Gestion des politiques d'accès via des API

{
    "name": "policy_name",
    "description": "Description of the policy",
    "schemaVersion": "urn:access:policy:4.0:schema",
    "rules": [
        {
            "name": "allow_with_conditions",
            "id": "1",
            "conditions": {
                "contextAttributes": {
                    "attributes": [
                        {
                            "name": "attrName",
                            "values": [
                                "value1",
                                "value2"
                            ],
                            "opCode": "EQ"
                        }
                    ]
                },
                "subjectAttributes": {
                    "attributes": [
                        {
                            "name": "realmName",
                            "values": [
                                "cloudIdentityRealm",
                                "www.ibm.com"
                            ],
                            "opCode": "IN"
                        },
                        {
                            "name": "customAttr1",
                            "values": [
                                "val1"
                            ],
                            "opCode": "NEQ"
                        }
                    ]
                },
                "timeAttributes": {
                    "attributes": [
                        {
                            "name": "timezone",
                            "opCode": "EQ",
                            "values": [
                                "UTC Offset or GMT Offset"
                            ]
                        },
                        {
                            "name": "startDate",
                            "opCode": "EQ",
                            "values": [
                                "YYYY-MM-DD HH:mm:ss"
                            ]
                        },
                        {
                            "name": "endDate",
                            "opCode": "EQ",
                            "values": [
                                "YYYY-MM-DD HH:mm:ss"
                            ]
                        },
                        {
                            "name": "Monday",
                            "opCode": "EQ",
                            "values": [
                                "hh:mm-hh:mm"
                            ]
                        },
                        {
                            "name": "Tuesday",
                            "opCode": "EQ",
                            "values": [
                                "hh:mm-hh:mm"
                            ]
                        }
                    ]
                },
                "ipAddress": {
                    "opCode": "MATCH",
                    "values": [
                        "<ip_address>",
                        "<ip_address_range_start> - <ip_address_range_end>",
                        "<ip_address/subnet>"
                    ]
                },   
                "location": {
                    "attributes": [
                        {
                            "values": [
                                "3-Letter-ISO"
                            ],
                            "name": "country",
                            "opCode": "IN"
                        }
                    ]
                }
                  "location": {
                      "attributes": [
                          {
                              "values": [
                                  "<city>"
                              ],
                              "name": "city",
                              "opCode": "IN"
                        }
                    ]
                }
                "geoLocation": {
                    "enabled": "true"
                },
                "trusteer": {
                    "enabled": "true"
                }
            },
            "result": {
                "extendedAction": {
                    "action": "ACTION_ALLOW"
                },
                "authnMethods": []
            }
        },
        {
            "name": "Authentication factor validity",
            "id": "2",
            “alwaysRun”: true,
            "conditions": {
            "factorLifetimeAttributes": {
                "attributes": [
                {
                    "name": "anyFactor",
                    "opCode": "EQ",
                    "values": [
                       "120"
                     ]
                }, 
                {
                      "name": "reauthPerDevice",
                      "opCode": "EQ",
                      "values": [
                         "enabled"
                       ]
                  }

               ]
            }
       },
       "result": {
        "extendedAction": {
          "action": "ACTION_MFA_OVERRIDE"
        }
       }
        },
        {
            "name": "mfa_once_per_session_device_conditions",
            "id": "3",
            "contextAttributes": {
                "attributes": [
                    {
                        "name": "devicePlatform",
                        "values": [
                            "IOS",
                            "ANDROID",
                            "OTHER_MOBILE",
                            "MACOS",
                            "WINDOWS",
                            "OTHER_DESKTOP"
                        ],
                        "opCode": "IN"
                    },
                    {
                        "name": "deviceCompliance",
                        "values": [
                            "COMPLIANT",
                            "NONCOMPLIANT",
                            "UNKNOWN"
                        ],
                        "opCode": "IN"
                    }
                ]
            },
            "result": {
                "extendedAction": {
                    "action": "ACTION_MFA_PER_SESSION"
                },
                "authnMethods": [
                    "urn:ibm:security:authentication:asf:macotp"
                ]
            }
        },
        {
            "name": "deny_otherwise",
            "id": "100",
            "conditions": {},
            "result": {
                "extendedAction": {
                    "action": "ACTION_DENY"
                },
                "authnMethods": []
            }
        }
    ]
}

• Chaque règle est composée des propriétés suivantes :

  name

  Nom pour la règle.

  id

  ID unique de la règle utilisée dans les données d'événement et les rapports.

  conditions

  Plusieurs conditions peuvent être présentes par règle. Toutes les conditions dans la règle doivent avoir pour résultat la valeur true pour que la règle corresponde et que le résultat soit appliqué. La règle par défaut contient une condition vide.

• Les conditions contiennent les propriétés suivantes :

  contextAttributes

  Attributs dans le contexte du flux dans lequel la stratégie d'accès a été exécutée. Ces attributs incluent les attributs de gestion des appareils, OpenID Connect et de demande HTTP.

  subjectAttributes

  Attributs de session de connexion associés à l'objet utilisateur authentifié.

  factorLifetimeAttributes

  Validité associée à un facteur ou à une méthode d'authentification spécifique.

  timeAttributes

  Attributs d'heure de la journée qui activent le contrôle d'accès limité dans le temps.

  ipAddress

  Condition d'adresse IP qui active des listes autorisées et bloquées individuelles ou basées sur des plages ou des sous-réseaux.

  location

  Pays ou ville résolu à partir de l'adresse IP de l'utilisateur. Pays doit contenir une liste séparée par des virgules de noms de pays ou des codes pays de trois lettres en fonction de la norme ISO ci-après. Vous devez entrer un pays ou un code pays de trois lettres.

  Ville doit contenir une liste séparée par des virgules de noms de ville. Vous devez entrer une ville.

  geoLocation

  Emplacements où les décisions d'accès ont été vérifiées. Par défaut, il s'agit des cinq emplacements vérifiés précédents. La propriété de condition a pour valeur enabled (true) ou disabled (false).

  trusteer

  IBM Security Trusteer détecte l'accès initial des nouveaux appareils pour les utilisateurs.

• Les attributs contiennent les propriétés suivantes :

  name

  Nom de l'attribut.

  values

  Valeurs de l'attribut.

  opCode

  Opérateur.

• Opérateurs pour l'évaluation des valeurs d'attribut :

  EQ

  Toutes les valeurs sont présentes.

  NEQ

  Aucune des valeurs n'est présente.

  IN

  Une ou plusieurs des valeurs sont présentes.

  MATCH

  Condition ipAddress opCode pour les adresses IP, les plages ou les sous-réseaux correspondants.

  NOMATCH

  Condition ipAddress opCode pour les adresses IP, les plages ou les sous-réseaux non correspondants.

• Le résultat contient les propriétés suivantes :

  Action

  Indique l'action à déclencher lorsque les conditions sont remplies. Les valeurs admises sont :

  • ACTION_ALLOW
  • ACTION_MFA_ALWAYS - authentification multi-facteur chaque fois que la règle est mise en correspondance lors de l'évaluation de la stratégie d'accès.
  • ACTION_MFA_PER_SESSION - authentification multi-facteur une fois par session authentifiée et autorisation si elle est déjà terminée.
  • ACTION_DENY.

  authnMethods

  Spécifie les mécanismes d'authentification autorisés lorsque l'action est une authentification multi-facteur (MFA). urn:ibm:security:authentication:asf:macotp - permet à l'utilisateur de sélectionner n'importe quel mécanisme qu'il peut exécuter, ou un ou plusieurs des facteurs suivants :

  • emailotp - Envoyer un mot de passe à utilisation unique par courrier électronique
  • smsotp - Envoyer un mot de passe à utilisation unique par SMS
  • totp - Mot de passe à utilisation unique limitée dans le temps (TOTP) (application d'authentification)
  • signatures - IBM® Verify notification push de l'application
  • passkey - authentificateur à clé de passe
  • voiceotp - Mot de passe à utilisation unique envoyé au numéro de téléphone enregistré de l'utilisateur.
  • anyFactor – est un alias pour urn:ibm:security:authentication:asf:macotp. Ce mécanisme est surtout utilisé dans la condition the factorLifetime et représente tous les mécanismes d'authentification valables qui sont complétés par l'utilisateur.