Beli batas kendali yang terbukti
Platform autentikasi mungkin mengiklankan peran, log audit, dan isolasi penyewa, namun label tersebut tidak menetapkan bagaimana kontrol berperilaku dalam alur kerja yang diinginkan pembeli. Penilaian pengadaan harus menanyakan siapa yang dapat membaca, mengekspor, mengubah, dan mengelola data pelanggan, bagaimana perubahan siklus hidup memengaruhi akses, dan bukti apa yang mencatat tindakan tersebut. Demonstrasi yang berhasil oleh administrator bukanlah ujian negatif terhadap akses yang tidak sah.
Panduan identitas multipenyewa Azure membedakan otentikasi, otorisasi dan hak komersial. Gunakan perbedaan tersebut untuk menyusun pertanyaan pembeli daripada mengasumsikan peran login mencakup setiap sumber daya dan tindakan. Artikel ini adalah kerangka persyaratan, bukan klaim bahwa EmailAuth atau platform bernama lainnya mengimplementasikan kontrol yang diusulkan. Tidak ada penyewa yang diakses, izin diubah, atau produk dibeli.
Tentukan matriks akses pembeli terlebih dahulu
Cantumkan peran pengguna dan layanan yang diharapkan, hubungan penyewa, dan sumber daya sebelum meninjau nama peran pemasok. Sertakan konfigurasi domain, laporan autentikasi, data mentah, ekspor, integrasi, administrasi pengguna, dan pengaturan komersial jika relevan. Untuk setiap kombinasi, nyatakan apakah membaca, membuat, mengubah, menghapus, atau mengekspor harus diizinkan. Batasan yang diinginkan pembeli adalah acuan yang dapat digunakan untuk menilai perilaku produk.
Jangan berasumsi bahwa “hanya baca” tidak termasuk ekspor atau bahwa “administrator penyewa” dibatasi pada satu penyewa tanpa bukti. Tim layanan bersama mungkin secara sah membutuhkan beberapa pelanggan, sementara pengguna pelanggan individual hanya dapat melihat cakupan yang disetujui. Catat pengecualian tersebut secara eksplisit. Peran luas yang diterima dalam uji coba tidak boleh diam-diam menjadi desain akses produksi. Mewajibkan pemasok untuk memetakan peran sebenarnya ke dalam matriks pembeli dan mengidentifikasi perbedaan yang tidak didukung.
Verifikasi pengikatan penyewa di luar antarmuka
Seorang penyewa pemilih atau item navigasi tersembunyi tidak cukup sebagai bukti isolasi. Identitas yang diautentikasi harus diotorisasi untuk sumber daya yang diminta di batas sisi server. Persyaratan harus mencakup pekerjaan baca langsung, pencarian, ekspor, tulis, dan latar belakang, termasuk referensi ke sumber daya yang dimiliki oleh penyewa lain. Gunakan perlengkapan sintetis dengan data yang terlihat berbeda sehingga hasil lintas penyewa yang tidak disengaja dapat terdeteksi.
Panduan Azure memperingatkan bahwa kesalahan konfigurasi federasi dapat memberikan akses ke penyewa yang tidak diinginkan. Oleh karena itu, peninjauan harus mencakup bagaimana identitas dikaitkan dengan penyewa, siapa yang dapat mengubah asosiasi tersebut, dan bagaimana pengguna yang tergabung dalam beberapa penyewa memilih cakupan. Jangan menyimpulkan kepemilikan hanya dari akhiran email atau berasumsi bahwa pengidentifikasi penyewa yang disediakan pelanggan mengizinkan penggunaannya. Pemasok sebenarnya harus menjelaskan dan mendemonstrasikan model yang didukungnya.
Tanyakan apa yang sebenarnya dicatat oleh log audit
Dokumentasi log audit Microsoft Entra menjelaskan catatan aktivitas untuk perubahan dalam lingkungan identitas tersebut. Ini adalah contoh berguna dari model log audit resmi, bukan bukti bahwa platform lain mencatat peristiwa yang sama. Pembeli harus meminta katalog peristiwa produk yang tepat, definisi bidang, kontrol akses, perilaku penyimpanan, dan opsi ekspor yang relevan dengan kebutuhan mereka.
Tanyakan apakah rekaman cukup mengidentifikasi aktor, target, tindakan, waktu, hasil, dan konteks penyewa untuk menyelidiki perubahan. Bedakan aktivitas pengguna dari aktivitas identitas layanan dan tindakan yang berhasil dari upaya yang ditolak. Jangan berasumsi setiap upaya otorisasi yang gagal dicatat hanya karena perubahan administratif muncul. Demikian pula, log yang menunjukkan bahwa permintaan telah dikirimkan mungkin tidak menunjukkan apakah perubahan yang dihasilkan telah selesai. Memerlukan contoh aktual dengan data sensitif yang telah disunting dan batasan yang dinyatakan.
Tinjau akses log dan integritas sebagai kontrol
Log audit itu sendiri dapat berisi informasi sensitif pelanggan dan identitas. Tentukan siapa yang dapat melihatnya, mencari di seluruh penyewa, mengekspornya, dan mengonfigurasi penyimpanannya. Seorang administrator yang dapat mengubah pengaturan dan menghapus satu-satunya bukti menyajikan model akuntabilitas yang berbeda dari model akuntabilitas yang disimpan secara independen. Tanyakan kepada pemasok bagaimana pengendalian tersebut bekerja, namun jangan menyatakan bahwa pengendalian tersebut tidak dapat diubah atau dirusak tanpa bukti yang ada.
Retensi harus ditentukan berdasarkan persyaratan sebenarnya yang didukung produk dan kewajiban pembeli, bukan periode universal yang dibuat-buat. Perjelas peristiwa mana yang tersedia di antarmuka, API, dan arsip yang diekspor, serta apakah tampilan tersebut memiliki cakupan yang sama. Tinjau penanganan dan pengidentifikasi zona waktu sehingga catatan dapat dikorelasikan tanpa bergantung pada nama yang mungkin berubah. Tidak ada catatan audit yang diambil untuk naskah ini.
Uji perubahan siklus hidup dan akses layanan
Pengurangan peran, penonaktifan pengguna, dan pencabutan kredensial adalah peristiwa yang terpisah. RFC 7643 menjelaskan atribut aktif SCIM sambil menyerahkan makna pastinya kepada penyedia layanan. Hal ini menggambarkan mengapa pembeli tidak dapat berasumsi bahwa pembaruan penyediaan akan mencabut semua sesi atau kredensial integrasi yang ada. Memerlukan penjelasan terkini tentang sesi produk dan perilaku akses noninteraktif.
Rencana penerimaan harus mencakup pengguna yang perannya dikurangi saat sesi ada, identitas yang dinonaktifkan, integrasi dengan cakupan terbatas, dan administrator yang berwenang. Verifikasi hasil akses yang diinginkan dalam setiap kasus, termasuk ekspor dan operasi sumber daya langsung. Ini adalah pemeriksaan yang diusulkan untuk lingkungan terisolasi yang berwenang, bukan izin untuk menguji layanan produksi pemasok atau penyewa pelanggan lain. Tidak ada tindakan seperti itu yang dilakukan di sini.
Lembar kerja penerimaan pembeli
Buat lembar kerja dengan persyaratan, alasan bisnis, klaim pemasok, konfigurasi yang didukung, identitas perlengkapan, penyewa, tindakan, hasil yang diharapkan, bukti aktual, dan batasan yang belum terselesaikan. Pisahkan bukti tindakan yang diperbolehkan dari bukti tindakan yang ditolak. Sertakan versi produk, tanggal pengujian, dan lingkungan sehingga hasilnya tetap dapat diinterpretasikan setelah rilis. Jika suatu fitur direncanakan dan bukan dilaksanakan, catat status tersebut tanpa memperlakukannya sebagai cakupan saat ini.
Untuk log audit, tambahkan peristiwa yang diharapkan dan referensi catatan yang diamati untuk setiap tindakan yang memerlukan pencatatan log. Suatu pengujian yang menolak akses dengan benar tetapi tidak menghasilkan bukti audit yang diharapkan memiliki hasil yang berbeda dari pengujian yang memenuhi kedua kriteria tersebut. Catat siapa yang menerima batasan apa pun dan apakah pengendalian kompensasi disetujui. Jangan jadikan skor daftar periksa pengadaan menjadi jaminan keamanan di masa depan.
Diagnosis fiktif: pemirsa yang dapat mengekspor
Pembeli fiktif melihat demonstrasi vendor di mana pemirsa tidak dapat mengedit pengaturan domain. Pembeli awalnya menandai peran read-only sebagai memuaskan. Namun, matriks yang dimaksudkan juga melarang ekspor data mentah pelanggan dalam jumlah besar. Demonstrasi tersebut tidak pernah menguji ekspor, permintaan sumber daya langsung, atau akses ke laporan penyewa lain. Pembatasan yang diamati hanya mencakup satu tindakan.
Respons yang diusulkan adalah dengan meminta bukti berbasis perlengkapan resmi di seluruh operasi yang hilang dan meninjau catatan audit yang dihasilkan. Jika produk tidak dapat memisahkan penayangan dari ekspor, pembeli harus memutuskan apakah batasan tersebut dapat diterima daripada mengganti nama peran dan menganggap risikonya hilang. Ini adalah latihan pengadaan fiktif, bukan temuan tentang EmailAuth atau vendor mana pun.
Batasi kesimpulan pembelian
Kesimpulan yang berguna mengidentifikasi persyaratan yang dipenuhi berdasarkan bukti, persyaratan yang belum terpenuhi, batasan yang diterima oleh pemilik, dan pengujian yang masih terbuka. Hal ini membedakan pilihan konfigurasi dari perilaku produk bawaan dan tidak menjanjikan isolasi sempurna dari rangkaian pengujian terbatas. Keputusan dapat diambil tanpa mengklaim bahwa setiap versi atau konfigurasi masa depan tercakup.
Katalog memerlukan matriks akses dan pengujian negatif untuk pembacaan, ekspor, penulisan, dan perubahan siklus hidup lintas penyewa. Tes awal tersebut tetap terbuka. Tinjauan spesialis manusia, penerapan sumber, jalur produksi, aksesibilitas, dan pelepasan pemilik juga tetap terbuka. Draf ini memberikan metode penilaian, bukan rekomendasi pembelian berdasarkan bukti yang dilaksanakan, dan tidak ada komitmen komersial atau pemberian akses yang diberikan.