È possibile eseguire revisioni per le raccolte di identità create in Oracle Access Governance.
Rivedi la proprietà
È possibile verificare se solo i proprietari autorizzati gestiscono le risorse eseguendo le revisioni della proprietà. Ad esempio, è possibile eseguire revisioni della proprietà per verificare se solo i proprietari designati e autorizzati gestiscono i flussi di lavoro di approvazione.
Esamina gli accessi ai servizi cloud gestiti da Oracle Cloud Infrastructure (OCI)
Selezionare questo sistema per certificare le revisioni degli accessi alle identità, le revisioni dei criteri e le revisioni dell'appartenenza alla raccolta di identità IAM OCI. Inoltre, è possibile esaminare l'assegnazione dei gruppi e dei ruoli applicazione IAM OCI gestiti da Oracle Access Governance.
- Revisioni identità (revisioni dirette): i diritti di accesso alle identità esaminando l'accesso alle applicazioni e i ruoli applicazione concessi.
-
Revisioni accesso alle identità per gli accessi gestiti da Oracle Access Governance : diritti di accesso alle identità dei gruppi IAM OCI e dei ruoli applicazione dei servizi cloud assegnati all'interno di Oracle Access Governance tramite richiesta di accesso. Nota
Se si richiedono e si assegnano ruoli di Oracle Access Governance che includono i bundle di accesso associati contenenti gruppi IAM OCI o ruoli applicazione servizi cloud, scegliere di esaminare i ruoli di Oracle Access Governance nel sistema Oracle Access Governance. - Revisioni criteri: criteri IAM OCI che valutano il costrutto e il funzionamento di un criterio.
- Revisioni raccolta identità: appartenenze a gruppi che valuta che solo i membri idonei abbiano accesso al gruppo. Se scegli di esaminare i gruppi IAM OCI e contiene alcuni membri assegnati da Oracle Access Governance, con questa revisione puoi accettare o revocare solo i membri assegnati direttamente. Per i membri assegnati da Oracle Access Governance, scegliere di rivedere i bundle accessi OCI utilizzando la casella Quali autorizzazioni?.
Criteri di selezione idonei per la revisione nel sistema Oracle Cloud Infrastructure (OCI)
I componenti idonei per la revisione variano in base ai criteri selezionati, come indicato di seguito.
| Criteri di selezione | Componenti idonei in revisione |
|---|---|
| Quali tenancy selezionare tenancy, compartimento cloud o dominio |
|
| Chi ha accesso? per selezionare gli attributi di identità |
|
| A cosa stanno accedendo? per accedere ai servizi cloud |
|
Quali autorizzazioni? per selezionare i bundle accessi (REQUEST)
|
|
Quali ruoli? per selezionare i ruoli applicazione in OCI (DIRECT)
|
Ruoli assegnati direttamente in OCI. |
| Quali criteri? per selezionare le policy OCI | Criteri |
Quali raccolte di identità? per selezionare i gruppi IAM OCI (DIRECT)
|
Raccolte di identità Nota
Se si sceglie di esaminare i gruppi IAM OCI e contiene alcuni membri assegnati all'interno di Oracle Access Governance, con questa revisione è possibile accettare o revocare solo i membri assegnati direttamente. Per le assegnazioni gestite da Oracle Access Governance, scegliere di rivedere i bundle accessi OCI utilizzando la casella Quali autorizzazioni?. |
Esamina l'accesso ai sistemi gestiti da Oracle Identity Governance (OIG)
Selezionare questo sistema per certificare i diritti di accesso di un'identità OIG esaminando l'accesso all'applicazione, i ruoli o le autorizzazioni concessi (abilitazione). Impossibile combinare la revisione per un'autorizzazione (diritto) e un ruolo specifici in una singola campagna.
Esempi di utilizzo: certificazione dei privilegi di accesso con campagne di revisione degli accessi e revisioni basate su eventi
Vediamo alcuni degli scenari in cui le campagne e le revisioni automatiche degli accessi sono utili.
Esempio 1: revisione delle autorizzazioni di accesso per applicazioni ad alto profilo con funzioni critiche
Scenario: per aiutare l'azienda a evitare qualsiasi danno contro l'uso improprio dei diritti di accesso per le applicazioni sensibili ai dati, è necessario pianificare campagne trimestrali per certificare l'accesso a funzioni critiche, ad esempio le autorizzazioni di aggiornamento e terminazione.
È possibile creare una campagna per rivedere le autorizzazioni o i ruoli di revisione, ma non è possibile selezionare entrambi in una singola campagna. In questo esempio, Quali ruoli? verrà disabilitato insieme a Quali criteri? Quando si è scelto di rivedere l'accesso alle identità, verranno disabilitati anche i parametri di selezione della revisione dei criteri e della raccolta di identità.
Esempio 2: revisione dei criteri per tutte le risorse cloud
Scenario: l'azienda ha aggiornato i propri protocolli di sicurezza per lo storage dei dati. In qualità di amministratore della sicurezza cloud, è necessario eseguire revisioni degli accessi su richiesta di tutti i criteri IAM disponibili nell'account cloud per garantire che soddisfi gli standard e le normative di sicurezza più recenti.
A tale scopo, selezionare innanzitutto il sistema, aggiungere i criteri di selezione per selezionare il provider cloud, l'account cloud, il dominio o il compartimento. Completare i passi della campagna per assegnare i dettagli appropriati del flusso di lavoro e della campagna. In questo esempio, il revisore della campagna può rivedere tutti i task di revisione applicabili nella scheda Revisioni accessi personali → Controllo accesso, con il tipo Criterio.
Esempio 3: revisioni iscrizione gruppo per gruppi di progetti
Scenario: in qualità di project manager, eseguire una revisione trimestrale dell'appartenenza al gruppo per il team in modo da garantire che solo i membri del team corrente abbiano accesso ai repository di codici e accesso alle applicazioni di terze parti richieste. Questo processo ti aiuterà a rimuovere qualsiasi accesso non autorizzato e a monitorare e controllare i costi del progetto.
A tale scopo, selezionare prima il sistema OCI, aggiungere criteri di selezione per selezionare i gruppi OCI, aggiungere un workflow di approvazione insieme ai dettagli della campagna. In questo esempio, il revisore della campagna può rivedere tutti i task di revisione applicabili nella scheda Revisioni accessi personali → Controllo accesso, con il tipo Raccolta identità.
Esempio 4: abilitazione delle valutazioni di accesso automatico per i dipendenti attivate da un evento di modifica
Scenario: in qualità di proprietario dell'azienda, è necessario impostare revisioni automatiche degli accessi per eseguire microcertificazioni ogni volta che il manager, il codice mansione o l'ubicazione cambiano per un dipendente.
A tale scopo, abilitare le revisioni degli accessi basate su eventi per codice mansione, manager e ubicazione. Ogni volta che si verifica la sincronizzazione dei dati più recente dal sistema orchestrato con questi aggiornamenti, Oracle Access Governance solleverà automaticamente più revisioni degli accessi basate sugli eventi associate a questa singola identità.