trust
适用场景
BlackShield 为租户管理员提供了一个具体的身份管理界面：配置 Google、Okta 或 Azure AD，在启用前验证 OIDC，将用户组映射到角色，轮换 SCIM 令牌，并审查身份审计活动。
目标受众: IT 管理员、安全运营团队、工作区所有者和验证访问控制的采购审核人员预计耗时: 15-20 分钟
开始之前
- 确定谁有权批准管理员访问权限、API 密钥管理和账单变更。
- 在允许广泛用户访问之前，准备好身份提供商组映射。
- 定义用于停用用户和密钥轮换的离职 SLA。
操作指引
1
步骤 1
配置 BlackShield 支持的身份提供商
该产品支持一组明确的提供商，并要求管理员在广泛推广之前验证配置。
- 在 `/identity` 中，BlackShield 支持 Google、Okta 和 Azure AD 作为租户级 OIDC 提供商。
- 在为生产用户启用提供商之前，使用内置的验证步骤。
- 启用租户 OIDC 后，分发租户专属的 SSO 链接（例如 `/login?tenant=acme-security&provider=okta`），以便用户直接进入经批准的 IdP，而无需匿名发现租户。
- 显式选择默认角色和自动关联行为，而不是依赖隐式默认值。
达成目标状态
显式选择默认角色和自动关联行为，而不是依赖隐式默认值。
2
步骤 2
映射用户组并自动化生命周期操作
BlackShield 公开了企业级审查中客户通常要求的生命周期控制措施。
- 将 IdP 组映射到 BlackShield 角色，以便在登录时即时分配访问权限。
- 需要重置配置凭据时，从同一页面轮换 SCIM 令牌。
- 使用身份审计流审查工作区最近的 OIDC 和 SCIM 活动。
达成目标状态
使用身份审计流审查工作区最近的 OIDC 和 SCIM 活动。
3
步骤 3
在用户变动时移除访问权限和特权凭据
除非您能迅速移除用户访问权限和服务凭据，否则访问控制是不完整的。
- 当用户角色发生变化时，在 `/identity` 中移除或重新映射用户的 IdP 组访问权限。
- 在特权人员离职或扫描器归属权变更后，在 `/api-keys` 中撤销或轮换 API 密钥。
- 审查 `/audit` 和身份审计，以确认没有残留不明的过期特权活动。
- 如果未配置 OIDC，请通过 `/tenant-rights` 中的“Invite User”选项手动管理用户配置，以邀请团队成员并监控席位利用率。
达成目标状态
如果未配置 OIDC，请通过 `/tenant-rights` 中的“Invite User”选项手动管理用户配置，以邀请团队成员并监控席位利用率。