Funkcjonalność
Cykl życia tożsamości
Jak działa: Zmiany w dostępach pracowników odchodzących lub zmieniających rolę odzwierciedlane są automatycznie, gdy tylko HR zarejestruje zmianę.
W skrócie
Zarządzanie cyklem życia tożsamości wiąże dostępy użytkownika z jego rolą i statusem w organizacji: dostęp powstaje, gdy ktoś dołącza - zmienia się wraz ze zmianą roli - znika, gdy ktoś odchodzi. Gdy HR zaakceptuje zmianę, Okta może odebrać lub zmodyfikować dostęp przez SCIM i inny provisioning w podłączonych aplikacjach.1
Powiązane funkcjonalności
- Dostęp uprzywilejowany
- Weryfikacja w helpdesku
- Krótkotrwałe tokeny
Co to jest i jakie ataki zatrzymuje
Dostęp często żyje dłużej niż sam powód, dla którego został nadany. Ludzie zmieniają zespoły, kończą projekty i odchodzą, a ich konta i dostęp do aplikacji zostają, dopóki ktoś ich ręcznie nie usunie.
Zarządzanie cyklem życia wychodzi ze źródła prawdy o każdej osobie, takiego jak system HR, i przenosi zmiany na konta i aplikacje w Okcie.13
Dzięki temu zamykamy luki, które prowadzą do problemów, takich jak:
Konta byłych pracowników
Konto pozostaje aktywne po odejściu pracownika. Atakujący albo sam były pracownik nadal może się zalogować.
Dostęp, który narasta po zmianach roli
Osoba zmienia zespół i zachowuje stare uprawnienia razem z nowymi. Jej konto z czasem staje się większym celem.
Osierocone i zapomniane konta
Konto nie ma jasnego właściciela, więc nikt nie zauważa jego nadużycia.
Dostęp kontraktorów, który nigdy się nie kończy
Dostawca kończy projekt, ale konto zostaje otwarte bez daty zakończenia.
Przed i po wdrożeniu funkcjonalności
Jak to robi Okta
Okta Lifecycle Management łączy dane o ludziach z Twoimi aplikacjami. Można zacząć od kilku aplikacji i rozszerzać zakres.
Zmiana następuje w systemie źródłowym
Ktoś dołącza, zmienia rolę albo odchodzi, co jest zapisane w systemie HR lub innym źródle prawdy.1
Reguły decydują, co zmienia się w aplikacjach
Reguły w Okcie decydują, które konta i uprawnienia są tworzone, zmieniane lub usuwane w podłączonych aplikacjach.1
Automatyzacja obsługuje dodatkowe kroki
Okta Workflows może uruchamiać dodatkowe kroki, na przykład powiadomienie przełożonego lub właściciela aplikacji.2
Jak wdrażamy to w Zelto
Technologia za Oktą to gotowa i sprawdzona połowa - Zelto mapuje Twoje procesy dla nowych osób, zmieniających rolę i odchodzących, źródła prawdy oraz wyjątki. Planujemy wdrożenia grupami, aby zminimalizować ryzyko i skutki. Zaczynamy od aplikacji, w których pozostawiony dostęp kosztowałby najwięcej.
Typowy przebieg wdrożenia
Sprawdzamy źródło prawdy i aplikacje
Spisujemy, który system odpowiada za status i rolę każdej osoby oraz w których aplikacjach osoba posiada konta.
Definiujemy reguły dla dołączających, zmieniających rolę i odchodzących
Zapisujemy, jaki dostęp dostaje każda rola i co jest usuwane, gdy ktoś zmienia rolę lub odchodzi. Ustalamy też, co dzieje się z danymi tych użytkowników i ich skrzynkami pocztowymi.
Pilotaż z jednym działem
Zaczynamy od jednego działu i kilku aplikacji, ustalamy właścicieli odpowiednich reguł po Twojej stronie. Ustalamy też, kiedy wdrażamy zmianę i kiedy ją wycofujemy.
Podłączamy aplikacje jedna po drugiej
Podłączamy aplikacje w Okcie w kolejności priorytetów. Każda dostaje przed uruchomieniem test odejścia i zmiany roli. Helpdesk dostaje instrukcję na pytania, które się pojawią.
Przeglądamy wyjątki i kontraktorów
Regularnie przeglądamy ręczne wyjątki, daty zakończenia dla kontraktorów i konta bez właściciela.
Pułapki, które uwzględniamy w planie
Dane w HR są spóźnione lub błędne.
−Automatyzacja idzie za rekordem HR, więc spóźniona data odejścia zostawia konto otwarte, a błędna rola nadaje niewłaściwy dostęp.
+Ustalamy, kto odpowiada za dane HR, jak szybko wprowadza się zmiany i jak obsługujemy pilne odejście poza zwykłym procesem.
Pracownik zmienia rolę.
−Dodajemy nowy dostęp i zostawiamy stary, więc uprawnienia się kumulują.
+Definiujemy, co dostaje każda rola, i usuwamy dostęp, którego nowa rola nie potrzebuje.
Kontraktorzy i osoby tymczasowe dołączają na czas projektu.
−Tworzymy konto bez daty zakończenia, więc zostaje otwarte po projekcie.
+Każdy kontraktor dostaje własne konto z datą zakończenia oraz opiekuna, który ją potwierdza albo pozwala jej wygasnąć.
Chcesz automat kompleksowo załatwiający wszystkie zmiany w uprawnieniach pracownika, gdy tylko HR zarejestruje zmianę u siebie w systemie?
Sprawdzimy, jak dziś w Twojej firmie nadaje się i odbiera dostęp. Potem powiemy, co zautomatyzować najpierw.
Umów rozmowę30 minut, bez prezentacji. Sprawdzamy, jak dziś działa u Ciebie proces dla nowych i odchodzących osób.Powiązane wpisy na blogu
Notatki z wdrożeń
Źródła
Oficjalna dokumentacja Okta i Auth0 oraz źródła prawne
- 1Okta Lifecycle Managementokta.com product page
- 2Okta Workflowsokta.com product page
- 3Okta Universal Directoryokta.com product page
- 4Okta Identity Governanceokta.com product page