Краткий обзор
По мере того как организации масштабируют свое присутствие в Amazon Web Services (AWS), охватывая сотни или тысячи учетных записей и прикладных сервисов, командам по безопасности и комплаенсу необходимо точно знать, какими правами обладают пользователи в отношении конкретных ресурсов. Сегодня Okta поддерживает управление правами доступа для AWS, расширяя возможности Okta Identity Governance непосредственно до AWS Identity and Access Management (IAM) Account Access Manager (AAM), с планами по выпуску готового коннектора. Эта интеграция позволяет командам безопасности получить детальную видимость, обеспечить соблюдение принципа наименьших привилегий и управлять временными правами доступа (just-in-time) в средах AWS вплоть до уровня конкретных ролей IAM.
Детальная видимость и управление полным жизненным циклом
Исторически сложилось так, что организации использовали Okta для управления AWS IAM Identity Center преимущественно через группы — конструкцию, предназначенную для управления SaaS-ресурсами, а не облачной инфраструктурой. Облачные среды, особенно мультиоблачные конфигурации, имеют крайне сложную и динамичную систему пользователей, учетных записей и связанных с ними разрешений для различных ресурсов, что затрудняет управление ими.
Сегодня в рамках Okta Identity Governance организации могут использовать Entitlement Management и API для моделирования учетной записи AWS как приложения в Okta, а назначаемые роли — как права доступа (entitlements) внутри этого приложения. Okta планирует обеспечить готовую интеграцию с AWS в начале следующего года. Эта более надежная интеграция появляется одновременно с внедрением AWS IAM Account Access Manager (AAM), который позволяет клиентам централизованно назначать пользователей и группы сотрудников на существующие роли IAM в рамках организации AWS, как самостоятельно, так и вместе с наборами разрешений (permission sets).
AAM напрямую сопоставляется с ролями IAM, которые вы уже настроили в своих учетных записях AWS. Поскольку он использует ваши существующие роли, вы сохраняете доступ ко всему набору возможностей IAM, с которыми уже знакомы, что помогает избежать необходимости воссоздавать или преобразовывать ваши разрешения в новый формат. Okta управляет назначением этих ролей, и в совокупности эти достижения означают, что клиенты получают как современный способ управления доступом к учетным записям в AWS, так и глубину управления, необходимую для обеспечения безопасности.
Как работает Okta Entitlement Management в средах AWS
Рассмотрим глобальную компанию с сотнями учетных записей AWS, организованных по бизнес-подразделениям и средам (например, разработка, тестирование и продуктивная среда), где Okta выступает в качестве поставщика идентификационных данных для более чем 20 000 сотрудников:
- Без детального управления правами доступа: команда безопасности может лишь подтвердить, что инженер получил доступ к среде AWS; определение того, какими ролями IAM и наборами разрешений он обладает в разных учетных записях, требует ручной сверки данных консоли AWS. Такой подход не масштабируется по мере роста сложности.
- С использованием Okta Entitlement Management: компания теперь может точно видеть, каким доступом обладает инженер: роль IAM с правами опытного пользователя (power-user) в продуктивной учетной записи AWS, предназначенная специально для финансового департамента.
Ключевые операционные преимущества
- Доступ «точно в срок» (Just-in-time access): если этому инженеру требуется экстренный доступ для устранения сбоя на сайте, он может запросить и получить одобрение на временный доступ, который истекает по прошествии утвержденного периода.
- Точная проверка доступа: во время аттестации доступа проверяющие могут одобрять или отзывать роли IAM в конкретных учетных записях, не нарушая доступ инженера к другим ресурсам.
- Разделение обязанностей: можно легко поддерживать систему сдержек и противовесов для административных областей и элементов управления. AAM специально создан для управления доступом сотрудников к учетным записям AWS, отдельно от того, как вы управляете доступом к бизнес-приложениям в IAM Identity Center.
- Ускорение аудита: результатом является более быстрое прохождение аудитов, более строгое соблюдение принципа наименьших привилегий и управление, которое масштабируется вместе с растущей сложностью учетных записей AWS.
Углубление сотрудничества Okta с AWS
Сегодня Okta предоставляет Entitlement Management для критически важных приложений, позволяя клиентам предоставлять, отзывать и проверять привилегии пользователей на детальном уровне.
Работая в тесном взаимодействии с AWS, Okta расширяет эти возможности на AWS IAM Identity Center и AAM. AAM синхронизирует пользователей и группы из Okta в IAM Identity Center, а затем сопоставляет их с существующими ролями IAM, обеспечивая основные возможности управления, необходимые для контроля и обеспечения доступа по принципу наименьших привилегий в учетных записях AWS.
В следующем году Okta выпустит готовый коннектор, который будет нативно интегрироваться с учетными записями, ролями и наборами разрешений AWS, управляемыми в рамках одного приложения. Со временем будет добавлена поддержка других решений инфраструктуры как услуги (IaaS). А пока ознакомьтесь с нашим взглядом на современное управление правами доступа или узнайте, как вы можете использовать Entitlement Management уже сегодня, изучив документацию по продукту.
Amazon Web Services, AWS и AWS Identity and Access Management (IAM) являются товарными знаками Amazon.com, Inc. или ее аффилированных лиц.
Данные материалы предназначены исключительно для общих информационных целей и не являются юридической, консультационной, финансовой или профессиональной консультацией по вопросам безопасности, комплаенса или бизнеса. Кроме того, любое упоминание будущих продуктов, функций, возможностей или сертификаций не является обязательством по их выпуску и не должно служить основанием для принятия решений о покупке. ©2026 Okta, Inc. и/или ее аффилированные лица.
