API를 통한 액세스 정책 관리

{
    "name": "policy_name",
    "description": "Description of the policy",
    "schemaVersion": "urn:access:policy:4.0:schema",
    "rules": [
        {
            "name": "allow_with_conditions",
            "id": "1",
            "conditions": {
                "contextAttributes": {
                    "attributes": [
                        {
                            "name": "attrName",
                            "values": [
                                "value1",
                                "value2"
                            ],
                            "opCode": "EQ"
                        }
                    ]
                },
                "subjectAttributes": {
                    "attributes": [
                        {
                            "name": "realmName",
                            "values": [
                                "cloudIdentityRealm",
                                "www.ibm.com"
                            ],
                            "opCode": "IN"
                        },
                        {
                            "name": "customAttr1",
                            "values": [
                                "val1"
                            ],
                            "opCode": "NEQ"
                        }
                    ]
                },
                "timeAttributes": {
                    "attributes": [
                        {
                            "name": "timezone",
                            "opCode": "EQ",
                            "values": [
                                "UTC Offset or GMT Offset"
                            ]
                        },
                        {
                            "name": "startDate",
                            "opCode": "EQ",
                            "values": [
                                "YYYY-MM-DD HH:mm:ss"
                            ]
                        },
                        {
                            "name": "endDate",
                            "opCode": "EQ",
                            "values": [
                                "YYYY-MM-DD HH:mm:ss"
                            ]
                        },
                        {
                            "name": "Monday",
                            "opCode": "EQ",
                            "values": [
                                "hh:mm-hh:mm"
                            ]
                        },
                        {
                            "name": "Tuesday",
                            "opCode": "EQ",
                            "values": [
                                "hh:mm-hh:mm"
                            ]
                        }
                    ]
                },
                "ipAddress": {
                    "opCode": "MATCH",
                    "values": [
                        "<ip_address>",
                        "<ip_address_range_start> - <ip_address_range_end>",
                        "<ip_address/subnet>"
                    ]
                },   
                "location": {
                    "attributes": [
                        {
                            "values": [
                                "3-Letter-ISO"
                            ],
                            "name": "country",
                            "opCode": "IN"
                        }
                    ]
                }
                  "location": {
                      "attributes": [
                          {
                              "values": [
                                  "<city>"
                              ],
                              "name": "city",
                              "opCode": "IN"
                        }
                    ]
                }
                "geoLocation": {
                    "enabled": "true"
                },
                "trusteer": {
                    "enabled": "true"
                }
            },
            "result": {
                "extendedAction": {
                    "action": "ACTION_ALLOW"
                },
                "authnMethods": []
            }
        },
        {
            "name": "Authentication factor validity",
            "id": "2",
            “alwaysRun”: true,
            "conditions": {
            "factorLifetimeAttributes": {
                "attributes": [
                {
                    "name": "anyFactor",
                    "opCode": "EQ",
                    "values": [
                       "120"
                     ]
                }, 
                {
                      "name": "reauthPerDevice",
                      "opCode": "EQ",
                      "values": [
                         "enabled"
                       ]
                  }

               ]
            }
       },
       "result": {
        "extendedAction": {
          "action": "ACTION_MFA_OVERRIDE"
        }
       }
        },
        {
            "name": "mfa_once_per_session_device_conditions",
            "id": "3",
            "contextAttributes": {
                "attributes": [
                    {
                        "name": "devicePlatform",
                        "values": [
                            "IOS",
                            "ANDROID",
                            "OTHER_MOBILE",
                            "MACOS",
                            "WINDOWS",
                            "OTHER_DESKTOP"
                        ],
                        "opCode": "IN"
                    },
                    {
                        "name": "deviceCompliance",
                        "values": [
                            "COMPLIANT",
                            "NONCOMPLIANT",
                            "UNKNOWN"
                        ],
                        "opCode": "IN"
                    }
                ]
            },
            "result": {
                "extendedAction": {
                    "action": "ACTION_MFA_PER_SESSION"
                },
                "authnMethods": [
                    "urn:ibm:security:authentication:asf:macotp"
                ]
            }
        },
        {
            "name": "deny_otherwise",
            "id": "100",
            "conditions": {},
            "result": {
                "extendedAction": {
                    "action": "ACTION_DENY"
                },
                "authnMethods": []
            }
        }
    ]
}

• 각 규칙은 3개의 특성으로 구성되어 있습니다.

  name

  규칙의 이름입니다.

  id

  이벤트 데이터 및 보고서에 사용된 규칙에 대한 고유 ID입니다.

  conditions

  규칙마다 둘 이상의 조건이 있을 수 있습니다. 규칙이 일치하고 결과가 적용되려면 규칙의 모든 조건이 true로 평가되어야 합니다. 기본 규칙에 빈 조건이 포함됩니다.

• 조건에는 다음 특성이 포함되어 있습니다.

  contextAttributes

  액세스 정책이 실행된 플로우에 문맥상으로 관련된 속성입니다. 이러한 속성에는 디바이스 관리, OpenID Connect 및 HTTP 요청 속성이 포함됩니다.

  subjectAttributes

  인증된 사용자 주체와 연관된 로그인 세션 속성입니다.

  factorLifetimeAttributes

  특정 인증 요인 또는 메소드에 유효성을 연관시킵니다.

  timeAttributes

  시간 기반 액세스 제어를 사용하는 하루의 시간 속성입니다.

  ipAddress

  개별, 범위 또는 서브넷 기반 허용 및 차단 목록을 사용하는 IP 주소 조건입니다.

  location

  사용자의 IP 주소에서 분석된 국가 또는 구/군/시입니다. 국가는 다음 ISO 표준에 기반한 쉼표로 구분된 국가 이름 또는 세 자리 국가 코드 목록을 포함해야 합니다. 단일 국가 또는 세 자리 국가 코드가 허용 가능합니다.

  구/군/시는 쉼표로 구분된 구/군/시 이름 목록을 포함해야 합니다. 단일 구/군/시가 허용 가능합니다.

  geoLocation

  액세스 결정이 확인된 위치입니다. 기본 설정은 이전 다섯 개의 확인된 위치에 대한 설정입니다. condition 속성은 (true) 또는 disabledenabled (false)입니다.

  trusteer

  IBM Security Trusteer는 사용자를 위한 새 디바이스의 첫 번째 액세스를 발견합니다.

• 속성에는 다음 특성이 포함되어 있습니다.

  name

  속성의 이름입니다.

  values

  속성의 값입니다.

  opCode

  연산자입니다.

• 속성값의 평가를 위한 연산자:

  EQ

  모든 값이 존재합니다.

  NEQ

  어떤 값도 존재하지 않습니다.

  IN

  하나 이상의 값이 존재합니다.

  MATCH

  IP 주소, 범위 또는 서브넷 일치에 대한 ipAddress 조건 opCode입니다.

  NOMATCH

  IP 주소, 범위 또는 서브넷 불일치에 대한 ipAddress 조건 opCode입니다.

• 결과에는 다음 특성이 포함되어 있습니다.

  Action

  조건이 충족될 때 트리거할 조치를 지정합니다. 유효값은 다음과 같습니다.

  • ACTION_ALLOW
  • ACTION_MFA_ALWAYS - 액세스 정책 평가 중에 규칙이 일치할 때마다 MFA 수행.
  • ACTION_MFA_PER_SESSION - 인증된 세션당 한 번의 MFA 수행 및 이미 완료된 경우 허용.
  • ACTION_DENY.

  authnMethods

  이 작업이 다단계 인증(MFA)인 경우 허용되는 인증 방식을 지정합니다. urn:ibm:security:authentication:asf:macotp - 사용자가 완료할 수 있는 모든 방식을 선택하도록 허용하거나, 다음 요소 중 하나 이상을 선택하도록 허용합니다:

  • emailotp - 이메일 일회성 비밀번호
  • smsotp - SMS 일회성 비밀번호
  • totp - 시간 기반 일회성 비밀번호(인증자 앱)
  • signatures - IBM® Verify 앱 푸시 알림
  • passkey - 패스키 인증기
  • voiceotp - 사용자의 등록된 전화번호로 전송된 일회성 음성 비밀번호입니다.
  • anyFactor – urn:ibm:security:authentication:asf:macotp의 별명입니다. 이 메커니즘은 특히 factorLifetime 조건에 사용되며 사용자가 완료한 유효한 인증 메커니즘을 나타냅니다.