如何建设统一业务访问认证服务能力
随着集团统一身份管理系统能力建设,IAM 平台适配多维数字组织,纳入各机构不同业务应用,用户认证需求差异化增大:
用户的业务访问方式,不再局限于通过单一访问路径的统一鉴权登录;
门户内纳入应用的业务属性差异增大,用户访问安全认证要求存在客观差异;
业务的互联网访问需求增加,用户接入安全性和应用安全性需要得到保障;
芯盾时代为集团企业用户在全新的互联网身份威胁环境中,访问数字业务,提供安全、融合、智能的统一业务访问认证服务,并通过三层能力架构进行构建方式,在前阶段统一访问认证能力基础上,扩展零信任安全架构,融合认证策略服务能力:
安全能力层,由零信任 SDP 安全接入能力、主体安全能力、链路安全能力、客体连接能力组成的用户安全接入链,能够保护企业系统平台,保证安全设备预认证接入,并通过技术手段对抗深度仿冒和钓鱼攻击,实现用户本人在可信设备上认证并建立加密隧道连接企业应用资源。
本能力链条在第一阶段已实现主体安全能力、链路安全能力、客体链接能力建设。本阶段融入零信任 SDP 安全接入能力体系。
策略能力层,作为认证服务的资源中心和调度中枢,能够感知用户行为,编排场景策略,实现差异化认证调用。本层由认证资源中心、认证场景编排中心、和基于 UEBA 技术的风险引擎组成。
前一阶段已完成认证资源对企业各认证源的集成和调度。本阶段根据业务属性和访问需求,提供业务化认证安全场景策略服务,提供用户风险判断和差异化认证调度能力。
服务能力层,前一阶段已完成业务门户访问的统一多因素认证,实现统一路径的业务访问,本期以统一业务门户为载体,实现用户认证交互控制、集成应用代办提醒、提供员工信息凭据自助服务:
本期将对用户访问门户内应用,基于用户类型、业务属性、和行为防控需求差异,提供差异化二次认证安全服务;
纳入应用代办提醒、提升业务效率;
提供用户凭据和业务账号自助服务,提升用户业务体验。
零信任访问接入安全能力(SDP)建设
芯盾时代零信任安全产品线深度整合 SDP 安全能力和统一身份管理能力,通过为集团总部新建/整合 SDP 系统,实现集团企业异构网络下的用户业务安全访问、管理员运维安全访问。提供统一的数字组织身份自动同步、持续多因素认证、统一鉴权服务,保证用户安全接入业务体验和管理效率。
统一的身份管理中心,IAM 为 SDP 提供多为组织用户的统一管理能力,同步各类用户的组织和账号信息,帮助 SDP 理解集团企业多维组织,保持与应用的用户身份一致性。
统一的认证中心,IAM 为 SDP 提供多因素认证服务,SDP 不再直接对接认证源。保证用户全场景的认证交互体验一致,并便于企业统计分析用户全局认证习惯和认证行为。
统一的鉴权中心,IAM 作为 SDP 的鉴权中心,帮助 SDP 打通应用和各业务应用的 SSO 流程,满足用户通过一个客户端、一个门户、一次认证在网络任意位置单点访问业务应用的便利体验要求。
用户安全预认证服务,SDP 系统提供安全预认证服务,并由控制器通过对客户端上报设备指纹、OTP 令牌和终端环境信息综合用户终端安全性和用户一致性,允许安全合法终端完成后续与网关安全连接,实现对企业内部 IT 环境的保护。
用户安全隧道加密服务,用户完成预认证后,通过控制器策略实现用户客户端和网关的加密连接,为用户提供从外网穿通企业内网的安全加密链路,实现业务安全访问。
统一认证策略及访问服务能力建设
IAM 在已具备的统一访问认证能力流程基础上,扩展场景化认证策略能力,适配多维组织用户访问差异化业务应用的认证安全控制要求;通过业务门户扩展用户账号自助服务、应用代办提醒服务,提升用户业务体验,提升用户业务效率。
场景化认证策略能力,芯盾时代 IAM 系统基于风险规则引擎,提供可视化认证策略编排能力,为用户访问应用的安全鉴别需求,提供综合用户类型、用户级别、业务属性、访问位置、访问时段、操作行为的场景化认证策略,实现针对性的的多因素二次认证服务。
能够适配领导业务访问、他组织机构人员访问本组织应用、非本机构内网访问、用户非工作时间访问、用户风险账号访问、用户异常终端操作访问等业务场景和风险场景下,通过针对性的二次安全认证鉴权,保障多维组织用户业务访问安全和便利的统一需求。
门户自助服务能力,芯盾 IAM 业务门户支持丰富用户自助服务要求。本阶段 IAM 平台实现对集团多维组织用户的统一适配管理,并开始接入各组织机构自建应用,集团门户使用频率提升,用户效率和差异体验需求提升。为此门户通过提供用户账号自助服务,和应用代办提醒中心服务。
用户账号自助服务,方便用户对个人统一身份信息及凭据提供自助服务。满足用户对个人电话、邮箱等信息进行自行修改,和快速更新需求;支持用户进行密码找回和密码修改,在用户密码强度、弱密码规则、密码重复检查规则的基础上,由用户本人按需更新个人全局密码。并支持移动 OTP 方式校验,方便用户在外网环境安全、实时的密码重置校验需求。
应用代办提醒服务,IAM 业务门户提供应用流程支撑服务,能够集成各业务应用代办提醒,方便用户登录门户后第一时间获取需处理业务流程,并直接跳转对应业务流程,提升业务效率。
版权声明: 本文为 InfoQ 作者【芯盾时代】的原创文章。
原文链接:【http://xie.infoq.cn/article/d87a51f8ca0d354a311445f47】。文章转载请联系作者。
评论