アイデンティティプロバイダーからのSCIMプロビジョニング

すべてのアクセスレビューはそれらを見つけます: 役割を変えたり数か月前に退職した人々に属するアカウントで、非プロビジョニングが誰も申請しなかったチケットに依存していたために、まだ有効なままのものです。ほとんどのSaaSツールでは、それは露出の問題です。サインインしたユーザーが本番ソフトウェアへの変更をプロンプトできるプラットフォームでは、それは変更管理の問題でもあります — 誰も所有していないアカウントが、御社のビジネスが依存するシステムへの変更を提案する能力を持っているのです。

SCIMは手動ステップを取り除くために存在します。御社のアイデンティティプロバイダーは、誰がここで働いていて、どのグループに属しているかについて、すでに真実の情報源です。SCIMは、管理者が照合を覚えていなければならない別のリストではなく、Ciaoをその真実の購読者にします。

監査人は同じ見解に収束しています: 手動での照合に依存するアクセスレビューは発見事項を集め、ライフサイクル自動化は受け入れられた修正です。御社の組織がすでに他の重要なシステムでSCIMを運用しているなら、ソフトウェアを構築・デプロイするプラットフォームにそれを拡張することは一貫した動きです — そしてCiaoが御社の最初のSCIM統合になるなら、下の展開手順は意図的に保守的です。

これら4つの統制は、一緒にレビューされるように設計されています。SSOは人々がどう認証するかに答え、SCIMはアカウントがどう存在し、どう存在しなくなるかに答え、ロールベースのアクセス制御は認証された人が何をしてよいかに答え、追記専用の監査証跡は彼らが実際に何をしたか — プロンプト、マージ、デプロイ、管理操作 — を記録します。レビュアーは、1人の人物をディレクトリグループからCiaoのロール、特定の記録された行動まで追跡できます。これは、ほとんどのアクセス制御フレームワークが実際に求めているトレーサビリティの物語です。

実際には、この組み合わせはアクセスレビューの質感を変えます。管理者に何が起こったと信じているかをインタビューする代わりに、レビュアーは何が起こったかを読みます: ディレクトリイベント、結果として生じたロール、その下で取られた行動。レビューの時間は証拠収集から判断へと移り、それが本来あるべき場所です。

プロビジョニングは信頼ではなく、御社のチームがテストすべき統制です。評価中に、テストユーザーでライフサイクルをエンドツーエンドで実行してください — 割り当て、更新、無効化 — そして監査証跡で結果を確認してください。御社のIdPの統合の詳細はオンボーディング中にカバーされ、コンタクトページ経由でリクエストに応じて入手できるセキュリティパックは、書面での詳細を必要とするレビュアーのためにアイデンティティアーキテクチャを文書化しています。

御社の展開に異例の制約がある場合 — 排除すべき共有アカウント、別のIdPを使う契約社員、段階的な移行 — パイロットの前に書面でエンタープライズチームに伝えてください。そうすれば、後から調整するのではなく、御社の現実に対して設定が設計されます。