SCIM, Identity Lifecycle και Provisioning Security — DedSec Project
SCIM, Identity Lifecycle και Provisioning Security Ελληνική έκδοση — Μάθημα 129. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει…
Ελληνική έκδοση — Μάθημα 129. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.
Δες το identity lifecycle πέρα από το login: joiner/mover/leaver, SCIM, groups, deprovisioning, authoritative sources, drift και reconciliation.
Μαθησιακοί στόχοι
Στο τέλος πρέπει να μπορείς να:
- εξηγήσεις το identity lifecycle states και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το SCIM resources and schemas και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το provisioning clients and service providers και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το group and role synchronization και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το deprovisioning and disable semantics και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το source-of-truth conflicts και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
Βαθιές τεχνικές έννοιες
1. identity lifecycle states
Provisioning είναι state machine: invited, active, suspended, disabled, deleted και restored καταστάσεις έχουν διαφορετική authority. Όρισε ποια source μπορεί να προκαλέσει κάθε transition και τι downstream access πρέπει να αλλάξει.
2. SCIM resources και schemas
SCIM μοντελοποιεί users, groups και extensions. Validate identifiers, mutability, uniqueness και tenant scope αντί να γράφεις κάθε incoming field απευθείας σε privileged directory attributes.
3. clients και service providers
SCIM client έχει συνήθως ισχυρή lifecycle authority πάνω στο service provider. Χρησιμοποίησε narrow credentials, strong authentication, environment/tenant scoping και audit για create/update/deactivate.
4. group και role synchronization
Group membership μπορεί να μεταφράζεται άμεσα σε roles. Έλεγξε nested groups, defaults, name collisions, propagation delays και αν η εξωτερική source είναι πράγματι authoritative για το συγκεκριμένο privilege.
5. deprovision και disable
Offboarding δεν τελειώνει με active=false. Χρειάζεται αφαίρεση sessions, tokens, group membership, service access και reconciliation των downstream systems που μπορεί να ήταν offline.
6. source-of-truth conflicts
HR, directory, IdP, app και manual admin state μπορεί να διαφωνούν. Όρισε precedence και conflict handling ώστε stale source να μην επανενεργοποιεί user ή privilege.
7. pagination, filtering και bulk
Pagination, PATCH και bulk operations δημιουργούν partial-success/retry state. Κράτησε operations idempotent όπου γίνεται, authorization ανά object και αρκετό status για ασφαλές reconciliation.
8. telemetry και reconciliation
Periodic reconciliation συγκρίνει intended identity state με πραγματικό application state. Βρες orphan/unmanaged accounts, privilege drift, failed provisioning και last-success timestamps αντί να εμπιστεύεσαι ένα API response.
Καθοδηγούμενο εργαστήριο
Εργαστήριο 1 — Σχεδίασε συνθετικό κύκλο ζωής HR→IdP→SaaS για πρόσληψη, αλλαγή ρόλου και αποχώρηση.
Εργαστήριο 2 — Σχεδίασε τοπικό σύνολο JSON τύπου SCIM και επαλήθευσε ότι οι αλλαγές ομάδων παράγουν τις αναμενόμενες ελάχιστες άδειες.
Εργαστήριο 3 — Γράψε κατάλογο κατάργησης πρόσβασης που καλύπτει ενεργές συνεδρίες, API tokens, κοινόχρηστους πόρους και αποδεικτικά ελέγχου.
Πλήρες αγγλικό μάθημα
Επόμενα μαθήματα
Σχετικά modules: 021, 039, 042, 059, 092, 093, 128. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.