Quản lý định danh & Truy cập

1. Lý thuyết cốt lõi / Core theory

1.1. Vòng đời Identity (Identity lifecycle: Joiner · Mover · Leaver)

Quản lý identity không phải chỉ là tạo tài khoản — phải quản lý toàn bộ vòng đời và rủi ro tại mỗi giai đoạn:

1.2. Federated Identity: SAML, OAuth2, OIDC (Federation protocols deep dive)

SAML 2.0 (Security Assertion Markup Language) — XML-based, dùng cho enterprise SSO:

• Actors: Identity Provider (IdP) — xác thực user (Entra ID, Okta, ADFS). Service Provider (SP) — ứng dụng cần access. User Agent — browser.
• SP-initiated flow: User → SP → redirect to IdP → authenticate → SAML Assertion (XML signed) → POST back to SP → access granted. Dùng cho B2B federation, enterprise apps.
• Assertion types: Authentication, Attribute (user attributes), Authorization Decision.

OAuth 2.0 — authorization framework (không authentication), JSON/REST-based:

• Authorization Code Grant: Phổ biến nhất cho web apps — code exchange qua backchannel (an toàn nhất).
• Client Credentials Grant: Machine-to-machine (M2M), không có user — service accounts, microservices.
• PKCE (Proof Key for Code Exchange): Bắt buộc cho mobile/SPA apps — ngăn authorization code interception.

OIDC (OpenID Connect) — layer xác thực trên OAuth2. Thêm ID Token (JWT) chứa user identity. Access Token cho API access, ID Token cho identity. Claims: sub (subject/user ID), iss (issuer), aud (audience), exp (expiry), iat (issued at).

1.3. Privileged Access Management & Identity Governance (PAM/PIM & IGA)

PAM components:

• Credential Vaulting: Admin passwords lưu trong encrypted vault (CyberArk, BeyondTrust, HashiCorp Vault). Auto-rotate sau mỗi lần checkout. Admin chỉ biết password của session đó.
• Just-in-Time (JIT) Access: Request → Approve → Grant time-limited elevated access → Auto-expire. Azure AD Privileged Identity Management (PIM) là ví dụ điển hình.
• Session Recording: Full keystroke + screen capture cho mọi privileged session. Lưu trữ immutable để forensic. Deterrence effect — admin biết mình bị watch.
• Dual Authorization: Hành động quan trọng (delete production DB, export customer data) cần 2 người phê duyệt đồng thời.

IGA (Identity Governance & Administration):

• Access Reviews (Recertification): Định kỳ (quarterly/annual) gửi email cho Manager: "Nhân viên X có cần quyền Y không?" Manager phê duyệt/revoke. Tự động revoke nếu không response.
• SoD (Separation of Duties) Enforcement: Rule engine: "Ai có role Finance-AP không được có role Finance-AR." Phát hiện và alert khi có SoD violation.
• Role Mining: Phân tích access patterns của tất cả users để xác định "role tự nhiên" → RBAC roles phù hợp với thực tế, không phải lý thuyết.

1.4. Sinh trắc học & Xác thực không mật khẩu (Biometrics & passwordless)

Biometric accuracy metrics — quan trọng cho CISSP:

FAR và FRR có quan hệ nghịch: giảm FAR (tăng security) → tăng FRR (giảm usability) và ngược lại. CER là điểm cân bằng — hệ thống tốt có CER thấp.

FIDO2/WebAuthn — chuẩn xác thực không mật khẩu được W3C và FIDO Alliance phát triển:

• Dùng public-key cryptography: private key lưu trong authenticator (hardware key, TPM, phone Secure Enclave), public key đăng ký tại server.
• Phishing-resistant: private key không bao giờ rời thiết bị, không có password để steal/phish.
• Passkeys (Apple/Google/Microsoft): FIDO2 credential được sync qua cloud — UX của password với security của hardware key.
• Loại authenticator: Platform (built-in — Face ID, Windows Hello) và Roaming (external — YubiKey, FIDO2 USB/NFC).

1.5. Cloud IAM & Directory Services (Azure Entra ID, AWS IAM, LDAP/AD)

Azure Entra ID (formerly Azure AD) là Identity Provider hiện đại nhất cho enterprise:

• Conditional Access Policies: If (user + location + device + app + risk) → then (allow/MFA/block). Risk-based authentication — tự động yêu cầu MFA nếu sign-in risk cao (impossible travel, leaked credential).
• PIM (Privileged Identity Management): Eligible vs Active assignments. JIT access với approval workflow và time bound. Mọi activation được audit.
• Identity Protection: ML-based risk detection — risky users, risky sign-ins. Tích hợp với Conditional Access để auto-remediate (force password change, block).

AWS IAM best practices: Không dùng root account, IAM roles thay vì IAM users cho EC2/Lambda, SCPs (Service Control Policies) ở Organizations level, Access Analyzer để phát hiện public S3/IAM policies.

2. Bài thực hành / Hands-on labs

Lab 1 — Azure Entra ID PIM Audit & Privileged Role Review (PowerShell + Azure CLI)

OS: Bất kỳ · Tool: PowerShell 7 + Az module + Azure CLI (az)

1. Đăng nhập: Connect-AzAccount và az login
2. Chạy audit privileged roles:

# === AZURE ENTRA ID IAM AUDIT ===

Write-Host "=== 1. All Users Overview ===" -ForegroundColor Cyan
az ad user list --query "[].{Name:displayName,UPN:userPrincipalName,Enabled:accountEnabled,LastSignIn:signInActivity}" \
    -o table 2>/dev/null | head -20

Write-Host "`n=== 2. Global Admins (highest risk role) ===" -ForegroundColor Cyan
az ad group list --display-name "Global Administrators" --query "[0].id" -o tsv 2>/dev/null | \
    xargs -I{} az ad group member list --group {} --query "[].{Name:displayName,UPN:userPrincipalName}" -o table 2>/dev/null

Write-Host "`n=== 3. Owner role assignments (all subscriptions) ===" -ForegroundColor Cyan
az role assignment list --all \
    --query "[?roleDefinitionName=='Owner'].{Principal:principalName,Type:principalType,Scope:scope}" \
    -o table 2>/dev/null

Write-Host "`n=== 4. Service Principals with Owner role (risky) ===" -ForegroundColor Cyan
az role assignment list --all \
    --query "[?roleDefinitionName=='Owner' && principalType=='ServicePrincipal'].{SP:principalName,Scope:scope}" \
    -o table 2>/dev/null

# PowerShell Az module
Write-Host "`n=== 5. Check for permanent privileged role assignments ===" -ForegroundColor Cyan
Import-Module Az.Resources -ErrorAction SilentlyContinue
Get-AzRoleAssignment |
    Where-Object { $_.RoleDefinitionName -in @("Owner","Contributor","User Access Administrator") } |
    Select-Object DisplayName, RoleDefinitionName, Scope |
    Format-Table -AutoSize

Write-Host "`n=== 6. Stale accounts (not signed in 90+ days) ===" -ForegroundColor Cyan
$threshold = (Get-Date).AddDays(-90).ToString("yyyy-MM-ddTHH:mm:ssZ")
az ad user list --query "[?signInActivity.lastSignInDateTime < '$threshold'].{Name:displayName,UPN:userPrincipalName,LastSignIn:signInActivity.lastSignInDateTime}" \
    -o table 2>/dev/null | head -15

Lab 2 — Linux PAM Configuration & LDAP Integration Check (Bash)

OS: Ubuntu 22.04 joined to Active Directory · Tool: Bash + ldap-utils + sssd

#!/bin/bash
# === LINUX PAM & LDAP/AD INTEGRATION AUDIT ===

echo "=== 1. LDAP User Discovery (AD-joined Linux) ==="
ldapsearch -x -H ldap://dc.corp.local \
    -b "dc=corp,dc=local" \
    "(objectClass=user)" \
    sAMAccountName displayName memberOf 2>/dev/null | \
    grep -E "sAMAccountName|displayName" | head -30

echo -e "\n=== 2. SSSD Configuration Check ==="
if [ -f /etc/sssd/sssd.conf ]; then
    grep -E "domains|id_provider|auth_provider|access_provider|ldap_uri" /etc/sssd/sssd.conf
else
    echo "SSSD not configured - not AD-joined"
fi

echo -e "\n=== 3. Who can sudo? (privilege audit) ==="
cat /etc/sudoers 2>/dev/null | grep -v "^#" | grep -v "^$"
ls /etc/sudoers.d/ 2>/dev/null

echo -e "\n=== 4. Group membership check ==="
id username 2>/dev/null || id $USER
getent group sudo
getent group wheel 2>/dev/null
getent group adm

echo -e "\n=== 5. PAM configuration for SSH ==="
cat /etc/pam.d/sshd | grep -v "^#" | grep -v "^$"

echo -e "\n=== 6. Password policy enforcement ==="
grep -E "minlen|minclass|maxrepeat|dcredit|ucredit|lcredit|ocredit" \
    /etc/security/pwquality.conf 2>/dev/null || \
    grep -E "PASS_MIN_LEN|PASS_MAX_DAYS|PASS_MIN_DAYS" /etc/login.defs

echo -e "\n=== 7. Account lockout policy ==="
grep -E "deny|unlock_time|fail_interval" /etc/pam.d/common-auth 2>/dev/null || \
    grep "pam_faillock\|pam_tally" /etc/pam.d/system-auth 2>/dev/null

echo -e "\n=== 8. MFA enforcement (Google Authenticator PAM) ==="
grep -r "pam_google_authenticator\|pam_duo\|pam_radius" /etc/pam.d/ 2>/dev/null | head -5

3. Tình huống doanh nghiệp / Enterprise scenario

4. Tự kiểm tra / CISSP-style knowledge check

1. Nhân viên IT chuyển sang làm Manager 3 lần trong 5 năm. Hiện tại họ có quyền của IT Admin, Finance Viewer, và Operations Manager. Đây là biểu hiện của vấn đề gì? Giải pháp kiểm soát nào phù hợp nhất?
2. App mobile cần cho phép user login bằng Google account, sau đó dùng access token để đọc Google Calendar. Nên dùng SAML, OAuth2, hay OIDC? Giải thích lý do chọn và loại flow phù hợp.
3. Hệ thống vân tay có FAR=0.001% và FRR=5%. Hệ thống khuôn mặt có FAR=0.1% và FRR=0.5%. Hệ thống nào phù hợp hơn cho data center access (bảo mật cao), và hệ thống nào phù hợp cho office check-in (tiện lợi)?
4. CISO muốn triển khai JIT access cho database admins. Giải thích quy trình từ request đến revoke và tại sao đây tốt hơn standing privilege.
5. FIDO2 WebAuthn được gọi là "phishing-resistant." Giải thích cơ chế kỹ thuật tại sao attacker không thể dùng stolen FIDO2 credential trên site giả mạo.
6. AWS Lambda function cần đọc S3 bucket và ghi vào DynamoDB. Best practice cho IAM authorization là gì? Tại sao không nên hardcode AWS credentials trong Lambda code?