Главная мысль
Зафиксируйте, какие именно задачи покрываются, к каким системам и данным нужен доступ и кто отвечает за согласование и эскалацию.
Определите границы услуги и ответственность владельцев
Уточните, входят ли в услугу создание и отключение аккаунтов, смена ролей, MFA, пересмотр доступа, мониторинг и реагирование на инциденты. Для каждого этапа распределите ответственность клиента, поставщика и системы идентификации. Для срочного ограничения аккаунта и увольнения сотрудника назначьте ответственных и путь согласования. Ориентируйтесь на фактическое соглашение, а не на общие рекламные заявления о договоре или SLA.
| Действие | Решение заказчика | Задача провайдера для согласования |
|---|---|---|
| Политика доступа и согласование | Владелец ресурса утверждает | Выполнить ограниченное изменение |
| Сдерживание инцидента | Разрешить действия и эскалацию | Расследовать и выполнять только согласованные действия |
| Пересмотр доступа | Владелец подтверждает текущую необходимость | Собрать доказательства и отслеживать отзыв |
| Завершение услуги | Заказчик определяет отключение и требования к данным | Удалить доступ провайдера и передать доказательства |
Сведите доступ поставщика к минимуму
Определите, при каких условиях сотрудники поставщика могут обращаться к пользовательским и административным аккаунтам, как они проходят аутентификацию и как журналируются сессии. Используйте индивидуальные учётные записи, MFA, ограниченную роль, согласование, временной лимит и разделение обязанностей. Если доступно, выбирайте JIT под контролем клиента. Оцените доступ к вспомогательным системам, хранение данных, субподрядчиков и отзыв учётных данных при завершении договора.
Оценивайте результат и готовность к инциденту
Согласуйте отчётность по своевременному отключению аккаунтов, обнаружению и отзыву лишнего доступа, задержкам согласования, охвату MFA и открытым исключениям. Метрики должны отражать фактический объём услуги; не предполагайте результата вроде «полной защиты». Совместно отработайте, кто получает оповещение об инциденте идентификации, как передаются доказательства, кто блокирует аккаунт и токены и как восстанавливается служба.
Повседневные задачи IAM
IAM обычно синхронизирует каталог идентификаций, создаёт, изменяет и отключает аккаунты и группы, аутентифицирует пользователей и службы, выдаёт права по ролям и поддерживает пересмотр доступа. SAML и OIDC поддерживают федеративный вход; SCIM или поддерживаемые коннекторы/API могут создавать, изменять и отключать аккаунты приложений. Возможности зависят от приложения и tenant; успешная интеграция SSO не доказывает отключение аккаунта. Отдельно планируйте человеческое согласование, исключения и процесс увольнения.