SCIM und die automatische Bereitstellung von Konten

Der Bereitstellungsdienst arbeitet in Zyklen. Ein erster Zyklus fragt alle Benutzer und Gruppen der Quelle ab, danach verarbeiten inkrementelle Zyklen nur, was sich seit der zuletzt gespeicherten Markierung geändert hat². Hat ein Benutzer in der Anwendung kein passendes Konto, wird es angelegt. Hat er eines, wird es aktualisiert².

Für den Austritt sind mehrere Fälle vorgesehen. Ein Benutzer, der im Verzeichnis deaktiviert oder in den „Papierkorb“ gelöscht wird, wird in der Zielanwendung deaktiviert. Bei einer SCIM-Anwendung bedeutet Deaktivieren, dass die Eigenschaft „active“ auf false gesetzt werden soll². Dreißig Tage nach dem Löschen im Verzeichnis wird der Benutzer endgültig gelöscht, und der Dienst sendet dann eine Löschanfrage an die Anwendung². Ein Benutzer, dessen Gruppen oder Rechte sich ändern, kann ebenfalls aus dem Umfang herausfallen, was als Austritt aus der Anwendung zählt². Bei dynamischen Gruppen hängt die Geschwindigkeit der Entfernung davon ab, wie schnell die Gruppe ihre Mitglieder neu auswertet².

Alles wird in den Bereitstellungsprotokollen festgehalten, die die Lese- und Schreibvorgänge auf den Quell- und Zielsystemen aufzeichnen².

• Melden Sie sich rechtzeitig. Teilen Sie Ihrer oder Ihrem Vorgesetzten und der Personalabteilung Ihren Eintritt, Stellenwechsel oder Austritt mit genauem Datum mit, denn die Änderung im Verzeichnis löst alles Weitere aus.
• Vorgesetzte: Melden Sie Stellenwechsel ebenso wie Austritte. Ein Rollenwechsel kann erfordern, Zugänge zu entziehen, nicht nur neue hinzuzufügen¹.
• Legen Sie kein Konto außerhalb des offiziellen Ablaufs an: keine private Registrierung bei einem Dienst mit der Firmenadresse, kein von Hand in der Administrationsoberfläche einer Anwendung eröffnetes Konto, ohne die IT-Abteilung zu informieren. Ein solches Konto ist nicht mit dem Verzeichnis verbunden, also schließt es niemand automatisch.
• Geben Sie Ihre Zugänge vor dem Weggang zurück: Ausweis, Sicherheitsschlüssel, Geräte und jeden Zugang, den Sie auf einem anderen Weg als über Ihr gewohntes Konto erhalten haben.
• Aktivieren Sie die Multi-Faktor-Authentifizierung auf den Konten, die offen bleiben. Die CISA stellt Sicherheitsschlüssel an die Spitze der Methoden und Codes per SMS oder E-Mail ans Ende⁷.

Nicht angebundene Anwendung

Eine Anwendung im Katalog unterstützt entweder die manuelle oder die automatische Bereitstellung. Im manuellen Modus gibt es keinen automatischen Konnektor: Konten werden von Hand angelegt, zum Beispiel im Administrationsportal der Anwendung oder über eine Tabellendatei¹. Bei solchen Anwendungen erfordert der Austritt eine menschliche Handlung. Eine Anwendung, die aus einer einfachen OIDC-Registrierung entstanden ist, ist nicht für die automatische Bereitstellung aktiviert³.

Änderungen direkt in der Anwendung

Der Dienst ignoriert Änderungen in externen Anwendungen und macht sie nicht rückgängig: Er stützt sich auf das, was sich im Verzeichnis ändert³. Ein lokal angelegtes oder geändertes Konto entgeht dem Ablauf also. Microsoft gibt an, dass die Bereitstellung auch bestehende Konten in einer Anwendung erkennen kann, einschließlich lokaler oder verwaister¹. MITRE empfiehlt, verwaiste Konten, etwa ohne Eigentümer, bei regelmäßigen Audits zu entfernen und Konten nach einer Zeit der Inaktivität, zum Beispiel 30 Tagen, automatisch zu deaktivieren⁴.

Lokale Konten, geteilte Konten, Passwörter

Die Bereitstellung von Passwörtern wird nicht unterstützt³. Manche Anwendungen vor Ort sind nicht mit dem Verzeichnis föderiert und verlangen lokale Passwörter³. Ein geteiltes Konto oder ein lokales Passwort, das jemand kennt, der ausscheidet, wird mit dem Austritt der Inhaberin oder des Inhabers nicht geschlossen: Es muss von Hand geändert oder gelöscht werden.

Verzögerungen und Fehler

Das Intervall zwischen zwei Zyklen ist nicht konfigurierbar³. Wenn ein Fehler verhindert, einen Benutzer zu ändern, wird der Vorgang im nächsten Zyklus wiederholt, und eine Administratorin oder ein Administrator muss die Protokolle einsehen, um die Ursache zu finden². Schlagen die meisten Aufrufe fehl, zum Beispiel wegen ungültiger Administrationszugangsdaten, kommt der Bereitstellungsauftrag in Quarantäne und die Zyklen werden auf einen pro Tag verlangsamt; nach mehr als vier Wochen wird er deaktiviert². Ein Austritt wird also unter Umständen nicht rechtzeitig übernommen, ohne dass es jemand bemerkt.

Token und Sitzungen, die weiterbestehen

Laut MITRE kann ein Angreifer, der ein Cloud-Konto kontrolliert, zusätzliche langlebige Zugangsdaten erzeugen, um sich dort zu halten, und diese Zugangsdaten können Kontrollen wie die Multi-Faktor-Authentifizierung umgehen⁵. Die hier zitierten Quellen sagen nicht, ob eine offene Sitzung endet, sobald ein SCIM-Konto deaktiviert wird. Auf Seiten der Anwendung gibt OWASP an, dass die Anwendung eine Sitzung, wenn sie endet, clientseitig und serverseitig ungültig machen muss und dass die Serverseite aus Sicherheitssicht die wichtigste und zwingend erforderliche ist⁶. Außerdem empfiehlt OWASP für alle Sitzungen eine Inaktivitätsfrist und eine absolute Frist⁶. Beim Austritt einer oder eines Beschäftigten muss die IT-Abteilung daher neben dem Konto selbst auch Zugriffstoken, Anwendungspasswörter und Sitzungen prüfen.