资源 · 11
身份和帐户恢复：管理完整的生命周期
将帐户的创建、更改、权限、恢复和关闭与可验证的证据和预先演练的决策联系起来。
已更新 · 3 min
本指南有助于实现的目标
- 将每个帐户与个人或服务关联
- 降低常驻权限
- 保护恢复请求
- 快速撤销帐户而不中断连续性
快速检查
- 谁批准帐户创建和角色变更？
- 旧因素能否单独重置帐户？
- 共享帐户操作是否可归因？
- 权限是否会过期？
- 是否已执行手机丢失保护？
分步指南
- 1
清点身份和依赖关系
列出个人帐户、服务帐户、共享帐户、联合帐户和紧急帐户。 将它们与应用程序、所有者、身份验证方法和可访问数据关联起来。
交付成果：身份、帐户、系统和所有者注册表。
- 2
将生命周期与事件关联起来
定义新用户注册、移动办公、缺勤、角色变更、离职和删除的触发器。 衡量事件发生与有效访问权限变更之间的延迟。
交付成果：事件和操作矩阵。
- 3
降低权限
将日常使用与管理权限分离，限制高级访问权限的持续时间，并根据服务风险审查权限。
交付成果：角色目录和带日期标注的例外情况。
- 4
强化恢复机制
对于异常请求，使用独立证据、安全渠道、适当的延迟和人工升级机制。
交付成果：恢复决策树。
- 5
为丢失和泄露做好准备
规划会话、因素和设备撤销、服务台沟通、备用访问和适当的跟踪保留。
交付成果：锁定和恢复操作手册。
- 6
演练和改进
测试紧急离职、手机丢失和身份冒用尝试。 观察决策、时间安排、证据和运营影响。
交付成果：演练报告和补救计划。
虚构示例
示例情境
管理员在值班期间丢失了身份验证设备。 支持人员检查预先约定的证明，获得恢复的二次批准，并使受影响的会话失效。
决策及预期证据
该演练检查服务连续性，并保留请求、批准、替换因素和事后审查记录。
管理指标
| 指标 | 衡量内容 | 首要行动 |
|---|---|---|
| 归属帐户 | 关联到活跃所有者的帐户 | 优先处理无所有者帐户 |
| 撤销延迟 | 从事件发生到访问权限移除的时间 | 自动化可靠步骤 |
| 临时权限 | 具有持续时间和理由的提升访问权限 | 默认过期授权 |
| 验证恢复 | 每次请求都基于预期的证明 | 审查每次绕过 |
常见错误
- 将个人问题视为强有力的证据
- 允许支持人员在没有双重控制的情况下绕过多因素身份验证 (MFA)
- 忘记服务帐户
- 分配后保留权限
常见问题解答
多因素身份验证 (MFA) 是否足够？
不够。它降低了一些风险，但生命周期、恢复、会话和权限仍然可能存在漏洞。
是否应该禁止所有共享帐户？
优先使用个人身份。 如果仍然需要共享帐户，请记录原因、限制其使用范围并确保每次使用都可追溯。
应该首先执行哪些操作？
主要因素丢失以及高权限人员的紧急离职会迅速暴露真正的依赖关系。
官方参考文献
参考文献支持该方法。 请根据您的实际情况调整检查；它们并非认证。 原始参考文献标题和源文档可能使用其他语言。
