Identificare le potenziali interruzioni dell'accesso

Quando si utilizza la modalità Solo rapporti, identificare l'accesso trasversale bloccato prima di passare alla modalità Limitata. Per valutare se l'accesso trasversale agli account sarà bloccato, completate i seguenti passaggi:

1. Selezionare il filtro per responseData.isEnforced:"false" AND responseData.decision:"Deny"

Questa è l'analisi più critica da effettuare. Questa query rivela tutti i tentativi di accesso incrociato agli account che verrebbero bloccati quando l'applicazione è abilitata. Questi risultati mostrano quali identità stanno attualmente accedendo alle risorse attraverso i confini dell'account e a cui verrebbe negato l'accesso quando si passa alla modalità limitata.

2. Per ogni risultato "nega", è necessario determinare se questo flusso trasversale deve essere conservato o se deve essere bloccato:
   • Se il flusso deve essere conservato: Preferibilmente, contattate l'utente e modificate il flusso di lavoro per assicurarvi che il token utilizzato sia assegnato all'account corretto o, se ciò non è possibile, aggiungete l'account esterno alla vostra allowlist. Per ulteriori informazioni, vedere Correzione delle interazioni indesiderate con l'identità esterna.
   • Se il flusso dovesse essere bloccato: Non è necessario intervenire, poiché viene bloccato automaticamente quando si seleziona la modalità limitata.

Convalida delle modifiche agli elenchi di permessi

Quando si decide di preservare specifici flussi di interazione con l'identità esterna aggiungendo account all'elenco dei permessi, è possibile verificare che queste modifiche funzionino come previsto utilizzando i seguenti passaggi:

1. Selezionare il filtro per responseData.isEnforced:"false" AND responseData.decision:"Permit"

   Questa query mostra le richieste che hanno superato la restrizione, comprese quelle che erano precedentemente negate ma che ora sono consentite a causa delle modifiche apportate alla allowlist.

2. Cercate in particolare i permessi degli account aggiunti di recente alla vostra allowlist per verificare che le modifiche apportate funzionino correttamente. Questa fase di convalida è necessaria quando si apportano modifiche all'elenco dei permessi e si vuole garantire che l'accesso trasversale agli account precedentemente bloccato sia ora consentito.

Monitoraggio Modalità limitata

Quando la restrizione è impostata su Limitata, è possibile monitorare le richieste bloccate:

• Selezionare il filtro per responseData.isEnforced:"true" AND responseData.decision:"Deny"

Questa query visualizza le richieste che hanno superato la restrizione, comprese quelle che erano precedentemente negate ma che ora sono consentite a causa delle modifiche apportate alla lista di permessi.

Puoi aggiungere o rimuovere account dalla lista consentita in qualsiasi momento per soddisfare i tuoi requisiti di sicurezza. Per un elenco delle azioni che generano un evento, vedere Eventi di monitoraggio delle attività per IAM.

Utilizzo di profili affidabili (consigliato)

I profili di fiducia sono il metodo suggerito per consentire casi d'uso legittimi in cui un'entità di un account deve accedere a risorse di un altro account. Questo approccio vi permette di controllare con precisione quali identità possono accedere al vostro account e quali profili possono assumere.

L'impostazione Interazioni identità esterne non impedisce di aggiungere a un profilo attendibile utenti specifici, ID servizio o risorse di calcolo di altri account. Poiché queste identità vengono registrate nel contesto dell'account, l'impostazione Interazioni con identità esterne non le limita più.

Per implementare questo approccio, utilizzare i seguenti passaggi:

1. Creare un profilo di fiducia nel proprio account. Per ulteriori informazioni, vedere Profili affidabili per utenti e carichi di lavoro federati.
2. Aggiungere identità specifiche di altri account a questo profilo di fiducia.
3. Concedere al profilo di fiducia l'accesso appropriato alle risorse dell'account.
4. Configurare le identità esterne per utilizzare questo profilo per l'accesso alle risorse.

Questo metodo garantisce una maggiore sicurezza e verificabilità, poiché l'identità esterna opera nel contesto del vostro account.

Utilizzo della funzione allowlist

La funzione allowlist è particolarmente utile nelle strutture di account Enterprise o in altre situazioni in cui più account sono di proprietà della stessa organizzazione e gli utenti e le risorse di questi account devono interagire tra loro.

Per implementare questo approccio:

1. Nella console IBM Cloud, accedere a Gestione > Accesso (IAM) > Impostazioni > Risorse
2. Fare clic sull'icona Modifica
3. Aggiungere gli ID degli account affidabili all'elenco dei permessi
4. Fai clic su Save

Dopo aver aggiunto gli account all'elenco dei permessi, è necessario convalidare le modifiche apportate all'elenco dei permessi per verificare che l'accesso incrociato agli account precedentemente bloccato sia ora consentito.

Sebbene l'approccio allowList sia più semplice da implementare, fornisce un controllo meno granulare rispetto ai profili di fiducia, in quanto consente a tutti gli utenti degli account specificati di accedere alle risorse dell'account (a condizione che dispongano delle autorizzazioni appropriate).