SCIM en automatische provisioning van accounts

De provisioningdienst werkt in cycli. Een eerste cyclus bevraagt alle gebruikers en groepen van de bron, daarna verwerken incrementele cycli alleen wat gewijzigd is sinds het laatst opgeslagen controlepunt². Als een gebruiker in de applicatie geen overeenkomstig account heeft, wordt er een aangemaakt. Heeft de gebruiker er wel een, dan wordt het bijgewerkt².

Bij een vertrek zijn er verschillende voorziene gevallen. Een gebruiker die in de directory is uitgeschakeld of naar de prullenbak is verwijderd, wordt in de doelapplicatie uitgeschakeld. Bij een SCIM-applicatie komt uitschakelen neer op het verzoek om de eigenschap "active" op onwaar te zetten². Dertig dagen na de verwijdering in de directory wordt de gebruiker definitief verwijderd, en de dienst stuurt dan een verwijderverzoek naar de applicatie². Een gebruiker van wie de groepen of rechten veranderen, kan ook buiten het bereik vallen, wat geldt als een vertrek uit de applicatie². Bij dynamische groepen hangt de snelheid van het intrekken af van hoe snel de groep zijn leden opnieuw beoordeelt².

Alles wordt vastgelegd in de provisioninglogboeken, die de leesacties en schrijfacties op het bron- en het doelsysteem bijhouden².

• Meld het vooraf. Geef uw leidinggevende en HR uw indiensttreding, functiewisseling of uitdiensttreding door met de exacte datum, want de wijziging in de directory zet al het andere in gang.
• Leidinggevenden: meld functiewisselingen net als vertrekken. Een andere rol kan vereisen dat toegang wordt ingetrokken, niet alleen dat er toegang bijkomt¹.
• Maak geen account buiten het officiële proces aan: geen persoonlijke registratie bij een dienst met uw zakelijke adres, geen account dat met de hand is geopend in de beheerinterface van een applicatie zonder het IT-team te informeren. Zo'n account is niet aan de directory gekoppeld, dus niemand sluit het automatisch.
• Lever uw toegang in voordat u vertrekt: pas, beveiligingssleutels, apparaten en alle toegang die u via een ander kanaal dan uw gebruikelijke account hebt gekregen.
• Schakel multifactorauthenticatie in op de accounts die open blijven. CISA zet beveiligingssleutels bovenaan de methoden en codes per sms of e-mail onderaan⁷.

Applicatie niet gekoppeld

Een applicatie uit de catalogus ondersteunt handmatige of automatische provisioning. In de handmatige modus bestaat er geen automatische connector: accounts worden met de hand aangemaakt, bijvoorbeeld in het beheerportaal van de applicatie of via een spreadsheetbestand¹. Bij deze applicaties verloopt het vertrek via een menselijke handeling. Een applicatie die is aangemaakt vanuit een eenvoudige OIDC-registratie is niet ingeschakeld voor automatische provisioning³.

Wijzigingen rechtstreeks in de applicatie

De dienst negeert wijzigingen die in externe applicaties zijn gemaakt en draait ze niet terug: ze baseert zich op wat er in de directory verandert³. Een account dat lokaal is aangemaakt of gewijzigd, valt dus buiten het proces. Microsoft geeft aan dat provisioning ook bestaande accounts in een applicatie kan opsporen, waaronder lokale en verweesde accounts¹. MITRE raadt aan verweesde accounts, bijvoorbeeld accounts zonder eigenaar, bij regelmatige audits te verwijderen en accounts automatisch uit te schakelen na een periode van inactiviteit, bijvoorbeeld 30 dagen⁴.

Lokale accounts, gedeelde accounts, wachtwoorden

Provisioning van wachtwoorden wordt niet ondersteund³. Sommige on-premises applicaties zijn niet gefedereerd met de directory en vereisen lokale wachtwoorden³. Een gedeeld account of een lokaal wachtwoord dat bekend is bij iemand die vertrekt, wordt niet gesloten met het vertrek van de houder: het moet met de hand worden gewijzigd of verwijderd.

Vertragingen en fouten

Het interval tussen twee cycli kan niet worden ingesteld³. Wanneer een fout verhindert dat een gebruiker wordt gewijzigd, wordt de handeling in de volgende cyclus opnieuw geprobeerd, en een beheerder moet de logboeken raadplegen om de oorzaak te vinden². Als de meeste aanroepen mislukken, bijvoorbeeld door ongeldige beheerdersgegevens, gaat de taak in quarantaine, met cycli die vertragen tot één per dag, en wordt ze na meer dan vier weken uitgeschakeld². Een vertrek kan dus te laat worden doorgevoerd zonder dat iemand het merkt.

Tokens en sessies die blijven bestaan

Volgens MITRE kan een aanvaller die een cloudaccount beheerst, extra duurzame inloggegevens aanmaken om daar aanwezig te blijven, en die gegevens kunnen controles zoals multifactorauthenticatie omzeilen⁵. De hier geciteerde bronnen zeggen niet of een geopende sessie stopt zodra een SCIM-account wordt uitgeschakeld. Aan de kant van de applicatie geeft OWASP aan dat de applicatie een sessie die eindigt, zowel aan de clientzijde als aan de serverzijde ongeldig moet maken, en dat de serverzijde het belangrijkste en vanuit beveiligingsoogpunt verplicht is⁶. OWASP raadt ook een time-out bij inactiviteit en een absolute time-out aan voor alle sessies⁶. Bij het vertrek van een medewerker moet het IT-team daarom naast het account zelf ook de toegangstokens, applicatiewachtwoorden en sessies controleren.