# Domein 5-II: Identity and Access Management (IAM) 

#security/cissp
#security/iam 

Volgorde is:
1. Identificatie
2. Authenticatie
3. Autorisatie

Identificatie is doorgaans eenmalig. Authenticatie gebeurt veelvuldig, bijvoorbeeld per sessie.

In opkomst is ‘continuous authentication’, bijv. Door monitoring van je toetsaanslag-ritme of face scanning.

IAMS on premise omgeving:
* Identificatie doorgaans op HR afdeling bij indiensttreding, registratie in het HR systeem (fungeert dan als source).
* IAM systeem detecteert relevante ‘events’ in het source systeem en verzorgt via ‘connectors’ de account-creatie op de verschillende achterliggende systemen, Inc. de benodigde rechten. Dit proces heet provisioning.
* Oplossingen worden ook geleverd als Identity-as-a-Service (IDaas).
* Idealiter ondersteunt een dergelijke oplossing alle relevante employee journey events, bijv. uitdiensttreding.

De synchronisatie tussen source systeem en IDaas provider kan verlopen volgens het SCIM-protocol (System for Cross-Domain Identity Management) via RESTful API’s.

## Slide 54
Een variant werkt obv Attribute providers. Attribute providers zijn bijv. je gemeente, je bank en de DUO. Gemeente bevestigt je leeftijd en woonplaats, de bank je kredietwaardigheid, en de DUO je opleidingsniveau. 

Voor toegang tot bepaalde services deel je dan via een app de benodigde attributen.

Bekende NL implementatie is IRMA (I Reveal My Attribute). Bart Jacobs van de Universiteit van Nijmegen.

Zwakte is dat er voor veel attribute providers geen driver is om tijd en moeite te steken in de connectie en de levering.

[XACML on WikiPedia](https://en.wikipedia.org/wiki/XACML): PIP, PEP, PAP en PDP

![](960px-XACML_Architecture_%26_Flow.png)
Uitdagingen zijn de complexiteit en de externalizations van autorisaties (die doorgaans binnen de applicaties worden geregeld). De applicaties en services moeten daarvoor wel geschikt zijn. 

ABAC is fine-grained autorisatie, RBAC is course-grained.

Autorisatie principes:
1. Need to know - is toegang noodzakelijk
2. Least privilege - wat moet je er mee kunnen doen
3. Functiescheiding - voorkomen ongeoorloofde handelingen
