Крупное предприятие держит десятки систем: ERP, почту, файловые ресурсы, биллинг, отраслевые приложения, веб-порталы. Каждая ведёт собственный список пользователей. Сотрудник приходит – администраторы заводят его руками в восьми местах. Сотрудник увольняется – половину учётных записей забывают отключить. Эти осиротевшие учётки и есть главная брешь: через них уходят данные, и именно их невозможно отследить при разборе инцидента. Управление identity решает не задачу удобства, а задачу контроля над тем, кто и куда имеет доступ.

Каталог как единый источник истины

Первый шаг – собрать идентификацию пользователей в один каталог. Microsoft Active Directory или LDAP-совместимый сервер становятся точкой, откуда остальные системы берут сведения об учётных записях. Дальше работает принцип единого жизненного цикла: запись создаётся в кадровой системе, провижининг автоматически разворачивает доступы в подключённых приложениях, увольнение блокирует их одним действием.

Здесь всплывает старая проблема – качество исходных данных. Если в кадровой базе один человек записан тремя разными способами, синхронизация размножит его учётные записи вместо того, чтобы их объединить. Мы не раз убеждались: проект IAM начинается не с серверов, а с наведения порядка в справочниках, о чём подробно писали в материале про очистку и качество данных. Грязный источник делает централизацию бессмысленной.

Единый вход и ролевая модель

Пользователю не нужно помнить десять паролей, а службе безопасности не нужно десять политик. Single Sign-On на базе Kerberos или SAML даёт один вход во все приложения, поддерживающие интеграцию. Для веб-систем это снимает и риск фишинга паролей: пользователь вводит учётные данные только на доверенном узле.

Раздавать права напрямую человеку – путь к хаосу. Работает ролевая модель (RBAC): доступы привязываются к должности, а не к фамилии. Бухгалтер получает роль «бухгалтер» со всем нужным набором прав; при переводе в другой отдел роль меняется, и доступы перестраиваются автоматически. Для госсектора это ещё и способ выполнить требования по разграничению доступа из закона о персональных данных (152-ФЗ), который вступает в силу с 1 января 2010 года, – без формализованной матрицы ролей доказать соответствие проверяющему будет нечем.

Распределённый ландшафт и новые точки доступа

Централизация усложняется, когда систем становится больше, а данные растекаются за периметр. Аналитические платформы для больших объёмов данных, например решения на Hadoop, приносят собственные механизмы доступа, которые приходится приводить к общей политике. Отдельная история – мобильный доступ сотрудников: смартфон с корпоративной почтой выносит точку входа за стены офиса, и без централизованного управления отозвать доступ с потерянного устройства невозможно.

Поэтому IAM проектируют как сквозной слой, а не как функцию одного приложения. Каждая новая система при подключении встаёт на общий каталог, общую аутентификацию и общую матрицу ролей. Тогда рост ландшафта не множит риски, а остаётся управляемым.

Вывод

Управление доступом – это инфраструктура контроля, а не надстройка над приложениями. Централизованный каталог, единый вход, ролевая модель и автоматический жизненный цикл учётных записей закрывают бреши, которые ручное администрирование оставляет открытыми годами. Связать каталог, единый вход и ролевую модель в единый контур под конкретный ландшафт заказчика – это и есть задача построения корпоративной информационной безопасности, от провижининга учётных записей до интеграции с прикладными системами. Начинать стоит до того, как очередная проверка или инцидент сделают это за вас.