Verwaltung von Zugriffsrichtlinien über APIs

{
    "name": "policy_name",
    "description": "Description of the policy",
    "schemaVersion": "urn:access:policy:4.0:schema",
    "rules": [
        {
            "name": "allow_with_conditions",
            "id": "1",
            "conditions": {
                "contextAttributes": {
                    "attributes": [
                        {
                            "name": "attrName",
                            "values": [
                                "value1",
                                "value2"
                            ],
                            "opCode": "EQ"
                        }
                    ]
                },
                "subjectAttributes": {
                    "attributes": [
                        {
                            "name": "realmName",
                            "values": [
                                "cloudIdentityRealm",
                                "www.ibm.com"
                            ],
                            "opCode": "IN"
                        },
                        {
                            "name": "customAttr1",
                            "values": [
                                "val1"
                            ],
                            "opCode": "NEQ"
                        }
                    ]
                },
                "timeAttributes": {
                    "attributes": [
                        {
                            "name": "timezone",
                            "opCode": "EQ",
                            "values": [
                                "UTC Offset or GMT Offset"
                            ]
                        },
                        {
                            "name": "startDate",
                            "opCode": "EQ",
                            "values": [
                                "YYYY-MM-DD HH:mm:ss"
                            ]
                        },
                        {
                            "name": "endDate",
                            "opCode": "EQ",
                            "values": [
                                "YYYY-MM-DD HH:mm:ss"
                            ]
                        },
                        {
                            "name": "Monday",
                            "opCode": "EQ",
                            "values": [
                                "hh:mm-hh:mm"
                            ]
                        },
                        {
                            "name": "Tuesday",
                            "opCode": "EQ",
                            "values": [
                                "hh:mm-hh:mm"
                            ]
                        }
                    ]
                },
                "ipAddress": {
                    "opCode": "MATCH",
                    "values": [
                        "<ip_address>",
                        "<ip_address_range_start> - <ip_address_range_end>",
                        "<ip_address/subnet>"
                    ]
                },   
                "location": {
                    "attributes": [
                        {
                            "values": [
                                "3-Letter-ISO"
                            ],
                            "name": "country",
                            "opCode": "IN"
                        }
                    ]
                }
                  "location": {
                      "attributes": [
                          {
                              "values": [
                                  "<city>"
                              ],
                              "name": "city",
                              "opCode": "IN"
                        }
                    ]
                }
                "geoLocation": {
                    "enabled": "true"
                },
                "trusteer": {
                    "enabled": "true"
                }
            },
            "result": {
                "extendedAction": {
                    "action": "ACTION_ALLOW"
                },
                "authnMethods": []
            }
        },
        {
            "name": "Authentication factor validity",
            "id": "2",
            “alwaysRun”: true,
            "conditions": {
            "factorLifetimeAttributes": {
                "attributes": [
                {
                    "name": "anyFactor",
                    "opCode": "EQ",
                    "values": [
                       "120"
                     ]
                }, 
                {
                      "name": "reauthPerDevice",
                      "opCode": "EQ",
                      "values": [
                         "enabled"
                       ]
                  }

               ]
            }
       },
       "result": {
        "extendedAction": {
          "action": "ACTION_MFA_OVERRIDE"
        }
       }
        },
        {
            "name": "mfa_once_per_session_device_conditions",
            "id": "3",
            "contextAttributes": {
                "attributes": [
                    {
                        "name": "devicePlatform",
                        "values": [
                            "IOS",
                            "ANDROID",
                            "OTHER_MOBILE",
                            "MACOS",
                            "WINDOWS",
                            "OTHER_DESKTOP"
                        ],
                        "opCode": "IN"
                    },
                    {
                        "name": "deviceCompliance",
                        "values": [
                            "COMPLIANT",
                            "NONCOMPLIANT",
                            "UNKNOWN"
                        ],
                        "opCode": "IN"
                    }
                ]
            },
            "result": {
                "extendedAction": {
                    "action": "ACTION_MFA_PER_SESSION"
                },
                "authnMethods": [
                    "urn:ibm:security:authentication:asf:macotp"
                ]
            }
        },
        {
            "name": "deny_otherwise",
            "id": "100",
            "conditions": {},
            "result": {
                "extendedAction": {
                    "action": "ACTION_DENY"
                },
                "authnMethods": []
            }
        }
    ]
}

• Jede Regel besteht aus diesen Eigenschaften:

  name

  Ein Name für die Regel.

  id

  Die eindeutige ID für die Regel, die in Ereignisdaten und Berichten verwendet wird.

  conditions

  Pro Regel kann mehr als eine Bedingung vorhanden sein. Alle Bedingungen in der Regel müssen als wahr ausgewertet werden, damit für die Regel eine Übereinstimmung zurückgegeben und das Ergebnis angewendet wird. Die Standardregel enthält eine leere Bedingung.

• Die Bedingungen enthalten die folgenden Eigenschaften:

  contextAttributes

  Die Attribute, die für den Ablauf, in dem die Zugriffsrichtlinie ausgeführt wurde, als Kontext dienen. Diese Attribute umfassen Attribute für Gerätemanagement, OpenID Connect und HTTP-Anforderungen.

  subjectAttributes

  Die Anmeldesitzungsattribute, die dem Subjekt des authentifizierten Benutzers zugeordnet sind.

  factorLifetimeAttributes

  Ordnen Sie die Gültigkeit einem bestimmten Authentifizierungsfaktor oder einer bestimmten Authentifizierungsmethode zu.

  timeAttributes

  Die Attribute für die Tageszeit, die die zeitbasierte Zugriffssteuerung ermöglichen.

  ipAddress

  Die IP-Adressbedingung, die Zulassungs- und Blockierlisten auf der Basis einzelner IP-Adressen, eines Bereichs von IP-Adressen oder eines Teilnetzes ermöglicht.

  location

  Das Land oder die Stadt, das bzw. die aus der IP-Adresse des Benutzers aufgelöst wird. Das Land muss eine durch Kommas getrennte Liste der Landesnamen oder aus drei Buchstaben bestehende Landescodes auf der Basis des folgenden ISO-Standards enthalten. Ein einzelnes Land oder ein aus drei Buchstaben bestehender Landescode ist zulässig.

  Die Stadt muss eine durch Kommas getrennte Liste der Ortsnamen enthalten. Eine einzelne Stadt ist zulässig.

  geoLocation

  Die Standorte, an denen Zugriffsentscheidungen verifiziert wurden. Die Standardeinstellung gilt für die vorherigen fünf verifizierten Standorte. Die Bedingungseigenschaft ist entweder enabled (wahr) oder disabled (falsch).

  trusteer

  IBM Security Trusteer erkennt den Erstzugriff neuer Geräte für Benutzer.

• Die Attribute enthalten die folgenden Eigenschaften:

  name

  Ein Name für das Attribut.

  values

  Die Werte des Attributs.

  opCode

  Der Operator.

• Die Operatoren für die Auswertung von Attributwerten:

  EQ

  Alle Werte sind vorhanden.

  NEQ

  Keiner der Werte ist vorhanden.

  IN

  Einer oder mehrere der Werte sind vorhanden.

  MATCH

  Die ipAddress-Bedingung opCode für übereinstimmende IP-Adressen, Bereiche oder Teilnetze.

  NOMATCH

  Die ipAddress-Bedingung opCode für nicht übereinstimmende IP-Adressen, Bereiche oder Teilnetze.

• Das Ergebnis (result) enthält die folgenden Eigenschaften:

  Action

  Gibt an, welche Aktion ausgelöst werden soll, wenn die Bedingungen erfüllt sind. Gültige Werte sind:

  • ACTION_ALLOW
  • ACTION_MFA_ALWAYS - Jedes Mal MFA, wenn für die Regel während der Zugriffsrichtlinienauswertung eine Übereinstimmung gefunden wird.
  • ACTION_MFA_PER_SESSION - MFA einmal pro authentifizierter Sitzung und Zugriff ermöglichen, wenn bereits ausgeführt.
  • ACTION_DENY

  authnMethods

  Gibt die zulässigen Authentifizierungsverfahren an, wenn es sich bei der Aktion um eine Mehrfaktorauthentifizierung (MFA) handelt. urn:ibm:security:authentication:asf:macotp -Ermöglicht es dem Benutzer, ein beliebiges Verfahren auszuwählen, das sie ausführen können, oder einen oder mehrere der folgenden Faktoren:

  • emailotp - Kennwort für einmaliges Anmelden über E-Mail
  • smsotp - Kennwort für einmaliges Anmelden über SMS
  • totp - Zeitbasiertes Kennwort für einmaliges Anmelden (Authentifikator-App)
  • signatures - IBM® Verify Push-Benachrichtigung der App
  • passkey - Passwort -Authentifikator
  • voiceotp - Kennwort für einmaliges Anmelden über Sprache, das an die registrierte Telefonnummer des Benutzers gesendet wird
  • anyFactor – Aliasname für urn:ibm:security:authentication:asf:macotp. Dieses Verfahren wird vor allem in der Bedingung factorLifetime verwendet und stellt ein beliebiges gültiges Authentifizierungsverfahren dar, das vom Benutzer ausgeführt wird.