Arkiv för kategorin “IAM”

Ett av det stor problemen med att utnyttja olika tjänster i molnet och då framförallt så kallade "Software As A Service" (SaaS) tjänster är hur man ska hantera identiter och behörigheter.  Problemet är både administrativt såväl som säkerhetsrelaterat.

Det grundläggande problemet har varit att applikationerna i molnet ofta har krävt sin egen autentisering och hantering av användaridentiteter, eller möjligen olika komplexa "trust-lösningar".  Detta medför att man är tvungen att provisionera och de-provisionera användare både internt och externt. Det blir ytterligare ett ställe att komma ihåg att ta bort en användare när denne slutar. Det är ju extra känsligt också eftersom tjänsten finns tillgänglig på Internet och inte innanför brandväggen. En annan aspekt är att man flyttar ut känslig information (användaridentiteter och deras lösenord) till en extern part som man inte har samma kontroll på.

Cloud Security Alliance (CSA)  http://www.cloudsecurityalliance.org/ är en organisation som har som mål att promota användandet av "best practices" för att uppnå hör säkerhet vid användandet av tjänster i molnet. CSA har tagit fram CSA guide http://www.cloudsecurityalliance.org/guidance/csaguide.pdf  som beskriver 15 säkerhetsområden man bör ta i beaktande innan man beslutar sig för att använda moln-tjänster. Område 13 handlar om Identitetshantering.

CSA tycker att det bästa sättet att hantera identiteter för tjänster in molnet är en federationslösning. En beskrivning över hur en federationslösning fungerar finns på http://en.wikipedia.org/wiki/Federated_identity.

Ett exempel på en lyckad användning är det starter-kit för att använda SUN's OpenSSO som verktyg för att skapa en federationslösning till Sales Force.  En artikel som beskriver detta finns på
https://www.sun.com/offers/details/open_source_starter_kit.xml (kräver inloggning). Artikeln diskuterar problemen med behörighetshantering i ett  SaaS scenario och en steg för steg beskrivning hur man kan sätta upp en federationslösning mot SaleForce med hjälp av Open SSO.

Ett stort snackis-ämne just nu i IAM-världen är GRC (Gorvernace, Risk management & Compliance) som är den överliggande strukturen på IAM (Identity and Access Management) Bl.a Kuppinger/Cole, som analyserar och ger råd inom detta ämne anser att detta är ett viktig och växande område som allt fler företag och organisationer inser vikten av eftersom ett rent teknisk införande av en IAM-lösning lätt kan bli felaktig eller misslyckad om man inte tar hänsyn till verksamheten som det skall stödja

Läs mer om detta på http://blogs.kuppingercole.com/kuppinger/

En länksamling i ämnet GRC finns på http://www.thegrcdirectory.com/

Mer info om GRC kan läsas på Wikipedia