Gerenciamento de políticas de acesso por meio de APIs

{
    "name": "policy_name",
    "description": "Description of the policy",
    "schemaVersion": "urn:access:policy:4.0:schema",
    "rules": [
        {
            "name": "allow_with_conditions",
            "id": "1",
            "conditions": {
                "contextAttributes": {
                    "attributes": [
                        {
                            "name": "attrName",
                            "values": [
                                "value1",
                                "value2"
                            ],
                            "opCode": "EQ"
                        }
                    ]
                },
                "subjectAttributes": {
                    "attributes": [
                        {
                            "name": "realmName",
                            "values": [
                                "cloudIdentityRealm",
                                "www.ibm.com"
                            ],
                            "opCode": "IN"
                        },
                        {
                            "name": "customAttr1",
                            "values": [
                                "val1"
                            ],
                            "opCode": "NEQ"
                        }
                    ]
                },
                "timeAttributes": {
                    "attributes": [
                        {
                            "name": "timezone",
                            "opCode": "EQ",
                            "values": [
                                "UTC Offset or GMT Offset"
                            ]
                        },
                        {
                            "name": "startDate",
                            "opCode": "EQ",
                            "values": [
                                "YYYY-MM-DD HH:mm:ss"
                            ]
                        },
                        {
                            "name": "endDate",
                            "opCode": "EQ",
                            "values": [
                                "YYYY-MM-DD HH:mm:ss"
                            ]
                        },
                        {
                            "name": "Monday",
                            "opCode": "EQ",
                            "values": [
                                "hh:mm-hh:mm"
                            ]
                        },
                        {
                            "name": "Tuesday",
                            "opCode": "EQ",
                            "values": [
                                "hh:mm-hh:mm"
                            ]
                        }
                    ]
                },
                "ipAddress": {
                    "opCode": "MATCH",
                    "values": [
                        "<ip_address>",
                        "<ip_address_range_start> - <ip_address_range_end>",
                        "<ip_address/subnet>"
                    ]
                },   
                "location": {
                    "attributes": [
                        {
                            "values": [
                                "3-Letter-ISO"
                            ],
                            "name": "country",
                            "opCode": "IN"
                        }
                    ]
                }
                  "location": {
                      "attributes": [
                          {
                              "values": [
                                  "<city>"
                              ],
                              "name": "city",
                              "opCode": "IN"
                        }
                    ]
                }
                "geoLocation": {
                    "enabled": "true"
                },
                "trusteer": {
                    "enabled": "true"
                }
            },
            "result": {
                "extendedAction": {
                    "action": "ACTION_ALLOW"
                },
                "authnMethods": []
            }
        },
        {
            "name": "Authentication factor validity",
            "id": "2",
            “alwaysRun”: true,
            "conditions": {
            "factorLifetimeAttributes": {
                "attributes": [
                {
                    "name": "anyFactor",
                    "opCode": "EQ",
                    "values": [
                       "120"
                     ]
                }, 
                {
                      "name": "reauthPerDevice",
                      "opCode": "EQ",
                      "values": [
                         "enabled"
                       ]
                  }

               ]
            }
       },
       "result": {
        "extendedAction": {
          "action": "ACTION_MFA_OVERRIDE"
        }
       }
        },
        {
            "name": "mfa_once_per_session_device_conditions",
            "id": "3",
            "contextAttributes": {
                "attributes": [
                    {
                        "name": "devicePlatform",
                        "values": [
                            "IOS",
                            "ANDROID",
                            "OTHER_MOBILE",
                            "MACOS",
                            "WINDOWS",
                            "OTHER_DESKTOP"
                        ],
                        "opCode": "IN"
                    },
                    {
                        "name": "deviceCompliance",
                        "values": [
                            "COMPLIANT",
                            "NONCOMPLIANT",
                            "UNKNOWN"
                        ],
                        "opCode": "IN"
                    }
                ]
            },
            "result": {
                "extendedAction": {
                    "action": "ACTION_MFA_PER_SESSION"
                },
                "authnMethods": [
                    "urn:ibm:security:authentication:asf:macotp"
                ]
            }
        },
        {
            "name": "deny_otherwise",
            "id": "100",
            "conditions": {},
            "result": {
                "extendedAction": {
                    "action": "ACTION_DENY"
                },
                "authnMethods": []
            }
        }
    ]
}

• Cada regra consiste dessas propriedades:

  name

  Um nome para a regra.

  id

  O ID exclusivo da regra que é usada nos dados e relatórios de eventos.

  conditions

  Mais de uma condição pode estar presente por regra. Todas as condições na regra devem ser avaliadas como true para que a regra corresponda e o resultado seja aplicado. A regra padrão contém uma condição vazia.

• As condições contêm as propriedades a seguir:

  contextAttributes

  Os atributos que são contextuais para o fluxo no qual a política de acesso foi executada. Esses atributos incluem gerenciamento de Dispositivo, OpenID Connect e atributos de solicitação de HTTP.

  subjectAttributes

  Os atributos de sessão de login que estão associados ao sujeito do usuário autenticado.

  factorLifetimeAttributes

  Associar a validade a um fator ou método de autenticação específico.

  timeAttributes

  Os atributos de horário do dia que permitem o controle de acesso baseado em tempo.

  ipAddress

  A condição de endereço IP que permite listas de bloqueio e permissões individuais, de intervalo ou baseadas em sub-rede.

  location

  A cidade ou o país resolvido por meio do endereço IP do usuário. O país deve conter uma lista separada por vírgula do nome do país ou códigos do país de três letras com base no padrão ISO a seguir. Um único país ou o código do país de três letras é permitido.

  A cidade deve conter uma lista separada por vírgula do nome da cidade. Uma única cidade é permitida.

  geoLocation

  As localizações onde as decisões de acesso foram verificadas. A configuração padrão é as últimas cinco localizações verificadas. A propriedade de condição é enabled (true) ou disabled (false).

  trusteer

  O IBM Security Trusteer detecta o primeiro acesso de novos dispositivos dos usuários.

• Os atributos contêm as propriedades a seguir:

  name

  Um nome do atributo.

  values

  Os valores do atributo.

  opCode

  O operador.

• Os operadores da avaliação de valores de atributos:

  EQ

  Todos os valores estão presentes.

  NEQ

  Nenhum dos valores está presente.

  IN

  Um ou mais dos valores estão presentes.

  MATCH

  A condição opCode de ipAddress para correspondência de endereços IP, intervalos ou sub-redes.

  NOMATCH

  A condição opCode de ipAddress para não correspondência de endereços IP, intervalos ou sub-redes.

• O resultado contém as propriedades a seguir:

  Action

  Especifica qual ação será acionada quando as condições forem atendidas. Valores válidos são:

  • ACTION_ALLOW
  • ACTION_MFA_ALWAYS - MFA toda vez que a regra for correspondida durante a avaliação da política de acesso.
  • ACTION_MFA_PER_SESSION - MFA uma vez por sessão autenticada e permitir se já estiver concluída.
  • ACTION_DENY.

  authnMethods

  Especifica os mecanismos de autenticação permitidos quando a ação é uma autenticação de diversos fatores (MFA). urn:ibm:security:authentication:asf:macotp - permitir que o usuário selecione qualquer mecanismo que ele possa completar, ou um ou mais dos fatores a seguir:

  • emailotp - senha descartável por e-mail
  • smsotp - senha descartável por SMS
  • totp - senha descartável com tempo limitado (aplicativo autenticador)
  • signatures - IBM® Verify notificação push do aplicativo
  • passkey - autenticador por senha
  • voiceotp - Senha verbal descartável enviada para o número de telefone registrado do usuário.
  • anyFactor – é um alias para urn:ibm:security:authentication:asf:macotp. Esse mecanismo é usado especialmente na condição factorLifetime e representa quaisquer mecanismos de autenticação válidos que foram concluídos pelo usuário.