FAQ para MSP: manter o acesso humano e de máquina separado entre inquilinos

Os MSP que gerem o acesso de técnicos e a automação em dezenas de inquilinos de clientes enfrentam uma versão específica de um problema crescente no setor: as identidades não humanas — como contas de serviço que podem usar chaves de API ou tokens de automação — precisam de ser governadas de forma diferente dos humanos que as criam.

Porque é que as NHI precisam de governação separada

A Cloud Security Alliance observa que as identidades de máquina não estão intrinsecamente ligadas a uma pessoa e que os controlos de segurança humanos comuns, como a MFA, não se aplicam de forma direta a elas. O desfasamento diz sobretudo respeito ao ciclo de vida: quando um técnico sai, as contas de serviço que criou podem continuar a funcionar com permissões excessivas se não forem desativadas. Como as identidades não humanas podem ultrapassar largamente as contas humanas nos ambientes modernos, um MSP que governe ambas da mesma forma arrisca deixar uma grande população de identidades sem gestão.

Rotação em vez de credenciais permanentes

A Cloud Security Alliance identifica as credenciais de longa duração que continuam ativas depois de deixarem de ser usadas como um risco e inclui a rotação de credenciais entre os métodos de gestão de NHI.

O que isto significa no modelo de inquilinos de um MSP

• Utilizar identidades distintas para técnicos humanos e para automação.
• Nunca permitir que a credencial de emergência de um técnico sirva também como credencial de serviço de um pipeline.
• Vincular os tokens de máquina a um único inquilino de cliente — nunca emitir uma chave permanente que abranja todos os inquilinos.
• Proceder à rotação de credenciais e rever o acesso quando os responsáveis saem ou a automação muda.
• Registar a classe de identidade (humana ou não humana) juntamente com o ID do inquilino em cada registo de acesso.

A solução não é uma ferramenta única, mas um hábito de governação: tratar a automação como uma população própria de identidades, com o seu próprio âmbito de privilégio mínimo por inquilino, em vez de uma extensão do técnico que a configurou.

Fonte: Cloud Security Alliance — Defining Non-Human Identity.