Introductie

De afgelopen jaren is cloud computing uitgegroeid van relatief simpele webapplicaties, zoals Hotmail en Gmail, tot commerciële proposities zoals SalesForce.com en Microsoft BPOS. Uit onderzoek blijkt dat het grootste deel van de organisaties cloud computing als het IT-model van de toekomst ziet. Beveiliging van cloud computing en het vertrouwen daarin blijken de grootste obstakels te zijn voor adoptie ([Chun10]). Door de groeiende hoeveelheid data, gebruikers en rollen binnen moderne organisaties en de strenger wordende regels en wetgeving op het gebied van de opslag van data van organisaties in de afgelopen jaren, is de controle op toegangsrechten tot applicaties en data nog belangrijker geworden. Dit speelt een bijzondere rol bij cloud computing omdat een groot deel van de IT niet meer in eigen handen is. Dit brengt (soms grote) veranderingen met zich mee voor het beheer van identiteiten en toegangsrechten. Bijvoorbeeld het beheer en de opslag van identiteitsgegevens buiten het eigen domein is iets waar veel organisaties beperkte ervaring mee hebben. Robuust Identity & Access Management (IAM) is vereist om de veiligheidsrisico’s van cloud computing te minimaliseren ([Gopa09]). Dit artikel gaat in op de uitdagingen en mogelijkheden van Identity & Access Management voor een cloudomgeving.

Wat is cloud computing?

Hoewel er veel gepubliceerd wordt over het thema cloud computing, blijft het lastig om een eenduidige definitie te vormen voor deze term.

Eén van de veelgebruikte definities is die van het US National Institute of Standards and Technology (NIST, 2011): ‘Cloud computing is a model for enabling convenient, on-demand network access to a shared pool of configurable computing resources that can be rapidly provisioned and released with minimal management effort or service provider interaction.’

KPMG heeft deze definitie als uitgangspunt genomen, maar iets aangescherpt naar het perspectief van de afnemer van clouddiensten ([Herm10]):

Er zijn verschillende vormen van clouddiensten beschikbaar. Allereerst is er de Software-as-a-Service (SaaS)-variant, waarbij software wordt aangeboden als een clouddienst. Daarnaast is er de Platform-as-a-Service (PaaS)-variant, waarbij een platform (operating system, applicatieframework, etc.) als clouddienst wordt aangeboden. Tot slot is er ook de Infrastructure-as-a-Service (IaaS)-variant, waarbij een IT-infrastructuur of onderdeel daarvan (opslag, geheugen, rekenkracht, netwerkcapaciteit, etc.) als clouddienst wordt aangeboden.

Figuur 1. Vormen van cloud computing.

Wat is Identity & Access Management?

Kortweg houdt IAM in dat het beheer van gebruikers en bijbehorende autorisaties in brede zin centraal staat, en daarbij uitgaat van een centraal beschikbare registratie van identiteiten. Met IAM kan een organisatie beheersen wie toegang krijgt tot wat en met welke middelen. KPMG hanteert de volgende definitie van wat IAM is ([Herm05]): ‘Het beleid, de processen en ondersteunende systemen die managen welke gebruikers toegang verkrijgen tot informatie, IT-toepassingen en fysieke resources en wat iedere gebruiker gerechtigd is hiermee te doen.’

IAM is als volgt onder te verdelen ([KPMG09]):

• Gebruikersbeheer: de activiteiten gerelateerd aan het beheren van eindgebruikers binnen de gebruikersadministratie.
• Authenticatiebeheer: de activiteiten gerelateerd aan het beheer van de gegevens en de uitgifte (en inname) van middelen die nodig zijn voor het valideren van de identiteit van een persoon.
• Autorisatiebeheer: de activiteiten gerelateerd aan het definiëren en beheren van de toegangsrechten die aan gebruikers kunnen worden toegewezen.
• Toegangsbeheer: het daadwerkelijk identificeren, authenticeren en autoriseren van eindgebruikers tijdens gebruik van het doelsysteem.
• Provisioning: het op de IT-doelsystemen configureren (aanmaken, wijzigen, verwijderen) van gebruikers- en autorisatiegegevens zodat gebruikers het systeem kunnen benaderen. Dit wordt in het Nederlands vaak ‘propageren’ genoemd.
• Monitoren en auditing: het controleren van naleving van het beleid binnen de hiervoor genoemde IAM-processen. Het beleid kan bestaan uit interne richtlijnen, maar ook uit wet- en regelgeving vanuit externen zoals de overheid of een toezichthoudende instantie.
• Federatie: het stelsel van afspraken, standaarden en technologieën die het mogelijk maken om identiteiten overdraagbaar en uitwisselbaar te maken tussen diverse autonome domeinen.

Figuur 2. IAM-referentiearchitectuur.

IAM speelt een grote rol in het beveiligen van IT-middelen. IAM komt in een ander daglicht te staan indien er cloud computing wordt gebruikt. IAM-processen, zoals ‘het toevoegen van een gebruiker’, zijn bij het gebruik van een clouddienst in mindere mate onder eigen controle. Het is voor een afnemer lastig te controleren of het doorvoeren van een wijziging volledig (dus in alle doelobjecten) wordt doorgevoerd bij de cloudaanbieder. Daarnaast is niet in alle gevallen goed te controleren of de opgeslagen data bij de cloudaanbieder enkel toegankelijk zijn voor geautoriseerde gebruikers of dat deze ook toegankelijk zijn voor anderen. In de volgende paragraaf wordt dieper ingegaan op de verschillende uitdagingen voor de onderdelen van de IAM-architectuur in een cloudomgeving.

IAM-uitdagingen in een cloudomgeving

Cloud computing brengt naast bestaande ook nieuwe uitdagingen voor het beheer van gebruikers en de toegang tot informatie. Van oorsprong was de organisatie zelf verantwoordelijk voor alle aspecten van IAM; van het bijhouden van de gebruikersadministratie tot het propageren van gebruikersrechten in de doelsystemen en het controleren van gebruik op basis van logging en monitoring.

Met de komst van cloud computing is dit complexer geworden. De grenzen vervagen tussen welke gebruikers en IT-middelen ‘van de afnemer’ zijn en welke ‘van de cloudaanbieder’. Waar ligt eigenaarschap en daarmee verantwoordelijkheid? Wat is het verschil tussen verantwoordelijkheid en aansprakelijkheid? Deze paragraaf geeft een opsomming van enkele uitdagingen op het gebied van IAM.

Gebruikersbeheer

Gebruikersbeheer richt zich op het beleid en de activiteiten in het kader van het beheren van de gehele levenscyclus van gebruikers in de daarvoor bestemde registraties (initiële vastlegging, wijziging en verwijdering). Voor de medewerkers van een organisatie kan dit bijvoorbeeld een HR-systeem zijn. In het HR-systeem wordt de in-, door- en uitstroom van medewerkers onderhouden. Daarnaast beheerst het gebruikersbeheer het beleid en de activiteiten gericht op het toekennen van autorisaties aan deze in de registraties vastgelegde gebruikers.

Een organisatie die clouddiensten afneemt kan te maken krijgen met uitdagingen op het gebied van gebruikersbeheer die nieuw zijn ten opzichte van de traditionele, on-premise, situatie. Het beheren van de levenscyclus van gebruikers is in de traditionele IT vaak al een uitdaging. Dit geldt in het bijzonder voor een cloudomgeving, waar de organisatie niet altijd via het eigen HR-systeem (of een andere centrale bron) de controle kan houden over de gebruikersadministratie. Vaak zal de cloudaanbieder ook een administratie bijhouden van gebruikers. Wat gebeurt er als eindgebruikers hun gegevens actualiseren via de cloudaanbieder? Hoe worden de beheerders van de clouddiensten en hun attributen (de gegevens die bekend zijn over een account, zoals bijbehorende eindgebruiker of verloopdatum) bijgehouden? Welke wet- en regelgeving is van toepassing bij het (buiten het eigen rechtsgebied) opslaan van persoonsgegevens? Dit zijn allemaal vragen die met cloud computing (op)nieuw aan de orde komen. Ook het toewijzen van autorisaties (gebruikersrechten) is onderdeel van gebruikersbeheer. De afnemer en de cloudaanbieder moeten afspreken wie verantwoordelijk is voor het toewijzen en ontnemen van rechten aan gebruikers.

Authenticatiebeheer

Authenticatiebeheer omvat de processen en procedures voor het beheren van de authenticatie van gebruikers. Wanneer bepaalde gegevens zeer gevoelig zijn, kan het zo zijn dat voor toegang tot deze gegevens een sterke authenticatie vereist wordt (bijvoorbeeld op basis van een smartcard). Het bepalen en vastleggen van deze eisen in objecten, in de vorm van beleid en richtlijnen, vindt plaats binnen het authenticatiebeheer. Daarnaast richt het authenticatiebeheer zich op het beheren (uitgeven en intrekken) van de authenticatiemiddelen (bijvoorbeeld gebruikersnaam/wachtwoord en smartcards) zelf.

Enkele volgende uitdagingen op het gebied van authenticatiebeheer zijn nieuw ten opzichte van de traditionele, on-premise, situatie. De authenticatiemiddelen voor de verschillende cloudaanbieders kunnen per afnemer verschillen. Soms zelfs kan de cloudaanbieder alleen gebruikmaken van mechanismen die niet overeenkomen met de (beveiligings)technische vereisten van de afnemer. Het kan ook ingewikkeld zijn om het authenticatieniveau op uniforme wijze te implementeren. Daarnaast kan synchronisatie van wachtwoorden een uitdaging zijn, in het bijzonder in omgevingen waar de gebruikersadministratie snel wisselt of waar de gebruikers het wachtwoord zelf moeten aanpassen. Tot slot vraagt het werkend houden van een Single Sign-On (SSO) omgeving om technische integratie met de cloudaanbieder. SSO is een verzameling technologieën die het mogelijk maken de gebruiker eenmalig te authenticeren voor verschillende diensten: door eenmalig in te loggen kan een gebruiker dan overal bij.

Autorisatiebeheer

Autorisatiebeheer richt zich op het beleid en de activiteiten ten aanzien van het definiëren en beheren van autorisaties. Zo worden autorisaties gegroepeerd in een rol (op basis van zogenoemde autorisatiegroepen). Na toekenning van deze rol aan een gebruiker kan deze gebruiker een bepaalde (deel)taak in objecten uitvoeren. Als een manager een nieuw teamlid verwelkomt, geeft hij of zij idealiter aan welke rol bij deze gebruiker hoort. Als deze koppeling gemaakt is, krijgt de nieuwe eindgebruiker de beschikking over de autorisaties die bij deze rol horen. Zoals eerder beschreven, geschiedt het toekennen van deze voorgedefinieerde rollen aan gebruikers door middel van het gebruikersbeheer.

Voor autorisatiebeheer geldt ook dat er nieuwe uitdagingen zijn als de organisatie clouddiensten gaat afnemen. De cloudaanbieder en de afnemer zullen overeen moeten komen waar de autorisaties en/of rollen worden beheerd. Het IAM-systeem moet in staat zijn (geautomatiseerde) berichten uit te wisselen met de authenticatiemiddelen die de cloudaanbieder gebruikt. In veel gevallen hanteren de cloudaanbieder en afnemer verschillende rolmodellen en verschilt de volwassenheid van het rolmodel. De cloudaanbieder kan bijvoorbeeld geheel overgestapt zijn op centraal georganiseerde Role-Based Access Control (RBAC), terwijl de afnemer nog gebruikmaakt van directe autorisaties voor eindgebruikers, welke decentraal beheerd worden. In overeenstemming met gebruikersbeheer is het noodzakelijk voor autorisatiebeheer een vertrouwensrelatie te onderhouden, die door contractuele afspraken wordt ondersteund.

Toegangsbeheer

Toegangsbeheer richt zich op de (operationele) processen die ervoor zorgen dat toegang tot IT-middelen alleen verleend wordt conform de vereisten van het informatiebeveiligingsbeleid en op basis van de toegangsrechten die aan gebruikers zijn gekoppeld.

Op het gebied van toegangsbeheer zijn de volgende uitdagingen nieuw ten opzichte van de traditionele, on-premise, situatie. Voor toegangsbeheer dienen afspraken te worden gemaakt tussen de cloudaanbieder, eventuele derde partijen en de afnemer om toegang tot de doelsystemen adequaat te organiseren. De uitwisseling van autorisatiegegevens bijvoorbeeld (gebruikersnamen, wachtwoorden, rechten, rollen) dient snel genoeg te zijn om vrijwel direct toegang te verlenen of te weigeren. De afnemer en de cloudaanbieder kunnen beslissen hiervoor gebruik te maken van een vertrouwensrelatie die ondersteund wordt door certificaten en/of een Public Key Infrastructure (PKI).

Provisioning

IAM dient ervoor te zorgen dat na toekenning van een rol aan een gebruiker, de gebruiker in de betreffende objecten wordt aangemaakt en deze gebruiker de benodigde autorisaties in het betreffende object krijgt toegewezen. Dit proces wordt binnen IAM provisioning genoemd. Provisioning richt zich op het handmatig en/of geautomatiseerd propageren van gebruikers- en autorisatiegegevens naar objecten. Met andere woorden: provisioning betreft het aanmaken van een gebruiker en toekennen van autorisaties aan deze gebruiker in objecten. Handmatige provisioning betekent dat een systeembeheerder op basis van een verzoek autorisaties in een object implementeert. Automatisch betekent dat een centraal systeem de autorisaties geautomatiseerd, zonder tussenkomst van een systeembeheer, in objecten verwerkt. Wanneer een rol aan een gebruiker wordt ontnomen start deprovisioning, wat inhoudt dat de autorisaties in de objecten aan de gebruiker worden ontnomen.

Provisioning in een cloudomgeving brengt vaak de volgende uitdagingen met zich mee. Het propageren van accounts binnen de afnemende organisatie en binnen de organisatie van de cloudaanbieder kan nieuwe uitdagingen opleveren omdat de technologieën vaak verschillend zijn per cloudaanbieder. Naarmate meer aanbieders clouddiensten aan de organisatie leveren, wordt het voor de afnemer exponentieel complexer om provisioning in te richten. Het aanmaken en wijzigen van accounts en rechten op doelsystemen wordt over het algemeen gedreven door een ‘business-need’. Echter, er is voor het verwijderen vaak minder aandacht, omdat het beveiligingsrisico niet geacht wordt op te wegen tegen de additionele inspanning die nodig is om de deprovisioning uit te voeren. In cloudovereenkomsten wordt vaak door de afnemer vergeten aandacht te besteden aan het opheffen van de relatie. Het kan dan onduidelijk zijn wat er met de gebruikersgegevens en rechten gebeurt als de cloudaanbieder niet langer door de afnemer wordt ingehuurd.

Monitoring en audit

Als laatste kent de IAM-architectuur het proces monitoring & audit. Dit proces richt zich op het controleren van de naleving van het beleid dat van toepassing is binnen IAM. Dit bestaat uit constante monitoring en auditing op basis van rapportages.

Op het gebied van monitoring en audit zijn de volgende zaken nieuw ten opzichte van de traditionele situatie. Het is voor veel afnemers een uitdaging monitoring en audit in te richten conform de vereisten van het geldende informatiebeveiligingsbeleid. Een van de redenen hiervoor is dat het voor de afnemer vaak onduidelijk is welke middelen de cloudaanbieder inzet om het gebruik van IT-middelen te monitoren. Als gevolg van dit gebrek aan transparantie kan het lastig of zelfs onmogelijk zijn voor een afnemer om compliancerapportage af te dwingen op basis van vooraf afgesproken criteria. In het bijzonder het gebruik van accounts met hoge rechten is een uitdaging voor veel organisaties. Dit is vooral van toepassing bij het inrichten of gebruiken van de IT-middelen van de cloudaanbieder zelf.

Opties voor IAM in een cloudomgeving

Om identiteiten en de toegang tot clouddiensten te kunnen beheren, zijn verscheidene opties mogelijk ([Blak09], [Cser10]). Het eigendom van de verschillende IAM-processen en de controle erop is bij ieder model anders, dit heeft een aanzienlijk effect op de risico’s en uitdagingen die van toepassing zijn. Het is daarom afhankelijk van de eisen van de organisatie en de hoeveelheid clouddiensten die worden afgenomen welke optie de voorkeur heeft.

Traditionele koppeling

Indien een organisatie een deel van de IT-middelen als clouddienst gaat afnemen, zullen de onderdelen uit het IAM-raamwerk moeten samenwerken met de cloudaanbieder. Dit kan door de bestaande IAM te koppelen met die van de cloudaanbieder (zie figuur 3). In dit geval beheert de organisatie lokaal de identiteiten en toegangsrechten, en propageert deze naar de verschillende cloudaanbieders. Voor iedere cloudaanbieder zullen de geautoriseerde gebruikers moeten worden toegevoegd aan de directory van de cloudaanbieder. Er zijn verschillende pakketten op de markt die de processen van het aanmaken, wijzigen en verwijderen automatiseren door de lokale directory te synchroniseren met de cloud. Echter, de zogenaamde ‘connector’ die het mogelijk maakt om deze synchronisatie tot stand te brengen, moet voor iedere cloudaanbieder apart worden ontwikkeld en onderhouden. Een nadeel hiervan is dat bij meerdere cloudaanbieders het overzicht en beheer complexer wordt.

Figuur 3. Koppeling met de cloudaanbieder.

Identificatie en authenticatie voor clouddiensten vindt plaats bij de cloudaanbieder. Het uit handen geven van deze processen maakt een sterk vertrouwen in de aanbieder noodzakelijk. Er zijn pakketten op de markt die dit kunnen koppelen met lokale SSO-toepassingen. Op deze manier heeft de gebruiker minder identiteiten nodig om toegang te krijgen tot de diensten. De controle op de identificatie en authenticatie voor clouddiensten is in handen van de cloudaanbieder. Dit maakt het noodzakelijk om sterk vertrouwen te hebben in de cloudaanbieders en het door hen gevoerde beleid.

Deze optie wordt bijvoorbeeld al actief toegepast bij een grote Nederlandse retailer die de lokale IAM-infrastructuur gekoppeld heeft aan de aanbieder van e-mail en kalenderdiensten via de cloud.

Federatieve samenwerking

Een andere mogelijkheid om IAM te laten samenwerken met clouddiensten is om de cloudaanbieder te laten steunen op het IAM van de afnemer (zie figuur 4). De afnemer beheert lokaal de identiteiten en toegangsrechten. De gebruikers staan lokaal opgeslagen in een directory en bij het toegang vragen tot een clouddienst wordt lokaal geauthenticeerd. De cloudaanbieder controleert de autorisaties en valideert met behulp van de directory van de afnemer. De cloudaanbieder vertrouwt daarmee op de IAM van de afnemer en staat op grond daarvan de gebruikers toe gebruik te maken van de afgenomen diensten. Het dupliceren van accounts is zodoende in de meeste gevallen niet noodzakelijk (tenzij bijvoorbeeld voor auditdoelstellingen).

Figuur 4. Federatieve samenwerking tussen afnemer en aanbieder.

Indien deze optie wordt benut, kan de afnemer gebruik blijven maken van de bestaande methoden om toegangscontrole uit te oefenen over de gebruikersactiviteiten. Een nadeel van deze optie is dat het bij grote aantallen cloudaanbieders noodzakelijk is met iedere cloudaanbieder afspraken te maken over het vertrouwen in het lokale IAM van de afnemer. Daarnaast is het voor veel cloudaanbieders onmogelijk om voor alle afnemers vertrouwen en voldoende controle te kunnen houden in het IAM van de afnemer.

Identity-serviceprovider

Een derde mogelijkheid om de samenwerking tussen het lokale IAM van de afnemer en de cloudaanbieder mogelijk te maken is door een Identity Service Provider (IdSP) in te schakelen (zie figuur 5). Een IdSP is een aanbieder van identiteitsdiensten. Net als in de voorgaande modellen beheert de afnemer lokaal de identiteiten en toegangsrechten. De IdSP heeft de taak om de identiteit van de gebruikers te valideren. Zowel de cloudaanbieder als de afnemer vertrouwt op deze derde partij voor de validatie van de identiteit van de gebruikers. DigiD en Facebook zijn voorbeelden van organisaties die in de toekomst mogelijk als IdSP zullen fungeren en digitaal identiteiten kunnen verifiëren. Er zijn pakketten op de markt die gebruikmaken van een derde partij voor het beheer en de validatie van identiteiten.

Figuur 5. Inschakeling van een identity-serviceprovider.

IAM als clouddienst

De laatste optie is om de gehele IAM uit te besteden en af te nemen als een clouddienst (zie figuur 6). In dit geval delegeert de organisatie alle IAM-systemen en -processen volledig aan een derde partij. De koppeling met alle cloudaanbieders wordt door deze derde partij beheerd en gecontroleerd. Toegang tot lokale IT-middelen zal ook via de IAM-dienst verlopen. Effectief wordt het gehele beheer van en de controle op IAM uit handen gegeven.

Figuur 6. IAM als clouddienst.

Het vertrouwen in deze IAM-aanbieder is essentieel, het is voor de afnemer lastig te controleren hoe de processen zowel naar lokale als clouddiensten verlopen. Op dit moment zijn er nog geen volledig functionerende IAM-clouddiensten beschikbaar, maar het is mogelijk dat de grotere IAM-aanbieders (bijvoorbeeld IBM, Microsoft en Oracle) deze markt gaan betreden in de komende jaren.

Conclusie

Indien de publieke vorm van cloud computing wordt gebruikt binnen de organisatie, is een deel van de IT-middelen niet meer in eigen handen. Om de risico’s hiervan te minimaliseren is een goede inrichting van IAM noodzakelijk. Het doorvoeren van de juiste aanpassingen aan IAM in een cloudomgeving is van groot belang om vertrouwen en een adequaat niveau van beveiliging te kunnen garanderen.

Het gegeven dat bij cloud computing niet alle IT-middelen eigendom zijn van de organisatie die de clouddiensten afneemt, levert veel vragen op het gebied van IAM op. Terwijl de aansprakelijkheid bij de afnemende organisatie blijft liggen, is het houden van controle op de IAM-processen een stuk lastiger, doordat deze vaak deels bij de cloudaanbieder liggen. Voor het gebruikersbeheer is het belangrijk dat organisaties nagaan of wijzigingen in de gebruikersgegevens volledig worden doorgevoerd bij de cloudaanbieder. Daarnaast is het belangrijk om kennis te nemen van de wet- en regelgeving die van toepassing is op persoonsgegevens. Als men kijkt naar authenticatie, is het belangrijk dat de gebruikte authenticatiemiddelen en de vereisten daarvan overeenkomen met deze van de cloudaanbieder. Daarnaast is overeenstemming van de autorisatiemodellen belangrijk, om de juiste rechten aan de geauthenticeerde gebruikers te kunnen toekennen. De verwerking van zowel autorisaties als authenticaties moet snel en accuraat genoeg zijn, om vertrouwen te hebben in het toegangsbeheer tot clouddiensten. Verder is afstemming over het propageren van gebruikers en rechten belangrijk om zekerheid te hebben over wat er met deze gegevens gebeurt als een clouddienst niet langer wordt afgenomen. Tot slot is het essentieel dat de monitoring- en auditprocessen worden ingericht naar de vereisten van het geldende veiligheidsbeleid. Veelal moeten er harde afspraken over compliancerapportages worden gemaakt om aan het geldende veiligheidsbeleid te kunnen voldoen.

Om identiteiten en de toegang tot clouddiensten te beheren, is een aantal opties mogelijk. Allereerst kan een koppeling van het IAM worden gemaakt met de cloudaanbieder. De afnemer beheert en propageert zelf de gebruikers en rechten naar de cloudaanbieder. Eventueel kan dit proces worden geautomatiseerd. De identificatie en authenticatie vinden plaats bij de cloudaanbieder. Een tweede optie is om de cloudaanbieder te laten steunen op het IAM van de afnemer. Met behulp van deze vertrouwensrelatie is het niet langer noodzakelijk de gebruikers naar alle cloudaanbieders te propageren. Daarnaast kan identificatie en authenticatie lokaal plaatsvinden. Als derde optie kan er gebruik worden gemaakt van een IdSP. Deze derde partij heeft het vertrouwen van zowel de afnemer als aanbieder van clouddiensten en valideert de identiteit van de gebruikers. Tot slot kan de gehele IAM als clouddienst worden afgenomen, waarbij het grootste deel van de IAM-processen niet meer in eigen handen is.

Het is afhankelijk van de organisatie, het type en de hoeveelheid clouddiensten welke opties het meest geschikt zijn. Het is belangrijk dat het IAM op orde is voordat er clouddiensten worden afgenomen, om zo de risico’s van het gebruik van cloud computing te kunnen minimaliseren. Daarnaast is een goede inrichting van IAM erg belangrijk om een effectieve samenwerking met de cloudaanbieder en voldoende veiligheid te kunnen garanderen.