Initiation à l'activation de l'évaluation tierce

Création de configuration webhooks

Une configuration de webhook en temps réel doit être associée à un fournisseur de services de gestion des risques tiers. Le webhook en temps réel assure l'intégration technique en exécution entre Verify et le service du fournisseur tiers de gestion des risques. La configuration du webhook en temps réel doit être effectuée avant que le risque lié aux tiers puisse être calculé.

Exemple de configuration fictive d'un webhook en temps réel pouvant prendre en charge le fournisseur de services de gestion des risques tiers :

{
  "name": "some name",
  "type": "realtime",
  "urls": [
    "https://somedomain.com/1351/app_proxy/api/risk"
  ],
  "authentication": {
    "header": {
      "values": [
        {
          "key": "SEC",
          "value": "some-value"
        }
      ]
    },
    "type": "header"
  }
  "purpose": [
    "external_risk"
  ],
  "notification": null
}

Création de la configuration d'intégration tierce

Pour chaque intégration de risque tierce, une configuration doit être créée. Cet objet de configuration identifie les webhooks utilisés (ID webhook) et les attributs internes de Verify. Les composants internes de Verify doivent transmettre les données nécessaires à l'évaluation à la partie tierce (via des webhooks en temps réel).

L'infrastructure de la stratégie d'accès fournit un ensemble d'API, ce qui permet la création et la gestion de cette configuration.

POST '/integrations/v1.0/config' \
'Content-Type: application/json' \
'Accept: application/json' \

{
        "WebhookId": "some-Webhook-id",
        "name": "some third party integration",
        "version": 1,
        "evaluationOutboundAttributes": {
            "sessionContext": {
                ...
            },
            "attributeContext": {
                ...
            },
            "policyContext": {
                ...
            },
            "adaptiveContext": {
                ...
            }
        },
        "supportedAttributes": [],
        "integrationProcessingEndpoint": {
            "redirectUri": ""
        }
}

Exemple de contenu de la réponse de configuration d'intégration :

{
        "id" : "config-id"
        "WebhookId": "some-Webhook-id",
        "referenceId": "reference-id",
        "created": "created timestamp",
        "name": "some third  integration",
        "version": 1,
        "evaluationOutboundAttributes": {
            "sessionContext": {
                ...
            },
            "attributeContext": {
                ...
            },
            "policyContext": {
                ...
            },
            "adaptiveContext": {
                ...
            }
        },
        "supportedAttributes": [],
        "integrationProcessingEndpoint": {
            "redirectUri": ""
        }
}

Un objet de configuration tiers fictif :

{
    "WebhookId": "some-Webhook-id",
    "name": "some third party integration",
    "version": 1,
    "evaluationOutboundAttributes": {
        "sessionContext": {
            "uid": true,
            "groupIds": false
        },
        "attributeContext": {
            "appId": false,
            "ipAddress": true
        },
        "policyContext": {
            "id": true,
            "policyName": true
        },
        "adaptiveContext": {
            "city": true
        }
    },
    "supportedAttributes": [],
    "integrationProcessingEndpoint": {
        "redirectUri": ""
    }
}

Création d'un objet de stratégie d'accès

L'infrastructure de stratégie d'accès dans Verify fournit un mécanisme par le biais duquel les composants internes de Verify peuvent calculer le risque externe depuis le fournisseur tiers. Les composants internes de Verify évaluent cet objet de politique d'accès et se réfèrent à la configuration d'intégration tierce créée à l'étape 2 pour envoyer des données à l'intégration tierce (via des webhooks en temps réel). De cette façon, le risque externe ou l'enrichissement des attributs peut avoir lieu.

Format permettant d'activer l'intégration de risque tierce dans l'objet de stratégie d'accès :

{
      "name": "3rd Party Risk Evaluation",
      "alwaysRun": true,
      "conditions": [ {
        "type":"integrationAttributes":,
        "id" : "<configId>"
        }]
      },
      "result": {
        "action": "ACTION_MFA_ALWAYS",
        "serverSideActions": {[]},
        "authnMethods": <["urn:ibm:security:authentication:asf:macotp"]> or <["smsotp", "emailotp", ....]>
      }
    }

Voir les API des stratégies d'accès et de risque pour la création et la gestion de stratégies.

Exemple d'objet de stratégie d'accès ayant une condition d'intégration tierce :

{
    "name": "3rd Party Integration via webhooks",
    "description": "",
    "rules": [
        {
            "id": "1",
            "name": "3rd party provider",
            "alwaysRun": true,
            "firstFactor": false,
            "conditions": [
                {
                    "type": "integrationAttributes",
                    "id": "16a1f2fb-c43f-4a0e-b294-1b25a87a9546"
                }
            ],
            "result": {
                "action": "ACTION_ALLOW",
                "serverSideActions": [],
                "authnMethods": [
                    "urn:ibm:security:authentication:asf:macotp"
                ]
            }
        },
        {
            "id": "1634292657617",
            "name": "Colour Severity",
            "description": "",
            "alwaysRun": false,
            "firstFactor": false,
            "conditions": [
                {
                    "type": "customAttributes",
                    "customAttributes": [
                        {
                            "name": "external_risk_score",
                            "opCode": "EQ",
                            "values": [
                                "4"
                            ]
                        }
                    ],
                    "firstFactor": false
                }
            ],
            "result": {
                "action": "ACTION_DENY",
                "serverSideActions": [],
                "authnMethods": []
            }
        },
        {
            "id": "1634292240488",
            "name": "Default rule",
            "description": "",
            "alwaysRun": false,
            "firstFactor": false,
            "conditions": [],
            "result": {
                "action": "ACTION_ALLOW",
                "serverSideActions": [],
                "authnMethods": [
                    "urn:ibm:security:authentication:asf:macotp"
                ]
            }
        }
    ],
    "meta": {
        "label": "initial policy",
        "state": "ACTIVE",
        "scope": [
            "developers"
        ],
        "schema": "urn:access:policy:5.0:schema",
        "enforcementType": "fedSSO"
    }
}

• Cet objet de stratégie d'accès affiche une intégration de risque tierce dont la configuration est identifiée par la zone id.
• Hormis integrationAttributes, la stratégie comporte également une condition customAttributes. L'attribut personnalisé external_risk_score est l'attribut dont la valeur est fournie par l'intégration de risque de partie tierce.

Une fois l'objet de politique d'accès créé, associez-le à l'application utilisateur souhaitée.