Koneidentiteetit ovat kasvaneet moninkertaisesti etenkin pilvipalvelujen ja tekoälyagenttien myötä. Palvelutunnuksia on paljon ilman omistajaa, päättymispäivää tai valvontaa.
Kaikki palvelutEi-inhimillisiä identiteettejä on organisaatioiden pilviympäristöissä nykyisin moninkertainen määrä ihmisiin nähden. Ne on usein luotu nopeasti, annettu reilusti oikeuksia ja kopioitu paikkoihin, joita kukaan ei enää muista.
Ihmiskäyttäjille on monivaiheinen tunnistautuminen ja ehdollinen käyttöoikeus, mutta koneidentiteeteille ei tyypillisesti ole mitään. Tämä kannattaa ottaa haltuun samalla tavalla, kuin ihmiskäyttäjien pääsynhallinta.
Käyttöönotto etenee kolmessa vaiheessa: inventointi, siirtymä hallittuihin identiteetteihin ja työkuormien tunnistamiseen, sekä lopuksi hallintamalli rakentaminen, joka pitää koneidentiteetit aisoissa myös projektin jälkeen.
Nämä ovat yleisimpiä tilanteita, joissa asiakkaamme ottavat koneidentiteetit työn alle.
Kukaan ei tiedä, montako koneidentiteettiä on. Ei-inhimillisiä identiteettejä on organisaatioiden pilviympäristöissä nykyisin moninkertainen määrä ihmisiin nähden. Niiden määrästä ei usein ole selvyyttä.
Tekoälyagentit tulevat tuotantoon. Tekoälyagentteja ja integraatioita syntyy IT:n ulkopuolella, eikä niiden tunnuksia hallinnoi kukaan. Agentti on identiteetti, jolla on pääsy dataan. Ilman omistajaa ja elinkaarta sitä ei voi katselmoida eikä sammuttaa hallitusti.
Vanhat tunnukset ovat hallinnan ulkopuolella. Uusille tunnuksille on ehkä käytäntö, mutta vanhoja ei ole koskaan siirretty saman hallintamallin piiriin.
Liikaa oikeuksia rajapinnoissa. Sovelluksille on myönnetty laajoja Graph-oikeuksia kertaluontoista tarvetta varten, eikä niitä ole koskaan kavennettu.
Sovellusten avaimet ja salasanat on luotu ilman päättymispäivää. Avaimet ja salasanat toimivat niin kauan, kunnes ne vanhenevat tai ne poistetaan käytöstä.
Auditoija kysyy omistajuutta. Kyberturvallisuuslaki ja sopimusvaatimukset edellyttävät, että jokaisella pääsyllä on nimetty omistaja.
Selkeä lista, josta selviää mitä identiteettejä ympäristössä on, mitkä niistä ovat käytössä ja mitkä jääneet käyttämättömiksi.
Jokaiselle tunnukselle on omistaja, käyttötarkoitus ja päättymispäivä.
Kuka saa luoda palvelutunnuksen, millä perusteella ja mitä tietoja siitä kirjataan ylös.
Olemassa olevat tunnukset siirretään hallinnan piiriin vaiheittain, tärkeimmät ensin. Tämä on se osa, joka useimmiten jää tekemättä, koska uusi malli ei korjaa vanhaa kantaa.
Hallitut identiteetit ja tunnistautuminen poistavat avaimen tarpeen kokonaan. Kun avainta ei ole, sitä ei voi vuotaa eikä unohtaa uusimatta.
Tunnuksille annetut oikeudet käydään läpi ja rajataan vastaamaan oikeita tarpeita. Luodaan katselmointirytmi, joka pitää tilanteen hallinnassa ilman, että kukaan tekee sitä käsin.
Vanhoja tunnuksia ei siirretä hallinnan piiriin kerralla, vaan osissa. Tyypillinen kesto on 4–6 viikkoa ympäristön koosta ja tunnusten määrästä riippuen.
Selvitetään mitä koneidentiteettejä ympäristössä on, mitkä niistä ovat käytössä ja mitkä jääneet käyttämättömiksi.
Sovitaan ketkä saavat luoda tunnuksia, mitä niistä kirjataan ja kuka omistaa minkäkin.
Uusi hallintamalli otetaan käyttöön vaiheittain. Vanhoja tunnuksia siirretään hallinnan piiriin osissa, tärkeimmät ensin.
Luodaan katselmointirytmi ja valvontamekanismit, jotka varmistavat, että hallintamalli pysyy ajan tasalla ja tunnukset ovat oikein hallinnassa.
Ei, jos järjestys on oikea. Siirrymme identiteetti kerrallaan: uusi hallintamalli otetaan käyttöön rinnalle, todennetaan toimivaksi ja vasta sitten vanha tunnistetieto poistetaan.
Ei. Toteutus tehdään Entra ID:n, Azuren ja Key Vaultin omilla ominaisuuksilla. Jos lisensointi rajoittaa jotain kohtaa, sanomme sen etukäteen.
Ei, jos vanhoja tunnuksia ei ole siirretty saman mallin piiriin. Uusi käytäntö koskee vain sitä mitä luodaan tästä eteenpäin, eikä se kosketa sitä kantaa joka on jo olemassa.
Aloitetaan inventoinnista. Se paljastaa yleensä enemmän, kuin kukaan osaa etukäteen odottaa.