SSO 组漂移导致供应商门户网站的访问权限审查变得棘手

我遇到了一个访问权限审查问题，起因是一个供应商门户网站。该门户使用了 SSO，但应用角色被映射到了一个曾用于其他项目的宽泛身份组。没人想过要过度授予访问权限。该组随着时间推移发生了"漂移"，当我们进行审查时，发现一些用户可以打开他们当前职位并不需要的报告。 解决方法不仅仅是从组中删除人员。我们首先将门户角色映射到实际的工作职能：查看者、账单管理员和运营管理员。然后，我们为每个角色创建了单独的身份组，并添加了了解业务流程的负责人。我提取了登录日志和最后使用时间戳，这样经理们就不会在盲目地审批名单。更改后，我们通过 SSO、SCIM 配置和取消配置对每个角色的一名用户进行了测试。 我从中得到的教训是，如果组设计草率，SSO 可能会给人一种虚假的控制感。身份验证没问题，但授权是薄弱环节。干净的 IdP 连接并不意味着合适的人在应用内拥有合适的角色。 最有帮助的报告很简单。它显示了每个角色的用户…