Rapprochement des identités
Okta régit l'accès, mais ne sait pas si cet accès est modifié une fois accordé. Le rapprochement des identités détecte en permanence ce qui existe réellement dans une application en aval par rapport à ce qu'Okta a affecté, et présente ces changements aux administrateurs avec le contexte dont ils ont besoin pour agir.
Version en accès anticipé. Consultez la section Activer les fonctionnalités en libre-service.
Avantages
- Détection proactive des comptes non gérés et des dérives de droits
- La détection des changements d'autorisation pour les droits et les comptes passe de réactive à proactive. Okta détecte les changements lors de l'importation et fournit aux parties prenantes des informations sur les éléments modifiés et le contexte dont elles ont besoin pour décider des mesures à prendre.
- Révocation automatique des dérives de droits en fonction de règles
- Le rapprochement d'identité prend en charge la détection des dérives de droits dans les applications cibles et la possibilité de définir des règles pour les changements non autorisés, comme l'autorisation de l'accès à certains droits privilégiés.
- Déploiement sans interruption
- Par défaut, le rapprochement des identités accepte et consigne toutes les différences. Aucune modification d'accès automatisée ne se produit tant qu'un administrateur n'a pas configuré une règle de révocation. Les workflows existants restent intacts, afin que votre org puisse progressivement adopter des règles de révocation sans perturber les opérations quotidiennes.
Fonctionnement
Le rapprochement des identités détecte la dérive des accès de gouvernance. La dérive correspond à la différence entre l'accès qu'Okta attend pour un utilisateur et les permissions réelles dans une application en aval. Okta détecte la dérive en comparant les informations récupérées par les importations d'application avec les enregistrements utilisateur de l'application dans Okta.
Le rapprochement des identités détecte deux catégories de dérive : les comptes non gérés et la dérive des droits.
- Unmanaged accounts : comptes qui existent dans une application en aval qu'Okta n'a pas affectés ou ne connaissait pas, ou comptes dont le statut est différent de celui de l'identité correspondante dans Okta
- Entitlement drift : la différence entre l'accès dont dispose actuellement un utilisateur dans une application en aval et l'accès qu'Okta a attribué à l'utilisateur
La dérive peut survenir de plusieurs façons :
- Accumulation de privilèges : les utilisateurs accumulent des permissions à mesure que leurs rôles et services changent, sans que les accès précédents soient révoqués.
- Approvisionnement manuel : les administrateurs apportent des modifications directes non gérées ou accordent des exceptions temporaires qui contournent les workflows d'approbation classiques.
- Latence du cycle de vie : un délai se produit entre le moment où un utilisateur quitte l'entreprise ou change de rôle et la mise à jour de ses permissions pour refléter ces changements.
- Échecs de l'annulation de l'approvisionnement : lorsqu'un utilisateur quitte l'entreprise, le processus d'annulation ne parvient pas à supprimer le compte.
- Complexité de l'environnement : les orgs dépendent d'un grand nombre de services cloud, d'outils SaaS et d'identités non humaines qui ne disposent pas d'un suivi cohérent des permissions.
La détection dépend des importations
Pour détecter la dérive d'une application, les administrateurs doivent configurer et maintenir les plannings d'importation de cette application à une cadence appropriée. Cela inclut les importations effectuées manuellement, que des importations planifiées soient configurées ou non. Il n'y a aucune modification dans le comportement d'importation existant. L'importation initiale établit une base qui est utilisée pour comparer les importations futures afin de déterminer quelle dérive s'est produite.
Comment le rapprochement des identités vous aide à corriger la dérive
Le rapprochement des identités détecte les dérives de droits dans les applications cibles et vous permet de définir des règles pour les changements non autorisés, comme l'autorisation de l'accès à certains droits privilégiés. Le rapprochement des identités vous indique la dérive détectée pour une application avec le contexte dont vous avez besoin pour décider de la manière de remédier à la dérive. La responsabilité de la révision et de la correction de la dérive est affectée aux propriétaires d'application, qui peuvent utiliser leur connaissance du domaine, là où d'autres administrateurs pourraient ne pas avoir assez d'informations pour prendre les mesures adéquates.
Par défaut, le rapprochement des identités accepte et consigne toutes les différences. Aucune modification d'accès automatisée ne se produit tant qu'un administrateur n'a pas configuré une règle de révocation. Les workflows existants restent intacts, afin que votre org puisse progressivement adopter des règles de révocation sans perturber les opérations quotidiennes.
Éléments non pris en charge
- Okta ne configure et n'applique pas automatiquement les plannings d'importation.
- Le rapprochement des identités ne s'effectue pas en temps réel et ne procède pas à une détection basée sur les événements.