Verwaltung externer Identitätsinteraktionen

Standardmäßig können Benutzer mit einer IAM-Zugriffsrichtlinie auf Ressourcen in einem Konto von jedem Konto aus auf diese Ressourcen zugreifen, nicht nur von dem Konto, das Eigentümer der Ressource ist. Der API-Schlüssel eines Benutzers kann verwendet werden, um ein Token zu erzeugen und auf Ressourcen zuzugreifen, auf die der Benutzer außerhalb des Kontos, in dem der API-Schlüssel erstellt wurde, Zugriff hat. Benutzer-API-Schlüssel enthalten die Berechtigungen der Identität für alle Konten, in denen sie Mitglied ist. Sie können festlegen, dass Benutzer nur dann auf Ressourcen in Ihrem Konto zugreifen dürfen, wenn sie in Ihrem Konto oder in von Ihnen festgelegten Konten authentifiziert sind.

Sie können überwachen, wie sich die Beschränkung des Zugriffs auf Ressourcen in Ihrem Konto auf die Benutzer auswirkt, ohne sie zu erzwingen, indem Sie den Nur-Bericht-Modus verwenden. Auf diese Weise können Sie Lücken in Ihren Zugriffsrichtlinien erkennen und sicherstellen, dass die Benutzer den Zugriff erhalten, den sie benötigen. Um eine optimale Nutzung zu gewährleisten, sollten Sie den reinen Berichtsmodus mindestens 30 Tage lang aktivieren, bevor Sie den Zugriff auf die Ressourcen Ihres Kontos einschränken.

Wenn Sie wissen möchten, welche Identitäten in Ihrem Konto auf eine bestimmte Ressource zugreifen, lesen Sie den Abschnitt Zugriff auf Ressourcen überwachen.

Es kann schwierig sein, den Namen und die Anzahl der Nutzer zu bestimmen, die von der Einschränkung der Identitätsinteraktionen betroffen sind. Um den Nur-Bericht-Modus zu aktivieren und die möglichen Auswirkungen der Beschränkung des Zugriffs auf Ressourcen in Ihrem Konto zu beobachten, führen Sie die folgenden Schritte aus:

  1. Richten Sie IBM Cloud Activity Tracker Event Routing ein, um IAM-Audit-Ereignisse anzuzeigen. Weitere Informationen finden Sie unter Anzeigen von Ereignissen zur Aktivitätsverfolgung für IAM

  2. Gehen Sie in der Konsole IBM Cloud zu Verwalten > Zugriff (IAM) > Einstellungen > Ressourcen.

  3. Klicken Sie auf das Symbol Bearbeiten Symbol 'Bearbeiten'.

  4. Wählen Sie " Nur Bericht".

  5. Hinzufügen von Konten zur Zulassungsliste (optional).

    1. Geben Sie die Konto-IDs für die Konten ein, die Sie zulassen möchten.
    2. Klicken Sie auf Hinzufügen.

    Wenn Sie möchten, dass Benutzer API-Schlüssel nur für Ihr Konto generieren können, fügen Sie keine anderen Konten zur Erlaubnisliste hinzu. Eine leere Zulassen-Liste schränkt den Zugriff aller Benutzer auf Ressourcen in Ihrem Konto ein, wenn sie API-Schlüssel verwenden, die in anderen Konten erstellt wurden.

  6. Klicken Sie auf Speichern.

  7. Als Nächstes können Sie Ihre IBM Cloud Activity Tracker Event Routing Berichte einsehen.

Nachdem Sie die Ergebnisse aus dem reinen Berichtsmodus mindestens 30 Tage lang überwacht haben, aktualisieren Sie die Einstellung auf Begrenzt.

Anzeigen Ihrer Berichte

IBM Cloud Activity Tracker Event Routing ereignisse werden erzeugt, wenn die Einschränkung auf "Nur Bericht" oder "Eingeschränkt" gesetzt ist. Im Modus "Nur Bericht" werden sowohl erlaubte als auch abgelehnte Anfragen gemeldet. Im eingeschränkten Modus werden nur abgelehnte Anfragen gemeldet.

Um IBM Cloud Activity Tracker Event Routing Ereignisse anzuzeigen, müssen Sie eine IBM Cloud Logs Instanz als Ziel konfigurieren. Weitere Informationen finden Sie unter Konfigurieren einer IBM Cloud Logs-Instanz als Ziel.

  1. Gehen Sie in der Konsole IBM Cloud zu Verwalten > Zugriff (IAM) > Einstellungen > Ressourcen.
  2. Klicken Sie auf Bearbeiten > Öffnen IBM Cloud Activity Tracker Event Routing.
  3. Klicken Sie auf Explore Logs, um eine Abfrage zu erstellen.
  4. Suchen Sie in den Protokollen nach der Ereignisaktion: iam-access-management.account-settings.eval

Identifizierung potenzieller Zugangsunterbrechungen

Wenn Sie den Modus "Nur Bericht" verwenden, ermitteln Sie den gesperrten kontenübergreifenden Zugriff, bevor Sie in den Modus " Eingeschränkt" wechseln. Um festzustellen, ob der kontoübergreifende Zugriff blockiert wird, führen Sie die folgenden Schritte durch:

  1. Wählen Sie den Filter für responseData.isEnforced:"false" AND responseData.decision:"Deny"

Dies ist die wichtigste Analyse, die Sie durchführen sollten. Diese Abfrage zeigt alle kontoübergreifenden Zugriffsversuche, die bei aktivierter Durchsetzung blockiert würden. Diese Ergebnisse zeigen, welche Identitäten derzeit über Kontogrenzen hinweg auf Ressourcen zugreifen, denen der Zugriff verweigert würde, wenn Sie in den eingeschränkten Modus wechseln.

  1. Für jedes "Verweigerungs"-Ergebnis müssen Sie bestimmen, ob dieser kontoübergreifende Fluss beibehalten werden muss oder ob er gesperrt werden soll:
    • Wenn der Ablauf beibehalten werden soll: Setzen Sie sich vorzugsweise mit dem Benutzer in Verbindung und passen Sie den Arbeitsablauf an, um sicherzustellen, dass das verwendete Token auf das richtige Konto beschränkt ist, oder, falls dies nicht möglich ist, fügen Sie das externe Konto zu Ihrer Zulassungsliste hinzu. Weitere Informationen finden Sie unter Beheben unerwünschter externer Identitätsinteraktionen.
    • Wenn der Durchfluss gesperrt werden soll: Es sind keine Maßnahmen erforderlich, da er automatisch blockiert wird, wenn der Modus "Begrenzt" gewählt wird.

Validierung von Änderungen der Zulässigkeitsliste

Wenn Sie beschließen, bestimmte Interaktionsströme mit externen Identitäten beizubehalten, indem Sie Konten zu Ihrer Zulassungsliste hinzufügen, können Sie anhand der folgenden Schritte überprüfen, ob diese Änderungen wie erwartet funktionieren:

  1. Wählen Sie den Filter für responseData.isEnforced:"false" AND responseData.decision:"Permit"

    Diese Abfrage zeigt die Anfragen an, die die Beschränkung überwunden haben, einschließlich derjenigen, die zuvor verweigert wurden, nun aber aufgrund Ihrer Änderungen in der Zulassen-Liste zulässig sind.

  2. Suchen Sie speziell nach Genehmigungen von Konten, die Sie kürzlich zu Ihrer Genehmigungsliste hinzugefügt haben, um sicherzustellen, dass Ihre Änderungen korrekt funktionieren. Dieser Validierungsschritt ist erforderlich, wenn Sie Änderungen an der Zulässigkeitsliste vorgenommen haben und sicherstellen möchten, dass der zuvor gesperrte kontoübergreifende Zugriff nun zulässig ist.

Überwachung Begrenzter Modus

Wenn die Einschränkung auf Begrenzt gesetzt ist, können Sie blockierte Anfragen überwachen:

  • Wählen Sie den Filter für responseData.isEnforced:"true" AND responseData.decision:"Deny"

Diese Abfrage zeigt die Anfragen an, die die Beschränkung überwunden haben, einschließlich der Anfragen, die zuvor verweigert wurden, jetzt aber aufgrund von Änderungen an der Zulassen-Liste zulässig sind.

Sie können jederzeit Konten aus der Zulassungsliste hinzufügen oder entfernen, um Ihre Sicherheitsanforderungen zu erfüllen. Eine Liste der Aktionen, die ein Ereignis erzeugen, finden Sie unter Aktivitätsverfolgungsereignisse für IAM.

Behebung unerwünschter externer Identitätswechselwirkungen

Wenn Sie in Ihren Berichten unerwünschte Interaktionen mit externen Identitäten feststellen, gibt es zwei Möglichkeiten, diese zu beheben, ohne wesentliche Arbeitsabläufe zu unterbrechen:

Verwendung vertrauenswürdiger Profile (empfohlen)

Vertrauenswürdige Profile sind die vorgeschlagene Methode, um legitime Anwendungsfälle zu ermöglichen, bei denen eine Einheit in einem Konto auf Ressourcen in einem anderen Konto zugreifen muss. Auf diese Weise können Sie genau steuern, welche Identitäten sich bei Ihrem Konto anmelden können und welche Profile sie annehmen können.

Die Einstellung Externe Identitätsinteraktionen hindert Sie nicht daran, bestimmte Benutzer, Dienst-IDs oder Rechenressourcen in anderen Konten zu einem vertrauenswürdigen Profil hinzuzufügen. Da diese Identitäten dann im Kontext Ihres Kontos protokolliert werden, werden sie durch die Einstellung Externe Identitätsinteraktionen nicht mehr eingeschränkt.

Um diesen Ansatz umzusetzen, gehen Sie wie folgt vor:

  1. Erstellen Sie ein vertrauenswürdiges Profil in Ihrem Konto. Weitere Informationen finden Sie unter Vertrauenswürdige Profile erstellen.
  2. Fügen Sie bestimmte Identitäten von anderen Konten zu diesem vertrauenswürdigen Profil hinzu.
  3. Gewähren Sie dem vertrauenswürdigen Profil angemessenen Zugang zu den Ressourcen Ihres Kontos.
  4. Konfigurieren Sie externe Identitäten so, dass sie dieses Profil für den Ressourcenzugriff verwenden.

Diese Methode bietet bessere Sicherheit und Überprüfbarkeit, da die externe Identität im Kontext Ihres Kontos arbeitet.

Verwendung der Funktion allowlist

Die Erlaubnislistenfunktion ist besonders nützlich in Unternehmenskontenstrukturen oder anderen Situationen, in denen mehrere Konten derselben Organisation gehören und die Benutzer und Ressourcen in diesen Konten miteinander interagieren müssen.

Um diesen Ansatz umzusetzen:

  1. Gehen Sie in der Konsole IBM Cloud zu Verwalten > Zugriff (IAM) > Einstellungen > Ressourcen
  2. Klicken Sie auf das Symbol Bearbeiten
  3. Fügen Sie die Konto-IDs für die vertrauenswürdigen Konten zur Zulassungsliste hinzu
  4. Klicken Sie auf Speichern.

Nachdem Sie Konten zu Ihrer Zulassen-Liste hinzugefügt haben, sollten Sie die Änderungen an der Zulassen-Liste überprüfen, um sicherzustellen, dass der zuvor gesperrte kontoübergreifende Zugriff nun erlaubt ist.

Der Ansatz allowList ist zwar einfacher zu implementieren, bietet aber eine weniger detaillierte Kontrolle als vertrauenswürdige Profile, da er allen Benutzern der angegebenen Konten den Zugriff auf Ressourcen in Ihrem Konto ermöglicht (sofern sie über die entsprechenden Berechtigungen verfügen).