Revisões de Acesso no Oracle Access Governance: Certificar Privilégios de Acesso com Campanhas e Micro Certificações Orientadas a Eventos
Revisões de Acesso, também conhecido como Certificação de Acesso ou Atestado de Acesso, é o processo para avaliar e certificar os privilégios de acesso concedidos a identidades dentro de uma empresa. Ele verifica e certifica se os privilégios concedidos ainda são necessários e se alinham ao job atual no trabalho. Use o recurso Revisões de Acesso do Oracle Access Governance para revisar os privilégios de acesso. Tome decisões de revisão rápidas e precisas examinando insights e recomendações baseadas em IA com base em análises prescritivas.
As empresas têm um grande cenário distribuído em sistemas on-premises e na nuvem. Para evitar o acúmulo excessivo de permissões irrelevantes ou acesso não autorizado a informações críticas, as Revisões de Acesso são executadas regularmente para monitorar e certificar os acessos. Eles são vitais para processos seguros de conformidade e gerenciamento de acesso.
Principais Benefícios da realização de Revisões de Acesso com o Oracle Access Governance
As Revisões de Acesso ajudam as empresas a controlar alterações frequentes de acesso, reduzir custos, gerenciar o ciclo de vida de acesso à identidade, manter a conformidade e fortalecer a postura de segurança. As empresas lidam com alterações de acesso volumosas diariamente. Revisões regulares podem detectar e remover proativamente permissões excessivas ou privilégios irrelevantes.
O recurso Revisões de Acesso do Oracle Access Governance oferece vários tipos para revisar privilégios de acesso. Por exemplo, use Campanhas para iniciar um conjunto de revisões de acesso ad hoc ou periódico, ou use microcertificações, que são baseadas em alteração de evento, alteração de linha do tempo ou detecção de uma conta órfã.
- Reduza o custo fornecendo recomendações para remover licenças ou recursos não essenciais e indesejados. Por exemplo, revogar o acesso ao aplicativo para funcionários que não precisam mais dele.
- Fortaleça a postura de segurança de uma empresa revisando regularmente os acessos, garantindo que os recursos certos tenham recebido acessos suficientes para sua função. Por exemplo, o Oracle Access Governance executa microcertificações automáticas para detectar alterações de eventos (alteração de local, alteração de departamento), alterações de linha do tempo ou detectar contas órfãs que representam uma ameaça à segurança.
- Atenda à conformidade e aos requisitos de governança mantendo relatórios periódicos de auditoria de revisão de acesso. Por exemplo, garantir a conformidade com as regulamentações e leis de conformidade do setor, como GDPR, HIPAA, SOX, por meio de campanhas regulares de revisão de acesso.
- Simplifique a tomada de decisões recomendando insights de revisão de acesso orientados por IA/ML, como análise de grupo de pares, detecção de outlier ou recomendação. Por exemplo, o Oracle Access Governance oferece recomendação para revogar um privilégio de alto risco para uma identidade com base em análises prescritivas.
Tipos de Revisões de Acesso Oferecidas pelo Oracle Access Governance
Com o Oracle Access Governance, você pode executar revisões de Acesso ad hoc ou periódicas Campanhas em um conjunto de identidades, grupos, contas, atribuições, políticas e permissões. Você pode até mesmo executar revisões de propriedade para verificar a propriedade do recurso. Use microcertificações quase em tempo real para executar revisões automáticas em componentes específicos com base na ocorrência de uma alteração de evento, alteração de linha do tempo ou contas sem correspondência.
Campanhas de Revisão de Acesso: Revisões de Acesso Ad hoc ou Periódico
Use Campanhas para iniciar o processo de revisão de acesso periódico ou ad hoc. Estas são revisões baseadas em instantâneos, capturando todas as informações de acesso relevantes em um determinado momento e, em seguida, avaliando e gerando tarefas de revisões de acesso. Qualquer alteração feita nos dados após a configuração das campanhas não será refletida nessas revisões.
Revisões de Acesso de Identidade
As revisões de acesso de identidade se referem à avaliação de privilégios de acesso para identidades em sua empresa, em que o acesso a um recurso específico é verificado ou validado. Você pode certificar o acesso para identidades do Workforce e Consumidores executando as revisões de acesso de identidade. Os revisores, que são usuários ativos do Workforce, podem aceitar ou revogar os privilégios atribuídos.
- Usuários (quem tem acesso?): Selecione um conjunto de atributos de identidade principais e personalizados.
- Aplicativos (o que eles estão acessando?): Selecione serviços, aplicativos ou contas na nuvem.
-
Permissões (quais permissões?): Selecione as permissões que são atribuídas diretamente no seu Sistema Gerenciado ou as permissões provisionadas no Oracle Access Governance. Você pode usar esses critérios para certificar rapidamente privilégios para todos os Sistemas Orquestrados com base nas permissões ingeridas diretamente do Sistema Gerenciado. Eles também são chamados de "permissões reconciliadas". Para obter mais informações sobre como executar revisões com base em permissões, consulte Revisões de Acesso de Identidade com base em Permissões Atribuídas Diretamente em Sistemas Gerenciados. Observação
- Para o sistema Oracle Access Governance, você pode executar revisões com base nas permissões atribuídas diretamente (
DIRECT) ou Pacotes de Acesso concedidos por meio de solicitação do bloco Quais Permissões? . Permissões ou contas provisionadas por meio da política não são elegíveis nesta revisão. - Você pode provisionar grupos do OCI IAM e atribuições de aplicativo criando um pacote de acesso. Para o sistema Oracle Cloud Infrastructure (OCI), você pode revisar pacotes de acesso do OCI no bloco Quais Permissões? .
DIRECT) ou Pacotes de Acesso concedidos por meio de solicitação do bloco Quais Permissões? . Permissões ou contas provisionadas por meio da política não são elegíveis nesta revisão. - Para o sistema Oracle Access Governance, você pode executar revisões com base nas permissões atribuídas diretamente (
- Funções (quais funções?): selecione as funções provisionadas para identidades.
Exemplo: você pode executar campanhas para avaliar e certificar se os associados ou contratados juniores em sua organização tiverem acesso a permissões críticas ou informações restritas.
Revisões de Acesso de Identidade com base em Permissões Atribuídas Diretamente em Sistemas Gerenciados
Você pode certificar acessos de identidade executando revisões de acesso de identidade nas permissões ingeridas diretamente do Sistema Gerenciado. Eles também são chamados de "permissões reconciliadas". As permissões reconciliadas referem-se a permissões inerentes que são provisionadas diretamente nos sistemas Gerenciados sem provisioná-las do Oracle Access Governance. Execute essas revisões selecionando o sistema do Oracle Access Governance na página Campanhas.
Usando insights e recomendações, os revisores podem tomar medidas para aceitar ou revogar essas permissões. No entanto, para gerenciar seus acessos em um nível granular, use Pacotes de Acesso para provisionar as permissões.
Quando você seleciona um conjunto de permissões no mosaico Quais Permissões?, o sistema gera tarefas de revisão para todas as identidades elegíveis que têm acesso a essas permissões diretamente ou por meio de uma solicitação (Pacotes de Acesso).
- Identidades com permissões concedidas diretamente com o tipo de concessão DIRECT.
- Identidades com permissões concedidas como parte dos Pacotes de Acesso com o tipo de concessão Solicitação.
- Identidades com permissões concedidas por meio de Atribuições com o tipo de concessão Solicitação.
- Contas das identidades que são fornecidas diretamente ou solicitadas. Observação
As permissões ou contas provisionadas por meio da política ou as contas de identidade do Oracle Identity Governance (OIG) e do Oracle Cloud Infrastructure (OCI) não são cobertas nesta revisão.
Os componentes elegíveis para revisão variam de acordo com os critérios selecionados. Para obter mais detalhes, consulte a tabela em Tipos de Sistema Orquestrado Elegíveis para Ativar Campanhas de Revisão de Acesso.
- As permissões designadas diretamente ou os Pacotes de Acesso concedidos por meio de solicitação estão disponíveis para revisão no mosaico Quais Permissões?. O tipo de concessão deve ser Solicitação ou DIRECT para que as permissões sejam incluídas nas revisões.
- Se as permissões atribuídas diretamente estiverem associadas a um Pacote de Acesso, que será então provisionado para identidades por meio de Solicitação, você verá apenas o Pacote de Acesso e não as permissões individuais. Para funções provisionadas para identidades por meio de Solicitação, ela aparece como uma função no mosaico Quais funções?.
Exemplo: Se as permissões Leitura e Alteração forem incluídas em um Pacote de Acesso e provisionadas para identidades por meio de Solicitação, você não poderá exibir e revisar essas permissões específicas. Você pode optar por revisar o Pacote de Acesso.
- Se uma conta contiver permissões concedidas por meio de política, nenhuma tarefa de revisão será gerada para essa conta.
Exemplo: Se uma conta contiver quatro permissões, duas das quais são concedidas por meio de política, a revisão de permissões não gerará a tarefa de revisão de conta.
Cenário
- O Alice tem acesso às permissões Ler e Atualizar atribuídas diretamente.
- Jane tem acesso a essas permissões como parte do Pacote de Acesso, com permissão de Gravação adicional.
- Betty, sendo o administrador do banco de dados, tem acesso a essas permissões.
- No Alice, as permissões selecionadas serão revisadas.
- Para Jane, o Pacote de Acesso será revisado com as permissões Leitura e Atualização e Gravação somente se o Pacote de Acesso for concedido por meio de Solicitação.
- Para Betty, a atribuição só será revisada se a atribuição for concedida por meio de Solicitação.
- As contas de identidade do Alice, do Jane e do Betty serão consideradas para revisão se a conta ou as permissões associadas à conta não tiverem sido provisionadas usando a política.
Os revisores podem validar essas revisões de acesso na página Minhas Revisões de Acesso → Identidade após o processo definido em Executar Revisões de Acesso.
Ações de Correção
- Se um revisor revogar a permissão, ela será revogada do sistema Gerenciado.
- Se uma permissão fizer parte de um Pacote de Acesso concedido à identidade, você não poderá revogar essa permissão única, a menos que revogue um Pacote de Acesso inteiro.
- As contas associadas a permissões não serão revogadas se as contas contiverem permissões concedidas por meio de política.
- As contas de identidade só são revogadas quando todas as permissões associadas às contas são revogadas.
Revisões de Política
Revisão das políticas do Oracle Access Governance e das políticas do OCI Identity and Access Management (IAM) para avaliar sua eficácia e conformidade.
No Oracle Access Governance, você pode criar revisões de política sob demanda, onde você define os critérios de seleção para revisar políticas. Você também pode definir o workflow de aprovação para selecionar o número de níveis de revisão, a duração da revisão e os detalhes do revisor. Para obter mais informações, consulte Criar Campanhas de Revisão de Política e Tipos de Tarefas de Certificação no Oracle Access Governance.
Exemplo: Você pode executar revisões trimestrais na política de rede e armazenamento definida da sua tenancy para avaliar se elas atendem ao princípio do privilégio mínimo e aos requisitos regulatórios aplicáveis.
Revisões de Coleta de Identidades
Revisão de associação de um grupo para verificar se apenas o conjunto elegível de membros está atribuído a um grupo. Isso é comumente conhecido como "revisões de membros do grupo".
- Coleções de identidades criadas no Oracle Access Governance
- Grupos do OCI derivados do Oracle Cloud Infrastructure (OCI)
Revisões de Propriedade do Recurso
Revise a propriedade dos recursos criados no Oracle Access Governance, periodicamente ou de forma ad hoc. Ao realizar esta revisão, você pode garantir que a responsabilidade dos recursos seja apenas dos proprietários designados.
- Pacote de acesso
- Workflows de Aprovação
- Coleções de Identidades
- Sistemas orquestrados
- Políticas
- Funções
- Guardrails de Proteção de Acesso
Com base no workflow de aprovação selecionado, o proprietário principal de um recurso ou qualquer identidade ativa do Oracle Access Governance da força de trabalho será considerado para revisão. Os revisores podem certificar ou alterar a propriedade dos recursos durante a realização de revisões. Para obter mais informações, consulte Criar Revisões de Propriedade e Tarefa de Revisão de Propriedade de Recurso.
Micro-Certificações Baseadas em Eventos
Use Configuração Baseada em Evento para configurar microcertificações automatizadas, acionadas somente quando houver alterações no sistema de registro, ocorrência de um marco de data ou hora importante ou detecção de uma conta órfã. São quase revisões em tempo real e o Oracle Access Governance monitora continuamente as alterações de perfil para iniciar as revisões de acesso.
Configure os atributos para os quais você deseja ativar revisões baseadas em eventos. Para obter mais detalhes, consulte Gerenciar Atributos de Identidade.
Como usuário ativo da força de trabalho, você pode revisar as tarefas de avaliação do evento na página Minhas Revisões de Acesso → Identidade. Se houver uma alteração no evento, mas não houver itens de acesso revisáveis para essa identidade, nenhuma tarefa de revisão será gerada para uma identidade.
- Evento de alteração: Acionado por alterações feitas no perfil de identidade, sempre que um atributo de identidade é atualizado no sistema de registros. Podem ser Atributos Básicos ou Personalizados.
- Evento de linha do tempo: acionado na ocorrência de uma data específica, como a data de aniversário de trabalho de um funcionário para executar a avaliação de acesso.
- Evento sem Correspondência: Acionado quando uma conta integrada não corresponde a nenhuma identidade no Oracle Access Governance.
Tipos de Sistema Orquestrado Elegíveis para Ativar Campanhas de Revisão de Acesso
O tipo de revisões de acesso e o que você pode revisar no Oracle Access Governance depende do tipo de sistema escolhido durante a execução de revisões. Você pode revisar o acesso aos sistemas gerenciados pelo Oracle Access Governance, incluindo revisões de propriedade, revisar o acesso à Oracle Cloud Infrastructure (OCI) e revisar o acesso aos sistemas gerenciados pelo Oracle Identity Governance (OIG).
Revisar o Acesso a Sistemas Gerenciados pelo Oracle Access Governance
Selecione este sistema para executar revisões de acesso ou executar revisões de propriedade de recurso. No sistema Oracle Access Governance, você pode executar revisões de acesso de identidade para todos os sistemas orquestrados gerenciados pelo Oracle Access Governance, como Oracle Database, Flat File, Microsoft Active Directory e assim por diante.
- Revisar Acesso: Para executar revisões de acesso de identidade, revisões de política e revisões de coleta de identidades.
- Revisar Propriedade: Você pode verificar se somente proprietários autorizados estão gerenciando recursos executando revisões de propriedade
Revisões de Acesso de Identidade
Execute revisões de acesso de identidade para todos os sistemas orquestrados usando o sistema Oracle Access Governance. Você pode executar essas revisões com base nos atributos de identidade principais ou personalizados, nos aplicativos aos quais eles têm acesso, nas permissões concedidas do Sistema Gerenciado, nas permissões provisionadas no Oracle Access Governance como parte do Pacote de Acesso ou nas atribuições concedidas a identidades. Para obter mais informações sobre como executar revisões de acesso de identidade, consulte Revisões de Acesso de Identidade.
| Critérios de Seleção | Componentes Elegíveis em Revisão |
|---|---|
| Quem tem acesso? para selecionar atributos de identidade |
|
| O que eles estão acessando? para acessar aplicativos |
|
Quais permissões? para selecionar Pacotes de Acesso (REQUEST)
|
|
Quais permissões? para selecionar Permissões (DIRECT)
|
Observação
Se a conta associada às permissões também for incluída para conceder acesso por meio de uma política do Oracle Access Governance, as tarefas de revisão da conta não serão geradas. |
Quais atribuições? para selecionar Atribuições (REQUEST)
|
Funções |
Revisões de Política
Execute revisões de política do Oracle Access Governance para avaliar a eficácia da política. As políticas criadas no Oracle Access Governance são revisadas. As políticas do Oracle Access Governance contêm detalhes de recursos e permissões anexados a um grupo de identidades por meio de funções e/ou pacotes de acesso.
Revisões de Coleta de Identidades
Execute a revisão de associação de um grupo para verificar se somente o conjunto autorizado de membros está atribuído a um grupo. Isso é comumente conhecido como "revisões de membros do grupo". Você pode executar revisões para coleções de identidades criadas no Oracle Access Governance.
Verificar Propriedade
Você pode verificar se apenas proprietários autorizados estão gerenciando recursos executando revisões de propriedade. Por exemplo, você pode executar revisões de propriedade para verificar se apenas proprietários designados e autorizados estão gerenciando os workflows de Aprovação.
Revisar Acessos para Serviços em Nuvem Gerenciados pela Oracle Cloud Infrastructure (OCI)
Selecione este sistema para certificar revisões de acesso de identidade, revisões de política e revisões de associação de coleta de identidades do OCI IAM. Além disso, você pode revisar a designação de grupos do OCI IAM e atribuições de aplicativo gerenciadas pelo Oracle Access Governance.
- Revisões de Identidade (Diretas): Direitos de acesso de identidade revisando o acesso ao aplicativo, com atribuições de aplicativo concedidas.
-
Revisões de Acesso de Identidade para Acessos Gerenciados pelo Oracle Access Governance: direitos de acesso de identidade de grupos do OCI IAM e atribuições de aplicativo de serviços em nuvem atribuídas no Oracle Access Governance por meio de solicitação de acesso. Observação
Se você solicitar e designar atribuições do Oracle Access Governance que incluem os pacotes de acesso associados que contêm Grupos do OCI IAM ou atribuições de aplicativo de serviços em nuvem, escolha revisar as atribuições do Oracle Access Governance no sistema Oracle Access Governance. - Revisões de Política: Políticas do OCI IAM que avaliam a construção e o funcionamento de uma política.
- Revisões de Coleta de Identidades: Associações de Grupo que avaliam que somente membros elegíveis têm acesso ao grupo. Se você optar por revisar grupos do OCI IAM e ele contiver alguns membros designados do Oracle Access Governance, com essa revisão, você só poderá aceitar ou revogar membros designados diretamente. Para membros designados no Oracle Access Governance, opte por revisar os Pacotes de Acesso do OCI usando o mosaico Quais permissões?.
Critérios de Seleção Qualificados para Revisão no Sistema Oracle Cloud Infrastructure (OCI)
Os componentes elegíveis para revisão variam de acordo com os critérios selecionados, da seguinte forma:
| Critérios de Seleção | Componentes Elegíveis em Revisão |
|---|---|
| Quais tenancies devem ser selecionadas para tenancies, compartimento na nuvem ou domínio |
|
| Quem tem acesso? para selecionar atributos de identidade |
|
| O que eles estão acessando? para acessar serviços de nuvem |
|
Quais permissões? para selecionar Pacotes de Acesso (REQUEST)
|
|
Quais atribuições? para selecionar atribuições de aplicativo no OCI (DIRECT)
|
Atribuições designadas Diretamente no OCI. |
| Quais políticas? para selecionar Políticas do OCI | Políticas |
Quais coleções de identidades? para selecionar grupos do OCI IAM (DIRECT)
|
Coleções de Identidades Observação
Se você optar por revisar grupos do OCI IAM e ele contiver alguns membros designados no Oracle Access Governance, com essa revisão, você só poderá aceitar ou revogar membros designados diretamente. Para atribuições gerenciadas pelo Oracle Access Governance, opte por revisar os Pacotes de Acesso do OCI usando o mosaico Quais permissões?. |
Revisar o Acesso a Sistemas Gerenciados pelo Oracle Identity Governance (OIG)
Selecione este sistema para certificar direitos de acesso de uma identidade do OIG revisando o acesso ao aplicativo, as atribuições ou permissões concedidas (direitos). Não é possível combinar a revisão de uma permissão específica (direito) e função em uma única campanha.
Exemplos de Uso: Certificando Privilégios de Acesso com Campanhas de Revisão de Acesso e Revisões Baseadas em Evento
Vamos ver alguns dos cenários em que campanhas e revisões de acesso automatizado são úteis.
Exemplo 1: Revisar Permissões de Acesso para Aplicativos de Alto Perfil com Funções Críticas
Cenário: para ajudar sua empresa a impedir qualquer dano contra o uso indevido de direitos de acesso para aplicativos sensíveis a dados, você precisa programar campanhas trimestrais para certificar o acesso a funções críticas, como permissões de atualização e encerramento.
Você pode criar uma campanha para revisar permissões ou revisar funções, mas não pode selecionar ambas em uma única campanha. Neste exemplo, Quais atribuições? serão desativadas juntamente com Quais políticas? À medida que optamos por revisar o acesso de identidade, os parâmetros de seleção de revisão de política e coleção de identidades também serão desativados.
Exemplo 2: Revisar Políticas para todos os Recursos da Nuvem
Scenario: Sua empresa atualizou os protocolos de segurança para armazenamento de dados. Como administrador de segurança na nuvem, você precisa realizar análises de acesso sob demanda de todas as políticas do IAM disponíveis em sua conta na nuvem para garantir que elas atendam aos padrões e regulamentos de segurança mais recentes.
Para fazer isso, primeiro selecione o sistema, adicione critérios de seleção para selecionar provedor de nuvem, conta de nuvem, domínio ou compartimento. Conclua as etapas da campanha para atribuir os detalhes apropriados do fluxo de trabalho e da campanha. Neste exemplo, o revisor da campanha pode revisar todas as tarefas de revisão aplicáveis na guia Minhas Revisões de Acesso → Controle de Acesso, com o tipo Política.
Exemplo 3: Revisões de Associação de Grupo para Grupos de Projetos
Cenário: como gerente de projeto, realize uma revisão trimestral da associação do grupo para sua equipe, a fim de garantir que apenas os membros atuais da equipe tenham acesso aos repositórios de código e acesso aos aplicativos de terceiros necessários. Este processo irá ajudá-lo a remover qualquer acesso não autorizado, bem como monitorar e controlar o custo do projeto.
Para fazer isso, primeiro selecione o sistema do OCI, adicione critérios de seleção para selecionar grupos do OCI, adicione um workflow de aprovação com detalhes da campanha. Neste exemplo, o revisor da campanha pode revisar todas as tarefas de revisão aplicáveis na guia Minhas Revisões de Acesso → Controle de Acesso, com o tipo Coleta de Identidades.
Exemplo 4: Ativando Revisões de Acesso Automatizado para Funcionários Acionados por um Evento de Alteração
Cenário: como proprietário de uma empresa, você precisa configurar revisões de acesso automatizadas para realizar microcertificações sempre que o gerente, o código do cargo ou o local forem alterados para um funcionário.
Para isso, ative revisões de acesso baseadas em eventos para código de cargo, gerente e local. Sempre que a sincronização de dados mais recente acontecer do sistema orquestrado com essas atualizações, o Oracle Access Governance gerará automaticamente várias revisões de acesso baseadas em eventos associadas a essa única identidade.