O IAM na nuvem
Compreender o IAM
A gestão de identidades e acessos (Identity and Access Management) consiste em definir e gerenciar os papéis e os privilégios de acesso dos usuários aos serviços e recursos de uma infraestrutura.
É necessário definir uma estratégia eficiente de atribuição de papéis a fim de manter a coerência no SI. Para isso, existem várias estratégias de habilitação; aqui estão as principais:
• DAC para Discretionary Access Control: o acesso aos recursos se baseia na identidade dos usuários. O usuário é administrador de seus recursos e é capaz de transmitir permissões sobre seus recursos a qualquer outro usuário.
Neste exemplo, Alice, a diretora de RH, é proprietária do diretório RH no qual estão presentes os dados dos colaboradores da empresa. Ela compartilha os direitos de leitura e escrita desse diretório com Bob. Charles não terá acesso a esse diretório enquanto Alice, ou qualquer outro administrador do diretório, não lhe atribuir pessoalmente os direitos.
• MAC para Mandatory Access Control: utilizado quando a política de segurança dos SI exige que as decisões de proteção não devem ser tomadas pelo proprietário dos recursos em questão. O acesso aos recursos é restrito em função da sensibilidade das informações e do nível de autorização do usuário. Quando um usuário possui um nível de autorização, ele também possui direitos de acesso a todos os níveis inferiores. Assim, um usuário com nível 3 de autorização também terá acesso aos níveis 2 e 1, mas não terá acesso ao nível 4.
Neste exemplo, Alice, a diretora de RH, possui direitos de acesso ao diretório contendo as informações das 100 pessoas mais importantes da empresa. Essas informações são confidenciais dentro da empresa, e apenas algumas pessoas têm acesso. Bob não tem acesso a esse diretório, mas tem acesso às informações de todos os outros funcionários.
• RBAC para Role Based Access Control: o acesso aos recursos se baseia no papel ao qual o usuário está associado. Um papel frequentemente decorre da estrutura da empresa; os usuários cujas funções são semelhantes podem ser agrupados sob o mesmo papel.
Neste exemplo, a equipe de Recursos Humanos possui o papel RH que lhes dá acesso ao diretório RH. Cada novo colaborador que chega na equipe de RH receberá o papel RH, o que lhe dará exatamente os mesmos acessos que seus colegas.
• ABAC para Attribute Based Access Control: o acesso aos recursos se baseia em atributos. Esses atributos podem ser vinculados a usuários, papéis ou recursos.
Neste exemplo, Alice, a diretora de RH, tem acesso ao diretório do top 100 porque este contém o atributo "Diretoria". Bob não tem acesso porque o único atributo que lhe é associado é o atributo "RH".
É possível implementar essas estratégias dentro de uma infraestrutura on-premise ou utilizar serviços em nuvem.
Oferta Azure
Azure RBAC
O Azure oferece uma implementação RBAC baseada no Azure Resource Manager, o serviço de implantação e gerenciamento do Azure. Aqui estão alguns exemplos do que é possível fazer com o controle RBAC do Azure: Autorizar um usuário a gerenciar máquinas virtuais em uma assinatura e outro usuário a gerenciar redes virtuaisPermitir que um grupo de administradores de banco de dados gerencie bancos de dados SQL em uma assinaturaPermitir que um usuário gerencie todos os recursos em um grupo de recursos, como máquinas virtuais, sites e sub-redesPermitir que uma aplicação acesse todos os recursos de um grupo de recursos.
É possível criar papéis personalizados, mas o Azure também oferece papéis integrados. Existem quatro papéis fundamentais do Azure. Os três primeiros se aplicam a todos os tipos de recursos:
.svg)
Azure ABAC
O Azure também oferece uma estratégia ABAC em pré-visualização; algumas funcionalidades podem ser limitadas ou não suportadas. Essa versão ainda não é recomendada para produção.
Oferta AWS e GCP
AWS e GCP oferecem, por sua vez, uma estratégia ABAC para suas infraestruturas.
Qual estratégia escolher?
Não existe uma resposta padrão para essa pergunta; será necessário escolher a estratégia certa de acordo com as necessidades de cada um.
A estratégia RBAC é a mais popular. A principal vantagem desse modelo é que não é necessário autorizar ou revogar acessos de forma individual, pois os usuários são agrupados de acordo com suas funções na empresa. No entanto, essa estratégia é difícil de implementar em uma grande empresa cujos acessos frequentemente precisam ter uma granularidade mais fina.
A estratégia ABAC permite obter essa precisão; é possível criar regras de negócio complexas e implementá-las rapidamente. No entanto, essa estratégia é mais difícil de configurar no início, pois é necessário realizar uma auditoria para determinar a exposição ao risco para cada cargo de funcionário.
