IBMid Politiken

DormantIDs: IBMid richtlinie für die Löschung ruhender IBMid IDs

• Hintergrund:
  • Verlassene IDs sind anfälliger für bösartige Bedrohungen, einschließlich Account-Hijacking.
  • Es ist eine bewährte Praxis, dass "veraltete" Konten nach einer bestimmten Zeit der Inaktivität entfernt oder deaktiviert werden.

• Richtlinie:
  • IBMid IDs werden nach 36 Monaten Inaktivität als "ruhend" betrachtet, wobei "Aktivität" eine Anmeldung ist, die wie folgt definiert ist:
    • Eine interaktive Anmeldung bei einer beliebigen IBMid -fähigen Anwendung über eine Authentifizierung per ID/Passwort/MFA oder Enterprise Federation.
    • Die Verwendung eines API-Schlüssels, der an eine IBMid gebunden ist, wird nicht als Anmeldung betrachtet. So wird beispielsweise die Verwendung eines Cloud-API-Schlüssels zur Authentifizierung einer IBMid -Identität für die Cloud-CLI oder eine API nicht als Anmeldung bei IBMid erfasst.
  • Ruhende IDs unterliegen der Deaktivierung und Löschung.

• Durchsetzung:
  • In regelmäßigen Abständen überprüft IBMid die Identitäten auf ihre Ruhephase.
  • Sobald sie als ruhend markiert ist, wird eine ID zum Widerruf eingereicht.
  • Eine "widerrufene" ID ist zunächst für die Anmeldung gesperrt und wird nach 30 Tagen endgültig gelöscht.
  • Vor der endgültigen Löschung kann ein Nutzer die Wiederherstellung über eine IBMid Supportanfrage beantragen. Wenn die ID wiederhergestellt wird, wird sie aus der Löschungswarteschlange entfernt und wieder für die Anmeldung aktiviert.

IDControl: IBMid Richtlinie zur Kontrolle von IDs

• Hintergrund:
  • IBMid Die ID-Typen umfassen:
  • Einzelne IDs
    • Der Benutzer verwaltet seine eigenen Kontoinformationen.
    • Der Zugriff auf die ID erfolgt über den Login-Dienst IBMid (d. h. IBMid ist die authentifizierende Stelle).
  • Unternehmens-IDs
    • Ein "Unternehmen" (d. h. eine Firma oder eine andere Organisation) verwaltet die Kontoinformationen des Benutzers.
    • Der Zugriff auf die ID erfolgt über den Enterprise Login Service, der mit IBMid Enterprise Federation aktiviert ist (d.h. das Unternehmen ist die authentifizierende Stelle).

• Richtlinie:
  • Wenn eine IBMid ID mit einer E-Mail-Adresse erstellt wird, die eine Domäne enthält, die einer Organisation (Eigentümerorganisation) gehört, bei der der Benutzer angestellt ist, einen Vertrag hat oder ehrenamtlich tätig ist, kann die Eigentümerorganisation dies tun:
    • den Status der ID abfragen, einschließlich des Zeitpunkts des letzten Zugriffs auf die ID, oder andere für die ID-Aktivität des Benutzers relevante Informationen.
    • die Einstellungen des Benutzerkontos abfragen (einschließlich der mit der ID verbundenen persönlichen Daten).
    • nach eigenem Ermessen in eine Unternehmens-ID umwandeln.
  • Nach der Umwandlung in eine Unternehmens-ID muss eine befugte Person der besitzenden Organisation die Umwandlung zurück in eine individuelle ID genehmigen.
  • Unternehmens-IDs haben kein brauchbares Passwort, so dass sich der Benutzer direkt bei IBMid authentifizieren kann. Der Benutzer muss sich immer über den Enterprise Identity Provider ( IdP ) authentifizieren.

• Durchsetzung:
  • IBMid Die Enterprise Federation erfordert eine autorisierte Partei (nominell den IBMid Business Owner), um ID-Konvertierungen von Individual- in Unternehmens-IDs oder umgekehrt zu genehmigen.

Wichtige Policies