Gestión de las interacciones con identidades externas

Por defecto, los usuarios con una política de acceso IAM sobre los recursos de una cuenta pueden acceder a esos recursos desde cualquier cuenta, no sólo desde la que es propietaria del recurso. La clave API de un usuario puede utilizarse para generar un token y acceder a recursos a los que el usuario tiene acceso fuera de la cuenta en la que se creó la clave API. Las claves API de usuario contienen los permisos de la identidad en todas las cuentas de las que es miembro. Puede exigir a los usuarios que accedan a los recursos de su cuenta sólo cuando estén autenticados en su cuenta o en las cuentas que usted especifique.

Puede supervisar cómo afecta a los usuarios la limitación del acceso a los recursos de su cuenta sin imponerla utilizando el modo de sólo informe. De este modo, podrá identificar las lagunas en sus políticas de acceso y asegurarse de que los usuarios tienen el acceso que necesitan. Para disfrutar de la mejor experiencia, active el modo de sólo informes durante al menos 30 días antes de limitar el acceso a los recursos de su cuenta.

Si desea saber qué identidades de su cuenta acceden a un recurso específico, consulte Auditar el acceso a los recursos.

Prever el nombre y el número de usuarios afectados por la limitación de las interacciones de identidad puede resultar difícil. Para activar el modo de sólo informe y observar el impacto potencial de limitar el acceso a los recursos de su cuenta, complete los siguientes pasos:

  1. Configure IBM Cloud Activity Tracker Event Routing para ver los eventos de auditoría de IAM. Para obtener más información, consulte Visualización de eventos de seguimiento de actividad para IAM

  2. En la consola IBM Cloud, vaya a Gestionar > Acceso (IAM) > Configuración > Recursos.

  3. Pulse el icono Editar Icono Editar.

  4. Seleccione Sólo informe.

  5. Añadir cuentas a la lista de permitidas (Opcional).

    1. Introduzca los ID de las cuentas que desea permitir.
    2. Pulse Añadir.

    Si quieres que los usuarios generen claves API sólo en tu cuenta, no añadas ninguna cuenta a la lista de permitidos. Una allowlist vacía restringe a todos los usuarios el acceso a los recursos de su cuenta si están utilizando claves API creadas en otras cuentas.

  6. Pulse Guardar.

  7. A continuación, consulte sus informes en IBM Cloud Activity Tracker Event Routing.

Después de controlar los resultados desde el modo de sólo informe durante al menos 30 días, actualice la configuración a Limitado.

Visualización de los informes

IBM Cloud Activity Tracker Event Routing se generan cuando la restricción está configurada como Sólo informes o Limitada. En el modo de sólo informe, se informa tanto de las solicitudes permitidas como de las que serían denegadas. En modo Limitado, sólo se notifican las solicitudes denegadas.

Para ver los eventos de IBM Cloud Activity Tracker Event Routing, debe configurar una instancia de IBM Cloud Logs como destino. Para obtener más información, consulte Configuración de una instancia de IBM Cloud Logs como destino.

  1. En la consola IBM Cloud, vaya a Gestionar > Acceso (IAM) > Configuración > Recursos.
  2. Haga clic en Edición > Abrir IBM Cloud Activity Tracker Event Routing.
  3. Haga clic en Explorar registros para crear una consulta.
  4. Busca en los registros la acción del evento: iam-access-management.account-settings.eval

Identificación de posibles interrupciones del acceso

Cuando utilice el modo Sólo informes, identifique el acceso entre cuentas que está bloqueado antes de cambiar al modo Limitado. Para evaluar si se bloquearía el acceso entre cuentas, siga los siguientes pasos:

  1. Seleccione el filtro para responseData.isEnforced:"false" AND responseData.decision:"Deny"

Este es el análisis más crítico que debe realizar. Esta consulta revela todos los intentos de acceso entre cuentas que se bloquearían cuando se activa la aplicación. Estos resultados muestran qué identidades están accediendo actualmente a recursos a través de los límites de la cuenta a los que se les denegaría el acceso al cambiar al modo Limitado.

  1. Para cada resultado "denegar", debe determinar si este flujo entre cuentas debe conservarse o si debe bloquearse:
    • Si el flujo debe conservarse: Preferiblemente, póngase en contacto con el usuario y ajuste el flujo de trabajo para asegurarse de que el token utilizado está asignado a la cuenta correcta o, si no es posible, añada la cuenta externa a su lista de permitidos. Para obtener más información, consulte Corrección de interacciones de identidad externa no deseadas.
    • Si se bloquea el flujo: No es necesario realizar ninguna acción, ya que se bloquea automáticamente cuando se selecciona el modo Limitado.

Validación de los cambios en la lista de permisos

Cuando decida preservar flujos específicos de interacción de identidades externas añadiendo cuentas a su lista de permitidas, puede verificar que estos cambios funcionan como se espera siguiendo los siguientes pasos:

  1. Seleccione el filtro para responseData.isEnforced:"false" AND responseData.decision:"Permit"

    Esta consulta muestra las peticiones que han superado la restricción, incluidas las que antes estaban denegadas pero ahora están permitidas debido a los cambios en su lista de permitidas.

  2. Busque específicamente permisos de cuentas que haya añadido recientemente a su lista de permitidos para confirmar que sus cambios funcionan correctamente. Este paso de validación es necesario cuando ha realizado cambios en la lista de permisos y desea asegurarse de que el acceso entre cuentas bloqueado anteriormente ahora está permitido.

Monitorización Modo limitado

Cuando la restricción está configurada como Limitada, puede supervisar las solicitudes bloqueadas:

  • Seleccione el filtro para responseData.isEnforced:"true" AND responseData.decision:"Deny"

Esta consulta muestra las peticiones que han superado la restricción, incluidas las que antes estaban denegadas pero ahora están permitidas debido a los cambios realizados en su lista de permitidas.

Puede añadir o eliminar cuentas de la lista de permitidas en cualquier momento para cumplir sus requisitos de seguridad. Para obtener una lista de las acciones que generan un evento, consulte Eventos de seguimiento de actividades para IAM.

Fijación de interacciones de identidad externa no deseadas

Cuando identifique interacciones de identidad externa no deseadas en sus informes, tiene dos enfoques sugeridos para resolverlas sin interrumpir los flujos de trabajo esenciales:

Uso de perfiles de confianza (recomendado)

Los perfiles de confianza son el método sugerido para permitir casos de uso legítimos en los que una entidad en una cuenta necesita acceder a recursos en una cuenta diferente. Este enfoque le permite controlar con precisión qué identidades pueden acceder a su cuenta y qué perfiles pueden asumir.

La configuración de Interacciones de identidad externa no impide añadir usuarios específicos, ID de servicio o recursos informáticos de otras cuentas a un perfil de confianza. Dado que esas identidades se registran en el contexto de su cuenta, el ajuste Interacciones con identidades externas ya no las restringe.

Para aplicar este enfoque, siga estos pasos:

  1. Crea un perfil de confianza en tu cuenta. Para obtener más información, consulte Creación de perfiles de confianza.
  2. Añade identidades específicas de otras cuentas a este perfil de confianza.
  3. Conceda al perfil de confianza el acceso adecuado a los recursos de su cuenta.
  4. Configure las identidades externas para que utilicen este perfil para acceder a los recursos.

Este método proporciona una mayor seguridad y auditabilidad, ya que la identidad externa opera en el contexto de su cuenta.

Uso de la lista de permitidos

La función de lista permitida es especialmente útil en estructuras de cuentas de empresa u otras situaciones en las que varias cuentas pertenecen a la misma organización y los usuarios y recursos de esas cuentas deben interactuar entre sí.

Para aplicar este enfoque:

  1. En la consola IBM Cloud, vaya a Gestionar > Acceso (IAM) > Configuración > Recursos
  2. Haga clic en el icono Editar
  3. Añade los ID de las cuentas de confianza a la lista de permitidos
  4. Pulse Guardar

Después de añadir cuentas a tu lista de permitidos, debes validar los cambios en tu lista de permitidos para asegurarte de que el acceso entre cuentas bloqueado anteriormente ahora está permitido.

Aunque el enfoque allowList es más sencillo de implementar, proporciona un control menos granular que los perfiles de confianza, ya que permite a todos los usuarios de las cuentas especificadas acceder a los recursos de su cuenta (siempre que tengan los permisos adecuados).