IGA (Identity Governance and Administration): Die Prozesse und die Software, mit denen der Zugriff auf die Systeme einer Organisation verwaltet und die zugrunde liegenden Entscheidungen festgehalten werden. Dazu gehören Anfragen, Provisionierung und regelmäßige Überprüfungen der Zugriffsrechte.
IAM (Identitäts- und Zugriffsmanagement): Das übergeordnete Fachgebiet der Verwaltung von Identitäten und ihren Zugriffsrechten, einschließlich Authentifizierung und Autorisierung.
Identity Provider (IdP, Identitätsanbieter): Ein System, das Nutzende authentifiziert und Anwendungen Identitätsinformationen bereitstellt. Seine Sitzungs- und Authentifizierungskontrollen sind von Governance-Entscheidungen über Zugriffsrechte zu unterscheiden.
Authentifizierung und Autorisierung: Die Authentifizierung prüft eine Identität. Die Autorisierung legt fest, was diese Identität tun darf.
Provisionierung (Provisioning): Das Anlegen oder Ändern eines Kontos oder einer Berechtigung in einem Zielsystem. Auch eine genehmigte Anfrage braucht noch ein erfolgreiches Ausführungsergebnis.
Deprovisionierung (Deprovisioning): Das Entfernen oder Deaktivieren von Zugriffsrechten. Je nach Anwendung können Kontoänderungen und das Beenden von Sitzungen getrennte Schritte erfordern.
Berechtigung (Entitlement): Ein einzelnes Recht, eine Gruppenmitgliedschaft oder eine andere Zugriffseinheit in einem System.
Rolle (RBAC): In der rollenbasierten Zugriffskontrolle (RBAC) fasst eine Rolle Berechtigungen zusammen, die einer Identität entsprechend ihren Aufgaben zugewiesen werden können.
Zuweisung (Assignment): Ein Eintrag, der eine Identität mit einer Rolle oder einem anderen Objekt verknüpft. Der Zuweisungseintrag und der daraus resultierende Zugriff im Zielsystem müssen getrennt geprüft werden.
Eintritt, Wechsel, Austritt (Joiner-Mover-Leaver, JML): Prozesse für Veränderungen im Verhältnis einer Person zu einer Organisation. Ein Eintritt erzeugt Zugriffsbedarf; ein Stellenwechsel oder Austritt erfordert zusätzlich die Prüfung von Zugriffsrechten, die enden sollten.
Basiszugriffsrechte (Birthright Access): Zugriffsrechte, die einer definierten Personengruppe gemäß einer Richtlinie automatisch zugewiesen werden, etwa der Basiszugriff für Mitarbeitende. Ihr Umfang muss trotzdem überprüft werden.
Prinzip der minimalen Rechte (Least Privilege): Die Beschränkung von Zugriffsrechten auf das, was für die zugewiesene Arbeit nötig ist. Überprüfungen und Befristungen können helfen, diese Grenze einzuhalten.
Befristeter Zugriff: Zugriff mit festgelegtem Beginn oder Ablauf. Prüfen Sie, ob der Ablauf den Zustand im Zielsystem wie beabsichtigt ändert.
Zugriffsanfrage (Access Request): Eine Anfrage nach einer definierten Berechtigung mit geschäftlicher Begründung und gegebenenfalls der benötigten Dauer. Die Genehmigung folgt der in der Organisation konfigurierten Richtlinie.
Genehmigungs-Workflow: Die konfigurierten Schritte, die eine Anfrage an die Personen weiterleiten, die darüber entscheiden, und das Ergebnis festhalten.
Zugriffsüberprüfung oder Rezertifizierung (Access Review, Certification): Eine Prüfung, ob bestehende Zugriffsrechte weiterhin gerechtfertigt sind. Eine Entscheidung zum Entzug muss bis zum Ergebnis im Zielsystem nachverfolgt werden.
Rezertifizierungskampagne: Eine festgelegte Gruppe von Zugriffsüberprüfungen mit Umfang, prüfenden Personen und Abschlussdatum.
Durchwinken (Rubber-Stamping): Das Genehmigen einer Anfrage oder Überprüfung, ohne sie inhaltlich zu bewerten. Klare Beschreibungen der Berechtigungen und relevante Nachweise helfen prüfenden Personen, fundiert zu entscheiden.
Funktionstrennung (Separation of Duties, SoD): Die Trennung unvereinbarer Verantwortlichkeiten, einschließlich Kombinationen von Zugriffsrechten, die einen Konflikt erzeugen. easyIGA zeigt zum Zeitpunkt der Entscheidung die Ergebnisse der in midPoint konfigurierten Ausschlussrichtlinien (Exclusion Policies) an; das Erstellen und Simulieren von Regeln in easyIGA ist geplant.
SoD-Ausnahme (SoD Override): Eine Ausnahme, die die Konfliktrichtlinie der Organisation zulässt. Sie erfordert die Entscheidung einer verantwortlichen Person und eine dokumentierte Begründung.
Kritische Berechtigungskombination (Toxic Combination): Eine Kombination von Berechtigungen, die nach der Richtlinie der Organisation einen unzulässigen Konflikt erzeugt.
Verwaistes Konto (Orphaned Account): Ein Konto, dessen zugehörige Identität oder verantwortliche Person sich nicht ermitteln lässt. Klären Sie die Ursache, bevor Sie es deaktivieren, denn möglicherweise hängt ein Dienst davon ab.
Nicht-menschliche Identität (Non-human Identity, NHI): Eine Identität, die von Software oder einem Gerät statt von einer Person verwendet wird, etwa ein Servicekonto. Dokumentieren Sie ihren Zweck und die verantwortliche Person.
Servicekonto (Service Account): Ein Konto, unter dem eine Anwendung oder ein automatisierter Prozess läuft. Seine Zugangsdaten und Berechtigungen brauchen ein Lebenszyklusmanagement.
Verantwortlichkeit und Nachfolge (Ownership): Die Zuweisung der Verantwortung für ein Konto und ihre Übertragung, wenn die verantwortliche Person wechselt oder die Organisation verlässt.
Abgleich (Reconciliation): Der Vergleich von Identitäts- und Kontoinformationen zwischen Systemen, um Abweichungen zu erkennen und konfigurierte Behandlungsregeln anzuwenden.
Effektive Berechtigungen (Effective Access): Die Zugriffsrechte, die eine Identität tatsächlich ausüben kann, einschließlich der über Gruppen oder Rollen geerbten Berechtigungen. Eine Liste der direkten Zuweisungen kann unvollständig sein.
Audit-Trail (Prüfpfad): Aufgezeichnete Ereignisse, die eine Anfrage, Entscheidung oder Ausführung nachvollziehbar machen. Die verfügbare Historie hängt davon ab, welche Ereignisse erfasst wurden; fehlende Einträge müssen ausdrücklich als fehlend erkennbar bleiben.
Attestierungsnachweis (Attestation Evidence): Einträge, die eine Entscheidung in einer Zugriffsüberprüfung belegen, darunter die geprüfte Berechtigung, die prüfende Person, die Entscheidung und das Datum, soweit erfasst.
midPoint: Die Plattform für Identity Governance von Evolveum, auf der easyIGA läuft. midPoint ist open source. Öffentliche Referenzen zu midPoint sind von Kundennachweisen für easyIGA zu unterscheiden.
Selbst gehostet (Self-hosted): Software, die auf Ihrer eigenen Infrastruktur betrieben wird. Das ist die Standardbereitstellung von easyIGA; auf Anfrage ist eine in der EU gehostete Bereitstellung verfügbar, die unser Team betreibt.
Souveränität: Die Kontrolle darüber, wo Daten gespeichert werden und welche betrieblichen und rechtlichen Rahmenbedingungen gelten. Bewerten Sie Infrastruktur, Betreiber und Verträge gemeinsam.
Privilegierter Zugriff (Privileged Access): Berechtigungen für sensible Aktionen, etwa die Administration eines Systems. Überprüfen Sie ihren Umfang und ihre Dauer entsprechend den Risiken der Organisation und den geltenden Anforderungen.
Dauerhafte Privilegien (Standing Privilege): Erhöhte Berechtigungen, die über eine bestimmte Aufgabe hinaus bestehen bleiben. Wägen Sie diesen Bedarf gegen eine befristete Alternative ab.
Schleichende Rechteanhäufung (Access Creep): Die Anhäufung von Berechtigungen, die nicht mehr benötigt werden, zum Beispiel nach Änderungen der Aufgaben einer Person.
Genehmigungskanal: Die Oberfläche, über die eine Entscheidung getroffen wird, etwa eine Webanwendung oder Microsoft Teams. Prüfen Sie, welche Kanäle im evaluierten Release nachweisbar festhalten, von wem eine Genehmigung stammt.
Kampagnenvorlage: Eine wiederverwendbare Definition für Umfang und Ablauf einer Zugriffsüberprüfung.
Simulationsmodus: Eine Möglichkeit, vorgeschlagene Änderungen zu untersuchen, ohne sie anzuwenden. Prüfen Sie das genaue Verhalten und die unterstützten Operationen des evaluierten Systems; dieser Begriff bedeutet nicht, dass die geplante SoD-Simulation von easyIGA bereits verfügbar ist.
Nachweisexport: Eine Datei mit aufgezeichneten Entscheidungen oder Ereignissen. Prüfen Sie ihre Abdeckung und den Umgang mit fehlenden Daten anhand der Quelleinträge.

IGA-Begriffe in Alltagssprache

Begriffe in der Praxis anwenden