Identités de la charge de travail

Qu'est ce qu'une identité de charge de travail ?

Une identité de charge de travail est une application ou un service qui s'authentifie par programme pour accéder aux ressources organisationnelles sans qu'un utilisateur humain ne se connecte. Contrairement aux applications pour utilisateurs finaux, les identités de charge de travail fonctionnent de manière autonome en utilisant des identifiants telles que des clés secrètes client, des certificats ou des clés privées.

ISPM reconnaît les identités de charge de travail suivantes :

Applications OIDC Okta

Les applications qui sont enregistrées dans Okta et qui s'authentifient par programme à l'aide d'OpenID Connected. Ces applications utilisent des clés secrètes client ou une clé privée JWT pour prouver leur identité. Aucune connexion humaine n'est requise.

Intégrations des services API Okta

les intégrations machine à machine qui s'authentifient via le flux des identifiants client OAuth 2.0 pour accéder directement aux API Okta.

Applications connectées à Salesforce

Les applications OAuth non gérées créées directement dans une organisation Salesforce.

Applications connectées gérées par Salesforce

Les applications installées depuis Salesforce AppExchange (intégrations tierces). Il s'agit d'applications à plus haut risque, car elles sont contrôlées en externe.

Applications d'entreprise

Les applications qui sont enregistrées dans Microsoft Entra ID (anciennement Azure AD). Elles sont représentées par des commettants de service dans le répertoire. Chaque application se voit accorder des autorisations déléguées ou au niveau de l'application pour accéder aux ressources de l'organisation. Ces applications affichent souvent des autorisations étendues au fil du temps et peuvent présenter un risque élevé si les identifiants ne sont pas pivotés ou si les portées ne sont pas révisées.

Pourquoi les autorisations d'identité de la charge de travail sont importantes

Les identités de charge de travail reçoivent souvent des autorisations étendues lors de la configuration initiale et sont rarement révisées par la suite. Au fil du temps, cela crée une surface d'attaque masquée. Une identité de charge de travail compromise ou mal configurée peut exploiter ses autorisations pour accéder à des données sensibles, modifier des objets de répertoire ou, dans les cas critiques, effectuer une prise de contrôle complète du Tenant .

Les facteurs de risque courants sont les suivants :

• Clés secrètes client dont la rotation n'a jamais été effectuée ou qui n'ont pas de date d'expiration
• Applications disposant de permissions administratives excédant leurs besoins opérationnels
• Applications orphelines dont l'équipe propriétaire n'assure plus la maintenance.

À propos de l'inventaire des identités de charge de travail

L'inventaire des identités de charge de travail ISPM regroupe toutes les identités de charge de travail pour les ID Okta, Salesforce et Microsoft Entra en un seul tableau de bord interrogeable. Pour chaque identité, l'inventaire présente les informations suivantes :

• Les méthodes authentification utilisées, telles que client_secret_basic, client_secret_post, client_secret_jwtou private_key_jwt
• Les autorisations et portées accordées à l'application
• Le statut de la rotation des clés secrètes, y compris les dates d'expiration des clés secrètes et des certificats du client.

Avantages

Professionnels de la sécurité

• Identifier les applications disposant de privilèges excessifs qui enfreignent les principes du moindre privilège
• Détecter les clés secrètes périmées ou jamais pivotées qui représentent une visibilité des informations d'identification permanente
• Hiérarchiser la remédiation en fonction de la sensibilité des permissions accordées
• Réduire le risque de compromission au niveau du Tenant à partir d'une seule information d'identification compromise

Administrateurs de la gestion des identités et des accès

• Permet de maintenir un inventaire précis et à jour sans audits manuels ni feuilles de calcul
• Suivez les dates d'expiration des clés secrètes pour Okta, SalesForce et Microsoft Entra ID depuis un seul endroit
• Localiser les applications utilisant des méthodes d'authentification plus faibles et des mises à niveau de plan
• Répondre aux exigences de conformité et d'audit grâce à des enregistrements documentés des autorisations des applications