Документация Avanpost IDM 7 : 2.2. Функциональные возможности

Навигатор по разделу:

Общие сведения

IDM Base — система управления УЗ и правами доступа пользователей к корпоративным ресурсам организации. Решение предназначено для автоматизации процессов управления жизненным циклом УЗ (User Administration and Provisioning, UAP) и контроля за правами доступа (Identity and Access Governance, IAG).

IDM Base решает задачи, связанные с управлением доступом сотрудников, привилегированных и технических УЗ к ИС и корпоративным ресурсам. Система автоматизирует процессы создания, блокировки и удаления УЗ, управляет правами доступа на основе ролевой модели и обеспечивает регулярный аудит для предотвращения несанкционированного доступа.

Основные функции системы:

• автоматическое создание, блокировка и удаление УЗ на основе данных из кадровых систем (прием, увольнение, перевод, отпуск);

• интеграция с корпоративными системами для синхронизации учетных данных;

• назначение прав доступа на основе ролевой модели (RBAC), где права определяются должностью, подразделением или другими атрибутами пользователя;

• контроль и аудит прав доступа, включая сертификацию, выявление избыточных или несанкционированных прав, пересмотр по расписанию или по событию (например, изменение должности или увольнение);

• управление привилегированными учетными записями (ПУЗ) и техническими учетными записями (ТУЗ);

• автоматическая блокировка УЗ при увольнении сотрудника или изменении его статуса;

• настройка и контроль парольных политик, включая автоматическую проверку надежности паролей и инициирование их своевременной смены.

• ведение и изменение каталога прав и ролей для инфраструктурных элементов, не имеющих централизованного хранилища ролевой модели (ОС, СУБД).

• интеграция с кадровыми системами для получения данных о штатном расписании, отпусках, замещении, больничных и увольнениях, автоматизация процессов управления УЗ;

• выявление несанкционированных изменений прав доступа и атрибутов с возможностью оперативного реагирования;

• анализ рисков компрометации УЗ и предотвращение злоумышленного использования;

• настройка правил разделения полномочий (SoD) для предотвращения конфликтов интересов;

• автоматизация формирования требований во внутренние службы для ручной манипуляции УЗ (создание, выдача прав, временная или постоянная блокировка, удаление);

• формирование требований на выборочную проверку прав доступа и их соответствие политикам безопасности;

• управление временными доступами (например, ограниченные по времени или одноразовые доступы для подрядчиков);

• контроль за соблюдением нормативных требований (например, GDPR, ISO 27001, ГОСТ);

• мониторинг и анализ аномалий в доступах (необычные попытки входа, эскалация привилегий);

• уведомление ответственных участников об изменениях в правах доступа;

• предоставление типового доступа новым сотрудникам на основе ролевой модели;

• формирование отчетов о состоянии прав доступа, истории изменений УЗ и нарушениях политики безопасности; 

• хранение истории изменений УЗ, карточек пользователей и сформированных требований, включая данные об авторах изменений;

• поддержка многофакторной аутентификации (MFA) для критически важных УЗ;

• гибкое разграничение ролей администраторов системы (delegated administration) для контроля управления доступами.

Краткое описание функциональных возможностей прикладного программного обеспечения Системы

Возможности прикладного программного обеспечения Системы в части взаимодействия с другими информационными системами

IDM Base предоставляет широкий набор функциональных возможностей для управления УЗ и правами доступа. Система поддерживает интеграцию с различными информационными системами, что позволяет централизованно управлять доступом к корпоративным ресурсам.

• поддержка двусторонней синхронизации с управляемыми системами через коннекторы;
• использование кадровых систем как доверенных источников информации о сотрудниках;
• создание и настройка ресурсов (подключений к управляемым системам) с определением правил создания учетных данных;
• управление произвольными структурами (юнитами), которые могут представлять организационные или технические объекты (проекты, команды, серверы, приложения и т.д.);
• настройка профилей УЗ, привязка их к юнитам и управление их свойствами;
• синхронизация данных с управляемыми системами по расписанию или в реальном времени;
• механизм сверки прав доступа для выявления и устранения расхождений между назначенными и фактическими правами;
• пакетная загрузка данных из управляемых систем для массовой обработки УЗ и прав доступа;
• интеграция с SQL-ориентированными базами данных для управления пользователями и данными;
• подключение к системам класса PAM (Privileged Access Management) и Secret Management для управления привилегированными УЗ;
• отправка событий безопасности и действий администратора во внешние системы аудита;
• интеграция с ITSM-системами для управления задачами и доступом к неинтегрированным ресурсам;
• поддержка метрик продукта для подключения внешних систем мониторинга;
• настройка почтовых уведомлений, фильтров событий аудита и периодов недоступности ресурсов;
• управление свойствами синхронизируемых объектов и их массовая обработка;
• поддержка интеграции с системами класса Incident Response Platform для оперативного блокирования УЗ по инцидентам кибербезопасности.

Возможности прикладного программного обеспечения Системы в части управления идентификационными данными пользователей

IDM Base обеспечивает идентификацию и аутентификацию внутренних пользователей, используя имена пользователей и пароли. Система поддерживает Kerberos-аутентификацию и смешанную модель авторизации на основе RBAC и ACL. Она управляет УЗ на основе кадровых событий и заявок, обеспечивая гибкую настройку и автоматизацию процессов.

• управление жизненным циклом УЗ, включая создание, блокировку, удаление и разблокировку;
• аутентификация пользователей с использованием доменных УЗ;
• управление разными типами УЗ: персонализированными, групповыми, техническими (ТУЗ), привилегированными (ПУЗ) и УЗ сторонних организаций;
• автоматическая синхронизация учетных данных из кадровых и ИТ-систем;
• контроль и аудит прав доступа, в том числе выявление избыточных или несанкционированных привилегий;
• настройка правил генерации паролей и управление парольными политиками, включая проверку надежности паролей и их своевременную смену;
• возможность самообслуживания пользователей при запросе на модификацию и дезактивацию УЗ;
• хранение истории изменений учетных данных и учетных карточек, включая информацию об инициаторах изменений;
• настройка сценариев автоматических действий с УЗ (например, при увольнении, отпуске, изменении должности).

Возможности прикладного программного обеспечения Системы в части управления доступом пользователей

IDM Base обеспечивает автоматизированное управление доступом пользователей, включая предоставление, изменение и отзыв прав на основе кадровых событий и бизнес-ролей. Система поддерживает аттестацию и сертификацию прав доступа, ролевое разграничение доступа и управление политиками назначения ролей.

• автоматическое назначение и отзыв прав доступа на основе должностных обязанностей, переводов, увольнений и отпусков;
• управление доступом к ИС, включая виртуальные ресурсы, без прямого подключения;
• проведение аттестации и сертификации прав доступа для актуализации полномочий пользователей;
• поддержка ролевого разграничения доступа (RBAC) и динамических ролей с гибкой настройкой параметров;
• автоматическое выявление и предотвращение конфликтов полномочий (SoD) на основе атрибутивных политик;
• интеграция с системами PAM и Secret Management для контроля ПУЗ;
• аудит всех событий, связанных с предоставлением и изменением прав доступа пользователей.

Возможности прикладного программного обеспечения Системы в части управления бизнес-процессами

IDM Base позволяет гибко настраивать и автоматизировать бизнес-процессы, связанные с управлением доступом и УЗ. Система поддерживает создание и тестирование бизнес-процессов, предоставляет инструменты для их настройки и контроля.

• гибкая настройка бизнес-процессов с возможностью кастомизации под корпоративные сценарии;
• графический редактор для проектирования и тестирования бизнес-процессов без необходимости программирования;
• поддержка последовательных и параллельных процессов согласования заявок, включая настройку визирования ЭП;
• встроенный скриптовый язык для вычисления атрибутов УЗ и расширения функциональности бизнес-процессов;
• возможность настройки автоматического участия пользователей, вычисленных в контексте кадровых событий;
• гибкое управление доступом к элементам интерфейса на основе ролевой модели и списков ACL.

Возможности прикладного программного обеспечения Системы в части управления заявками

IDM Base предоставляет широкие возможности для создания, управления и согласования заявок, связанных с предоставлением прав доступа и изменением УЗ. Система поддерживает автоматизацию процессов и обеспечивает гибкую настройку маршрутов согласования.

• создание заявок для одного или нескольких пользователей, в том числе по образцу;
• возможность включения нескольких прав в одну заявку и группового согласования;
• самостоятельное создание заявок пользователями на предоставление прав доступа;
• контроль статуса заявки через веб-интерфейс и электронную почту;
• ограничение видимости заявок для владельцев ресурсов;
• автоматическое назначение заместителей для согласования заявок в период отсутствия основного сотрудника;
• настройка маршрутов согласования с поддержкой последовательного и параллельного согласования;
• динамическое изменение состава согласующих в зависимости от данных заявки;
• встроенный конструктор форм заявок с настройкой зависимостей между полями и возможностью миграции текущих форм;
• история согласования заявок фиксируется и доступна для просмотра;
• электронное согласование заявок с использованием простой электронной подписи;
• контроль исполнения заявки через web-интерфейс и уведомления.

Возможности прикладного программного обеспечения Системы в части регистрации и учета событий

IDM Base обеспечивает полный цикл регистрации, учета событий и формирования отчетности, позволяя контролировать изменения в системе и предотвращать несанкционированный доступ.

• аудит предоставленных прав доступа с возможностью регулярного пересмотра;
• автоматическая генерация уведомлений при изменениях статуса заявок, доступов и других событий;
• выявление неиспользуемых УЗ и их автоматическая или ручная блокировка;
• регистрация в журнале всех изменений параметров системы с указанием времени и пользователя;
• ведение детализированного журнала событий, включая вход/выход пользователей, изменения конфигурации, создание/удаление объектов и выявление избыточных или недостающих полномочий;
• возможность экспорта части журнала событий в файл;
• встроенный конструктор отчетов с возможностью формирования отчетов по УЗ, правам доступа, ролям и субъектам авторизации;
• автоматическая генерация и рассылка отчетов по почте;
• формирование отчетов с отображением актуальной информации или исторических данных;
• запрет на модификацию журнала событий процессами, не принадлежащими подсистеме регистрации;
• архивирование журнала событий по заданным критериям;
• разграничение прав доступа к просмотру событий;
• интеграция с внешними SIEM-системами (syslog, SNMP);
• агрегация задач при отправке уведомлений пользователям.

Возможности прикладного программного обеспечения Системы в части обеспечения мониторинга

IDM Base обеспечивает возможности мониторинга состояния системы и контроля выполнения задач.

• мониторинг системы с отслеживанием узлов (доступность, загрузка CPU, RAM, активные процессы), сервисов коннекторов и ресурсов;
• контроль выполнения бизнес-процессов в режиме реального времени;
• мониторинг задач по изменению ролей и доступов (назначение/отзыв, статус выполнения, повторная обработка ошибочных задач);
• мониторинг задач по изменению состояния УЗ (блокировка/разблокировка, просмотр и управление задачами);
• контроль выполнения плановых заданий, включая отображение узлов и планировщиков в интерфейсе мониторинга;
• хранение данных мониторинга в базе для анализа и аудита.

Возможности прикладного программного обеспечения Системы в части обеспечения целостности

IDM Base обеспечивает механизмы для поддержания целостности системы и контроля успешности выполнения действий, что позволяет предотвращать ошибки и восстанавливать исходное состояние системы при необходимости.

• контроль целостности с использованием специализированных программных механизмов;
• контроль успешности завершения действий (транзакционность);
• возможность восстановления исходного состояния системы, если действие (транзакция) завершено не полностью или некорректно.

Возможности прикладного программного обеспечения Системы в части администрирования

IDM Base предоставляет инструменты для эффективного администрирования системы, обеспечивая контроль и управление УЗ и правами доступа.

• управление событиями в области управления УЗ;
• контроль всех событий в области управления УЗ;
• разделение функций и полномочий администраторов (например, администратор учетных записей, администратор ресурса);
• ограничение действий пользователей: все операции выполняются только через пользовательский интерфейс;
• разграничение доступа, обеспечивающее выполнение действий только в рамках выданных полномочий;
• автоматическое завершение сеанса после определенного времени бездействия.