Краткий обзор
Новые возможности Okta Identity Governance обеспечивают прозрачность и контроль, позволяя перейти от реактивного управления к непрерывному. Теперь вы можете выявлять изменения, внесенные в обход системы, с помощью функции Identity Reconciliation, объединять разрешения ролей с помощью Resource Collections и автоматизировать назначение прав доступа с помощью политик предоставления базовых прав. Кроме того, функция Intra-app SoD для групп блокирует рискованные комбинации прав доступа, а Integration Builder позволяет управлять доступом к пользовательским приложениям без написания кода.
Эффективность вашей программы управления доступом зависит от того, насколько полно вы видите картину прав доступа. Однако администраторы приложений могут изменять разрешения непосредственно в самих приложениях, вне поля зрения вашей системы управления идентификацией, и эти изменения могут оставаться скрытыми до следующего аудита.
Основные проблемы управления правами доступа на уровне предприятия
По мере распространения доступа на большее количество приложений и учетных записей ручное и фрагментированное управление оставляет риски прав доступа без внимания, создавая уязвимости в безопасности и замедляя работу команд. В результате большинство предприятий сталкиваются с четырьмя проблемами управления:
- «Слепые зоны»: когда изменения вносятся непосредственно в приложениях, отклонения в правах доступа и несанкционированные учетные записи остаются незамеченными, что приводит к сохранению избыточных разрешений, которые могут подвергнуть организацию риску безопасности. Без простого способа сравнить то, что было одобрено, с тем, что существует на самом деле, подготовка к аудиту становится дорогостоящей: команды тратят часы на сбор доказательств в разных системах и их ручную сверку.
- Непоследовательное и ручное предоставление доступа: организациям не хватает единого четкого понимания базового доступа, который должен быть у роли пользователя. Вместо этого привилегии собираются по частям на основе индивидуальных назначений групп, приложений и прав доступа. В результате предоставление доступа происходит медленно и непоследовательно при приеме сотрудников на работу или смене ими ролей, из-за чего администраторы тратят время на повторяющиеся задачи, а не на стратегическую работу.
- Токсичные комбинации доступа: организациям не хватает средств для обнаружения и блокировки назначения прав доступа, которые в совокупности создают рискованную комбинацию разрешений. Без правил, обеспечивающих разделение обязанностей, токсичная комбинация может быть одобрена до того, как кто-либо заметит это, а проверяющие могут не обнаружить ее до момента сертификации, если обнаружат вообще.
- Приложения, которые невозможно подключить: не каждое приложение поддерживает SCIM или другие протоколы «из коробки», поэтому такие приложения остаются вне автоматизированного предоставления доступа, временного доступа и политик отзыва, которые применяются к остальным вашим приложениям, что приводит к их управлению в изоляции.
Обзор: новые возможности Okta Identity Governance
Okta Identity Governance устраняет эти пробелы с помощью нескольких новых функций:
- Identity Reconciliation (ранний доступ): обнаруживает отклонения в правах доступа и несанкционированные учетные записи, чтобы вы могли видеть и согласовывать изменения доступа, внесенные вне Okta.
- Resource Collections (общедоступно): объединяет базовые приложения, группы и права доступа, необходимые для каждой роли, в единый элемент, упрощая моделирование ролей и назначение доступа. Политики для поддержки предоставления базовых прав доступа (ранний доступ): автоматическое назначение коллекций с помощью политик на основе атрибутов пользователя, чтобы доступ обновлялся по мере того, как люди присоединяются к компании, переходят на другие должности или увольняются.
- Политики для поддержки предоставления базовых прав доступа (ранний доступ): автоматическое назначение коллекций с помощью политик на основе атрибутов пользователя, чтобы доступ обновлялся по мере того, как люди присоединяются к компании, переходят на другие должности или увольняются.
- Intra-app Separation of Duties (SoD) для групп (ранний доступ): автоматически блокирует запросы на группы, которые привели бы к созданию токсичной комбинации доступа, помогая обеспечить соблюдение принципа минимальных привилегий.
- Integration Builder (общедоступно): инструмент, помогающий создавать интеграции пользовательских приложений путем сопоставления API, принадлежащих клиенту, с Okta для предоставления доступа и управления правами, без необходимости знания протоколов или навыков программирования.
В совокупности эти функции дают вам большую гибкость в управлении детализированными правами доступа и преобразовании управления из фрагментированного и ручного в непрерывное и ориентированное на безопасность.
Identity Reconciliation: узнайте, какой доступ был изменен вне Okta
Начнем с прозрачности, потому что нельзя управлять тем, что вы не видите.
Identity Reconciliation добавляет уровень проверки к управлению: регулярное сравнение привилегий, которые фактически существуют в подчиненных приложениях, с теми, что были назначены Okta. Посредством ручного или запланированного импорта Okta обнаруживает отклонения в правах доступа и несанкционированные учетные записи, предоставляя исчерпывающий обзор изменений доступа, внесенных в обход системы, на специальной вкладке сверки. При этом предоставляется контекст, необходимый для принятия обоснованных решений и приведения этих различий в соответствие с разрешениями, управляемыми в Okta. В результате доступ остается централизованно управляемым в Okta Identity Governance, и ничего не меняется без вашего ведома.
Такая прозрачность также избавляет от суеты при подготовке к аудиту. Каждое отклонение и каждое действие создают подробный аудиторский след с состоянием «до», состоянием «после», исполнителем, отметкой времени и предпринятым действием, поэтому доказательства готовы еще до того, как их кто-либо запросит. Для наиболее рискованных приложений дополнительные политики автоматического отзыва прав доступа для каждого приложения идут еще дальше, автоматически устраняя отклонения без ручного вмешательства.
Смотреть: возможности Identity Reconciliation в действии
Посмотрите эту краткую демонстрацию, чтобы увидеть, как возможности Identity Reconciliation упрощают обнаружение, управление и устранение отклонений в правах доступа и несанкционированных учетных записей.
Resource Collections: простое назначение привилегий по ролям
Как только вы видите доступ, следующим шагом будет упрощение определения того, кто должен его иметь. Resource Collection позволяет определить базовый доступ для конкретной роли или функции. Она может представлять роль, такую как «Инженер», «Специалист по урегулированию убытков» или «Подрядчик — EMEA», и объединяет базовые приложения, группы и права доступа, необходимые для начала работы в этой роли. Пользователи могут запрашивать или получать назначение конкретной Resource Collection вручную или автоматически через политику, а администраторы и аудиторы могут сертифицировать, кто имеет доступ к коллекции и что в нее входит.
Коллекции обеспечивают большую прозрачность, чем назначение доступа через группы. В запросах на доступ (Access Requests) и сертификациях доступа (Access Certifications) запрашивающие и утверждающие могут видеть, что предоставляет конкретная роль или коллекция (например, группы, приложения и права доступа), поэтому у них есть контекст для принятия качественных решений. Запрашивающие видят, какой доступ они могут получить, прежде чем просить о нем, а аудиторы могут видеть, какой доступ несет каждая роль, проверяя ее коллекцию.
Resource Collections уже общедоступны, но новая функция раннего доступа теперь поддерживает создание политик, таких как политики для предоставления базовых прав доступа. Напишите политику Resource Collection один раз и позвольте Okta автоматически назначать коллекции на ключевых этапах жизненного цикла, например, при адаптации сотрудников. Назначения обновляются по мере того, как люди присоединяются к компании, переходят на другие должности или увольняются, поэтому все сотрудники в одной роли получают последовательный доступ при адаптации и по мере изменения атрибутов. А когда приходит время увольнения, доступ пользователей автоматически отзывается без вмешательства ИТ-отдела.
Intra-app SoD для групп: блокировка токсичных комбинаций назначений групп
При видимости доступа и определенных ролях функция разграничения полномочий (SoD) является лишь одной из многих возможностей Okta Identity Governance, помогающих обеспечивать принцип наименьших привилегий. До сих пор клиенты могли определять политики SoD для прав доступа, чтобы блокировать опасные комбинации доступа, предотвращая мошенничество и повышая безопасность. Теперь политики SoD от Okta распространяются и на доступ на основе групп. Пишите правила для групп, которые назначают доступ, и Okta автоматически применяет эти правила, блокируя запросы при отправке, если они создают опасную комбинацию доступа в рамках одного приложения. Во время кампаний по сертификации видимость существующих конфликтов SoD помогает проверяющим выявлять и удалять рискованный доступ, который уже был предоставлен.
Integration Builder: создание интеграций на основе API для ваших приложений
Не каждое приложение поддерживает SCIM или другие протоколы «из коробки», но многие предоставляют API. Integration Builder, функция Okta Workflows, позволяет создавать интеграции на основе API для таких приложений, благодаря чему ресурсы без поддержки SCIM управляются в рамках тех же политик автоматического провижининга, временного доступа и отзыва, что и ваши родные приложения с поддержкой SCIM.
С помощью Integration Builder вы можете использовать действия интеграции API для сопоставления и вызова API с целью создания, чтения, обновления или отзыва пользовательского доступа, прав и членства в группах в сторонних системах без написания традиционного кода. Когда пользователю назначается доступ или он отменяется, либо когда запрос на доступ одобряется, Okta инициирует простое действие API, которое напрямую взаимодействует с родными конечными точками приложения.
Проактивное определение условий доступа до накопления рисков
Okta Identity Governance обеспечивает соблюдение принципа наименьших привилегий для каждой учетной записи и ресурса благодаря управлению, созданному для масштабов предприятия. Теперь, благодаря этим новым функциям, организации могут проще перейти от периодического реактивного управления к непрерывному контекстному управлению, которое позволяет командам безопасности не устранять последствия разрастания прав доступа постфактум, а задавать условия доступа до того, как риски успеют накопиться.
Сопоставление идентификационных данных (Identity Reconciliation) устраняет пробелы в видимости, показывая, какие изменения доступа были внесены вне Okta. Resource Collections упрощает моделирование ролей и назначение доступа. Внутриприложеченское разделение полномочий (SoD) для групп автоматически предотвращает рискованные комбинации доступа между правами и группами. А Integration Builder подключает приложения без поддержки SCIM к Okta Identity Governance. В совокупности это разница между аудитом дома после взлома и слаженной работой замков, камер и сигнализации, которые помогают предотвратить взлом в самом начале.
Доступность и развертывание
Для существующих клиентов Okta Identity Governance эти возможности доступны немедленно:
- Общая доступность (General Availability): Resource Collections и Integration Builder
- Ранний доступ самообслуживания (Self-service Early Access): Identity Reconciliation, политики неизбежного доступа (birthright access) для Resource Collections и внутриприложеченское SoD для групп
Впервые используете Okta Identity Governance? Свяжитесь с одним из наших специалистов, чтобы узнать, как Okta Identity Governance может быстро принести пользу вашей организации.
Любое упоминание в этой презентации решений, возможностей, функционала, сертификаций, авторизаций или аттестаций, которые в настоящее время недоступны в общем порядке или еще не были получены, может быть не реализовано или не получено вовремя либо вообще не реализовано. Мы не берем на себя никаких обязательств по поставке таких компонентов, и вы не должны полагаться на них при принятии решений о покупке. Эти материалы предназначены исключительно для общих информационных целей и не являются юридическими, консультациями по вопросам конфиденциальности, безопасности, соответствия требованиям или ведения бизнеса. ©2026 Okta, Inc. и/или ее аффилированные лица.
