Cos'è la gestione delle identità e degli accessi (IAM)?

La gestione delle identità e degli accessi (IAM) è un metodo centralizzato e coerente che permette di gestire le identità utente (persone, servizi e server), automatizzare i controlli di accesso e soddisfare i requisiti di conformità in ambienti tradizionali e containerizzati. Quando ad esempio i dipendenti che lavorano da remoto utilizzano una rete privata virtuale (VPN) per accedere alle risorse aziendali, stanno mettendo in pratica una soluzione IAM.

IAM contribuisce a garantire che le persone giuste abbiano l'accesso giusto alle risorse giuste, in particolare su più istanze cloud. I framework IAM sono essenziali per gestire le identità in ambienti bare metal, virtuali, di cloud ibrido ed edge computing da una posizione centralizzata per ridurre i rischi per la sicurezza o la conformità.

I metodi IAM controllano l'accesso ai dati, alle applicazioni e alle risorse in ambienti cloud e on premise, basandosi sull'identità dell'utente o dell'applicazione e su criteri definiti a livello amministrativo. Sono presenti in ogni fase del ciclo di vita DevOps e proteggono contro gli accessi al sistema e i movimenti laterali non autorizzati.

Alcuni degli elementi chiave dei metodi IAM sono:

• Autenticazione: verifica l'identità di utenti, servizi e applicazioni.

• Autorizzazione: concede l'accesso a risorse o funzioni specifiche agli utenti autenticati. 

• Provider di identità, depositi di segreti e moduli di sicurezza hardware (HSM): consentono ai team DevOps di gestire e proteggere le credenziali di sicurezza, le chiavi, i certificati e i segreti, sia inattivi che in transito. 

• Provenienza: verifica l'identità o l'autenticità del codice o di un'immagine, in genere tramite un tipo di firma digitale o record di attestazione.

Con l'evoluzione continua del panorama della sicurezza, IAM può includere anche funzionalità aggiuntive come l'intelligenza artificiale (IA), il machine learning (ML) e l'autenticazione biometrica.

L'autenticazione è il processo di conferma o verifica dell'identità di una persona. Un'identità utente (o identità digitale) è l'insieme di informazioni utilizzate per autenticare una persona, un servizio o anche i dispositivi IoT rispetto a specifici insiemi di dati o reti aziendali. Pensiamo a un caso molto elementare: quando una persona accede a un sistema inserendo una password, il sistema verifica l'identità della persona che sta tentando l'accesso esaminando l'informazione fornita (la password).

Il processo di autenticazione però non si limita alla verifica delle informazioni di accesso, ma permette anche agli amministratori IT di monitorare e gestire le attività in tutta l'infrastruttura e tra i servizi.

Gli approcci per l'implementazione di criteri di sicurezza che permettano di rafforzare la protezione dell'ambiente senza compromettere l'usabilità sono moltissimi. Tra i più conosciuti ricordiamo il Single Sign-On (SSO) e l'autenticazione a più fattori (MFA).

• SSO: servizi, dispositivi e server diversi richiedono un'autenticazione separata per l'accesso. SSO stabilisce un servizio di identità centrale che i servizi configurati possono controllare per gli utenti verificati. Gli utenti devono autenticarsi una sola volta e possono accedere a più servizi.

• MFA:  si tratta di un livello di sicurezza supplementare che prevede la verifica con più metodi di autenticazione prima di poter accedere al sistema. Per questo metodo, valuta la possibilità di utilizzare dispositivi crittografici come token hardware e smart card, oppure di configurare tipi di autenticazione come password, raggio, password OTP, PKINIT e password protette.

Puoi anche utilizzare altri strumenti all'interno dell'infrastruttura per semplificare la gestione delle identità, soprattutto in ambienti complessi o distribuiti come il cloud o le pipeline CI/CD, dove l'autenticazione degli utenti può essere difficile da implementare in modo efficace. I ruoli di sistema possono essere particolarmente vantaggiosi in un ambiente DevSecOps. Con flussi di lavoro di configurazione automatizzati coerenti e ripetibili, gli amministratori IT possono risparmiare tempo e risorse, riducendo il carico e le attività manuali associate al deployment, all'amministrazione delle identità e al provisioning/deprovisioning nel tempo.

Se l'autenticazione serve a identificare l'utente che sta cercando di accedere a un servizio, l'autorizzazione serve invece a stabilire ciò che quell'utente può o non può fare nel servizio, ad esempio se può modificare, creare o eliminare le informazioni.

I controlli di accesso arricchiscono la gestione delle identità assegnando a ciascuna identità utente una serie di privilegi di accesso predeterminati. Questi controlli vengono spesso assegnati durante la configurazione dell'account o il provisioning degli utenti e operano in base alla pratica del "privilegio minimo", una base del modello Zero Trust.

Il privilegio minimo consente all'utente di accedere solo alle risorse di cui ha bisogno per uno scopo specifico, come un progetto o un'attività, e attribuisce solo le azioni (autorizzazioni) necessarie. I criteri di accesso possono anche limitare il tempo disponibile per determinate risorse. 

Ad esempio, un dipendente può disporre delle autorizzazioni per accedere a una gamma di risorse più ampia rispetto a terze parti come appaltatori, partner, fornitori e clienti. Quando il livello di accesso degli utenti subisce qualche variazione, gli amministratori IT si occupano di apportare le modifiche necessarie nel database delle identità.

Tra i sistemi di gestione degli accessi che seguono l'approccio del privilegio minimo ricordiamo la gestione degli accessi privilegiati (PAM) e il controllo degli accessi basato sui ruoli (RBAC).

Il sistema PAM è un tipo di controllo di accesso decisivo. In genere gli amministratori e i membri dei team DevOps preposti a questo compito sono anche gli utenti con meno restrizioni di accesso di tutta l'organizzazione e sono autorizzati a modificare le applicazioni enterprise, i database, i sistemi e i server.

Il sistema RBAC definisce i ruoli, o raccolte di utenti, e concede loro l'accesso alle risorse e alle funzioni sulla base delle loro mansioni. RBAC rende coerente e chiara l'applicazione dei diritti di accesso, semplificando l'amministrazione e l'onboarding e riducendo il trasferimento dei privilegi. Inoltre, consente di risparmiare tempo e risorse automatizzando l'assegnazione dei diritti di accesso in base al ruolo dell'utente all'interno dell'organizzazione.

IAM fornisce un livello di sicurezza integrata lungo la pipeline di sviluppo delle app ed è fondamentale per l'implementazione dell'approccio DevSecOps nelle organizzazioni. È uno degli elementi fondamentali per la creazione di un approccio stratificato alla sicurezza in ambienti bare metal, virtuali, containerizzati e cloud. 

È importante assicurarsi che il sistema IAM sia in grado di supportare le soluzioni in più ambienti e carichi di lavoro. Ciò include l'implementazione di IAM in tutte le attività di sviluppo, test, operazioni e monitoraggio delle applicazioni.

Considerando la vasta offerta di soluzioni IAM, ecco alcuni consigli per restringere la scelta:

• Conduci un auditing dei sistemi nuovi e di quelli tradizionali per stabilire se l'organizzazione esegue sia applicazioni on premise che nel cloud.

• Identifica eventuali lacune nella sicurezza per gli stakeholder interni ed esterni.

• Definisci i tipi di utenti e i loro diritti di accesso specifici.

Dopo aver definito le esigenze di sicurezza dell'organizzazione, esegui il deployment della soluzione IAM. Alcune delle opzioni principali includono: soluzioni standalone, servizi di identità gestiti o servizi di sottoscrizione cloud, come l'Identity-as-a-Service (IDaaS), di terze parti.

 Red Hat® Enterprise Linux® rafforza la sicurezza dell'intera gamma di prodotti Red Hat grazie alla gestione integrata delle identità e alle funzionalità del sistema operativo che aiutano le organizzazioni a migliorare e integrare l'architettura zero trust (ZTA).

Red Hat Enterprise Linux offre una varietà di funzioni di gestione delle identità, tra cui:

• Gestione centralizzata delle identità. Red Hat Enterprise Linux semplifica la gestione centralizzata delle identità, consentendo alle organizzazioni di applicare i controlli di sicurezza, soddisfare gli standard di conformità e gestire i criteri di autenticazione da un'unica posizione, garantendo coerenza tra le piattaforme, migliorando l'esperienza dell'utente e riducendo il carico IT.
• Autenticazione a più fattori (MFA) e funzionalità senza password. Red Hat Enterprise Linux offre l'autenticazione MFA, un secondo livello di verifica dell'identità. Red Hat Enterprise Linux accelera l'adozione della ZTA supportando l'autenticazione senza password, inclusi i ticket Kerberos FIDO2/WebAuthn e derivati da passkey per gli accessi SSH e GDM, portando la sicurezza oltre la semplice MFA a uno stato di autenticazione adattivo e resistente al phishing.
• Integrazione di provider di identità esterni. Red Hat Enterprise Linux consente agli utenti di autenticarsi con i client utilizzando OAuth 2.0 e si integra con provider di identità esterni come Keycloak, Entra ID (Azure AD) e GitHub. Ciò consente di delegare i processi di autenticazione e autorizzazione a entità esterne, migliorando la flessibilità e l'interoperabilità all'interno dei diversi ambienti IT.
• Gestione completa di criteri e certificati. Red Hat Enterprise Linux offre una gestione personalizzata dei criteri di sicurezza, incluso il controllo degli accessi basato sui ruoli per delegare l'amministrazione dei server IdM e regole sudo personalizzate per limitare l'escalation dei privilegi. Fornisce inoltre strumenti affidabili di gestione dei certificati che automatizzano l'intero ciclo di vita dei certificati, monitorando le scadenze, garantendo la tempestività dei rinnovi e utilizzando l'autenticazione dell'infrastruttura a chiave pubblica (PKI) per verificare le identità affidabili, un componente chiave della ZTA.
• Automazione e orchestrazione con i ruoli di sistema. Grazie ai Red Hat System Roles (basati su Ansible Automation Platform), Red Hat Enterprise Linux automatizza la configurazione e la gestione della sicurezza. Questa automazione è fondamentale per garantire coerenza e conformità su larga scala in tutti gli ambienti, dal cloud all'on premise, riducendo il lavoro manuale e i potenziali errori di configurazione. I ruoli di sistema fanno parte del livello di automazione e orchestrazione all'interno del framework CISA ZTA.

Scopri di più sulla sicurezza di Red Hat Enterprise Linux

La gestione centralizzata delle identità su Red Hat Enterprise Linux permette anche di integrare Microsoft Active Directory, un protocollo standard per l'interrogazione e la modifica dei servizi di directory (LDAP) e altre soluzioni IAM di terze parti attraverso delle interfacce di programmazione delle applicazioni (API) standard. È inoltre possibile gestire l'autenticazione e l'autorizzazione dei servizi in maniera centralizzata sfruttando le tecniche di autenticazione e autorizzazione basate su certificati.

Red Hat Enterprise Linux fornisce capacità di automazione, sicurezza e gestione del ciclo di vita; i prodotti multilivello in esecuzione sulla piattaforma, come Red Hat OpenShift®, ereditano le stesse tecnologie di sicurezza di Red Hat Enterprise Linux ed estendono la sicurezza informatica integrata allo sviluppo di applicazioni containerizzate.