Şahsyýeti dolandyrmak
1) IGA maksatlary we jogapkärçilik zolagy
IGA - kimiň haýsy elýeterliligi, näme üçin, näçeräk we nädip subut etmegi dolandyrýar.
Maksatlar: iň pes hukuklar (Least Privilege), "ýetim" elýeterliligiň ýoklugy, SoD gözegçiligi, kadalaşdyryjy subut edilmegi (GDPR/ISO/AML/PCI ulanylsa), hukuklaryň çalt berilmegi/yzyna alynmagy.
- Işgärler: ştat, potratçylar, wagtlaýyn.
- B2B/satyjylar/affiliates: daşarky ulanyjylar/integrasiýalar.
- Hyzmat/bot hasaplary: API/integrasiýa, maşynlar.
- Ýokary töwekgelçilik: dolandyryjylar, tölegler, AML/KYC, DPO, DevOps/SRE.
- (Ops.) CIAM: oýunçylar - aýratyn ulgamda; IGA-da integrasiýa rollary we serhetleri ýazylýar.
2) Binagärlik we hakykat çeşmeleri
Authoritative source: HRIS/işgärler ulgamy (işgärler üçin) + satyjylaryň sanawy (daşarky üçin).
IdP/SSO: OIDC/SAML, rol toparlary (SCIM-provizing).
IGA-ýadro: rollar/hukuklar katalogy (entitlement catalog), SoD-düzgünler, iş arzalary, gaýtadan sertifikatlaşdyrmak kampaniýalary, hasabatlar.
Üpjün etmek: maksatly ulgamlara birikdirijiler (dolandyryş panelleri, DWH/BI, KYC/AML, PSP, Git/CI, Jira/Confluence, bulut, K8s).
Identity Warehouse/meta direktory: atributlary jemlemek (bölüm, rol, sebit, ynam derejesi, işgäriň görnüşi).
PAM/JIT: artykmaç sessiýalar we gysga möhletli ösüşler üçin.
3) JML - şahsyýetiň durmuş sikli
Joiner
HRIS-den hasaby döretmek → birthright rollarynyň maksady (SSO, poçta, esasy tulzalar).
Pozisiýa/topar/ýerleşiş/tenant boýunça domen rollary; başlangyç SoD-çek.
MFA/WebAuthn, parol dolandyryjysy, okuw.
Mover (hereket)
Wezipe/taslama/ýerleşiş çalşylanda hukuklaryň awtomatiki gözden geçirilmegi; köne rollary aýyrmak (no accumulation).
SoD-ni gaýtadan bahalandyrmak, ABAC atributlaryny täzelemek (sebit/tenant), JIT şablonlary.
Leaver
SSO-ny blokirlemek ≤ 15 minut, bellikleri/API-açarlary yzyna almak, sessiýalary ýapmak, DWH/administratorlara girişi yzyna almak, artefaktlara eýelik etmegi geçirmek, syýasat boýunça aýyrmak/arhiw.
4) Hukuklar katalogy we rollar modeli
Entitlement Catalog: kadalaşan hukuklar (CRUD/amallar/eksportlar/admin), eýesi, töwekgelçilik derejesi, ulgam, SoD-gapma-garşylyklar, PII maskalanmagy.
Rollar:- Core: `employee_basic`, `viewer_internal`.
- Доменные: `payments_ops`, `aml_officer`, `kyc_operator`, `fraud_analyst`, `vip_manager`, `bi_analyst`.
- Ulgamlaýyn: 'devops _ admin', 'dba _ admin', 'read _ only _ prod'.
- Artykmaç (JIT/PAM): 'prod _ db _ jit _ editor', 'break _ glass _ admin'.
- Kod hökmünde rollar: ammarda YAML/JSON + CI-tassyklaýjylar + CAB-çeýnjlog.
yaml role: payments_ops@EEA description: "EEA payment transactions"
entitlements:
- FIN:APPROVE_WITHDRAWAL
- FIN:VIEW_TX_MASKED constraints:
region: EEA data_class: <= Confidential sod_conflicts:
- FRAUD:RULE_ADMIN masking: default owner: head_of_payments5) Giriş we tassyklama soraglary (workflow)
IDM/ITSM-portal: 'purpose', möhlet (TTL), ulgamlar/rollar bilen ýüztutma.
Töwekgelçilik-uýgunlaşma ugurlary:- Pes töwekgelçilik: domen eýesiniň awto-tassyklamasy.
- Ýokary töwekgelçilik/PII/pul: eýesi + Howpsuzlyk/Compliance (PII unmask-da DPO).
- Hukuklary ýokarlandyrmak üçin JIT (15-120 min), awtomatiki jogap, sessiýanyň doly ýazgysy (PAM).
- SoD-çek sinhronly, gapma-garşylykly kombinasiýalary bloklaýar.
6) GA-da SoD we ABAC
SoD düzgünleri: gabat gelmeýän rol/hukuk jübütleri (mysal üçin, 'payments _ ops' 'fraud _ rule _ admin').
ABAC atributlary: gurşaw (prod/stage), sebit/tenant, enjam (MDM), wagt/çalşyk, enjam töwekgelçiligi, KYC derejesi, 'purpose'.
Gizlemek syýasaty: 'pii _ unmask' diňe JIT + tassyklama + meýdan barlagy.
7) Gaýtadan sertifikatlaşdyrmak we kampaniýalar
Çärýekleýin synlar: eýeler işgärleriň/wendorlaryň elýeterliligini tassyklaýarlar.
Wakalar kampaniýasy: ulgamyň eýesi üýtgedilende, çalşylanda, önüm çykarylanda.
"Asylan" hukuklaryň awto-yzyna alynmagy (ulanylmady> 30/60 gün).
8) Wendorlar we daşarky şahsyýetler (B2B)
Aýry-aýry B2B-tenant, hasaplar, iň az API toplary, allow-list IP, wagt penjireleri.
DPA/SLA: rollar, magazinesurnallar, retenşn, geografiýa, hadysalar, subprosessorlar.
Offbording: açarlary yzyna almak, aýyrmagy tassyklamak, ýapylyş hereketi.
9) Hyzmat/bot-hasaplar we syrlar
Eýesi/maksady/möhleti bilen IGA-da hasaba alyş, no-login; mTLS/OIDC client-creds/gol çekilen webhuklary tassyklamak.
Gizlin dolandyryjyda açarlar; meýilnama/waka boýunça aýlanyş; Çagyryş sanawy.
10) Žurnallar, audit we hasabat
Обязательные события: `ACCOUNT_PROVISION/DEPROVISION`, `ROLE_ASSIGN/REVOKE/UPDATE`, `ACCESS_REQUEST/APPROVE/DENY`, `JIT_GRANT`, `BREAK_GLASS`, `SOD_BLOCK`, `RECERT_START/END`, `EXPORT_DATA`, `PII_UNMASK`.
WORM göçürmesi, heş zynjyrlary, bukjalaryň goly, 'ts _ utc '/' trace _ id '/' actor _ id '/' purpose'.
Hasabatlar: gaýtadan sertifikatlaşdyrmak, SoD-düzgün bozmalar, orphaned-elýeterlilik, SLA JML, JIT-statistika.
11) Metrikler (KPI/KRI)
Time-to-Provision (Joiner): mediana ≤ 2 s (esasy ulgamlar).
Time-to-Deprovision (Leaver): ≤ 15 min (SSO/kritiki), ≤ 4 sagat (ikinji).
SoD Violations: = 0 (synanyşyk - awto-blok).
Recertification Completion: 100% wagtynda.
Orphaned Accounts: = 0; Dormant Access Cleanup ≥ 98%/24 ч.
JIT Rate: 80% -den ≥ hukuklaryň ýokarlanmagy - JIT.
Masked Reads Ratio: ≥ PII ýüz tutmalarynyň 95% -i gizlenendir.
12) SOP (amallar)
12. 1 Roly döretmek/hukuk katalogyny üýtgetmek
1. Domen eýesiniň soragy → meseleleriň resmileşdirilmegi → entitlements → SoD-çek → pilot → CAB → Release (YAML) → bildiriş.
12. 2 Giriş soragy
1. Arza 'purpose '/TTL → SoD/ABAC-çek → tassyklamalar ugry → bermek (köplenç masked-read) → logirleme → gözden geçirilen senesi.
12. 3 Offbording
1. HRIS/portaldan bir waka → SSO/sessiýalar bloky → toparlary/rollary/açarlary yzyna çagyrmak → emläkleri geçirmek → hasabat.
12. 4 Gaýtadan sertifikatlaşdyrmak
1. Kampaniýanyň başlamagy → ýatlatmalar → gijikdirmegiň güýçlenmegi → tassyklanmadyk hukuklaryň awto-yzyna alynmagy → hasabat.
13) Syýasatçylaryň mysallary (bölekler)
13. 1 Birthright и SoD
yaml birthright:
roles:
- employee_basic
- viewer_internal sod:
conflicts:
- [payments_ops, fraud_rule_admin]
- [kyc_operator, support_agent]13. 2 JIT düzgünleri
yaml jit:
roles:
- prod_db_jit_editor
- pii_unmasker ttl_minutes: 30 approvals:
- owner
- security session_recording: required13. 3 Gaýtadan sertifikatlaşdyrmak kampaniýasy
yaml recertification:
frequency: quarterly scope: [payments_ops, aml_officer, devops_admin]
auto_revoke_unused_days: 6014) Howpsuzlyk we laýyklyk
GDPR/Privacy: Need-to-Know, gizlemek, DSAR-gabat gelmek, PII audit.
AML/KYC: rollar diňe tälim alanlar üçin; çözgütler žurnaly, log retenşn.
ISO/ISMS: IGA syýasaty hökmanydyr; ýyllyk auditler, synag-maşklar.
PCI (ulanylsa): töleg zolagynyň bölünmegi; aýry-aýry açarlar we hosting.
15) IGA hadysalary (çalt playbook)
'purpose '/SoD-bozulmasyz giriş tapyldy → roly/hasaby bloklamak, hadysany açmak, hereketleriň retro barlagy, DPO/Compliance, CAPA habarnamasy (rollary/syýasaty/okuwy düzetmek).
Hasaby bozmak → sessiýalary/bellikleri yzyna almak, syrlary üýtgetmek, magazinesurnallary seljermek, zerur bolan halatynda habarnamalar.
16) Çek-listler
Giriş berişinden öň
- 'purpose' we TTL
- SoD/ýurisdiksiýa/maglumat synpy barlandy
- Gizlemek/AVAS goşuldy
- Tassyklamalar alyndy (eýesi/howpsuzlyk)
- Magazinesurnallar we gözden geçirilen senesi ýazga alyndy
Her çärýekde <>
- Rollary 100% gaýtadan tassyklamak
- Ulanylmaýan hukuklaryň awto-yzyna alynmagy
- V2B/Wendor hasaplaryny barlamak
- Hyzmat hasaplarynyň açarlaryny aýlamak
17) Durmuşa geçirmegiň ýol kartasy
Hepdeler 1-2: ulgamlaryň inventarizasiýasy, HRIS/IdP birikdirilmegi, esasy birthright rollary, hukuklar katalogy, SoD-matrisa.
3-4-nji hepdeler: SCIM-providening, arzalar portaly, JIT/PAM, YAML-rollar ammary, ilkinji gaýtadan sertifikatlaşdyrmak kampaniýalary.
2-nji aý: Konnektorlary giňeltmek (KYC/AML/PSP/DWH), ABAC atributlary (sebit/MDM/wagt), hasabat we KRIs.
Aý 3 +: SoD-analizleriň awtomatlaşdyrylmagy, role mining/maslahat beriş, UEBA-signallar, yzygiderli maşklar we wendorlaryň barlagy.
TL; DR
Netijeli IGA = HRIS → IdP → IGA-ýadro → provizening, kod hökmünde rollar/hukuklar, çalt offbording JML, SoD + ABAC, JIT/PAM üçin artykmaçlyklar, gaýtadan sertifikatlaşdyrmak we berk audit. Netije - az töwekgelçilikler we çykdajylar, has çalt elýeterlilik, has ýokary laýyklyk we aç-açanlyk.