Gérer les interactions entre les identités externes

Par défaut, les utilisateurs disposant d'une politique d'accès IAM sur les ressources d'un compte peuvent accéder à ces ressources à partir de n'importe quel compte, et pas seulement de celui qui possède la ressource. La clé API d'un utilisateur peut être utilisée pour générer un jeton et accéder à des ressources auxquelles l'utilisateur a accès en dehors du compte où la clé API a été créée. Les clés API de l'utilisateur contiennent les autorisations de l'identité pour tous les comptes dont il est membre. Vous pouvez exiger que les utilisateurs n'accèdent aux ressources de votre compte que lorsqu'ils sont authentifiés dans votre compte ou dans les comptes que vous spécifiez.

Vous pouvez contrôler l'impact de la limitation de l'accès aux ressources de votre compte sur les utilisateurs sans l'appliquer en utilisant le mode rapport uniquement. Vous pouvez ainsi identifier les lacunes de vos politiques d'accès et vous assurer que les utilisateurs disposent de l'accès dont ils ont besoin. Pour une expérience optimale, activez le mode rapport uniquement pendant au moins 30 jours avant de limiter l'accès aux ressources de votre compte.

Si vous souhaitez savoir quelles identités de votre compte accèdent à une ressource spécifique, voir Auditer l'accès aux ressources.

Il peut être difficile d'anticiper le nom et le nombre d'utilisateurs concernés par la limitation des interactions entre les identités. Pour activer le mode rapport uniquement et observer l'impact potentiel de la limitation de l'accès aux ressources de votre compte, procédez comme suit :

  1. Configurez IBM Cloud Activity Tracker Event Routing pour voir les événements d'audit IAM. Pour plus d'informations, voir Visualisation des événements de suivi d'activité pour IAM

  2. Dans la console IBM Cloud, allez dans Gérer > Accès (IAM ) > Paramètres > Ressources.

  3. Cliquez sur l'icône Éditer Icône édition.

  4. Sélectionnez Rapport uniquement.

  5. Ajouter des comptes à la liste d'autorisation (facultatif).

    1. Saisissez les identifiants des comptes que vous souhaitez autoriser.
    2. Cliquez sur Ajouter.

    Si vous souhaitez que les utilisateurs génèrent des clés API dans votre seul compte, n'ajoutez aucun compte à la liste d'autorisation. Une liste d'autorisations vide empêche tous les utilisateurs d'accéder aux ressources de votre compte s'ils utilisent des clés API créées dans d'autres comptes.

  6. Cliquez sur Sauvegarder.

  7. Ensuite, consultez vos rapports IBM Cloud Activity Tracker Event Routing.

Après avoir contrôlé les résultats en mode rapport uniquement pendant au moins 30 jours, mettez à jour le paramètre en le faisant passer à Limité.

Consulter vos rapports

IBM Cloud Activity Tracker Event Routing sont générés lorsque la restriction est définie sur Rapport uniquement ou Limité. En mode Rapport uniquement, les demandes autorisées et celles qui seraient refusées sont signalées. En mode limité, seules les demandes refusées sont signalées.

Pour visualiser les événements IBM Cloud Activity Tracker Event Routing, vous devez configurer une instance IBM Cloud Logs comme cible. Pour plus d'informations, voir Configuration d'une instance IBM Cloud Logs en tant que cible.

  1. Dans la console IBM Cloud, allez dans Gérer > Accès (IAM ) > Paramètres > Ressources.
  2. Cliquez sur Editer > Ouvrir IBM Cloud Activity Tracker Event Routing.
  3. Cliquez sur Explorer les journaux pour composer une requête.
  4. Rechercher l'action de l'événement dans les journaux : iam-access-management.account-settings.eval

Identifier les perturbations potentielles de l'accès

Lorsque vous utilisez le mode Rapport uniquement, identifiez l'accès inter-comptes qui est bloqué avant de passer au mode Limité. Pour déterminer si l'accès croisé est bloqué, procédez comme suit :

  1. Sélectionnez le filtre pour responseData.isEnforced:"false" AND responseData.decision:"Deny"

C'est l'analyse la plus critique que vous devez effectuer. Cette requête révèle toutes les tentatives d'accès inter-comptes qui seraient bloquées lorsque l'application est activée. Ces résultats indiquent les identités qui accèdent actuellement à des ressources au-delà des limites du compte et qui se verront refuser l'accès lorsque vous passerez en mode limité.

  1. Pour chaque résultat "refuser", vous devez déterminer si ce flux inter-comptes doit être préservé ou s'il doit être bloqué :
    • Si le flux doit être préservé : De préférence, contactez l'utilisateur et ajustez le flux de travail pour vous assurer que le jeton utilisé est rattaché au bon compte ou, si ce n'est pas possible, ajoutez le compte externe à votre liste d'autorisations. Pour plus d'informations, voir Correction des interactions indésirables entre les identités externes.
    • Si le flux est bloqué : Aucune action n'est nécessaire, car il est automatiquement bloqué lorsque le mode limité est sélectionné.

Validation des modifications de la liste d'autorisations

Lorsque vous décidez de préserver des flux d'interaction d'identités externes spécifiques en ajoutant des comptes à votre liste d'autorisations, vous pouvez vérifier que ces changements fonctionnent comme prévu en suivant les étapes suivantes :

  1. Sélectionnez le filtre pour responseData.isEnforced:"false" AND responseData.decision:"Permit"

    Cette requête montre les demandes qui ont passé la restriction, y compris celles qui étaient précédemment refusées mais qui sont maintenant autorisées en raison des modifications apportées à votre liste d'autorisations.

  2. Recherchez en particulier les autorisations des comptes que vous avez récemment ajoutés à votre liste d'autorisations afin de confirmer que vos modifications fonctionnent correctement. Cette étape de validation est nécessaire lorsque vous avez modifié la liste d'autorisations et que vous souhaitez vous assurer que l'accès inter-comptes précédemment bloqué est désormais autorisé.

Surveillance Mode limité

Lorsque la restriction est définie sur Limité, vous pouvez contrôler les demandes bloquées :

  • Sélectionnez le filtre pour responseData.isEnforced:"true" AND responseData.decision:"Deny"

Cette requête affiche les demandes qui ont passé la restriction, y compris celles qui étaient précédemment refusées mais qui sont maintenant autorisées en raison de modifications apportées à votre liste d'autorisations.

Vous pouvez ajouter ou supprimer des comptes de la liste d'autorisation à tout moment pour répondre à vos besoins en matière de sécurité. Pour une liste des actions qui génèrent un événement, voir Événements de suivi d'activité pour IAM.

Correction des interactions indésirables avec l'identité externe

Lorsque vous identifiez des interactions indésirables entre des identités externes dans vos rapports, vous disposez de deux approches pour les résoudre sans perturber les flux de travail essentiels :

Utiliser des profils de confiance (recommandé)

Les profils de confiance sont la méthode proposée pour permettre des cas d'utilisation légitimes dans lesquels une entité d'un compte doit accéder aux ressources d'un autre compte. Cette approche vous permet de contrôler précisément les identités qui peuvent se connecter à votre compte et les profils qu'elles peuvent adopter.

Le paramètre Interactions d'identités externes ne vous empêche pas d'ajouter à un profil de confiance des utilisateurs spécifiques, des identifiants de service ou des ressources de calcul dans d'autres comptes. Comme ces identités sont ensuite enregistrées dans le contexte de votre compte, le paramètre Interactions avec les identités externes ne les limite plus.

Pour mettre en œuvre cette approche, procédez comme suit :

  1. Créez un profil de confiance dans votre compte. Pour plus d'informations, voir Création de profils sécurisés.
  2. Ajouter des identités spécifiques d'autres comptes à ce profil de confiance.
  3. Accorder au profil de confiance un accès approprié aux ressources de votre compte.
  4. Configurer les identités externes pour qu'elles utilisent ce profil pour l'accès aux ressources.

Cette méthode offre une meilleure sécurité et une meilleure contrôlabilité, car l'identité externe opère dans le contexte de votre compte.

Utilisation de la fonction allowlist

La fonction de liste d'autorisation est particulièrement utile dans les structures de comptes d'entreprise ou dans d'autres situations où plusieurs comptes appartiennent à la même organisation et où les utilisateurs et les ressources de ces comptes doivent interagir les uns avec les autres.

Pour mettre en œuvre cette approche :

  1. Dans la console IBM Cloud, allez dans Gérer > Accès (IAM ) > Paramètres > Ressources
  2. Cliquez sur l'icône Modifier
  3. Ajouter les identifiants des comptes de confiance à la liste d'autorisations
  4. Cliquez sur Sauvegarder.

Après avoir ajouté des comptes à votre liste d'autorisation, vous devez valider les modifications apportées à votre liste d'autorisation afin de vous assurer que l'accès inter-comptes précédemment bloqué est désormais autorisé.

Bien que l'approche allowList soit plus simple à mettre en œuvre, elle offre un contrôle moins granulaire que les profils de confiance, car elle permet à tous les utilisateurs des comptes spécifiés d'accéder aux ressources de votre compte (à condition qu'ils disposent des autorisations appropriées).