Biznet BilişimBiznet Bilişim

By Yavuz Alptürk

Kimlik Yönetimi – Riskler (2)

Merkezileşmemiş kimlik yönetiminde ortaya çıkan riskler, organizasyon yapısında, kullanıcıların yetkilendirilmesi sürecinde varolan karmaşadan ve sürecin farklı ve birbirinden bağımsız kişi ve gruplarca ilerletilmesinden kaynaklanır. Yönetimsel yük ve süreç karmaşası birbirlerini besleyen risklerken, sonuçları da güvenlik ve işgücü kaybı riskleri olarak ortaya çıkar.

Aşağıda, bu riskleri en basit haliyle şematize etmek için, hayali Hizmet AŞ kurumunun, merkezi kimlik yönetimine geçmeden önceki güçlüklerini basit durumlar üzerinden örneklemeye çalıştım. Bu örnekleri, belki de zaman içinde çoğaltacağım.

  Read more

By Yavuz Alptürk

Kimlik Yönetimi – Riskler (1)

İşe alımı yapıldıktan sonra, personelin görevini yerine getirebilmesi için kurumun personeline sağlaması gereken ilk varlıklar e-posta adresi, kaynaklara (uygulamalar, işletim sistemleri, dizinler vs) erişim için gerekli olan kullanıcı adı şifre bilgileridir . Bunun dışında her bir kaynakta, kullanıcı profil bilgileri, kaynağa erişim için kullanıcı hesabına atanmış roller de tanımlanmak durumundadır. Bu durum, kuruma dahil olduğu anda IK veritabanında tanımanan ve 4 uygulama üzerinde çalışan 10,000 personelin, yönetilmesi gereken 50,000 hesabının olması demektir. Bahsedilen 50,000 hesap, kurumda karşılığı olan, yani bir çalışana bağlanmış hesap sayısıdır. Merkezileşmemiş kimlik yönetiminin en önemli risklerinden olan, zamanı dolmuş ya da bir personele bağlanmamış hesaplar da eklendiğinde, yönetilmesi gereken kimlik sayısı daha da artacaktır.
Hesap sayısı arttıkça, hesap bilgileri detaylandıkça kimlik yönetimi daha karmaşık ve riskli hale gelecektir.   Read more

By Yavuz Alptürk

Erişim Yönetimi – Riskler (1)

Terimler:

Erişim yönetimi -> Access Management

Tümleşik oturum -> Single Sign-On (SSO)

Web Erişim Yönetimi -> Web Access Management (WAM)

Kimlik ve Erişim Yönetimi terimleri ile konuşulduğunda, “Erişim Yönetimi” nden kasıt, web erişim yönetimi ve sunucu – istemci mimarisinde çalışan uygulamalar için tümleşik oturum yönetimidir. Bu ve bir sonraki yazıda Web Erişim Yönetimi üzerinde durulacaktır.

Pazarda yaygın olan WEY ürünleri (Oracle Access Manager, Tivoli Access Manager, OpenAM vs), tümleşik oturum yönetimi ile birlikte, politika tabanlı erişim kurallarının oluşturulması , ortak oturum yönetimi özelliklerini ve merkezi erişim kayıtları , denetim kayıtları gibi takibe, istatistik ve rapor üretmeye yönelik kabiliyetleri de barındırır. Bu özellikleriyle WEY, Kerberos, SAML gibi teknolojilerle, ya da uygulama sunucusu – nosql ortak kullanımı ile (örneğin Weblogic – Coherence) oluşturulan tümleşik oturum ortamlarından farklılaşır.

  Read more