Implementierung des am wenigsten privilegierten Zugriffs mit feingranularer Zugriffskontrolle durch IBM Cloud IAM

Wenden Sie in Ihrem Unternehmen IBM Cloud das Prinzip der geringsten Privilegien an, indem Sie eine fein abgestufte Zugriffsverwaltung verwenden, um den Benutzern nur die Mindestberechtigungen zu erteilen, die sie für die Ausführung ihrer Aufgaben benötigen.

Das Prinzip der geringsten Privilegien besagt, dass Benutzern nur das Minimum an Zugriff gewährt werden sollte, das zur Erfüllung ihrer Aufgaben erforderlich ist. IBM Cloud IAM bietet die Tools und die Flexibilität, die Sie benötigen, um dieses Prinzip in Ihrem Unternehmen effektiv umzusetzen.

Warum der am wenigsten privilegierte Zugang wichtig ist

Die Implementierung des am wenigsten privilegierten Zugriffs bietet mehrere entscheidende Vorteile für Ihr Unternehmen:

Geringeres Sicherheitsrisiko
Durch die Einschränkung von Benutzerrechten wird der potenzielle Schaden durch kompromittierte Anmeldedaten, Insider-Bedrohungen oder versehentlichen Missbrauch reduziert. Wenn ein Konto kompromittiert wird, kann der Angreifer nur auf die Ressourcen zugreifen und die Aktionen ausführen, die diesem Konto zugestanden wurden.
Verbesserte Einhaltung der Vorschriften
Viele rechtliche Rahmenbedingungen und Industriestandards verlangen von Unternehmen die Implementierung von Zugriffskontrollen mit geringstem Recht. Eine fein abgestufte Zugriffsverwaltung hilft Ihnen dabei, diese Compliance-Anforderungen zu erfüllen und bei Audits angemessene Sicherheitskontrollen nachzuweisen.
Bessere Betriebskontrolle
Wenn Benutzer nur den Zugriff haben, den sie benötigen, ist es einfacher zu verfolgen, wer bestimmte Aktionen durchführen und Probleme beheben kann. Diese Klarheit verbessert die Verantwortlichkeit und macht es einfacher, die Quelle von Konfigurationsänderungen oder Sicherheitsvorfällen zu identifizieren.
Minimierung von versehentlichen Änderungen
Benutzer mit übermäßigen Berechtigungen könnten versehentlich wichtige Ressourcen ändern oder löschen. Indem Sie den Zugang auf das Notwendigste beschränken, verringern Sie das Risiko kostspieliger Fehler.

Wie IBM Cloud IAM feinkörnigen Zugriff ermöglicht

IBM Cloud IAM verwendet ein attributbasiertes Zugriffskontrollmodell (ABAC), das die Flexibilität und Granularität bietet, die für eine effektive Implementierung des am wenigsten privilegierten Zugriffs erforderlich sind. Im Gegensatz zu herkömmlichen rollenbasierten Zugriffskontrollsystemen (RBAC), die umfassende Berechtigungen zuweisen, können Sie mit IAM präzise Zugriffsrichtlinien auf der Grundlage mehrerer Attribute definieren.

Granulare Ausrichtung der Ressourcen

Mit IAM-Richtlinien können Sie Ressourcen auf mehreren Granularitätsebenen anvisieren:

Kontoweiter Zugriff
Gewähren Sie den Zugriff auf alle Ressourcen eines bestimmten Typs für Ihr gesamtes Konto.
Zugriff von Ressourcengruppen
Beschränken Sie den Zugriff auf Ressourcen innerhalb einer bestimmten Ressourcengruppe.
Zugang zur Serviceinstanz
Beschränken Sie den Zugriff auf eine bestimmte Dienstinstanz.
Zugang auf Ressourcenebene
Kontrolle des Zugriffs auf einzelne Ressourcen innerhalb eines Dienstes, z. B. auf einen bestimmten Object Storage Bucket oder eine bestimmte Datenbank.

Diese Flexibilität ermöglicht es Ihnen, genau die erforderliche Zugriffsstufe zu gewähren, ohne dass Sie zu viele Berechtigungen zuweisen.

Genaue Rollenzuweisung

IBM Cloud IAM bietet zwei Arten von vordefinierten Rollen, die zusammenarbeiten, um einen feinkörnigen Zugriff zu ermöglichen:

IAM-Rollentypen
Rollentyp Beschreibung Rollen
Plattformmanagementrollen Kontrolle administrativer Aktionen wie das Erstellen von Dienstinstanzen, die Verwaltung des Zugriffs und die Anzeige der Nutzung Anzeigeberechtigter, Operator, Bearbeiter, Administrator
Servicezugriffsrollen Definieren Sie, welche Aktionen Benutzer innerhalb eines Dienstes durchführen können, z. B. Daten lesen, Daten schreiben oder dienstspezifische Konfigurationen verwalten Reader, Writer, Manager

Sie können auch benutzerdefinierte Rollen erstellen, die bestimmte Aktionen kombinieren, um den individuellen Anforderungen Ihres Unternehmens gerecht zu werden, und so sicherstellen, dass die Benutzer genau die Berechtigungen haben, die sie benötigen, und nicht mehr.

Attributbasierte Bedingungen

IAM unterstützt zeit- und kontextbasierte Bedingungen, die eine weitere Kontrollebene darstellen:

Diese Bedingungen ermöglichen es Ihnen, dynamische Zugriffsrichtlinien zu implementieren, die sich an verschiedene Szenarien anpassen und gleichzeitig das Prinzip der geringsten Privilegien aufrechterhalten.

Strategien zur Umsetzung des am wenigsten privilegierten Zugangs

Die folgenden Strategien helfen Ihnen bei der Einrichtung und Aufrechterhaltung von Zugriffskontrollen mit geringsten Privilegien in IBM Cloud.

Beginnen Sie mit einem Null-Zugang

In IBM Cloud haben Benutzer und Service-IDs standardmäßig keine Berechtigungen, bis Sie sie explizit über Zugriffsrichtlinien gewähren. Dieser Ansatz der Standardverweigerung stellt sicher, dass der Zugang absichtlich und nicht versehentlich gewährt wird. Ermitteln Sie beim Onboarding neuer Benutzer die spezifischen Ressourcen, auf die sie zugreifen müssen, legen Sie die Mindestaktionen fest, die sie ausführen müssen, und weisen Sie nur die Rollen und Richtlinien zu, die diese spezifischen Berechtigungen bieten.

Zugriffsgruppen für rollenbasierten Zugriff verwenden

Zugriffsgruppen bieten eine leistungsstarke Möglichkeit zur Umsetzung von Least Privilege in großem Umfang. Anstatt einzelnen Benutzern Richtlinien zuzuweisen, sollten Sie Zugriffsgruppen erstellen, die bestimmte Arbeitsfunktionen oder Verantwortlichkeiten repräsentieren, und diesen Gruppen dann die entsprechenden Richtlinien zuweisen.

Sie könnten zum Beispiel Zugangsgruppen wie folgende erstellen:

Datenbank-Administratoren
Zugang zur Verwaltung von Datenbankinstanzen in bestimmten Ressourcengruppen.
Anwendungsentwickler
Zugang zur Bereitstellung und Verwaltung von Anwendungen in Entwicklungsumgebungen.
Security Auditors
Schreibgeschützter Zugriff auf Sicherheits- und Compliance-Ressourcen.
Abrechnungsmanager
Zugang zum Anzeigen und Verwalten von Rechnungsdaten.

Dieser Ansatz bietet die Einfachheit der rollenbasierten Zugriffskontrolle und gleichzeitig die Flexibilität der attributbasierten Richtlinien. Wenn sich die Rolle eines Benutzers ändert, fügen Sie ihn einfach zu den entsprechenden Zugriffsgruppen hinzu oder entfernen ihn daraus, anstatt einzelne Richtlinien zu ändern.

Ressourcengruppensegmentierung implementieren

Organisieren Sie Ihre Ressourcen in Ressourcengruppen auf der Grundlage von Umgebung, Anwendung, Team oder anderen logischen Grenzen. Diese Segmentierung erleichtert die Zuweisung eines angemessenen Zugriffs, ohne dass eine größere Anzahl von Berechtigungen als nötig erteilt wird.

Sie könnten zum Beispiel getrennte Ressourcengruppen erstellen für:

  • Entwicklungs-, Staging- und Produktionsumgebungen
  • Verschiedene Anwendungen oder Projekte
  • Verschiedene Teams oder Abteilungen
  • Gemeinsame Dienste und Infrastruktur

Indem Sie Zugriffsrichtlinien mit Ressourcengruppen abstimmen, können Sie sicherstellen, dass Entwickler vollen Zugriff auf Entwicklungsressourcen haben, während sie nur Lesezugriff auf Produktionsressourcen haben, oder dass ein Team nicht versehentlich die Ressourcen eines anderen Teams ändern kann.

Anwendung des Grundsatzes der Aufgabentrennung

Trennen Sie kritische Funktionen auf verschiedene Benutzer oder Rollen auf, um zu verhindern, dass ein einzelner Benutzer die vollständige Kontrolle über sensible Vorgänge hat. Trennen Sie beispielsweise die Möglichkeit, Ressourcen zu erstellen, von der Möglichkeit, sie zu löschen, oder begrenzen Sie die Anzahl der Benutzer mit Administratorzugriff auf die Kontoverwaltungsdienste.

Regelmäßige Überprüfung und Audit des Zugangs

IBM Cloud bietet mehrere Tools, mit denen Sie den Zugang regelmäßig überprüfen und kontrollieren können:

Zugang zu Berichten
Erstellen Sie Berichte, aus denen hervorgeht, welche Zugriffsrechte jeder Benutzer in Ihrem Konto hat. Weitere Informationen finden Sie unter Überprüfen des Zugriffs auf Ressourcen.
Identifizierung inaktiver Policen
Identifizieren Sie Richtlinien, die in letzter Zeit nicht mehr verwendet wurden und möglicherweise nicht mehr benötigt werden. Weitere Informationen finden Sie unter Inaktive Identitäten identifizieren.
Aktivitätsverfolgung
Überwachen Sie, wer auf Ressourcen zugreift und welche Aktionen er durchführt. Weitere Informationen zur Verfolgung von Ereignissen für IAM und kontextbasierte Einschränkungen finden Sie im Abschnitt Beobachtbarkeit.
Audit-Protokolle für Richtlinien
Verfolgen Sie Änderungen der Zugangsrichtlinien im Laufe der Zeit. Weitere Informationen finden Sie unter Aktivitätsverfolgungsereignisse für IAM.

Planen Sie regelmäßige Zugriffsüberprüfungen, um zu überprüfen, ob die Benutzer ihren aktuellen Zugriff noch benötigen, entfernen Sie den Zugriff für Benutzer, die ihre Rolle geändert oder das Unternehmen verlassen haben, identifizieren und entfernen Sie ungenutzte oder zu weit gefasste Richtlinien und aktualisieren Sie die Richtlinien, um Änderungen in den Aufgabenbereichen zu berücksichtigen.

Vertrauenswürdige Profile für Rechenressourcen verwenden

Verwenden Sie für Anwendungen und Workloads, die auf Rechenressourcen ausgeführt werden, vertrauenswürdige Profile, anstatt Service-IDs mit API-Schlüsseln zu erstellen. Vertrauenswürdige Profile bieten eine fein abgestufte Autorisierung, ohne dass Sie Anmeldedaten verwalten müssen, und sie entziehen automatisch den Zugriff, wenn Rechenressourcen gelöscht werden. Weitere Informationen finden Sie unter Vertrauenswürdige Profile für Verbundbenutzer und Workloads.

Implementierung kontextbezogener Einschränkungen

Kombinieren Sie IAM-Richtlinien mit kontextbasierten Einschränkungen, um Kontrollen auf Netzwerkebene hinzuzufügen. Mit kontextbasierten Einschränkungen können Sie Netzwerkzonen definieren und den Zugriff auf der Grundlage des Netzwerkkontexts der Anfrage beschränken, z. B. den administrativen Zugriff auf bestimmte IP-Adressen beschränken oder den Zugriff auf sensible Daten aus öffentlichen Netzwerken verhindern. Weitere Informationen finden Sie unter Kontextbezogene Einschränkungen.

Erstellen von unternehmensverwalteten IAM-Vorlagen

Unternehmen, die IBM Cloud verwenden, können die vom Unternehmen verwalteten IAM-Vorlagen nutzen, um die Zugriffsverwaltung für mehrere Konten zu standardisieren. Mit Vorlagen können Sie Zugriffsgruppen, vertrauenswürdige Profile und Sicherheitseinstellungen zentral definieren und konsistent auf untergeordnete Konten anwenden.

Mit diesem Ansatz können Sie sicherstellen, dass Ihre Strategie des am wenigsten privilegierten Zugriffs konsequent auf alle Konten in Ihrem Unternehmen angewendet wird:

  • Die Sicherheitsrichtlinien werden im gesamten Unternehmen einheitlich angewendet.
  • Die Compliance-Anforderungen werden konsequent erfüllt.
  • Die Zugangsverwaltung wird durch die Zentralisierung vereinfacht.
  • Änderungen können effizient auf mehrere Konten verteilt werden.
  • Ressourcen, die mit Hilfe von Vorlagen angewendet werden, sind für die Benutzer des untergeordneten Kontos unveränderlich, was ein Abdriften der Zugriffs- und Sicherheitskonfiguration verhindert.

Nächste Schritte

Da Sie nun wissen, wie Sie mit IBM Cloud IAM den am wenigsten privilegierten Zugriff implementieren, können Sie dies tun: