当前位置: 首页 > 业界动态 > 技术实现 > 本文


SaaS应用安全:风险与最佳实践




发布时间: 2013-1-5 9:29:02  

越来越多的组织转向了软件即服务(SaaS),把它做为解决企业需求的一种方法,而不必承担管理和维护应用的负担。作为SaaS的用户,你必须得到供应商的保证,他们是否充分保护你财产中的数据。但是一旦涉及到使用本地应用集成基于云的应用时,一致性和访问管理就是你的责任了。

集成SaaS和本地应用不会改变安全实践太多,随着更广泛的治理的产生。这成为了一个问题“你怎样建立一个规则,规定谁可以使用云资源,以及怎样使用,”Jason Bloomberg说,Dovel技术公司ZapThink的总裁。

“最初的考虑与身份管理有关。如果你有第三方的SaaS应用,那么你就不会发现所有内部用户的身份和权限,”Bloomberg说。例如,SaaS应用可能提供了访问权限控制,但它们不控制组织内部的使用权限。

另外,集成SaaS应用和本应用的组织冒着“暴露访问凭证,给恶意软件提供访问本地资源的权限”的风险,Scott Crawford说,他是企业管理协会(Enterprise Management Associates)的管理研究主管。“你想要保护凭证不受那样的利用。”

当本地应用需要与基于的应用交互是,本地应用就需要“告诉”基于云的应用,用户确实是得到正确的授权来做所有他或她想做的。这是通过授权标记到云上的一件事,Bloomberg解释说。然而,这并不如听起来那么简单,因为云不能总是理解用户使用的授权方式。

“云供应商对于用户供给品的细粒度控制有不同的支持,因此可以给各种不同的功能建议权限。通常,一个SaaS供应商给一个用户只提供一个登录,或允许你进入他们的系统和提供用户。它会根据内部用户的环境不同而设置不同。这变成了一项挑战。你怎样扩展你的身份管理到云中?” Bloomberg说。

在某些情况下,SaaS提供商可能提供功能使用企业身份访问他们的应用程序。例如,SalesForce最近介绍的SalesForce Identity,它提供了一个单一可靠的身份,可以用于访问所有企业应用。尽管如此,不是所有的SaaS供应商都提供这一功能,而且责任在于用户。

“从SaaS供应商的角度来看,所见即所得,”Bloomberg说。“面临的挑战是从根本上提供给内部用户产品用于使用第三方应用,然后建立和加强规范,规定谁可以使用那个应用,并在本质上联合身份到云上,”他说。

第三方解决方案就像来自于OktaSymplified所提供给SaaS应用的单点登录服务一样。这些联合身份验证技术依赖于一个标识,代表成功识别个人与企业注册,并且把这个标识传递给应用程序,而不用暴露,Crawford解释道。

联合身份验证技术位于本地非军事区(demilitarized zone),并管理着所有本地应用向SaaS应用的请求。“来自于本地的所有请求必须受到控制。而唯一的办法就是通过这个备用的治理工具。该是治理工具来决定是否所有请求得到正确授权,” Bloomberg说。

这些联合身份验证工具,也被称为云治理工具,云治理应用和身份管理即服务,是单点登录的产物。客观说,用户有单独的用户名和密码对于他们的本地应用程序。IT组织试图在这些资源中充分利用单点登录,并且已经成功地以一个用户名和登录,使用Microsoft Active Directory来支持用户访问微软资源。同样,联合身份验证允许用户登录到一个Web应用程序和进行其它访问。“我们现在来看看,通过更加无缝给用户受权,来扩展SaaS环境到一个更广的功能上,” Crawford说。

本文来源:51CTO

分享到:
阅读:1147次
推荐阅读:

版权所有 © 2011-2016 南京云创大数据科技股份有限公司(股票代码:835305), 保留一切权利。(苏ICP备11060547号-1)  
云创大数据-领先的云存储、大数据、云计算产品供应商