Identität ist die Ferse von Achilles der Wolke

In den letzten Jahren haben wir gesehen, wie Sie auf großen Plattformen in der Cloud Schlagzeilen besetzen und Millionen von Benutzern verlassen, die einen leeren Bildschirm sehen. Verfehlte Dienstleistungen wie die von führenden Lieferanten haben Online-Shops, Liefer-Apps und sogar kritische Geschäftssysteme für Minuten oder Stunden paralysiert. Für einen Benutzer kann die Unannehmlichkeiten nicht in der Lage sein, Nahrung zu bestellen oder eine Serie zu sehen; für eine Fluggesellschaft oder eine Bank bedeutet dies verlorene Einnahmen, Haftprozesse und Reputationsschaden, die Wochen dauern können.

Hinter diesen Blackouts ist in der Regel nicht nur die Maschine, die ein Web bedient: oft das eigentliche Opfer ist die gemeinsame Infrastruktur und innerhalb dieser Kategorie ist die Identität besonders gefährdet. Moderne Authentifizierungs- und Autorisierungsarchitekturen basieren auf einem Netz von Diensten und Abhängigkeiten - Benutzerdatenbanken, Policy Engines, Load Balance, DNS- und Cloud-Kontrollplänen - die, wenn sie scheitern, verhindern, dass jede Anwendung überprüft und genehmigt wird, auch wenn der Identitätsanbieter weiterhin in Betrieb ist.

Lieferanten veröffentlichen ihre Vorfälle und State Panels - zum Beispiel AWS Dashboards in Status.aws.amazon.com, de Azure Status.azure.com und von Cloudflare in wohnzimmer.com- und ihr Postmortem bestätigen oft, dass diese Fehler oft durch gemeinsame Abhängigkeiten oder Änderungen in Serviceketten entstehen. Diese Interdependenz zu verstehen ist der Schlüssel: Es reicht nicht aus, dass der Identitätsdienst in mehreren Regionen eingesetzt wird, wenn alle diese Bereitstellungen dieselbe verwaltete Datenbank, denselben DNS-Anbieter oder dieselbe Cloud-Kontrollebene verwenden.

Identität ist keine Frage von "Login und bereits": es ist ein ständiger Wächter. Moderne Sicherheitsmodelle wie Zero Trust, dokumentiert von Einrichtungen wie dem NIST in seiner SP 800-207 ( NIST SP 800-207), basieren auf der Prämisse der ständigen Überprüfung. Dies bedeutet, dass Anwendungen, APIs und Services ständig nach Anmeldeinformationen, Token und Zulassungsentscheidungen fragen. Wenn das Teilsystem, das diese Token emittiert oder validiert, nicht mehr reagiert, wird ein großer Teil der Plattform gestoppt: Mikro-Dienste, die zueinander aufgerufen werden, die Integration mit Dritten und internen Automatisierungen werden ohne die Fähigkeit, Identität oder Berechtigungen zu beweisen.

Darüber hinaus ist die reale Authentifizierung komplexer, als es auf den ersten Blick scheint. Ein typisches Authentifizierungsereignis kann es erfordern, Benutzerattribute von Verzeichnissen zu lesen, den Session-Status zu erstellen, Token mit Ansprüchen und Reichweiten zu emittieren, und vielleicht politische Motoren für feine Entscheidungen zu konsultieren. Diese verteilten Operationen hängen von der Infrastruktur ab, die, wenn sie abgebaut werden, den vollen Fluss blockiert. Daher kann ein Ausfall in einer scheinbar kleineren Komponente zu einem einzigartigen Punkt des wahrgenommenen Ausfalls in der vollen Krise werden.

Traditionelle hochverfügbare Designs lösen dieses Problem nicht immer. Viele Architekturen bestehen aus regionaler Replikation oder Verwechslung zwischen Gebieten. Das funktioniert gegen isolierte regionale Fehler, aber es schützt nicht, wenn die Wurzel in gemeinsamen globalen Dienstleistungen ist - wie ein Drittanbieter-verwaltetes DNS, ein Cloud-Control-Service oder ein globaler Datenbank-Service -, die alle Repliken gleichermaßen beeinflussen. Reale Nachgiebigkeit erfordert, über Replik hinaus zu sehen: es beinhaltet das Verständnis und die Verringerung der gemeinsamen Domänen des Versagens.

Die Gestaltung von starken Identitätssystemen erfordert Absicht. Einige Organisationen wählen Multi-Cloud-Strategien oder kontrollierte Alternativen auf Prämissen für die kritischsten Teile des Identitätsflusses zu halten. Andere implementieren degradierte Modi, die einen eingeschränkten Zugriff über Cache-Attribute oder vorkomputierte Berechtigungsentscheidungen erlauben, so dass die Wesentliche der Operation auch bei reduzierter Funktionalität weitergehen. Nicht alle Identitätsdatenstücke benötigen die gleiche Garantie für die Verfügbarkeit und die Entscheidung, was abgebaut werden kann, sollte eine Entscheidung durch das Geschäftsrisiko, nicht architektonischen Komfort informiert sein.

Planung, wie ein System ausfällt, ist so wichtig, dass es unter normalen Bedingungen funktioniert. Die Antwort auf Identitätsvorfälle sollte Priorität sein und in die Business Continuity-Pläne integriert werden: spezifische Überwachung von Abhängigkeiten, Warnungen, die über Domänen und Simulationsübungen, die Szenarien überprüfen, wo die Ausgabe von Token oder die Validierung von Berechtigungen beeinträchtigt werden. Die Nichtverfügbarkeit von Identität als sekundäres Problem ist eine notwendige kulturelle und operative Veränderung.

Wenn Sie auf der Suche nach Verweisen auf Vertiefungen sind, ist es neben dem NIST-Dokument über Zero Trust angebracht, öffentliche Dokumente zu Modellen gemeinsamer Verantwortung in der Cloud, wie dem AWS-Führer ( AWS Shared Responsibility Model), und offizielles Postmortem, das oft die realen Ursachen hinter großen Vorfällen offenbaren. Um die Unterschiede zwischen Authentisierung und Autorisierung besser zu verstehen, gibt es wohlerklärte technische Ressourcen, beispielsweise in Kur die helfen, Konzepte zu trennen und zu identifizieren, welche Teile des Flusses kritisch sind.

Kurz gesagt, die Cloud bietet Skalierbarkeit und Agilität, aber sie konzentriert auch Abhängigkeiten, die systemische Risiken werden können. Identity ist die Achse, auf der die Sicherheit und die Verfügbarkeit von Dienstleistungen sich dreht; daher verdient sie ein selbst aufbauendes Design, mit Alternativen und degradierten Modi zum Schutz von Unternehmen, wenn die Infrastruktur versagt. Entscheidungen darüber, wo Verzeichnisse zu finden sind, welche Dienste außerhalb von gemeinsamen Domänen nachzubilden sind und wie Mindestoperationen bei Ausfall möglich sind, sollten mit Risikokriterien getroffen und durch echte Übungen praktiziert werden. Nur so ist die Möglichkeit, in der Mitte des Herbstes zu entdecken, dass etwas, was als Identitätsprüfung wesentlich ist, tatsächlich ein einziger Punkt des Versagens ist.