Обсудить задачу
Термин · I

IAM (Identity and Access Management)

Управление учетными записями и правами доступа: кто есть кто в компании, в какие системы может входить и что в них может делать.

IAM (Identity and Access Management, управление идентификацией и доступом) — набор процессов и систем, которые отвечают на два вопроса: кто этот пользователь (идентификация и аутентификация) и что ему разрешено (авторизация). В небольшой компании это список учетных записей и паролей. В организации с тысячами сотрудников и сотнями систем без IAM начинается хаос: уволенные сотрудники сохраняют доступ, права копятся годами, а на вопрос «кто может видеть данные клиентов» никто не может ответить.

Из чего состоит

  • Единый каталог пользователей — одно место, где хранятся сотрудники, их должности и группы. Исторически это Active Directory или каталоги на протоколе LDAP.
  • Единый вход (SSO) — сотрудник входит один раз и получает доступ ко всем разрешенным системам. Используются протоколы SAML и OpenID Connect на основе OAuth 2.0.
  • Сильная аутентификация — многофакторная для всех важных систем.
  • Модель прав — по ролям (RBAC: «бухгалтер видит счета») или по атрибутам (ABAC: «менеджер видит договоры своего региона в рабочее время»).
  • Управление привилегированным доступом (PAM) — особый контроль над учетными записями администраторов: выдача на время, запись сессий.

Жизненный цикл учетной записи

  1. Прием. Учетная запись и права создаются автоматически по данным кадровой системы в день выхода на работу.
  2. Перевод. При смене должности старые права снимаются, а не просто добавляются новые. Иначе через несколько лет у сотрудника права всех его прежних должностей.
  3. Увольнение. Доступ отключается во всех системах сразу, а не «когда администратор доберется».

Регулярно проводится пересмотр прав: руководители подтверждают, что их сотрудникам по-прежнему нужен выданный доступ.

Принципы

  • Минимальные права — ровно то, что нужно для работы.
  • Разделение обязанностей — один человек не может и создать платеж, и подтвердить его.
  • Прозрачность — журнал, кто, когда и какой доступ получил и использовал.

Эти же принципы лежат в основе Zero Trust: IAM — его центральный элемент.

IAM и импортозамещение

Многие российские организации переводят каталоги пользователей с Microsoft Active Directory на отечественные решения — например, ALD Pro или РЕД АДМ, — а системы единого входа — на российские продукты. Такой переход затрагивает вход на рабочие места, почту, файловые хранилища и все корпоративные приложения, поэтому его планируют поэтапно, с периодом совместной работы старого и нового каталогов. Это часть задач импортозамещения ПО.