Porządki w katalogu tożsamości: jak posprzątać i utrzymać porządek

Dlaczego katalogi z czasem obrastają bałaganem

Katalog to żywy rejestr tego, kto pracuje w firmie i do czego ma dostęp. Problem w tym, że zdarzenia, które powinny usuwać wpisy, są cichsze niż te, które je dodają.

Kiedy ktoś dołącza do firmy, ktoś zakłada mu konto, bo bez niego nie da się pracować. Presja jest natychmiastowa, a właściciel oczywisty. Kiedy ktoś odchodzi, konto powinno zniknąć, ale presja jest słabsza. Wyłączenie konta zwykle wystarcza, żeby dana osoba nie mogła się już zalogować, więc pilna część jest załatwiona, a faktyczne usunięcie ląduje na liście, do której nikt nie wraca. Konto zostaje, wyłączone, na zawsze.

Ta sama asymetria przechodzi przez wszystko inne. Zaczyna się projekt, więc ktoś zakłada grupę dla jego wspólnego dysku. Projekt się kończy, ale żadne zdarzenie nie uruchamia usunięcia grupy, więc ona zostaje, dając dostęp do folderu, którego nikt już nie otwiera. Zespół automatyzuje nocny eksport danych za pomocą konta serwisowego. Rok później automatyzacja zostaje zastąpiona, ale konto serwisowe nigdy nie trafia na emeryturę, bo jego wygaszenie oznacza ustalenie, czy coś jeszcze od niego zależy, a to trudniejsze niż zostawienie go w spokoju.

Po kilku latach powstaje katalog, w którym spora część kont i grup nie odpowiada już niczemu realnemu. Każde z nich powstało z dobrego powodu. Żadne nie miało momentu, który wymusiłby jego usunięcie. Katalog nie gnije przez jedną złą decyzję, tylko przez stałą nieobecność decyzji o usunięciu.

To ma znaczenie wykraczające poza samą estetykę. Każde konto i każda grupa, która wciąż działa, to drzwi, które wciąż się otwierają. Konto, którego nikt nie pilnuje, to konto, którego nadużycia nikt nie zauważy, i właśnie dlatego uśpione i osierocone konta są ulubioną drogą atakujących. Są legalne, wciąż działają i nikt na nie nie zwraca uwagi.

Co posprzątać: sześć typów bałaganu

Porządki w katalogu stają się łatwiejsze do ogarnięcia, kiedy wiesz, czego szukasz. Większość bałaganu dzieli się na sześć rozpoznawalnych typów. Każdy ma inną przyczynę i nieco inne rozwiązanie, ale łączy je ta sama historia: coś powstało z powodu, którego już nie ma.

Konta wyłączone, ale nieusunięte

Kiedy ktoś odchodzi, naturalnym odruchem jest wyłączenie konta zamiast jego usunięcia. Wyłączenie to dobry pierwszy krok, bo jest natychmiastowy i odwracalny. Problem w tym, że drugi krok, usunięcie, rzadko następuje, więc katalog zapełnia się wyłączonymi kontami, które latami stoją nietknięte.

Wyłączone konto jest znacznie bezpieczniejsze niż aktywne, bo nie da się nim zalogować. Nie jest jednak niegroźne. Zaśmieca każdy przegląd, więc prawdziwe znaleziska giną w liście dawno martwych kont. Czasem może zostać ponownie włączone przez atakującego, który przejmie konto administratora. I trzyma przy sobie nieaktualne członkostwa w grupach i uprawnienia, przez co obraz tego, kto ma do czego dostęp, pozostaje bardziej mętny, niż powinien. To najłatwiejszy do posprzątania typ i zwykle najliczniejszy.

Konta osierocone bez właściciela

Konto osierocone to takie, które nie ma obecnego właściciela: nikogo, kto potrafiłby powiedzieć, do czego służy, dlaczego istnieje albo co by się zepsuło, gdyby je usunąć. Powstają, kiedy osoba, która utworzyła konto albo była jego właścicielem, odchodzi, albo kiedy konto założono do jednorazowego celu i po prostu o nim zapomniano.

Konta osierocone są trudniejsze do ogarnięcia niż wyłączone, bo bezpieczne działanie nie jest oczywiste. Nie da się potwierdzić z właścicielem, że konto nie jest już potrzebne, kiedy nie ma kogo zapytać. Ustalenie, do czego służy osierocone konto, często przez sprawdzenie jego uprawnień i historii logowań, to jedna z wolniejszych części każdych porządków i jedna z ważniejszych.

Nieaktualne konta zewnętrzne i gościnne

Współczesne katalogi są pełne tożsamości, które nie należą do pracowników: kont gościnnych dla kontraktorów, partnerów, audytorów i dostawców, oraz użytkowników zewnętrznych zaproszonych do wspólnej przestrzeni roboczej na potrzeby jednego projektu. Powstają szybko, na czasowo ograniczoną potrzebę, a offboarding jest luźny, bo dana osoba nigdy tak naprawdę nie była pod waszym zarządzaniem.

Konto gościnne, którego zaangażowanie skończyło się miesiące temu, to zewnętrzny podmiot z działającym loginem do waszego środowiska. Ponieważ te tożsamości siedzą na obrzeżach katalogu i nigdy nie były powiązane z systemem HR, prawie nigdy nie łapie ich offboarding nastawiony na pracowników. Trzeba je przeglądać jako osobną kategorię.

Uśpione konta serwisowe

Konta serwisowe uruchamiają skrypty, integracje i automatyzacje. Z definicji nie mają przypisanej osoby, i właśnie dlatego trwają dalej, kiedy zadanie, do którego powstały, znika. Konto serwisowe, które uruchamiało nocny eksport dla integracji zastąpionej w zeszłym roku, jest uśpione: wciąż istnieje, wciąż trzyma uprawnienia, jakie mu przyznano, i obecnie nikt nie wie, co by się zepsuło, gdyby je wyłączyć.

Konta serwisowe zasługują na szczególną uwagę, bo często mają uprawnienia uprzywilejowane. CyberArk 2025 Identity Security Landscape podaje około 82 tożsamości maszynowe na jednego człowieka, z czego 42% ma dostęp uprzywilejowany lub wrażliwy. Uśpione konto serwisowe ze stałym dostępem uprzywilejowanym, hasłem, które być może nie zmieniło się od lat, i bez obecnego właściciela to jedno z bardziej ryzykownych znalezisk w każdym katalogu.

Nieużywane i zagnieżdżone grupy

Grupy nadają dostęp na skalę i narastają tak samo jak konta. Grupa powstaje na potrzeby projektu, listy dystrybucyjnej, wspólnego zasobu albo pakietu dostępu, a potem powód jej istnienia znika, choć sama grupa zostaje. Narastają dwa wzorce błędów.

Pierwszy to nieużywane grupy: takie, które dają dostęp do zasobu, którego nikt już nie używa, albo nie mają członków, albo wszyscy ich członkowie odeszli. Drugi to grupy zagnieżdżone, gdzie grupy siedzą wewnątrz innych grup, które siedzą wewnątrz kolejnych grup, aż nikt nie potrafi powiedzieć, jaki dostęp faktycznie daje członkostwo w grupie najwyższego poziomu. Zagnieżdżanie samo w sobie jest legalną techniką, ale niekontrolowane zagnieżdżanie to jeden z głównych powodów, dla których firmy tracą orientację, kto ma do czego dostęp, i tam właśnie kryje się sporo ukrytego nadmiarowego dostępu.

Zduplikowane tożsamości

Z czasem ta sama osoba może mieć więcej niż jedną tożsamość: migrację, która nie połączyła się czysto, kontraktora, który później został pracownikiem na nowym koncie, zmianę konwencji nazewnictwa, po której stare i nowe konto istnieją obok siebie, kogoś założonego pod dwoma nieco innymi adresami e-mail.

Duplikaty rozbijają obraz sytuacji. Wyłączenie jednego konta osoby odchodzącej nic nie daje, jeśli drugie konto tej samej osoby wciąż działa. Przegląd, który patrzy tylko na jedną tożsamość, przeoczy dostęp przypisany do drugiej. Znalezienie i skonsolidowanie duplikatów sprawia, że reszta katalogu staje się wiarygodnym zapisem tego, kto jest kim.

Jednorazowa sekwencja porządków

Pierwsze porządki to projekt. Celem jest przejście od katalogu, za który nie możesz ręczyć, do takiego, za który możesz, bez wyłączania czegoś, co jednak okaże się ważne. Sekwencja poniżej realizuje to, zawsze trzymając odwracalny krok między tobą a błędem. Kolejność liczy się bardziej niż szybkość.

Krok 1: zinwentaryzuj wszystko

Nie posprzątasz czegoś, czego nie spisałeś. Wyeksportuj z katalogu pełny zestaw kont i pełny zestaw grup. Dla każdego konta zapisz podstawy: włączone czy wyłączone, data ostatniego logowania, typ konta (pracownik, zewnętrzne albo gościnne, konto serwisowe) i członkostwa w grupach. Dla każdej grupy zapisz jej członków, do czego daje dostęp, jeśli da się to ustalić, oraz czy jest zagnieżdżona w innych grupach albo sama zawiera inne grupy.

Celem na tym etapie nie jest niczego naprawiać. Chodzi o to, żeby uczciwie zobaczyć kształt problemu. Wystarczy arkusz, który można sortować i filtrować. Dwie kolumny, które zrobią najwięcej roboty, to data ostatniego logowania i typ konta, bo zamieniają długą płaską listę w coś, co da się posegregować według priorytetu.

Krok 2: znajdź nieaktualne pozycje

Mając inwentarz, posegreguj kandydatów do sześciu typów. Większość tego to proste filtrowanie.

• Konta wyłączone są już oznaczone jako wyłączone. Wypisz je wszystkie.
• Konta osierocone to te bez oczywistego właściciela: bez odpowiadającego im obecnego pracownika, bez zapisanego celu. Zestawienie listy kont z systemem HR szybko wyłapuje większość z nich, bo każde konto, które nie pasuje do nikogo obecnie zatrudnionego, jest kandydatem.
• Nieaktualne konta zewnętrzne i gościnne to tożsamości typu zewnętrznego ze starymi datami ostatniego logowania albo minioną datą zakończenia współpracy.
• Uśpione konta serwisowe to konta typu serwisowego bez niedawnej aktywności. Sygnałem jest długa przerwa w dacie logowania albo ostatniego użycia.
• Nieużywane grupy to grupy bez członków, albo takie, których wszyscy członkowie odeszli, albo wskazujące na zasoby, których nikt nie używa. Zagnieżdżone grupy pojawiają się tam, gdzie członkostwo grupy samo składa się z grup.
• Zduplikowane tożsamości wychodzą na jaw, kiedy sortujesz po nazwie i po osobie, szukając tego samego człowieka pojawiającego się dwukrotnie.

Próg ostatniego logowania albo ostatniego użycia, zwykle dziewięćdziesiąt dni, to najbardziej użyteczny pojedynczy filtr, który zamienia długą listę w krótką listę rzeczy do zbadania. Uśpienie to mocny sygnał, że konto albo grupa nie są już potrzebne, ale to sygnał do sprawdzenia, nie wyrok.

Krok 3: potwierdź z właścicielami

Zanim cokolwiek zmienisz, potwierdź. Dla każdego kandydata znajdź osobę, która potrafi powiedzieć, czy jest wciąż potrzebny: menedżera osoby, która odeszła, właściciela integracji stojącej za kontem serwisowym, zespół, który sponsorował grupę projektową, sponsora gościa. Zadaj proste pytanie. Czy to jest wciąż potrzebne i co się zepsuje, jeśli to zniknie.

Ten krok odróżnia bezpieczne porządki od awarii. Konta wyłączone i wyraźnie należące do osób, które odeszły, wymagają niewiele potwierdzenia. Najwięcej potrzebują go konta serwisowe i grupy, bo często stoją pod czymś działającym, a koszt wyłączenia niewłaściwego to zepsuta automatyzacja albo zespół zablokowany na dostępie do zasobu. Konta osierocone to trudny przypadek: kiedy naprawdę nie ma kogo zapytać, opierasz się na sprawdzeniu uprawnień i historii konta, żeby ocenić ryzyko jego usunięcia, a okres wyłączenia i odczekania z kolejnego kroku traktujesz jako swoją siatkę bezpieczeństwa.

Krok 4: wyłącz, odczekaj, potem usuń

Porządki to dwa ruchy z przerwą między nimi, nigdy jeden ruch.

Najpierw wyłącz. Wyłączenie konta, usunięcie członków z grupy albo zawieszenie konta serwisowego jest odwracalne i natychmiastowe. Zatrzymuje dostęp, podczas gdy potwierdzasz, że nic ważnego od niego nie zależało. Nic nie zostaje zniszczone, więc jeśli się pomyliłeś, włączasz z powrotem i idziesz dalej.

Potem odczekaj. Zostaw wyłączone konta i opróżnione grupy na miejscu na zdefiniowany okres karencji. Częsty schemat to trzydzieści dni dla zwykłych kont i dłużej dla kont serwisowych i grup, które mogą stać za procesem miesięcznym albo kwartalnym, bo niektóre zależności wychodzą na jaw dopiero, kiedy uruchomi się kolejne zadanie okresowe, które ich potrzebuje. Okres odczekania to cały sens tego kroku: to okno, w którym pominięta zależność zgłasza się jako skarga, a nie jako ciche uszkodzenie, które odkryjesz dopiero za miesiące.

Na koniec usuń. Kiedy okres karencji minie bez problemów, usuń konto albo grupę na stałe. To usunięcie faktycznie sprząta katalog, więc te same martwe wpisy nie wracają w kolejnym kwartalnym przeglądzie jako rzeczy do zbadania od nowa. Zapisz, co usunąłeś, kiedy i dlaczego, żeby porządki zostawiły ślad, który możesz pokazać audytorowi, i punkt odniesienia, od którego zacznie się kolejny przegląd.

Jak utrzymać porządek

Jednorazowe porządki dają czysty katalog na kilka miesięcy. Potem ta sama asymetria, która wywołała bałagan, zaczyna produkować go od nowa, bo ludzie wciąż odchodzą, projekty wciąż się kończą, a same porządki niczego nie zmieniły w zdarzeniach, które powodują dryf. Utrzymanie porządku polega na dodaniu zdarzeń usuwających, których katalogowi z natury brakuje.

Proces dla osób odchodzących, który faktycznie usuwa dostęp

Najważniejszym pojedynczym nawykiem jest proces dla osób odchodzących, który niezawodnie i szybko dociera do katalogu. Kiedy ktoś odchodzi, jego konto powinno zostać wyłączone tego samego dnia i usunięte po okresie karencji, jego członkostwa w grupach usunięte, a wszelkie konta serwisowe albo współdzielone dane uwierzytelniające, których był właścicielem, przepisane albo zrotowane. Najtrwalsza wersja tego procesu jest napędzana zdarzeniem w systemie HR, a nie zgłoszeniem, o którym ktoś musi pamiętać, żeby je złożyć, więc usunięcie uruchamia się automatycznie, kiedy zmienia się status osoby. Problem osób odchodzących to największe pojedyncze źródło rozpadu katalogu, a proces dla osób odchodzących, który naprawdę usuwa dostęp, jest tym, co powstrzymuje jego odradzanie się.

Okresowe przeglądy

Ustal regularny rytm, w którym osoby będące właścicielami systemów, grup i kont serwisowych potwierdzają, że to, co posiadają, jest wciąż potrzebne i wciąż poprawne. Częsty schemat to kwartalnie dla najbardziej wrażliwego i uprzywilejowanego dostępu, rzadziej dla dostępu niskiego ryzyka. Przeglądy to kontrola, która wyłapuje to, co przeoczył proces dla osób odchodzących: gościa, który nigdy nie miał przypisanej daty końca, konto serwisowe, którego zadanie po cichu się skończyło, grupę, której projekt się zamknął. Przegląd, który jest tylko formalnością, produkuje papiery bez ochrony, więc ogranicz zakres każdego przeglądu do dostępu, który faktycznie ma znaczenie, i przedstaw go w formie, którą zajęty właściciel naprawdę może ocenić.

Konwencje nazewnictwa

Duża część trudności w porządkach bierze się stąd, że nie da się na pierwszy rzut oka rozpoznać, czym coś jest. Konwencja nazewnictwa naprawia to u źródła. Konta serwisowe nazwane tak, żeby od razu było widać, że to konta serwisowe. Grupy nazwane tak, żeby ich cel i właściciel byli czytelni z samej nazwy. Konta zewnętrzne i gościnne oznaczone jako zewnętrzne. Kiedy nazwa mówi, czym jest dany obiekt i po co istnieje, każdy przyszły przegląd i każde przyszłe porządki idą szybciej, bo czytasz katalog, zamiast go rekonstruować. Konwencje działają tylko wtedy, kiedy są stosowane w momencie tworzenia obiektów, dlatego ich miejsce jest w procesie onboardingu i provisioningu, nie tylko przy porządkach.

Właściciel dla każdej grupy i konta serwisowego

Najgłębszą przyczyną kont osieroconych i nieużywanych grup jest to, że nigdy nikt nie ponosił za nie odpowiedzialności. Rozwiązaniem jest wymaganie właściciela już w momencie tworzenia. Każda grupa i każde konto serwisowe powinny mieć nazwaną osobę albo rolę, odpowiedzialną za to, czy powinny nadal istnieć. Właściciel to ten, kogo pyta przegląd, z kim potwierdzają się porządki i kto ma wygasić obiekt, kiedy powód jego istnienia się kończy. Obiekt z obecnym właścicielem nie staje się osierocony, bo zawsze jest ktoś, kto za niego odpowiada. Obiekt utworzony bez właściciela jest przyszłym znaleziskiem porządków od momentu, w którym powstaje.

Razem te cztery nawyki zmieniają ekonomię, która wywoływała rozpad. Proces dla osób odchodzących i przypisanie właścicieli dodają zdarzenia usuwające, których brakowało katalogowi. Przeglądy wyłapują to, co one przeoczą. Konwencje nazewnictwa czynią to wszystko czytelnym. Katalog wciąż dryfuje, bo dryf jest stanem domyślnym, ale na tyle wolno, że lekki okresowy przegląd utrzymuje porządek, zamiast pozwalać mu narastać w kolejny pełny projekt porządkowy.

Źródła

• Beyond Identity, Former Employees study (Feb 2022) · https://www.beyondidentity.com/announcements/beyond-identity-study-shows-former-employees-are-likely-to-continue-accessing-old-employer-information (83% byłych pracowników zachowało dostęp do konta poprzedniego pracodawcy, dane deklaratywne)
• CyberArk 2025 Identity Security Landscape · https://www.cyberark.com/threat-landscape/ (około 82 tożsamości maszynowe na jednego człowieka; 42% tożsamości maszynowych ma dostęp uprzywilejowany lub wrażliwy)
• NIST SP 800-53 Rev. 5, AC-2 Account Management · https://csf.tools/reference/nist-sp-800-53/r5/ac/ac-2/ (wyłączanie i usuwanie kont, monitorowanie uśpionych i osieroconych kont)