Topik ini menjelaskan kepada pengguna akhir cara menggunakan PAM melalui portal IDaaS: masuk melalui SSO platform cloud dan mengajukan izin self-service (JIT). Fitur ini memungkinkan Anda mengakses sumber daya cloud secara aman serta secara otomatis mencabut akses tersebut setelah periode penggunaan berakhir.
Prasyarat
Anda telah memiliki akun IDaaS dan alamat portal dari administrator Anda. Alamat tersebut berbentuk https://xxxxxxxx.cloud-idaas.com dan tercantum di bawah “IDaaS sign-in address” pada halaman Quick Start di Konsol IDaaS.
SSO platform cloud
SSO platform cloud memungkinkan Anda menggunakan izin yang telah dimiliki. Setelah masuk ke portal, pilih akun cloud target dan role yang terkait dengan templat izin, lalu cukup satu klik untuk masuk ke konsol penyedia cloud tersebut. Anda tidak memerlukan username atau password akun tersebut dan tidak menyimpan AccessKey apa pun; sistem akan memberikan kredensial temporary yang terikat pada role tersebut, berlaku selama periode tertentu, dan langsung kedaluwarsa setelah masa berlakunya habis.
Akun dan role yang ditampilkan ditentukan oleh tiga lapisan konfigurasi di sisi administrator:
-
Akun cloud telah dikelola dan akses istimewanya diaktifkan.
-
Templat izin telah diaktifkan.
-
Anda termasuk dalam cakupan aturan otorisasi yang diaktifkan dan masih berada dalam masa berlakunya.
Jika salah satu lapisan tidak terpenuhi, entri tersebut tidak akan ditampilkan. Jika entri akun yang diharapkan tidak muncul, periksa secara berurutan: status switch akses istimewa akun tersebut, status templat izin, lalu status, masa berlaku, dan identitas yang terkait dengan aturan otorisasi.
Pengajuan izin
Pengajuan izin merupakan mekanisme self-service ketika Anda belum memiliki izin tertentu, yaitu JIT on-demand. Portal menampilkan daftar templat izin yang dapat diajukan, yang ditentukan oleh cakupan pengajuan masing-masing templat: templat “all users” terlihat oleh semua pengguna, sedangkan templat berskala hanya terlihat oleh akun, kelompok, atau organisasi tertentu.
Pilih templat, masukkan alasan dan masa berlaku yang diinginkan, lalu tiket permintaan akan muncul dengan status pending di halaman Ticket Approval administrator. Setelah disetujui, sistem membuat aturan otorisasi dengan sumber “generated from ticket” sesuai periode yang Anda minta; di portal, entri akun baru tersebut akan muncul dan Anda dapat masuk melalui SSO. Saat periode berakhir, otorisasi tersebut dicabut secara otomatis, entri menghilang, dan tidak memerlukan pembersihan manual oleh administrator.
Jika administrator menolak permintaan, tiket akan ditandai sebagai rejected dan tidak ada izin yang diberikan. Sebelum diproses, Anda juga dapat mencabut permintaan sendiri, dan tiket tersebut akan ditandai sebagai revoked.
Berikut dua tips untuk pengguna akhir:
-
Jelaskan secara jelas aktivitas yang akan Anda lakukan dan sumber daya yang terlibat; hal ini secara langsung memengaruhi kecepatan persetujuan permintaan Anda.
-
Ajukan hanya masa berlaku yang benar-benar Anda butuhkan. Hindari langsung meminta durasi maksimum: semakin singkat Anda memegang suatu izin, semakin kecil blast radius jika terjadi insiden.