Тенанты

Тенант (tenant) — это логический контейнер, обеспечивающий безопасное и независимое управление идентификацией и доступом для разных групп пользователей в рамках одной системы.

Возможности:

• Разделение доступа. Тенанты изолируют данные и права доступа для разных групп пользователей.
• Повышенная безопасность. Изоляция тенантов предотвращает несанкционированный доступ или утечку данных между различными клиентами CIAM.
• Гибкое управление. Администраторы могут независимо друг от друга управлять тенантами.
• Масштабирование. CIAM можно расширить, добавляя новые тенанты или пользователей.

Тенанты создаются с помощью конфигурационного файла bootstrap.yml или через IAM Admin (подробнее — в разделе Настройки тенанта).

Для каждого тенанта определяются базовые параметры, задающие границы и правила его функционирования:

• обязательность установки срока действия для назначаемых ролей;
• парольная политика, применяемая к пользователям тенанта;
• обязательность установки срока жизни сессии пользователя;
• максимальное количество федераций в тенанте;
• обязательность установки срока жизни PAT-токена;
• установка срока жизни ссылок-приглашений для новых пользователей.

Парольная политика — это набор правил, призванных повысить устойчивость паролей к компрометации за счет регулирования их сложности, периодичности смены и защиты от подбора.

К настраиваемым параметрам парольной политики относятся:

• Требования к сложности пароля:

  • Минимальная длина пароля, например не менее 8 символов. Отдельно для пользователя, администратора или суперадминистратора.

  • Максимальная длина пароля.

  • Обязательное использование символов разных типов: заглавные и строчные буквы, цифры, специальные символы (например !, @, # и другие).

  • Пароль не должен содержать запрещенные слова, указанные в словаре тенанта.

    Управление словарем происходит в IAM Admin. Подробнее — в разделе Настройка словаря.

• Ограничения по срокам действия и истории:

  • Срок жизни первого пароля.
  • Срок жизни пароля, например обязательная смена каждые 90 дней.
  • Срок жизни ссылки на установку нового пароля, например ссылка активна 24 часа.
  • Запоминание истории паролей: количество предыдущих паролей, которые не могут быть использованы повторно (например последних 5).

• Настройка алгоритмов хеширования паролей: BCrypt или Argon2id.

  Для настройки алгоритма воспользуйтесь инструкцией в разделе Настройка политики хеширования.

• Требования по защите от атак подбора:

  • Блокировка учетной записи после нескольких неудачных попыток ввода (например 5 раз).
  • Время блокировки УЗ при превышении допустимого количества попыток ввода неверного пароля.
  • Возможность проверки пароля на включение запрещенных слов из словаря.