Místo považování úspěšného přihlášení za postačující pro každou žádost může politika zvažovat identitu, sílu autentizace, stav zařízení, citlivost prostředku, požadovanou akci, síťový kontext, čas, chování a aktuální informace o hrozbách.
Vyhodnocení může proběhnout při přihlášení, když je požadována citlivá akce, a během aktivní relace. Rozhodnutí může vyžadovat silnější autentizaci, omezit dostupné funkce, zkrátit relaci, umístit uživatele do omezeného prostředí či přístup zrušit. Přesné signály a reakce závisí na modelu rizika organizace, nikoli na univerzálním nastavení produktu.
Klíčové body
Běžné signályIdentita uživatele a úlohy, zdraví zařízení, síla přihlašovacího údaje či autentikátoru, lokace, chování, klasifikace prostředku a indikátory hrozeb.
Možné reakcePovolit, zamítnout, vyžadovat zvýšenou autentizaci, omezit schopnosti, požadovat spravované zařízení či přehodnotit a ukončit relaci.
Kvalitní provozTestujte politiky proti reálným workflow, chraňte pohotovostní přístup, logujte rozhodnutí, monitorujte kvalitu signálů a navrhujte pro selhání poskytovatele identity či sítě.
Důležité omezeníKontextové signály mohou být zastaralé, napodobené či prostě špatné. Příliš široké politiky mohou vyloučit legitimní uživatele, zatímco benevolentní výjimky se mohou stát trvalými obcházkami.