ניהול זהויות והרשאות גישה (בדרך כלל נקרא IAM) הוא תהליך שבו מעניקים לאנשים המתאימים גישה למשאבים המתאימים מהסיבות המתאימות. בסדרה הזו נסביר על השימוש הכללי ב-IAM ועל האנשים שכפופים לו, כולל:
- זהויות ארגוניות: הזהויות שאתם מנהלים בשביל העובדים בארגון. הזהויות האלה משמשות לכניסה לתחנות עבודה, לגישה לאימייל או לשימוש באפליקציות ארגוניות. זהויות ארגוניות יכולות לכלול גם אנשים שלא מועסקים בארגון, כמו קבלנים או שותפים שצריכים גישה למשאבים של הארגון.
- זהויות של לקוחות: הזהויות שאתם מנהלים בשביל המשתמשים כדי ליצור אינטראקציה עם האתר או עם האפליקציות שלכם שמיועדות ללקוחות.
- זהויות שירות: הזהויות שאתם מנהלים כדי לאפשר לאפליקציות לתקשר עם אפליקציות אחרות או עם הפלטפורמה הבסיסית.
יכול להיות שתצטרכו לתת גישה למשאבים הבאים:
- שירותי Google כמו Google Cloud, Google Analytics או Google Workspace
- משאבים ב- Google Cloud, כמו פרויקטים, קטגוריות של Cloud Storage או מכונות וירטואליות (VM)
- אפליקציות בהתאמה אישית או משאבים שמנוהלים על ידי אפליקציות כאלה
המדריכים בסדרה הזו מחלקים את הדיון על IAM לחלקים הבאים:
- ניהול הזהויות של הארגון, הלקוחות והשירותים הוא הבסיס של IAM. הנושאים האלה מופיעים בתיבות 4, 5 ו-6 (בירוק).
- תיבות 2 ו-3 (בכחול) מתבססות על ניהול הזהויות, ומציינות נושאים שקשורים לניהול הרשאות גישה. הנושאים האלה כוללים ניהול הגישה לשירותי Google, למשאבי Google Cloud ולעומסי העבודה ולאפליקציות בהתאמה אישית.
- תיבה 1 (בצהוב) מציינת נושאים של ניהול גישה שלא נכללים בהיקף של המדריכים האלה. כדי ללמוד על ניהול הרשאות גישה ב-Google Workspace, ב-Google Marketing Platform ובשירותים אחרים, עיינו במסמכי התיעוד של המוצר הרלוונטי.
ניהול זהויות
ניהול הזהויות מתמקד בתהליכים הבאים:
- הקצאה, ניהול, העברה וביטול הקצאה של זהויות, משתמשים וקבוצות.
- הפעלת אימות מאובטח לשירותי Google ולעומסי העבודה המותאמים אישית שלכם.
התהליכים והטכנולוגיות משתנים בהתאם לסוג הזהות: זהות ארגונית, זהות של אפליקציה או זהות של לקוח.
ניהול זהויות ארגוניות
זהויות ארגוניות הן הזהויות שאתם מנהלים עבור העובדים בארגון. העובדים משתמשים בזהויות האלה כדי להיכנס לתחנות עבודה, לגשת לאימייל או להשתמש באפליקציות של הארגון.
בהקשר של ניהול זהויות ארגוניות, אלה הדרישות הנפוצות:
- לנהל את הזהויות בארגון במקום אחד.
- לאפשר לעובדים להשתמש בזהות אחת ובכניסה יחידה (SSO) בכמה אפליקציות בסביבת מחשוב היברידית.
- אכיפת כללי מדיניות כמו אימות רב-שלבי או סיסמה מורכבת לכל העובדים.
- עמידה בקריטריונים של תאימות שעשויים לחול על העסק שלכם.
Google Workspace ו-Cloud Identity הם מוצרים של Google שמאפשרים לכם לעמוד בדרישות האלה ולנהל את הזהויות ואת כללי המדיניות באופן מרוכז.
אם אתם משתמשים בשירותי Google בהקשר של סביבה היברידית או סביבה עם כמה עננים, יכול להיות שתצטרכו לשלב את יכולות ה-IAM של Google עם פתרונות חיצוניים לניהול זהויות או עם ספקי זהויות כמו Active Directory. במסמך ארכיטקטורות לדוגמה מוסבר איך Google Workspace או Cloud Identity מאפשרים לכם לבצע שילוב כזה.
יכול להיות שחלק מהעובדים שלכם משתמשים בחשבונות Gmail או בחשבונות משתמשים פרטיים אחרים כדי לגשת למשאבים של הארגון. עם זאת, יכול להיות שהשימוש בסוגים האלה של חשבונות משתמשים לא יעמוד בדרישות או במדיניות שלכם, ולכן תוכלו להעביר את המשתמשים האלה ל-Google Workspace או ל-Cloud Identity. לפרטים נוספים, קראו את המאמרים הערכת חשבונות המשתמשים הקיימים והערכת תוכניות להכשרת עובדים חדשים.
כדי לעזור לכם להטמיע את Google Workspace או Cloud Identity, תוכלו להיעזר במדריכים שלנו בנושא הערכה ותכנון. המדריכים האלה מסבירים איך לגשת לדרישות שלכם ואיך לגשת לתהליך ההטמעה.
ניהול זהויות של אפליקציות
זהויות של אפליקציות הן הזהויות שאתם מנהלים כדי לאפשר לאפליקציות ליצור אינטראקציה עם אפליקציות אחרות או עם הפלטפורמה הבסיסית.
בהקשר של ניהול זהויות של אפליקציות, אלה הדרישות הנפוצות:
- שילוב עם ממשקי API ופתרונות אימות של צד שלישי.
- הפעלת אימות בסביבות שונות בתרחיש של ענן היברידי או ריבוי עננים.
- מניעת דליפה של פרטי כניסה.
Google Cloud מאפשר לכם לנהל את הזהויות של האפליקציות ולטפל בדרישות האלה באמצעות Google Cloud חשבונות שירות וחשבונות שירות של Kubernetes. למידע נוסף על חשבונות שירות ושיטות מומלצות לשימוש בהם, קראו את המאמר הסבר על חשבונות שירות.
ניהול זהויות של לקוחות
זהויות של לקוחות הן הזהויות שאתם מנהלים עבור המשתמשים כדי לאפשר להם לבצע פעולות באתר או באפליקציות שלכם שמיועדות ללקוחות. ניהול הזהויות והרשאות הגישה של הלקוחות נקרא גם ניהול זהויות והרשאות של לקוח (CIAM).
בהקשר של ניהול זהויות של לקוחות, אלה הדרישות הנפוצות:
- לאפשר ללקוחות להירשם לחשבון חדש אבל להגן מפני ניצול לרעה, למשל לזהות ולחסום יצירה של חשבונות בוטים.
- תמיכה בכניסה באמצעות חשבון ברשת חברתית ושילוב עם ספקי זהויות של צד שלישי.
- תמיכה באימות רב-שלבי ואכיפת דרישות מורכבות לסיסמאות.
באמצעות Identity Platform של Google, אתם יכולים לנהל את זהויות הלקוחות ולעמוד בדרישות האלה. לפרטים נוספים על קבוצת התכונות ועל אופן השילוב של Identity Platform עם האפליקציות בהתאמה אישית, קראו את המסמכים של Identity Platform.
ניהול הרשאות גישה
ניהול הרשאות הגישה מתמקד בתהליכים הבאים:
- הענקת גישה לזהויות או ביטול הגישה שלהן למשאבים ספציפיים.
- ניהול תפקידים והרשאות.
- העברת הסמכויות של יכולות הניהול לאנשים מהימנים.
- אכיפת בקרת גישה.
- ביקורת על גישות שמבוצעות על ידי זהויות.
ניהול הגישה לשירותי Google
יכול להיות שהארגון שלכם משתמש בשילוב של שירותי Google. לדוגמה, יכול להיות שאתם משתמשים ב-Google Workspace לשיתוף פעולה, ב- Google Cloud לפריסת עומסי עבודה בהתאמה אישית וב-Google Analytics למדידת מדדי הצלחה של פרסום.
באמצעות Google Workspace או Cloud Identity אתם יכולים לקבוע באופן מרוכז אילו זהויות ארגוניות יכולות להשתמש בשירותי Google השונים. הגבלת הגישה לשירותים מסוימים מאפשרת לכם להגדיר רמה בסיסית של בקרת גישה. לאחר מכן תוכלו להשתמש ביכולות של ניהול הרשאות גישה בשירותים השונים כדי להגדיר בקרת גישה מפורטת יותר.
לפרטים נוספים, קראו איך לשלוט בגישה של המשתמשים ל-Google Workspace ולשירותי Google.
ניהול הגישה אל Google Cloud
ב- Google Cloud, אתם יכולים להשתמש ב-IAM כדי לתת לזהויות ארגוניות גישה מפורטת למשאבים ספציפיים. באמצעות IAM, אתם יכולים ליישם את עקרון האבטחה של הרשאות מינימליות, שבו אתם מעניקים לזהויות האלה הרשאות גישה רק למשאבים שאתם מציינים.
למידע נוסף, קראו את מאמרי העזרה של IAM.
ניהול הגישה לעומסי העבודה ולאפליקציות שלכם
עומסי העבודה והאפליקציות בהתאמה אישית עשויים להשתנות בהתאם לקהל שאליו הם מיועדים:
- עומסי עבודה מסוימים עשויים להתאים למשתמשים ארגוניים – לדוגמה, אפליקציות פנימיות של ענף כלכלי (LOB), מרכזי בקרה או מערכות לניהול תוכן.
- אפליקציות אחרות יכולות לשרת את הלקוחות שלכם, למשל האתר, פורטל לשירות עצמי ללקוחות או קצוות עורפיים לאפליקציות לנייד.
הדרך הנכונה לנהל את הגישה, לאכוף את בקרת הגישה ולבצע ביקורת על הגישה תלויה בקהל ובאופן שבו אתם פורסים את האפליקציה.
במסמכי התיעוד של IAP מוסבר איך להגן על אפליקציות ועל עומסי עבודה אחרים שמיועדים למשתמשים ארגוניים.
אתם יכולים גם לשלב ישירות את הכניסה באמצעות חשבון Google או להשתמש בפרוטוקולים סטנדרטיים כמו OAuth 2.0 או OpenID Connect.
במסמכי התיעוד של Istio ו-Cloud Endpoints מוסבר איך לאכוף גישה לממשקי API. אתם יכולים להשתמש בשני המוצרים, בין אם האפליקציות שלכם מיועדות למשתמשים ארגוניים ובין אם הן מיועדות למשתמשי קצה.
המאמרים הבאים
- כדי להבין את המושגים והיכולות של ניהול זהויות, קראו את הקטע מושגים.
- בקטע שיטות מומלצות מפורטות הנחיות מומלצות שכדאי להביא בחשבון בארכיטקטורה או בעיצוב.
- בקטע הערכה ותכנון מוסבר איך להעריך את הדרישות שלכם ולזהות עיצוב מתאים.