Διαχείριση ταυτότητας & πρόσβασης

Σύντομη Περίληψη

Η IAM είναι μια συλλογή διαδικασιών, πολιτικών και εργαλείων που παρέχουν πρόσβαση σε τι, υπό ποιες συνθήκες και πώς ελέγχεται. Στόχοι: ελαχιστοποίηση των περιττών δικαιωμάτων, μείωση της επιφάνειας επίθεσης, επιτάχυνση της επιβίβασης και του ελέγχου, συμμόρφωση (PCI DSS, GDPR κ.λπ.) και μετρήσιμη αξιοπιστία πρόσβασης.

Βασικές έννοιες

Ταυτότητα: πρόσωπο (εργαζόμενος, εργολάβος), υπηρεσία/εφαρμογή, συσκευή.
Ταυτοποίηση (AuthN): ποιος ελέγχει (κωδικός πρόσβασης → MFA → συστήματα FIDO2/passkeys χωρίς κωδικό πρόσβασης).
Έγκριση (AuthZ): απόφαση «τι επιτρέπεται» (RBAC/ABAC/ReBAC, πολιτικές).
Διαπιστευτήρια: κωδικοί πρόσβασης, κλειδιά, μάρκες, πιστοποιητικά (mTLS).
Μυστική διαχείριση: KMS/HSM/Vault, περιστροφές, σύντομη TTL, δυναμικά μυστικά.
Κύκλος ζωής: Joiner-Mover-Leaver (JML) - δημιουργία, αλλαγή ρόλων, ανάκληση.

Αρχιτεκτονική IAM στόχου

• IdP (πάροχος ταυτότητας): SSO, MFA, κατάλογος, ομοσπονδία (OIDC/SAML), πολιτικές κινδύνου.
• PDP/PEP: Απόφαση/Επιβολή - κινητήρας πολιτικής (OPA/Cedar) + σημεία εφαρμογής (πύλες API, πληρεξούσια, πλέγματα υπηρεσίας).
• Κατάλογοι/Σύστημα HR: Πηγή αλήθειας από εργαζόμενο και ρόλο
• Πρόβλεψη: SCIM/Automation για τη δημιουργία/τροποποίηση/ανάκληση πρόσβασης.
• Έλεγχος: κεντρικά αρχεία καταγραφής, UEBA, εκθέσεις ρόλων και πρόσβασης.

• SSO (+ MFA) - συμβολικό ζήτημα (OIDC/JWT/SAML) PEP ελέγχει τη μάρκα/το πλαίσιο PDP αποφασίζει σχετικά με την πολιτική (ρόλος/χαρακτηριστικά/κίνδυνος) τα θέματα εφαρμογής/αρνείται την πρόσβαση.

Ταυτοποίηση: από κωδικούς πρόσβασης στα πλήκτρα πρόσβασης

Κωδικοί πρόσβασης: μόνο με διαχειριστές κωδικών πρόσβασης, τουλάχιστον 12-14 χαρακτήρες, χωρίς περιστροφή «σύμφωνα με το ημερολόγιο», αλλά με υποχρεωτική σε περίπτωση συμβάντος.
Προκαθορισμένη MFA: TOTP/WebAuthn/Push; να αποφεύγεται το SMS ως σημαντικός παράγοντας.
Σύνδεση χωρίς κωδικό πρόσβασης: FIDO2/passkeys για κρίσιμους τομείς.
Προσαρμοστικό AuthN: Εξετάστε το σήμα κινδύνου (geo, ASN, συσκευή, ανωμαλίες) → απαιτούν πρόσθετο συντελεστή/μπλοκ.

Άδεια: RBAC, ABAC, REBAC

RBAC: ρόλοι που αντιστοιχούν σε λειτουργίες (υποστήριξη, χρηματοδότηση, devops). Απλή και κατανοητή, αλλά «αναπτυσσόμενη».
ABAC: κανόνες σχετικά με τα χαρακτηριστικά γνωρίσματα (τμήμα, επίπεδο κινδύνου, ώρα, ζώνη, ετικέτες πόρων). Κλιμακωτή.
ReBAC: «ποιος ανήκει σε τι» σχέσεις (ιδιοκτήτες έργων, μέλη ομάδων). Βολικό για σενάρια πολλαπλών ενοικιαστών.

• Συνδυάστε RBAC (βασικό πλέγμα) + ABAC/ReBAC (πλαίσιο/όρια).
• JIT (Just-In-Time): έκδοση προσωρινών προνομίων μέσω αίτησης/εφαρμογής, αυτόματη ανάκληση.
• JEA (Just-Enough Access): Ελάχιστα επαρκή δικαιώματα για την επιχείρηση.
• PAM: μεμονωμένες «ισχυρές» προσβάσεις (DB/cloud administres) με μεσίτη συνεδρίας, καταγραφή οθόνης/εντολών και έκδοση βραχύβιων πιστωτικών μορίων.

Ομοσπονδία και SSO

Πρωτόκολλα: OIDC (μάρκες JWT), SAML 2. 0 (ισχυρισμοί XML) - για εξωτερικούς παρόχους/εταίρους.
SSO: ενιαίο σημείο εισόδου με ΜΧΣ, μείωση ψαρέματος, κεντρική ανάκληση.
: ομοσπονδία με εταίρους, περιορισμός τομέα, πολιτικές που βασίζονται σε τομείς.
: για υπηρεσίες, χρησιμοποιήστε βραχύβια x.509 (SPIFFE/SVID) ή Εντολές Πελατών.

Κύκλος ζωής (JML) και πρόβλεψη

Joiner: αυτόματη πρόβλεψη λογαριασμών SCIM και βασικών ρόλων από HR/ευρετήριο.
Mover: οι ρόλοι αλλάζουν αυτόματα με χαρακτηριστικά (τμήμα, έργο, τοποθεσία).
Leaver: άμεση ανάκληση των SSO, κλειδιά, μάρκες, αποθετήριο/νέφος/πρόσβαση CI/CD.
Διαδικασίες: αιτήσεις πρόσβασης (ITSM), πίνακας SoD (κατανομή καθηκόντων), περιοδική επανεξέταση πρόσβασης.

Μυστικά, κλειδιά και περιστροφές

KMS/HSM: Αποθήκευση ριζών/κρίσιμων κλειδιών, ενεργοποίηση ελέγχου λειτουργίας.
Διαχειριστές θησαυροφυλακίου/μυστικών: δυναμικές πιστώσεις (DB, σύννεφα), auto-revok κατά την ολοκλήρωση TTL.
Περιστροφές: μάρκες OAuth, κλειδιά υπογραφής JWT, κωδικοί πρόσβασης υπηρεσίας - σύμφωνα με το χρονοδιάγραμμα και σε περίπτωση συμβάντων.
mTLS: βραχύβια πιστοποιητικά (ώρες/ημέρες), αυτόματη επανέκδοση.

Πολιτικές και κινητήρας λύσης

Δηλωτικότητα: Αποθήκευση των πολιτικών στο Git. έλεγχος σε CI (δοκιμές πολιτικής).
Πλαίσιο: χρόνος/τοποθεσία/ASN/επίπεδο κινδύνου/κατάσταση συσκευής (MDM/EDR).

rego package authz. payments default allow = false

allow {
input. user. role == "finance"
input. device. compliant == true input. action == "read"
input. resource. type == "report"
time. now_hh >= 8 time. now_hh <= 20
}

Παρακολούθηση, SLO και λογιστικός έλεγχος

• Επιτυχία του AuthN/AuthZ (%), p95 login/decision time, μερίδιο εισόδου χωρίς κωδικό πρόσβασης.
• Αριθμός κλιμακώσεων JIT/PAM, μέση διάρκεια προνομίου.
• Κάλυψη συμμορφούμενων συσκευών, μερίδιο βραχύβιων μυστικών.

• Διαθεσιμότητα SSO/IdP ≥ 99. 95% ανά μήνα.
• p95 Απόφαση AuthZ ≤ 50 мс.
• 100% διακοπή λειτουργίας του λογαριασμού ≤ 15 λεπτά μετά την αποβίβαση.
• Έλεγχος και UEBA: κεντρικά αμετάβλητα αρχεία καταγραφής (πρόσβαση, αλλαγές ρόλων, αποτυχημένες εισροές, λύσεις PDP), ανάλυση συμπεριφοράς και συναγερμοί ανωμαλίας.

Αντίδραση σε περιστατικό σε IAM

Συμβιβασμός σημάτων/κλειδιών: άμεση ανάκληση, αναγκαστική σύνδεση, περιστροφή κλειδιών υπογραφής, επανέκδοση βραχύβιων μυστικών.
Κατάχρηση δικαιωμάτων: αναστολή του λογαριασμού, παρεμπόδιση του JIT/JEA, διενέργεια επανεξέτασης της πρόσβασης γειτονικών οντοτήτων.
Το IdP δεν είναι διαθέσιμο: offline modes (προσωρινή επικύρωση της μνήμης των σημάτων με σύντομο TTL), διαδικασίες ανάκτησης προτεραιότητας.
Phishing: υποχρεωτική ΜΧΣ, έλεγχοι κινδύνων των συνεδριών, κοινοποιήσεις στους χρήστες, κατάρτιση.

Σύννεφα και Kubernetes (μοτίβα)

Δημόσια Cloud IAM: χρήση εγχώριων ρόλων με ελάχιστο προνόμιο· αντί για «αιώνια» κλειδιά - φόρτος εργασίας με την ομοσπονδία OIDC στο σύννεφο (IRSA/Ταυτότητα φόρτου εργασίας).
Kubernetes: RBAC by neimspaces/roles, limit 'cluster-admin', μυστικά - μέσω εξωτερικών διαχειριστών· πλέγμα υπηρεσίας + OPA για πολιτικές L7· Ελεγκτές εισόδου (υπογεγραμμένες εικόνες, απαγόρευση «: τελευταία»).
Πύλες API: έλεγχος JWT/mTLS, όρια ταχύτητας, υπογραφές αιτήσεων (HMAC) για ευαίσθητα τελικά σημεία.

Πρακτική για iGaming/fintech

Τομείς πρόσβασης: πληρωμές, καταπολέμηση της απάτης, PII, πάροχοι περιεχομένου - απομονώνονται με ρόλους και τμήματα δικτύου.
SoD: Μην συνδυάζετε αντικρουόμενους ρόλους (π.χ. δημιουργία promo + έγκριση πληρωμών).
PAM και JIT: για πρόσβαση σε PSP/τράπεζες και prod-DB - μόνο μέσω μεσίτη συνεδρίας, με εγγραφή και αυτόματη ανάκληση.
Συμμόρφωση: PCI DSS - MFA, ελάχιστα δικαιώματα, διαχωρισμός ζώνης CHD. GDPR - η αρχή της ελαχιστοποίησης των δεδομένων και καταγραφές σημείων πρόσβασης στο PII.
εταίροι και πάροχοι περιεχομένου: πολιτικές ομοσπονδίας και ανά ενοικιαστή· βραχύβιες μάρκες και κατάλογος αδειών IP/ASN.

Κοινά σφάλματα

«Αιώνια» κλειδιά και μάρκες: δεν υπάρχουν περιστροφές και το TTL → υψηλό κίνδυνο διαρροών.
Μη αυτόματη μεταφόρτωση: καθυστερήσεις στην ανάκληση των δικαιωμάτων → «φανταστική» πρόσβαση.
Ρόλοι μονόλιθου: ένας «υπερ-ρόλος» αντί της σύνθεσης και των χαρακτηριστικών.
MFA μόνο στο διοικητικό συμβούλιο: η MFA θα πρέπει να είναι για όλες τις εισροές και κρίσιμες λειτουργίες.
Αρχεία καταγραφής «στο πουθενά»: δεν υπάρχει συγκεντρωτισμός και UEBA → μεταγενέστερη ανίχνευση συμβάντων.

Οδικός χάρτης εφαρμογής IAM

1. Απογραφή χρηστών/υπηρεσιών/πόρων χάρτης δεδομένων και ευαισθησίας.
2. SSO + MFA για όλους, περιλαμβάνουν παράγοντες ανθεκτικούς στο phishing.
3. Πρότυπο ρόλων: βασικά χαρακτηριστικά RBAC + (ABAC) για το πλαίσιο· Πίνακας SoD.
4. πρόβλεψη SCIM: αυτόματη δημιουργία/αλλαγή/ανάκληση δικαιωμάτων από τον HR/κατάλογο· εφαρμογές και επικαιροποιήσεις στο ITSM.
5. PAM και JIT/JEA: για προνομιακές προσβάσεις· συνεδρίες εγγραφής, σύντομες TTL.
6. Μυστική διαχείριση: απόρριψη στατικών κλειδιών. δυναμικά μυστικά, περιστροφές, mTLS με σύντομα πιστοποιητικά.
7. Πολιτικές στο πλαίσιο της Git + CI: δοκιμές κανόνων, έλεγχος αλλαγών, ανάπτυξη πολιτικής καναρινιών.
8. Παρατηρησιμότητα και SLO: ταμπλό AuthN/AuthZ, ειδοποιήσεις, τακτική επανεξέταση πρόσβασης.

Παραδείγματα αντικειμένων

AWS IAM Policy (ελάχιστο για την ανάγνωση εκθέσεων S3)

json
{
"Version": "2012-10-17",
"Statement": [{
"Sid": "ReadOnlyReports",
"Effect": "Allow",
"Action": ["s3:GetObject","s3:ListBucket"],
"Resource": [
"arn:aws:s3:::reports-bucket",
"arn:aws:s3:::reports-bucket/"
],
"Condition": {
"IpAddress": { "aws:SourceIp": "203. 0. 113. 0/24" }
}
}]
}

Kubernetes RBAC (προγραμματιστής ονομάτων)

yaml apiVersion: rbac. authorization. k8s. io/v1 kind: Role metadata:
name: dev-read-write namespace: app-prod rules:
- apiGroups: ["","apps"]
resources: ["pods","deployments","services","configmaps"]
verbs: ["get","list","watch","create","update","patch","delete"]
apiVersion: rbac. authorization. k8s. io/v1 kind: RoleBinding metadata:
name: dev-bind namespace: app-prod subjects:
- kind: User name: alice@example. com roleRef:
kind: Role name: dev-read-write apiGroup: rbac. authorization. k8s. io

OIDC: εγκρίσεις για ABAC (παράδειγμα)

json
{
"sub": "d81f0b5c-...",
"email": "bob@example. com",
"dept": "finance",
"role": "analyst",
"device_compliant": true,
"tenant": "casino-eu"
}

Η πολιτική μπορεί να απαιτεί «συσκευή _ συμμορφούμενη = αληθινή» και «ενοικιαστής» για να ταιριάζει με τον πόρο.

Κατάλογος ελέγχου

• Η SSO είναι ενεργοποιημένη για όλες τις εφαρμογές. MFA εξ ορισμού, passkeys in priority.
• Οριζόμενο RBAC· ABAC/REBAC προσθήκη πλαισίου· υλοποιήθηκε από την JIT/JEA.
• Η PAM προστατεύει τις προνομιακές προσβάσεις. καταγράφονται οι συνεδριάσεις.
• προμήθεια SCIM από την ΥΕ· η μεταφόρτωση είναι πλήρως αυτοματοποιημένη.
• Τα μυστικά είναι δυναμικά, με σύντομο TTL. οι περιστροφές είναι αυτοματοποιημένες.
• Οι πολιτικές εκδίδονται σε Git, δοκιμάζονται σε CI. υπάρχουν υπολογισμοί καναρινιών.
• Ταμπλέτες και SLO σύμφωνα με το AuthN/AuthZ. κεντρικά αρχεία καταγραφής και UEBA.
• Περιοδική επανεξέταση πρόσβασης και έλεγχοι SoD· εκθέσεις συμμόρφωσης.

ΣΥΧΝΈΣ ΕΡΩΤΉΣΕΙΣ

Χρειάζεται ο ReBAC ο καθένας

Όχι, δεν είναι. Το RBAC + ABAC είναι επαρκές για απλά περιβάλλοντα. Η ReBAC είναι χρήσιμη σε μια πολύπλοκη ιεραρχία της ιδιοκτησίας των πόρων και της πολυπλοκότητας.

Μπορώ να αφήσω τοπικούς λογαριασμούς

Μόνο για σενάρια θραύσης και εκτός δικτύου, με αυστηρούς περιορισμούς και περιοδική επαλήθευση.

Πώς θα μειωθεί η «έκρηξη ρόλων»

Αύξηση της κοκκότητας των πόρων, χρήση ABAC/προτύπων, αυτοματοποιημένες αναθεωρήσεις και απόρριψη αχρησιμοποίητων ρόλων.

Σύνολο

Ώριμη αρχιτεκτονική IAM είναι SSO + MFA, ελάχιστα απαραίτητα δικαιώματα, αυτοματοποιημένη JML, κεντρικές πολιτικές και παρατηρησιμότητα. Συνδυάζοντας RBAC με χαρακτηριστικά και σχεσιακά μοντέλα, εφαρμόζοντας JIT/JEA και PAM, και αυτοματοποιώντας προμήθειες και μυστικές περιστροφές, μπορείτε να διαχειριστείτε, να ελέγξετε και να κλιμακώσετε την πρόσβαση που πληροί τις απαιτήσεις ασφάλειας και τις επιχειρηματικές απαιτήσεις.