Gerenciando Identidade na Nuvem com Okta

Quando Usar

• Ao centralizar a autenticação em acessos aos consoles AWS, Azure e GCP através de um único provedor de identidade
• Ao implementar MFA resistente a phishing para substituir autenticação baseada em SMS ou TOTP
• Ao automatizar o provisionamento e desprovisionamento de usuários em plataformas de nuvem e aplicativos SaaS
• Ao impor políticas de acesso adaptativo com base na conformidade do dispositivo, risco do usuário e contexto de rede
• Ao auditar controles de segurança relacionados à identidade para conformidade SOC 2 ou zero trust

Não use para gerenciamento de identidade nativo da nuvem sem requisitos de IdP externo (use AWS IAM Identity Center ou Azure AD nativamente), para lógica de autorização em nível de aplicativo ou para gerenciamento de segredos (veja implementing-secrets-management-with-vault).

Pré-requisitos

• Organização Okta com acesso ao console de administrador e nível de licença apropriado (Workforce Identity)
• Contas AWS, Azure e GCP configuradas para federação SAML ou OIDC
• Okta Universal Directory preenchido com identidades de usuários sincronizadas do sistema de RH ou Active Directory
• Plataforma de gerenciamento de dispositivos (Intune, Jamf) para integração de confiança de dispositivo

Fluxo de Trabalho

Etapa 1: Configurar Integração SSO com Provedores de Nuvem

Configure a federação SAML 2.0 ou OIDC entre Okta e cada console de provedor de nuvem para autenticação centralizada.

Okta AWS SSO Integration (SAML 2.0):
1. In Okta Admin Console: Applications > Add Application > AWS Account Federation
2. Configure SAML settings:
   - Single Sign-On URL: https://signin.aws.amazon.com/saml
   - Audience URI: urn:amazon:webservices
   - Attribute Statements:
     - https://aws.amazon.com/SAML/Attributes/RoleSessionName -> user.email
     - https://aws.amazon.com/SAML/Attributes/Role -> appuser.awsRoles
3. Download Okta metadata XML
4. In AWS IAM: Create Identity Provider (SAML) with Okta metadata
5. Create IAM roles with trust policy referencing the Okta SAML provider

AWS IAM Trust Policy:
{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {
      "Federated": "arn:aws:iam::123456789012:saml-provider/Okta"
    },
    "Action": "sts:AssumeRoleWithSAML",
    "Condition": {
      "StringEquals": {
        "SAML:aud": "https://signin.aws.amazon.com/saml"
      }
    }
  }]
}

# Azure AD integration via OIDC
# Configure Okta as external IdP in Azure AD
az ad sp create --id <okta-app-client-id>

# GCP integration via Workforce Identity Federation
gcloud iam workforce-pools create okta-pool \
  --organization=123456789 \
  --location=global \
  --display-name="Okta Workforce Pool"

gcloud iam workforce-pools providers create-oidc okta-provider \
  --workforce-pool=okta-pool \
  --location=global \
  --issuer-uri="https://company.okta.com/oauth2/default" \
  --client-id="gcp-workforce-client-id" \
  --attribute-mapping="google.subject=assertion.sub,google.groups=assertion.groups"

Etapa 2: Implantar MFA Resistente a Phishing

Habilite Okta FastPass e autenticadores FIDO2 WebAuthn como fatores de MFA resistentes a phishing. Configure políticas que exijam esses fatores para acesso privilegiado à nuvem.

Okta MFA Policy Configuration:
1. Security > Authenticators:
   - Enable Okta Verify (FastPass) - Phishing resistant
   - Enable FIDO2 (WebAuthn) - Hardware security keys
   - Disable SMS and Voice (phishable)

2. Authentication Policies > Cloud Admin Access:
   - Rule: "Require phishing-resistant MFA for AWS/Azure/GCP admin roles"
   - Factor Types: Okta FastPass OR FIDO2 WebAuthn
   - Re-authentication: Every 4 hours for admin consoles
   - Session Lifetime: 8 hours maximum

3. Device Trust Policy:
   - Require managed device for cloud admin access
   - Require device encryption enabled
   - Require OS version within 90 days of latest

Etapa 3: Automatizar o Gerenciamento do Ciclo de Vida do Usuário

Configure o provisionamento SCIM para criar e desativar automaticamente contas de usuário em serviços de nuvem quando funcionários entram, mudam de função ou deixam a organização.

Gerenciamento de Ciclo de Vida Okta:
1. Configuração de Provisionamento (AWS IAM Identity Center):
   - Habilitar provisionamento SCIM para AWS IAM Identity Center
   - Mapear grupos Okta para conjuntos de permissões AWS
   - Configurar mapeamento de atributos: email, displayName, groups

2. Regras de Automação:
   - Na Ativação do Usuário: Provisionar para AWS, Azure, GCP com base no grupo do departamento
   - Na Mudança de Grupo: Atualizar atribuições de função na nuvem em até 15 minutos
   - Na Desativação do Usuário: Revogar imediatamente todas as sessões e permissões na nuvem

…