Gestión de políticas de acceso a través de API

{
    "name": "policy_name",
    "description": "Description of the policy",
    "schemaVersion": "urn:access:policy:4.0:schema",
    "rules": [
        {
            "name": "allow_with_conditions",
            "id": "1",
            "conditions": {
                "contextAttributes": {
                    "attributes": [
                        {
                            "name": "attrName",
                            "values": [
                                "value1",
                                "value2"
                            ],
                            "opCode": "EQ"
                        }
                    ]
                },
                "subjectAttributes": {
                    "attributes": [
                        {
                            "name": "realmName",
                            "values": [
                                "cloudIdentityRealm",
                                "www.ibm.com"
                            ],
                            "opCode": "IN"
                        },
                        {
                            "name": "customAttr1",
                            "values": [
                                "val1"
                            ],
                            "opCode": "NEQ"
                        }
                    ]
                },
                "timeAttributes": {
                    "attributes": [
                        {
                            "name": "timezone",
                            "opCode": "EQ",
                            "values": [
                                "UTC Offset or GMT Offset"
                            ]
                        },
                        {
                            "name": "startDate",
                            "opCode": "EQ",
                            "values": [
                                "YYYY-MM-DD HH:mm:ss"
                            ]
                        },
                        {
                            "name": "endDate",
                            "opCode": "EQ",
                            "values": [
                                "YYYY-MM-DD HH:mm:ss"
                            ]
                        },
                        {
                            "name": "Monday",
                            "opCode": "EQ",
                            "values": [
                                "hh:mm-hh:mm"
                            ]
                        },
                        {
                            "name": "Tuesday",
                            "opCode": "EQ",
                            "values": [
                                "hh:mm-hh:mm"
                            ]
                        }
                    ]
                },
                "ipAddress": {
                    "opCode": "MATCH",
                    "values": [
                        "<ip_address>",
                        "<ip_address_range_start> - <ip_address_range_end>",
                        "<ip_address/subnet>"
                    ]
                },   
                "location": {
                    "attributes": [
                        {
                            "values": [
                                "3-Letter-ISO"
                            ],
                            "name": "country",
                            "opCode": "IN"
                        }
                    ]
                }
                  "location": {
                      "attributes": [
                          {
                              "values": [
                                  "<city>"
                              ],
                              "name": "city",
                              "opCode": "IN"
                        }
                    ]
                }
                "geoLocation": {
                    "enabled": "true"
                },
                "trusteer": {
                    "enabled": "true"
                }
            },
            "result": {
                "extendedAction": {
                    "action": "ACTION_ALLOW"
                },
                "authnMethods": []
            }
        },
        {
            "name": "Authentication factor validity",
            "id": "2",
            “alwaysRun”: true,
            "conditions": {
            "factorLifetimeAttributes": {
                "attributes": [
                {
                    "name": "anyFactor",
                    "opCode": "EQ",
                    "values": [
                       "120"
                     ]
                }, 
                {
                      "name": "reauthPerDevice",
                      "opCode": "EQ",
                      "values": [
                         "enabled"
                       ]
                  }

               ]
            }
       },
       "result": {
        "extendedAction": {
          "action": "ACTION_MFA_OVERRIDE"
        }
       }
        },
        {
            "name": "mfa_once_per_session_device_conditions",
            "id": "3",
            "contextAttributes": {
                "attributes": [
                    {
                        "name": "devicePlatform",
                        "values": [
                            "IOS",
                            "ANDROID",
                            "OTHER_MOBILE",
                            "MACOS",
                            "WINDOWS",
                            "OTHER_DESKTOP"
                        ],
                        "opCode": "IN"
                    },
                    {
                        "name": "deviceCompliance",
                        "values": [
                            "COMPLIANT",
                            "NONCOMPLIANT",
                            "UNKNOWN"
                        ],
                        "opCode": "IN"
                    }
                ]
            },
            "result": {
                "extendedAction": {
                    "action": "ACTION_MFA_PER_SESSION"
                },
                "authnMethods": [
                    "urn:ibm:security:authentication:asf:macotp"
                ]
            }
        },
        {
            "name": "deny_otherwise",
            "id": "100",
            "conditions": {},
            "result": {
                "extendedAction": {
                    "action": "ACTION_DENY"
                },
                "authnMethods": []
            }
        }
    ]
}

• Cada regla consta de estas propiedades:

  name

  Un nombre para la regla.

  id

  El ID exclusivo para la regla que se utiliza en los informes y datos de sucesos.

  conditions

  Puede haber más de una condición por regla. Para que la regla coincida y se aplique el resultado, se deben evaluar todas las condiciones de la regla como true. La regla predeterminada contiene una condición vacía.

• Las condiciones contienen las propiedades siguientes:

  contextAttributes

  Los atributos que son contextuales del flujo en el que se ha ejecutado la política de acceso. Estos atributos incluyen la gestión de dispositivos, OpenID Connect y los atributos de solicitud HTTP.

  subjectAttributes

  Los atributos de sesión de inicio de sesión asociados al sujeto del usuario autenticado.

  factorLifetimeAttributes

  Asociar la validez con un método o factor de autenticación específico.

  timeAttributes

  Los atributos de hora del día que habilitan el control de acceso basado en el tiempo.

  ipAddress

  La condición de dirección IP que habilita las listas de elementos bloqueados y de elementos permitidos individuales, de intervalo o basados en subredes.

  location

  El país o la ciudad que se resuelve desde la dirección IP del usuario. País debe contener una lista separada por comas del nombre de país o código de país de tres letras basados en el siguiente estándar ISO. Se permite un único país o código de país de tres letras.

  Ciudad debe contener una lista separada por comas del nombre de la ciudad. Se permite una sola ciudad.

  geoLocation

  Las ubicaciones donde se han verificado las decisiones de acceso. El valor predeterminado es para las cinco anteriores ubicaciones verificadas. La propiedad de condición está enabled (true) o disabled (false).

  trusteer

  IBM Security Trusteer detecta el acceso por primera vez de nuevos dispositivos para usuarios.

• Los atributos contienen las propiedades siguientes:

  name

  Un nombre del atributo.

  values

  Los valores del atributo.

  opCode

  El operador.

• Los operadores para la evaluación de los valores de atributo:

  EQ

  Todos los valores están presentes.

  NEQ

  Ninguno de los valores está presente.

  IN

  Uno o varios de los valores están presentes.

  MATCH

  La condición ipAddress opCode para direcciones IP, intervalos o subredes coincidentes.

  NOMATCH

  La condición ipAddress opCode para direcciones IP, intervalos o subredes no coincidentes.

• El resultado contiene las propiedades siguientes:

  Action

  Especifica qué acción se debe desencadenar cuando se cumplen las condiciones. Los valores válidos son:

  • ACTION_ALLOW
  • ACTION_MFA_ALWAYS: MFA cada vez que se compara la regla durante la evaluación de la política de acceso.
  • ACTION_MFA_PER_SESSION: MFA una vez por sesión autenticada y permitir si ya se ha completado.
  • ACTION_DENY.

  authnMethods

  Especifica los mecanismos de autenticación permitidos cuando la acción es una autenticación de multifactores (MFA). urn:ibm:security:authentication:asf:macotp : permite al usuario seleccionar cualquier mecanismo que pueda completar, o uno o varios de los siguientes factores:

  • emailotp: contraseña única de correo electrónico
  • smsotp: contraseña única de SMS
  • totp: contraseña única basada en tiempo (aplicación de autenticador)
  • signatures - IBM® Verify notificación push de la aplicación
  • passkey - autenticador de claves de acceso
  • voiceotp - Contraseña única verbal enviada al número de teléfono registrado del usuario.
  • anyFactor: es un alias para urn:ibm:security:authentication:asf:macotp. Este mecanismo se utiliza especialmente en la condición factorLifetime y representa cualquier mecanismo de autenticación válido que haya completado el usuario.