Oggi, dato che ai team amministrativi aziendali viene chiesto di fare di più con meno risorse, la tendenza verso il self-service non è mai stata così forte. Delegare attività di routine, come i backup richiesti dagli utenti e il ripristino dei file, consente al team IT principale di dedicare più tempo alle attività più critiche per l’azienda. Tuttavia, la concessione dell’accesso a questi potenti strumenti, che ospitano i dati più sensibili della vostra azienda, deve essere rigorosamente controllata al fine di soddisfare i requisiti di conformità dei dati e prevenire conseguenze indesiderate o dolose.
Come si fa, quindi, a consentire agli utenti di eseguire queste funzioni legittime evitando al contempo conseguenze indesiderate o dannose? Semplice: una combinazione di RBAC ed EBAC consente di fornire agli utenti un accesso conforme ai requisiti di conformità dei dati della propria organizzazione.
Che cos’è l’RBAC e come si usa?
Il controllo degli accessi basato sui ruoli (RBAC) esiste da sempre e gli amministratori conoscono molto bene questo concetto. Nella sua forma più semplice, a determinati utenti possono essere concessi diritti di accesso in sola lettura, in scrittura o in lettura/scrittura. Ai tempi delle semplici condivisioni di file, ciò soddisfaceva le esigenze della maggior parte delle persone. Tuttavia, nel mondo aziendale odierno è necessaria una granularità molto più precisa.
I tempi in cui si assegnavano privilegi di superamministratore a tutti sono ormai lontani. Solo pochi utenti selezionati dovrebbero disporre di questi privilegi “divini”, che dovrebbero essere sottoposti a un rigoroso monitoraggio e a controlli accurati. D’altra parte, l’accesso in sola lettura può risultare troppo restrittivo e impedire agli utenti di svolgere le attività necessarie, costringendoli a aprire ticket presso il team IT. Deve essere possibile trovare un giusto compromesso.
Noi di Clumio offriamo agli amministratori la possibilità di assegnare ai propri utenti finali ruoli specifici e predefiniti, che rispecchino più fedelmente le loro mansioni lavorative senza risultare né troppo generici né troppo restrittivi. A prima vista, l’elenco dei ruoli riportato di seguito dovrebbe coprire il 99% dei livelli di autorizzazione che gli amministratori desiderano assegnare ai propri utenti senza “consegnare le chiavi del castello”.
Inoltre, ogni ruolo dispone di controlli molto dettagliati.
Che cos’è l’EBAC e come si usa
Il controllo degli accessi basato sulle entità (EBAC) è un concetto relativamente recente che consente di definire dei limiti attorno a risorse specifiche e di raggrupparle per controllare in modo più preciso a cosa possono accedere gli utenti. Questo approccio si rivela particolarmente efficace per le grandi aziende e persino per gli MSP (Managed Services Providers), poiché offre un supporto più efficace per garantire un’esperienza di self-service più completa per le richieste di base degli utenti.
L’approccio di Clumio all’EBAC introduce il concetto di “unità organizzativa” (OU). Gli amministratori possono creare queste OU e poi inserirvi utenti e risorse specifici per garantire l’isolamento, limitare l’accesso dall’esterno e ridurre l’entità dell’impatto in caso di accesso non autorizzato. Prendiamo un esempio concreto per illustrare come RBAC ed EBAC funzionino insieme per offrire un meccanismo semplice ma potente per la gestione dell’accesso ai dati.
Come funzionano RBAC ed EBAC in Cohesion
Nel diagramma riportato di seguito abbiamo creato 3 diverse unità organizzative (OU): AWS Team, VMC Team e M365 Team. All’interno di ciascuna di queste OU sono presenti risorse specifiche quali account AWS, SDDC VMware Cloud on AWS e domini M365.
Ad esempio: quando l’utente Dennis effettua l’accesso, può visualizzare solo le risorse presenti nell’unità organizzativa (OU) a cui appartiene, ovvero i due domini M365. Dennis è un amministratore dell’OU, quindi ha il pieno controllo su tutto ciò che si trova all’interno della sua OU “M365 Team”, ma non ha alcun accesso né visibilità sulle OU “VMC Team” o “AWS Team”.
D’altra parte, Jim lavora all’Helpdesk e il suo account utente è presente in tutte e tre le unità organizzative (OU). Quando Jim effettua l’accesso, ha visibilità sulle risorse all’interno di tutte e tre le OU, ma le sue autorizzazioni limitate relative all’Helpdesk gli consentono solo di svolgere funzioni specifiche all’interno di ciascuna delle OU di cui fa parte.
In sintesi, il modello RBAC regola ciò che è possibile fare, mentre il modello EBAC regola ciò che è possibile visualizzare. Combinando questi due metodi di controllo, è possibile concedere in tutta sicurezza l’accesso a potenti strumenti aziendali come Clumio e soddisfare i propri requisiti di conformità dei dati.
Guarda questa demo per scoprire come configurare rapidamente i controlli di accesso in Clumio.
