c8.2 Identidade única e ciclo de vida de usuários federado
Atribuir um identificador único a cada usuário e gerenciar o ciclo de vida das identidades (criação, mudanças, remoção) para garantir a responsabilização das ações sobre os componentes do sistema.
Requisito 8
Identificar Usuários e Autenticar o Acesso aos Componentes do Sistema
Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.
8.2 A identificação de usuários e as contas relacionadas são gerenciadas ao longo de seu ciclo de vida
- 8.2.1 Unique ID assigned to each user before access Coberto
- 8.2.2 Group/shared/generic IDs managed by exception only Sua responsabilidade
- 8.2.3 Service providers use unique auth factors per customer (SP only) Coberto
- 8.2.4 Add/delete/modify of user IDs and auth factors is authorized and managed Coberto
- 8.2.5 Access for terminated users is immediately revoked Coberto
- 8.2.6 Inactive user accounts removed/disabled within 90 days Coberto
- 8.2.7 Third-party remote-access accounts enabled only when needed and monitored Coberto
- 8.2.8 Re-authentication required after 15 minutes idle Coberto
Como implementar na AWS
Dê a cada pessoa uma identidade única e sem contas compartilhadas para que toda a atividade seja atribuível. Em uma única conta AWS, isso é IAM nativo: um usuário IAM (ou principal federado) por pessoa, proibir credenciais compartilhadas e remover/desabilitar as contas inativas em até 90 dias (8.2.6) usando o relatório de credenciais do IAM mais uma verificação e remediação do AWS Config. À medida que cresce, evolua para o IAM Identity Center federado com o IdP corporativo (entradas/saídas por SCIM); observe que habilitar o IAM Identity Center adota o AWS Organizations. Atribua cada ação no CloudTrail à identidade única.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
Caminho IAM nativo para uma única conta: uma identidade única por pessoa, sem contas compartilhadas e remoção automatizada de contas inativas em 90 dias, pronto para evoluir para federação mais tarde.
- Crie um usuário IAM (ou principal federado) único por pessoa e proíba contas compartilhadas, para que cada ação seja atribuível.Acesso à conta
IAM - Detecte contas/credenciais inativas com o relatório de credenciais do IAM e desabilite ou remova-as em até 90 dias (8.2.6) com a regra gerenciada do AWS Config iam-user-unused-credentials-check e remediação automática (ou um Lambda agendado).Ciclo de vida de identidade IAM
AWS Config - Garanta que o CloudTrail atribua cada ação à identidade única para a responsabilização.Registro da conta
CloudTrail - Evolução: quando superar os usuários IAM locais, federe com o IdP corporativo via IAM Identity Center (entradas/saídas por SCIM). Observe que isso habilita o AWS Organizations.Ciclo de vida de identidade (à medida que escala)
IAM Identity Center
Como validar: Não há contas compartilhadas, cada pessoa tem uma identidade única, as contas inativas são desabilitadas/removidas em 90 dias (relatório de credenciais + remediação do Config), e o CloudTrail mostra ações ligadas a identidades únicas.
Evite: Um login «ops» compartilhado usado por várias pessoas, ou deixar usuários IAM inativos ativos indefinidamente. Dê a cada pessoa uma identidade única e automatize a remoção de contas inativas.
Uma única fonte de identidade federada governa os IDs únicos em todas as contas, e o desprovisionamento remove o acesso em todas de uma vez.
- Use o IAM Identity Center + IdP via SCIM como a única fonte de identidades únicas em todas as contas.Conta de identidade/segurança → OU de PCI IAM Identity Center
AWS Organizations - Desprovisione no IdP para que o acesso seja removido de cada conta simultaneamente.Ciclo de vida de identidade IAM Identity Center
- Preserve a atribuição única no CloudTrail central (trail de organização para a conta de log-archive).Conta de log-archive CloudTrail
Amazon S3
Como validar: Um único IdP governa as identidades em toda a organização, um usuário de teste que sai perde o acesso em todas as contas de uma vez, e o CloudTrail de organização atribui as ações de forma única.
Evite: Diretórios de usuários separados por conta. O desprovisionamento é esquecido em algum lugar; centralize a identidade com um IdP + SCIM.
Validação PCI
Procedimentos de teste
- Entrevistar o pessoal e examinar os logs de auditoria para verificar que cada usuário tem um ID único e que o acesso pode ser atribuído de forma única a indivíduos (8.2.1.a, 8.2.1.b).
- Examinar as listas de contas e as políticas para verificar que as credenciais compartilhadas só são usadas de forma excepcional e são gerenciadas em conformidade (8.2.2.a, 8.2.2.b).
- Examinar as fontes de informação de usuários desligados e as listas de acesso para verificar que os IDs de usuários desligados são desativados ou removidos (8.2.5.a).
- Examinar o processo de contas inativas para verificar que as contas inativas por mais de 90 dias são removidas ou desabilitadas (8.2.6).
Evidência na AWS
- Identidades IAM únicas (ou federação com o IdP) e ausência de contas compartilhadas.
- Relatório de credenciais do IAM e resultados da regra do AWS Config iam-user-unused-credentials-check mostrando contas inativas removidas/desabilitadas em 90 dias (8.2.6).
- Processo de provisionamento/desprovisionamento (SCIM, uma vez federado) e evidência de revogação oportuna.
- Eventos do CloudTrail atribuíveis a identidades únicas.
Abordagem personalizada
Requer uma análise de risco direcionada (Req 12.3.2).
Objetivo da abordagem personalizada
- 8.2 — Todas as ações de todos os usuários são atribuíveis a um indivíduo.
Serviços AWS
AWS IAM AWS Config AWS IAM Identity Center AWS CloudTrail Recursos de aprendizado
Referências
- PCI DSS v4.0.1 Requirement 8.2