IT Security März/April

34 | IT SECURITY
wenders definiert – und hier liegt auch
einer der Problempunkte der vielen Berechtigungsmodelle.
Während die Rollen
eines RBAC Modells im Identity
Management eher dem statischen Verwaltungsteil
zuzuordnen sind, und etwa
die Rollen, ihr Zuschnitt und die Zuordnung
zu Personen zyklisch geprüft werden
sollten, sind andere Akronyme wie
ABAC, CBAC und auch PBAC (Attribute-,
Context- und Policy Based Access
Control) mehr der Runtime zuzuordnen,
denn sie werden verwendet um bei tatsächlichem
Zugriff(-sversuch) zu klären,
ob das handelnde Subjekt tatsächlich
autorisiert ist, auf das betreffende Objekt
zuzugreifen. Fast alle Access Management
Werkzeuge prüfen dabei die
Mitgliedschaft eines Subjektes in einer
LDAP-Gruppe oder ob bestimmte definierte
Attribute die erforderlichen Werte
enthalten (etwa: „ist Mitglied der
Gruppe Marketing“ oder „Angestelltentyp
ist gleich Manager“). Dies wird
bei modernen Web- oder SaaS Applikationen
nicht mehr über Kerberos abgebildet,
sondern verwendet die Security
Assertion Markup Language, kurz
SAML in der Version 2.0. Diese Mitgliedschaften
oder Attribute werden
üblicherweise durch das rollenbasiert
arbeitende Identity Governance Werkzeug
im Vorweg gesetzt – aber diese
Zuweisungen sind eher statisch und werden
nur bei Positionswechseln (Mover)
oder Entlassungen (Leaver) angepasst.
Bei Anpassungen an den Zuständigkeiten
einer Funktion, etwa durch eine
Re-Organisation, muss der Zuschnitt der
Rollen angepasst werden – dies wird
über eine Rezertifizierung der Rolle
selbst, oder des Rollenmodells realisiert,
jedoch selten öfters als einmal pro
Jahr oder eben „bei Bedarf“.
An dieser Stelle kommt die Historie der
Softwareentwicklung ins Spiel! Wurden
noch bis in die 2000er Jahre größere
Software Projekte nach Wasserfalls
Modell in Auftrag gegeben und bis
über mehrere Jahre dauernd entwickelt,
so dominiert heute eine agile Entwicklung,
mit kurzen Sprints in denen funktionale
Software in wenigen Wochen
bereitgestellt werden kann (Minimum
Viable Product, MVP). Hatten die IAM
Fachleute also nach GoLive einer nach
Wasserfall entwickelten Software etliche
Jahre Zeit, das darin enthaltene Berechtigungsmodell
in ihr eher statisches
Rollenmodell zu integrieren, so werden
heute nahezu wöchentlich neue Software
Produkte mit sich teilweise dramatisch
unterscheidenden Funktionsumfängen
in Betrieb genommen. Es fällt
schwer sich vorzustellen, wie ein auf
jährliche Überarbeitung ausgelegtes
Rollen-Management diese sich stets im
Wandel befindlichen Zielsysteme abdecken
können soll – ganz zu schweigen
von den Ansätzen eines Continous Integration
/ Continous Delivery (CI/CD),
in dem zu jeder Zeit kleine Änderungen
an Microservices direkt in die Produktion
übernommen werden.
Wie PBAC bei DevOps helfen kann
Das RBAC-Modell betrachtet Berechtigungen
vornehmlich aus Sicht des Anwenders:
„Tina als Auditorin darf die Finanz-Daten
sehen“. Die Frage ist also eher, welche
Arten Anwender man hat, und was
diese in meiner Umgebung tun dürfen.
Access
Management
SC
Access Management
regelt grob-granularen
JA/NEIN Zugriff.
Der Authorization
Service ermöglicht
die Auslagerung
fein-granularer
Entscheidungen
AuthZ
Serv.
Authorization
Service
SC
März/April 2023 | www.it-daily.net