Корпоративная идентичность и Active Directory — Примеры

Пример 1 — Уволившийся, у которого всё ещё есть доступ

Три внутренних инструмента дают доступ названным людям, и один из них всё ещё содержит коллегу, ушедшего в прошлом месяце. Таблица — текущее состояние каталога. Перепишите выдачи так, чтобы удаление одного членства снимало весь доступ разом.

инструмент   кому выдан
wiki         ana, ben, cara
reports      ana, cara
deploy       ben

Решение

resource "azuread_group" "platform_engineers" {
  display_name = "platform-engineers"
}

resource "azuread_group_member" "ana" {
  group_object_id  = azuread_group.platform_engineers.object_id
  member_object_id = "<ana-object-id>"
}
# каждый инструмент выдаёт доступ группе, никогда человеку

Теперь разрешение привязано к группе, чью цель можно назвать и проверить, поэтому приём, перевод и увольнение — это изменения членства, а история изменений остаётся осмысленной. Уволенного убирают из группы, и каждый инструмент, который ей доверяет, закрывается сразу, вместо того чтобы перебирать список приложений по памяти. Обычная ошибка — выдать «только один раз» человеку: именно так ушедший коллега и сохранил учётную запись.

Пример 2 — Вход, который спрашивает только пароль

Сотрудники заходят во внутренний инструмент по паролю, а каталог уже знает, каким устройством пользуется каждый из них. Ниже — настроенная политика. Перепишите её так, чтобы верного пароля с неизвестного устройства было недостаточно.

политика: staff-tools-sign-in
  пользователи: весь персонал
  разрешение:   верный пароль

Решение

resource "azuread_conditional_access_policy" "staff_tools" {
  display_name = "staff-tools-sign-in"
  # условия: приложение плюс управляемое или соответствующее устройство

  grant_controls {
    operator          = "AND"
    built_in_controls = ["mfa"]
  }
}

Политика теперь спрашивает, правдоподобен ли вход для этого человека на этом устройстве, используя контекст, который каталог уже хранит, а не только совпал ли пароль. Добавление каждого внутреннего инструмента в единый вход накапливает ту же ценность: один пароль, один сценарий сброса и один шаг при увольнении на инструмент исчезают, а уйти из каталога становится всё труднее. Обычная ошибка — считать второй фактор всей политикой: украденная сессия здорового аккаунта её всё равно проходит, поэтому разрыв закрывают условия по устройству.