Öffentlicher Leitfaden

Identitätslebenszyklus und Zugriffskontrollen

BlackShield bietet Mandantenadministratoren eine konkrete Identitätsoberfläche: Konfigurieren Sie Google, Okta oder Azure AD, validieren Sie OIDC vor der Aktivierung, ordnen Sie Gruppen Rollen zu, rotieren Sie SCIM-Tokens und prüfen Sie Identitätsaudits. Zielgruppe: IT-Administratoren, Security Operations Teams, Arbeitsbereichsleiter und Einkaufsprüfer. Typische Einrichtungszeit: 15-20 Minuten.

trust

Verwenden Sie dies, wenn

BlackShield bietet Mandantenadministratoren eine konkrete Identitätsoberfläche: Konfigurieren Sie Google, Okta oder Azure AD, validieren Sie OIDC vor der Aktivierung, ordnen Sie Gruppen Rollen zu, rotieren Sie SCIM-Tokens und prüfen Sie Identitätsaudits.

Zielgruppe: IT-Administratoren, Security Operations Teams, Arbeitsbereichsleiter und EinkaufsprüferTypische Dauer: 15-20 Minuten

Bevor Sie beginnen

  • Legen Sie fest, wer Administratorzugriff, API-Schlüsselverwaltung und Abrechnungsänderungen genehmigen darf.
  • Bereiten Sie IdP-Gruppenzuordnungen vor, bevor Sie den breiten Benutzerzugriff freigeben.
  • Definieren Sie Ihr Offboarding-SLA für die Benutzerdeaktivierung und Schlüsselrotation.

Schritt-für-Schritt-Anleitung

1

Schritt 1

Von BlackShield unterstützte Identitätsanbieter konfigurieren

Das Produkt unterstützt eine definierte Gruppe von Anbietern und fordert Administratoren auf, die Konfiguration vor dem breiten Rollout zu validieren.

  • Unter `/identity` unterstützt BlackShield Google, Okta und Azure AD als mandantenbezogene OIDC-Anbieter.
  • Verwenden Sie den integrierten Validierungsschritt, bevor Sie einen Anbieter für Produktionsbenutzer aktivieren.
  • Wenn Mandanten-OIDC aktiviert ist, verteilen Sie einen mandantenspezifischen SSO-Link wie `/login?tenant=acme-security&provider=okta`, damit Benutzer beim genehmigten IdP landen, ohne öffentliche Mandantenerkennung.
  • Wählen Sie die Standardrolle und das automatische Verknüpfungsverhalten explizit aus, anstatt sich auf implizite Standardwerte zu verlassen.

Erfolgreicher Abschluss

Wählen Sie die Standardrolle und das automatische Verknüpfungsverhalten explizit aus, anstatt sich auf implizite Standardwerte zu verlassen.

2

Schritt 2

Gruppen zuordnen und Lebenszyklusaktionen automatisieren

BlackShield stellt die Lebenszykluskontrollen bereit, die Unternehmenskunden bei Sicherheitsüberprüfungen verlangen.

  • Ordnen Sie IdP-Gruppen BlackShield-Rollen zu, sodass der Zugriff bei der Anmeldung zugewiesen wird.
  • Rotieren Sie das SCIM-Token auf derselben Seite, wenn Sie die Bereitstellungsanmeldeinformationen zurücksetzen müssen.
  • Verwenden Sie den Identitäts-Auditstream, um die letzten OIDC- und SCIM-Aktivitäten für den Arbeitsbereich zu überprüfen.

Erfolgreicher Abschluss

Verwenden Sie den Identitäts-Auditstream, um die letzten OIDC- und SCIM-Aktivitäten für den Arbeitsbereich zu überprüfen.

3

Schritt 3

Zugriff und privilegierte Anmeldeinformationen bei Benutzerwechseln entziehen

Die Zugriffskontrolle ist erst vollständig, wenn Sie sowohl den Benutzerzugriff als auch Service-Anmeldedaten schnell widerrufen können.

  • Entfernen oder ordnen Sie den IdP-Gruppenzugriff des Benutzers in `/identity` neu zu, wenn sich seine Rolle ändert.
  • Widerrufen oder rotieren Sie API-Schlüssel in `/api-keys` nach dem Weggang privilegierter Mitarbeiter oder Änderungen der Scanner-Zuständigkeit.
  • Überprüfen Sie `/audit` und das Identitätsaudit, um sicherzustellen, dass keine unberechtigten privilegierten Aktivitäten aktiv bleiben.
  • Wenn OIDC nicht konfiguriert ist, verwalten Sie die Benutzerbereitstellung manuell über die Option 'Invite User' in `/tenant-rights`, um Teammitglieder einzuladen und die Platzauslastung zu überwachen.

Erfolgreicher Abschluss

Wenn OIDC nicht konfiguriert ist, verwalten Sie die Benutzerbereitstellung manuell über die Option 'Invite User' in `/tenant-rights`, um Teammitglieder einzuladen und die Platzauslastung zu überwachen.

Erfolgreicher Abschluss

  • Rollenzuweisungen bilden geschäftliche Verantwortlichkeiten eindeutig ab.
  • Der Notfall-Widerrufsworkflow ist getestet und dokumentiert.
Identitätslebenszyklus und Zugriffskontrollen | BlackShield Docs