Identiteetinhallinta pilviympäristössä tarkoittaa käyttäjätunnusten, pääsyoikeuksien ja todentamisen hallintaa hajautetuissa pilvipalveluissa sen sijaan, että kaikki tapahtuisi yhden organisaation omassa konesalissa. Pilvi muuttaa identiteetinhallinnan perusasetelmaa merkittävästi, koska käyttäjät, sovellukset ja data sijaitsevat useiden eri palveluntarjoajien ympäristöissä samanaikaisesti. Tässä artikkelissa käymme läpi pilvi-IAM:n keskeisimmät kysymykset käytännön tasolla.
Mitä erityishaasteita pilviympäristö tuo identiteetinhallintaan?
Pilviympäristö tuo identiteetinhallintaan kolme keskeistä haastetta: hajautuneisuuden, näkyvyyden puutteen ja hallintavastuun epäselvyyden. Kun organisaatio käyttää useita SaaS-palveluita, IaaS-alustoja ja hybridiratkaisuja rinnakkain, identiteettien hallinta pirstoutuu helposti useisiin erillisiin siiloihin, joita on vaikea valvoa kokonaisuutena.
Perinteisessä konesalimallissa kaikki käyttäjät ja järjestelmät olivat saman verkon sisällä, jolloin pääsynhallinta oli selkeämpää. Pilviympäristössä käyttäjä voi kirjautua sisään mistä tahansa laitteelta, mistä tahansa sijainnista, mihin tahansa palveluun. Tämä laajentaa niin sanottua hyökkäyspintaa huomattavasti.
Toinen merkittävä haaste on identiteettien elinkaaren hallinta. Kun organisaatioon liittyy uusi työntekijä tai alihankkija, hänen tunnuksensa täytyy luoda kymmeniin eri pilvipalveluihin. Vastaavasti työsuhteen päättyessä kaikki pääsyoikeudet pitää sulkea nopeasti ja luotettavasti. Manuaalisesti hoidettuna tämä on virheherkkää ja hidasta.
Kolmantena haasteena on compliance eli säädöstenmukaisuus. Pilvipalveluissa data voi sijaita fyysisesti eri maissa, mikä asettaa vaatimuksia tietosuojan ja tietoturvan todentamiselle esimerkiksi GDPR:n tai toimialakohtaisten säädösten näkökulmasta.
Miten pääsynhallinta toimii pilvipalveluissa käytännössä?
Pääsynhallinta pilvipalveluissa perustuu keskitettyyn identiteettitarjoajaan, joka todentaa käyttäjän kerran ja välittää luotettavan todennustiedon eteenpäin eri palveluille. Käytännössä tämä toteutetaan useimmiten kertakirjautumisella eli SSO:lla yhdistettynä avoimiin standardeihin kuten OpenID Connectiin tai SAML:iin.
Kun käyttäjä kirjautuu organisaation portaaliin, identiteettijärjestelmä tarkistaa henkilöllisyyden ja luo istuntotokenin. Tämä token kulkee mukana palvelusta toiseen, jolloin käyttäjän ei tarvitse kirjautua erikseen jokaiseen sovellukseen. Samalla järjestelmä varmistaa, että käyttäjällä on oikeus juuri niihin resursseihin, joita hän pyytää.
Roolipohjainen ja attribuuttipohjainen pääsynhallinta
Pilvi-IAM hyödyntää tyypillisesti roolipohjaista pääsynhallintaa eli RBAC:ia, jossa käyttäjälle myönnetään oikeudet roolin perusteella. Esimerkiksi myyntitiimin jäsen saa automaattisesti pääsyn CRM-järjestelmään, mutta ei taloushallinnon sovelluksiin. Tämä tekee oikeuksien hallinnasta selkeämpää ja skaalautuvampaa.
Attribuuttipohjainen malli eli ABAC vie tämän askeleen pidemmälle. Pääsy voidaan myöntää tai evätä useiden muuttujien perusteella yhtä aikaa, esimerkiksi käyttäjän roolin, sijainnin, laitteen tietoturvatason ja kellonajan perusteella. Tämä mahdollistaa huomattavasti hienojakoisemman pääsynhallinnan.
Monivaiheinen tunnistautuminen pilviympäristössä
Monivaiheinen tunnistautuminen eli MFA on pilviympäristössä käytännössä välttämätön. Salasana yksin ei riitä suojaamaan pilvipalveluita, koska kirjautuminen on mahdollista mistä tahansa verkosta. MFA lisää toisen tunnistuskerroksen, kuten kertakäyttökoodin tai biometrisen tunnistuksen, jolloin varastettu salasana ei yksin riitä murtautumiseen.
Mikä on Zero Trust -arkkitehtuurin rooli pilvi-IAM:ssa?
Zero Trust on pilvi-IAM:n keskeinen toimintaperiaate, joka tarkoittaa sitä, ettei yhdenkään käyttäjän tai laitteen luoteta automaattisesti vain siksi, että se on jo organisaation verkossa. Jokainen pääsypyyntö todennetaan erikseen riippumatta siitä, tuleeko se sisäverkosta vai julkisesta internetistä.
Perinteinen tietoturvamalli perustui ajatukseen, että verkon sisällä olevat ovat luotettavia. Pilviympäristössä tämä ajattelu on vaarallista, koska verkkorajoja ei enää ole samalla tavalla. Zero Trust korvaa tämän periaatteella ”älä luota, varmista aina”.
Käytännössä Zero Trust pilvi-IAM:ssa tarkoittaa jatkuvaa todentamista, minimaalisten oikeuksien periaatetta ja kattavaa lokitusta. Käyttäjälle myönnetään vain ne oikeudet, jotka hän juuri sillä hetkellä tarvitsee, ja jokainen toiminto kirjataan. Myös me Trivorella olemme rakentaneet ratkaisumme tukemaan Zero Trust -arkkitehtuuria, koska se vastaa parhaiten hajautetun pilviympäristön todellisiin tietoturvavaatimuksiin.
Miten identiteetinhallinta skaalautuu pilviympäristöissä suurille käyttäjämäärille?
Pilvipohjainen identiteetinhallinta skaalautuu suurille käyttäjämäärille mikropalveluarkkitehtuurin ja automaation avulla. Sen sijaan että järjestelmä pyörisi yhdellä palvelimella, kuorma jakautuu useille itsenäisille komponenteille, joita voidaan kasvattaa tarpeen mukaan ilman käyttökatkoja.
Skaalautuvuus on erityisen tärkeää organisaatioille, joiden käyttäjämäärät vaihtelevat voimakkaasti tai kasvavat nopeasti. Kuluttajapalveluissa voi olla kyse satojen tuhansien tai jopa miljoonien käyttäjien hallinnasta. Tällöin identiteettijärjestelmän täytyy pystyä käsittelemään valtavia tapahtumamääriä ilman, että suorituskyky heikkenee.
Trivore ID hallinnoi jo yli kuutta miljoonaa identiteettiä ja välittää satoja miljoonia tapahtumaviestiä kuukaudessa. Tämä on mahdollista juuri siksi, että järjestelmä on rakennettu alusta asti skaalautuvuus mielessä, hyödyntäen komponenttien täydellistä kahdentamista tai monentamista. Vaativille asiakkaille voimme tarjota jopa viiden yhdeksikön eli 99,999 prosentin käytettävyyden, mikä tarkoittaa käytännössä vain muutaman minuutin suunnittelematonta käyttökatkoa vuodessa. Tämä tosin vaatii jo varsin järeää infrastruktuuria.
Automaatio on toinen skaalautuvuuden kulmakivi. Kun käyttäjätunnusten luominen, muuttaminen ja poistaminen tapahtuvat automaattisesti HR-järjestelmän tai muun lähdejärjestelmän muutosten perusteella, IT-tiimin työmäärä ei kasva samassa suhteessa kuin käyttäjämäärä.
Mitä tietoturva- ja compliance-vaatimuksia pilvi-IAM:n täytyy täyttää?
Pilvi-IAM:n täytyy täyttää sekä yleiset tietosuojavaatimukset kuten GDPR että toimialakohtaiset säädökset, ja sen tulee tukea kansainvälisiä tietoturvastandardeja kuten ISO 27001:tä. Lisäksi avoimet identiteettistandardit kuten OpenID Connect varmistavat yhteentoimivuuden ja tietoturvan eri palveluiden välillä.
GDPR asettaa selkeitä vaatimuksia henkilötietojen käsittelylle. Identiteettijärjestelmän täytyy pystyä osoittamaan, kenellä on pääsy mihinkin tietoon ja milloin. Tämä edellyttää kattavaa lokitusta ja auditointimahdollisuutta. Rekisteröidyn oikeudet, kuten oikeus tulla unohdetuksi, täytyy myös pystyä toteuttamaan teknisesti.
Julkishallinnon ja kriittisen infrastruktuurin organisaatioilla on usein tiukempia vaatimuksia. Suomessa tämä voi tarkoittaa esimerkiksi tietoturvallisuuden arviointikriteeristön eli KATAKRI:n mukaista toimintaa tai Kyberturvallisuuskeskuksen suositusten noudattamista. Joissain tapauksissa vaaditaan jopa TL3-tason tietoturvaa.
Datan sijainti on pilviympäristössä erityisen tärkeä kysymys. Kun identiteettitiedot käsitellään kotimaisessa ympäristössä, organisaatio voi varmistua siitä, että tiedot pysyvät Suomen lainsäädännön piirissä eikä niitä siirretä EU:n ulkopuolelle.
Milloin organisaation kannattaa siirtyä pilvipohjaiseen identiteetinhallintaan?
Organisaation kannattaa siirtyä pilvipohjaiseen identiteetinhallintaan silloin, kun käytössä on useita pilvipalveluita, käyttäjämäärät kasvavat, IT-tiimin resurssit kuluvat manuaaliseen hallintaan tai nykyinen järjestelmä ei enää tue organisaation tietoturvavaatimuksia. Siirtymä kannattaa tehdä ennakoivasti ennen kuin vanhat ratkaisut muodostuvat pullonkaulaksi.
Selkeitä merkkejä siirtymisen tarpeesta ovat muun muassa seuraavat:
- Käyttäjätunnusten luominen ja poistaminen on hidasta tai virheherkkää
- Organisaatiolla on useita erillisiä hakemistoja tai identiteettisiiloja
- Tietoturva-auditoinnit paljastavat vanhentuneita tai tarpeettomia käyttöoikeuksia
- SaaS-palveluiden määrä kasvaa ja niiden hallinta pirstoutuu
- Compliance-vaatimukset tiukentuvat esimerkiksi NIS2-direktiivin myötä
- IT-tiimi käyttää liikaa aikaa rutiinitehtäviin kehitystyön sijaan
Siirtymä ei tarkoita, että kaiken täytyy tapahtua kerralla. Monille organisaatioille toimivin lähestymistapa on vaiheistus, jossa uusi identiteettijärjestelmä integroidaan olemassa oleviin järjestelmiin asteittain. Identity Fabric -ajattelutapa mahdollistaa vanhojen ja uusien järjestelmien saumattoman yhdistämisen ilman, että kaikkea täytyy uusia kerralla.
Organisaation koko ei yksinään ratkaise, milloin siirtymä on ajankohtainen. Pienikin organisaatio hyötyy automaattisesta identiteetinhallinnasta, jos se käyttää useita pilvipalveluita ja haluaa varmistaa tietoturvansa ilman jatkuvaa manuaalista työtä.