Auris dla MSP: jedna konsola, jeden tenant na klienta

Auris to produkt Altovaru do zarządzania tożsamością i dostępem: logowanie jednokrotne, adaptacyjne uwierzytelnianie wieloskładnikowe i szczegółowa kontrola dostępu oparta na rolach, pomyślany specjalnie dla dostawców usług zarządzanych (MSP) obsługujących wielu klientów jednym zespołem operacyjnym. W przypadku MSP oferta składa się z dwóch elementów, które łatwo pomylić: jednej konsoli do zarządzania wszystkim oraz twardej granicy między tym, co widzi każdy klient. Auris utrzymuje te dwie idee oddzielnie i to właśnie ten podział warto zrozumieć przed oceną produktu.

Tenant a organizacja: na czym polega różnica

W Auris tenant to twarda granica bezpieczeństwa i izolacji danych odpowiadająca jednemu klientowi. Organizacja to zgrupowanie istniejące wewnątrz tenanta — dla zespołów, ról czy działów — i jest strukturą luźną, a nie zamiennikiem izolacji. Dwie organizacje w tym samym tenancie mogą celowo współdzielić widoczność; dwa różne tenanty nigdy nie powinny mieć w żaden sposób wglądu we wzajemne dane. Zasady dostępu, role i dzienniki audytu zdefiniowane dla jednego tenanta nie przenikają do innego.

Dlaczego granica biegnie na poziomie tenanta, a nie organizacji

Jeden tenant na klienta daje MSP przewidywalny promień skutków: jeśli coś pójdzie nie tak w tenancie jednego klienta, szkody pozostają strukturalnie ograniczone do tego tenanta, zamiast rozprzestrzeniać się przez współdzieloną strukturę na poziomie organizacji. Upraszcza to też dwa z bardziej podatnych na błędy procesów w MSP. Przeglądy dostępu stają się prostsze, bo osoba weryfikująca musi na raz rozpatrywać przynależność tylko w jednym tenancie. Prostszy staje się też offboarding, bo usunięcie klienta oznacza wyłączenie jednego jasno wyznaczonego tenanta, zamiast rozplątywania przynależności do organizacji, które mogły być współdzielone między klientami.

Jedna konsola dla MSP, nie jeden wspólny katalog

Druga część oferty ma charakter operacyjny: jedna konsola pozwala jednemu zespołowi operacyjnemu zarządzać logowaniem, provisioningiem i dostępem we wszystkich tenantach klientów bez zmiany narzędzia. Auris dokumentuje SSO przez SAML 2.0 i OIDC, provisioning oparty na SCIM z dostawców tożsamości takich jak Okta i Azure AD oraz kontrolę dostępu opartą na relacjach, wzorowaną na podejściu Zanzibar od Google. Żadna z tych funkcji nie zmienia opisanej wyżej granicy tenanta — to sposób, w jaki MSP administruje wieloma odizolowanymi tenantami z jednego miejsca, a nie metoda obejścia izolacji. Pełne szczegóły techniczne znajdują się na stronie produktu Auris.

Gdzie znajdują się dane

Altovar, z siedzibą w Genui, prowadzi Auris na dedykowanych serwerach w centrach danych w Niemczech. „Suwerenna” część oferty opisuje, gdzie odbywa się przetwarzanie i przechowywanie danych; to wybór konfiguracyjny, a nie certyfikacja zewnętrzna.

Czym to jest, a czym nie jest

To opis tego, do czego Auris został zaprojektowany, a nie niezależna recenzja produktu. Altovar nie opublikował audytów zewnętrznych ani danych o wskaźniku wygranych ofert dla tego pozycjonowania wobec MSP i żadne z nich nie są tu podawane. Dla MSP oceniającego narzędzia do zarządzania tożsamością model jednego tenanta na klienta jest decyzją projektową co do tego, gdzie Auris wyznacza swoją najtwardą granicę, a nie gwarancją zastępującą własne mechanizmy kontroli dostępu MSP.

Co warto zrobić

• Zweryfikować izolację tenantów podczas rzeczywistego przeglądu dostępu, a nie na podstawie opisu marketingowego — tego czy jakiegokolwiek innego dostawcy.
• Traktować organizacje jako udogodnienie do strukturyzowania zespołów klienta, nigdy jako granicę bezpieczeństwa.
• Zaplanować SSO i provisioning SCIM dla każdego tenanta przed wdrożeniem nowego klienta, tak aby źródła tożsamości pozostały rozdzielone od pierwszego dnia.
• Zaplanować offboarding na poziomie tenanta, tak aby usunięcie klienta wyłączało jedną czystą granicę zamiast wymagać rozplątywania współdzielonych przynależności do organizacji.

Źródła: Altovar — europejska infrastruktura, rzeczywiste bezpieczeństwo, Dokumentacja Auris.