Vòng đời danh tính trong Microsoft Entra ID là gì?
Vòng đời danh tính (Identity Lifecycle Management) mô tả quá trình một danh tính số được tạo, cập nhật, quản trị và cuối cùng bị vô hiệu hóa hoặc xóa khỏi hệ thống.
Trong môi trường doanh nghiệp, quy trình này thường được chia thành ba giai đoạn:
- Joiner: Nhân viên, đối tác hoặc nhà thầu bắt đầu làm việc với tổ chức.
- Mover: Người dùng thay đổi phòng ban, vai trò, người quản lý, địa điểm hoặc loại hợp đồng.
- Leaver: Người dùng kết thúc quan hệ với tổ chức.
Mỗi sự kiện đều có thể làm thay đổi tài khoản, thuộc tính người dùng, tư cách thành viên nhóm, giấy phép và quyền truy cập ứng dụng.
Một danh tính số không chỉ chứa tên đăng nhập mà còn bao gồm các thuộc tính như mã nhân viên, chức danh, phòng ban, người quản lý và vai trò. Hệ thống sử dụng những thông tin này để xác định người dùng được phép truy cập tài nguyên nào.
Quản lý người dùng trong Microsoft Entra ID
Quản trị viên có thể tạo và quản lý người dùng trực tiếp trong Microsoft Entra admin center, thông qua Microsoft Graph PowerShell hoặc bằng các quy trình provisioning tự động.
Mỗi đối tượng người dùng thường bao gồm các thuộc tính:
- Display name
- User principal name (UPN)
- Địa chỉ email
- Job title
- Department
- Manager
- Office location
- Usage location
- Trạng thái tài khoản
- Group membership
- Role assignment
- License assignment
Các thuộc tính này cần được duy trì chính xác trong suốt vòng đời người dùng. Ví dụ, khi một nhân viên chuyển từ Sales sang Finance, chỉ thay đổi trường Department là chưa đủ. Tổ chức còn phải thu hồi quyền truy cập tài nguyên Sales, cấp quyền Finance và kiểm tra các vai trò đặc quyền mà người dùng đang giữ.
Quy trình quản lý người dùng theo Joiner, Mover và Leaver
Ba giai đoạn Joiner, Mover và Leaver tương ứng với những thay đổi quan trọng trong quan hệ làm việc giữa người dùng và tổ chức. Mỗi giai đoạn cần có quy trình xử lý riêng để bảo đảm tài khoản, nhóm, giấy phép và quyền truy cập luôn được cập nhật chính xác.
1. Joiner: Tạo và cấp quyền cho người dùng mới
Khi một nhân viên mới gia nhập, quy trình quản trị thường bao gồm:
- Tạo đối tượng người dùng.
- Thiết lập UPN và địa chỉ email.
- Gán thuộc tính tổ chức.
- Chỉ định người quản lý.
- Thêm người dùng vào các nhóm phù hợp.
- Gán giấy phép.
- Cấp quyền truy cập ứng dụng và tài nguyên.
- Yêu cầu đăng ký phương thức xác thực.
Trong mô hình thủ công, quản trị viên thực hiện từng thao tác thông qua cổng quản trị hoặc PowerShell. Phương pháp này có thể phù hợp với tổ chức nhỏ nhưng dễ phát sinh sai sót khi số lượng người dùng tăng.
Trong mô hình tự động, hệ thống nhân sự có thể đóng vai trò authoritative source, tức nguồn dữ liệu có thẩm quyền. Khi HR tạo hồ sơ nhân viên, dịch vụ provisioning sử dụng hồ sơ đó để tạo tài khoản tương ứng trong Microsoft Entra ID. Quy trình này giúp người dùng có tài khoản và quyền truy cập cần thiết ngay từ ngày đầu làm việc.
Quy trình tạo tài khoản và cấp quyền người dùng mới trong Microsoft Entra ID
2. Mover: Cập nhật danh tính và quyền truy cập
Thay đổi vai trò là giai đoạn dễ phát sinh hiện tượng permission accumulation, tức người dùng nhận quyền mới nhưng quyền cũ không được thu hồi.
Quy trình Mover cần xử lý đồng thời các công việc:
- Cập nhật chức danh, phòng ban và người quản lý.
- Điều chỉnh group membership.
- Cập nhật giấy phép.
- Thu hồi quyền không còn phù hợp.
- Cấp quyền theo vai trò mới.
- Đánh giá lại các quyền đặc quyền.
- Kiểm tra quyền truy cập ứng dụng SaaS và hệ thống nội bộ.
Nếu tổ chức sử dụng dynamic groups hoặc chính sách cấp quyền dựa trên thuộc tính, việc cập nhật thuộc tính người dùng có thể tự động làm thay đổi tư cách thành viên nhóm. Tuy nhiên, quản trị viên vẫn cần kiểm tra các quyền được gán trực tiếp vì chúng có thể không bị thu hồi khi thuộc tính thay đổi.
Đối với quyền đặc quyền, nên áp dụng nguyên tắc least privilege và ưu tiên cơ chế cấp quyền có thời hạn thay vì gán vai trò thường trực.
Quy trình cập nhật thông tin và quyền truy cập người dùng
3. Leaver: Vô hiệu hóa và thu hồi quyền
Khi người dùng nghỉ việc, ưu tiên đầu tiên thường là ngăn họ tiếp tục đăng nhập. Tuy nhiên, vô hiệu hóa tài khoản chưa phải toàn bộ quy trình offboarding.
Một quy trình Leaver đầy đủ có thể bao gồm:
- Chặn đăng nhập.
- Thu hồi phiên đăng nhập và token hiện có.
- Đặt lại hoặc vô hiệu hóa thông tin xác thực.
- Thu hồi role assignment.
- Xóa người dùng khỏi các nhóm bảo mật.
- Thu hồi giấy phép.
- Chuyển giao mailbox, dữ liệu và quyền sở hữu tài nguyên.
- Cấu hình email forwarding hoặc automatic reply nếu chính sách cho phép.
- Giữ lại dữ liệu theo yêu cầu pháp lý và tuân thủ.
- Xóa tài khoản sau thời gian lưu giữ được phê duyệt.
Trong mô hình HR-driven provisioning, khi trạng thái nhân viên thay đổi trong hệ thống nhân sự, tài khoản có thể được tự động vô hiệu hóa trong Active Directory và Microsoft Entra ID.
Việc xóa danh tính quá sớm có thể gây khó khăn cho quá trình chuyển giao dữ liệu hoặc điều tra. Ngược lại, giữ tài khoản hoạt động quá lâu làm tăng bề mặt tấn công. Vì vậy, tổ chức cần chính sách rõ ràng về thời điểm disable, thời gian retention và thời điểm delete.
Quy trình vô hiệu hóa tài khoản và thu hồi quyền truy cập
Provisioning, Synchronization và Deprovisioning trong Microsoft Entra ID
Provisioning, Synchronization và Deprovisioning là ba khái niệm có liên quan trong quản lý danh tính nhưng không hoàn toàn giống nhau:
- Provisioning: Tạo danh tính trong hệ thống đích khi các điều kiện được đáp ứng.
- Synchronization: Đồng bộ thay đổi để đối tượng nguồn và đối tượng đích duy trì trạng thái tương ứng.
- Deprovisioning: Vô hiệu hóa hoặc loại bỏ danh tính khỏi hệ thống đích khi điều kiện không còn đáp ứng.
Microsoft Entra ID hỗ trợ các mô hình provisioning chính:
- Provisioning từ hệ thống HR vào Microsoft Entra ID.
- Provisioning từ Microsoft Entra ID tới ứng dụng.
- Provisioning giữa Microsoft Entra ID và Active Directory Domain Services.
Với kiến trúc này, một thay đổi trong hệ thống HR có thể được đồng bộ vào directory và tiếp tục truyền tới các ứng dụng đích. Điều này giúp giảm thao tác thủ công và duy trì tính nhất quán của danh tính trên nhiều hệ thống.
