IDM-система: как управлять доступами сотрудников в корпоративной инфраструктуре

Рост бизнеса увеличивает число сотрудников, подрядчиков, филиалов, приложений и сетевых сервисов. Один специалист может иметь отдельные учетные записи в домене, CRM, ERP, почте и VPN. Ручная выдача полномочий заставляет ИТ-службу обрабатывать однотипные заявки и сверять разные источники. Ошибка администратора может оставить лишние права или задержать подключение. Системы управления идентификационными данными автоматизируют процессы предоставления доступа к ресурсам и контроля полномочий.

Что такое IDM-система: расшифровка и значение термина

Аббревиатура IDM расшифровывается как Identity Management - управление идентификационными данными. К ним относятся сведения о пользователе, его учетные записи, должность, подразделение и набор разрешений. Источником часто служит кадровая база, целевыми объектами - каталоги и приложения.

Идентификация устанавливает, о каком субъекте идет речь. Аутентификация проверяет заявленную личность. Авторизация определяет, какие действия разрешены.

Рабочая модель включает платформу, роли, маршруты согласования, владельцев ресурсов и внутренние регламенты. Автоматизация не устранит недостатки неформализованных процессов.

IDM-система: что это дает компании на практике

Ручной порядок перестает соответствовать масштабу, когда корпоративная среда становится распределенной и неоднородной. Характерные признаки:

• растет число работников, подрядчиков, филиалов и удаленных пользователей;
• у одного человека появляется несколько записей в разных сервисах;
• инфраструктура включает десятки приложений, каталогов, баз и сетевых компонентов;
• заявки идут через почту, таблицы и отдельные файлы;
• подразделения применяют разные схемы согласования;
• специалисты ИТ выполняют много повторяющихся операций;
• единой картины выданных прав нет;
• внутренние регламенты приходится проверять вручную;
• дальнейший рост требует все больше административных ресурсов.

Внедрение сокращает срок подключения нового работника, уменьшает число ручных действий и унифицирует согласование. История заявок повышает прозрачность для руководителей, владельцев сервисов и ИБ-службы. Распределенную инфраструктуру проще расширять без пропорционального роста штата администраторов, а журналы упрощают подготовку к аудиту.

Практический эффект зависит от качества исходных сведений, ролевой модели, регламентов и полноты интеграций. Поэтому IDM решения нужно сравнивать по соответствию архитектуре заказчика, а не только по набору функций.

Как работает IDM-система и какие задачи она решает

Типовой жизненный цикл начинается с кадрового события и заканчивается контролем результата:

1. платформа получает сведения о приеме, должности, подразделении, руководителе, переводе или увольнении;
2. человек сопоставляется со своими учетными записями в каталогах и приложениях;
3. базовый набор формируется с учетом роли и рабочих обязанностей;
4. дополнительные полномочия запрашивает сам сотрудник или его руководитель;
5. заявка направляется руководителю, владельцу ресурса либо специалисту ИБ;
6. после утверждения в целевой сервис передается команда на создание или изменение записи;
7. при переводе прежний набор пересматривается, а новый назначается по установленным правилам;
8. увольнение, завершение договора или истечение срока временного разрешения приводят к блокировке;
9. сведения о запросах, решениях и выполненных операциях фиксируются для проверки.

После первичной выдачи платформа поддерживает ролевую модель, ищет избыточные и неактуальные полномочия, следит за сроком временных разрешений и выявляет изменения в обход утвержденного порядка. Avanpost IDM, например, заявляет поиск расхождений в целевых системах и формирование отчетности по историческим данным.

Правила SoD (разделение обязанностей) помогают выявлять несовместимые сочетания полномочий. Регулярная ревизия позволяет руководителям и владельцам сервисов проверять, остаются ли ранее предоставленные возможности обоснованными. Такая практика применяется в средствах контроля цифровых идентичностей.

Конкретный функционал зависит от продукта, версии, лицензии и подключенных модулей.

Чем IDM отличается от IAM, IGA, PAM, SSO и MFA

Технологии могут дополнять друг друга. IDM создает учетную запись и назначает права, SSO упрощает вход, MFA подтверждает личность, а PAM контролирует административные полномочия.

Для реализации однократной и федеративной аутентификации может использоваться Avanpost Web SSO. Задачи многофакторного подтверждения личности решает, например, Avanpost FAM. Такие продукты могут работать совместно в едином контуре защиты цифровых идентичностей.

С какими системами интегрируется IDM

Обычно подключают:

• кадровые платформы;
• Active Directory, протокол LDAP, FreeIPA и другие службы каталогов;
• ERP, CRM, почту и электронный документооборот;
• базы данных и отраслевые приложения;
• облачные платформы;
• виртуальные частные сети (VPN), сетевые контроллеры и средства мониторинга;
• средства управления ИТ-услугами (ITSM);
• системы сбора и анализа событий информационной безопасности (SIEM);
• AM, SSO, MFA и инфраструктуру открытых ключей (PKI).

Подключение выполняют через готовые коннекторы, программные интерфейсы (API), базы данных, хранимые процедуры либо импорт файлов.

Совместимость проверяют на уровне конкретной версии: общий коннектор не гарантирует работу со старой сборкой или нестандартной конфигурацией. Пилот должен охватывать чтение, создание, изменение, блокировку и контроль результата.

Сетевые ресурсы требуют особенно точной инвентаризации. Один сотрудник может получать разрешения в VPN, контроллере беспроводной сети, средстве мониторинга и административной консоли. Если часть таких точек остается вне общего контура, централизованная модель не показывает полную картину фактических возможностей.

PKI подключают, когда в общий жизненный цикл входят цифровые сертификаты и ключевые носители. Для централизованной работы с инфраструктурой открытых ключей может применяться Avanpost PKI. Такой продукт дополняет основную платформу в сценариях, связанных с выпуском, использованием и отзывом сертификатов.

Как выбрать и внедрить IDM-систему

Заказчик определяет число пользователей и учетных записей, состав каталогов и приложений, объем кадровых событий, нагрузку и требования к отказоустойчивости. Отдельно оценивают готовые коннекторы, собственные интеграции, гибкость ролей и маршрутов согласования.

Значение имеют масштабируемость, производительность, защита самой платформы, аудит, отчетность, варианты развертывания, ОС и СУБД. Российским организациям может понадобиться проверка сертификатов, реестров и совместимости с отечественным программным обеспечением. Оценка включает лицензии, инфраструктуру, сопровождение и совокупную стоимость владения, а также уровень технической поддержки.

Пилот на реальных событиях и целевых сервисах показывает качество исходных сведений, полноту ролей, работу маршрутов утверждения и устойчивость интеграций.

Этапы внедрения:

1. аудит действующего порядка и инвентаризация источников;
2. назначение владельцев ресурсов и ответственных за согласование;
3. очистка кадровых сведений и устранение дублей;
4. разработка модели распределения разрешений;
5. выбор первой очереди подключаемых сервисов;
6. настройка интеграций и маршрутов заявок;
7. проверка ключевых сценариев в рамках пилота;
8. поэтапное подключение остальных компонентов;
9. обучение администраторов, руководителей и пользователей;
10. контроль результата и корректировка настроек.

Частые ошибки - попытка сразу охватить всю инфраструктуру, автоматизация неформализованных правил, низкое качество кадровых сведений и сохранение неофициальной выдачи прав через письма или личные обращения.

На этапе выбора важно понимать, что такое IDM-система применительно к задачам конкретной организации. Перечень подключаемых ресурсов и сценариев помогает точнее сформировать требования к продукту.

Компания Netwell более двадцати лет занимается поставкой высокотехнологичного оборудования. В каталоге решений по информационной безопасности представлены продукты для защиты корпоративной ИТ-среды, управления доступом и других задач ИБ. Специалисты компании помогут подобрать совместимые компоненты для комплексного проекта и окажут техническую поддержку при внедрении решений.