Службы управления идентичностью Identity Management Services
Простыми словами
Служба отвечает на вопрос, кто перед нами, а не на вопрос, что ему разрешено. O-ESA разводит управление идентичностью и управление доступом по тому, вокруг чего они вращаются: «access management is target-centric or resource-centric, while identity management is initiator-centric or user-centric». Отсюда самая частая путаница — сложить в управление идентичностью ещё и права на ресурсы, после чего при отзыве доступа непонятно, чью настройку править. Второе, что легко упустить, — конец жизненного цикла: руководство требует не просто стирать запись, а «deleting or appropriately flagging identities (for historical accountability purposes) when they no longer represent valid users», то есть след для разбирательств важнее чистоты каталога. И третье: здесь это служба управления политикой — она наполняет репозиторий, из которого потом решают, а сама во время выполнения решений не принимает.
Примеры
Завести человека и его атрибуты — управление идентичностью; выдать и отобрать права на конкретный ресурс — управление доступом. Руководство даёт этот различитель дважды одними и теми же словами: в обзоре служб и в шаблоне служб доступа.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.3 и 4.6.1 — ключевой различитель между access management и ident…
Шаблон служб требует удалять или помечать идентичности, когда те перестали представлять действующих пользователей, и оговаривает причину пометки — историческая подотчётность. Полное стирание записи обрывает возможность расследовать прошлые действия.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.4.3 — вводная к шаблону служб управления идентичностью
Рис. 12 сводит её к трём вещам: администрирование идентичностей (включая делегированное, самообслуживание и автоматические подачи), службы провижининга, заводящие учётные записи в целевых системах через агенты, и репозиторий идентичностей. Всё прочее — детализация этих трёх.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.4.1 — концептуальная архитектура IdM; там же оговорено, что схем…
Определение из первоисточника
дословная выпискаIdentity management services are responsible for assigning and maintaining digital identities and associated attributes across the electronic computing environment and for deleting identities when they no longer represent valid users of the environment.
Службы управления идентичностью отвечают за назначение и сопровождение цифровых идентичностей и связанных с ними атрибутов по всей электронной вычислительной среде, а также за удаление идентичностей, когда те перестают представлять действующих пользователей среды.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Разд. 4.4.3 добавляет: сюда же входит удаление или соответствующая пометка идентичностей (ради исторической подотчётности), когда они перестают представлять действующих пользователей. Ключевое отличие от управления доступом объявлено прямо: управление идентичностью инициатор-центрично (user-centric), управление доступом — цель-центрично (resource-centric).
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийГраф связей реестраРеестр процессов