Динамический контроль доступа: Didit и Open Policy Agent (RU)

Повышенная безопасностьИнтеграция Didit с Open Policy Agent (OPA) создает мощную защиту, обеспечивая динамические и контекстно-зависимые решения по контролю доступа на основе проверенных атрибутов личности, а не только статических ролей.

Авторизация в реальном времениИспользуйте мгновенные результаты проверки личности Didit, включая обнаружение активности и проверку документов, для OPA для авторизации в реальном времени, гарантируя, что только законные пользователи получают доступ на основе текущих требований политики.

Автоматизация соответствияОбъедините возможности Didit по проверке AML и оценке возраста с OPA для автоматического обеспечения соблюдения нормативных требований, сокращения ручных затрат и минимизации рисков в различных отраслях.

Гибкая и масштабируемая архитектураМодульный и API-ориентированный дизайн Didit легко интегрируется с OPA, предлагая гибкое и масштабируемое решение для реализации сложных политик авторизации в различных приложениях и сервисах без привязки к поставщику.

Необходимость динамического контроля доступа в современных приложениях

В современном быстро развивающемся цифровом ландшафте статический контроль доступа на основе ролей (RBAC) часто оказывается недостаточным. Современные приложения требуют динамического контроля доступа, который может адаптироваться к контексту в реальном времени, поведению пользователя и меняющимся профилям рисков. Именно здесь синергия между надежной верификацией личности и мощным механизмом политик становится критически важной. Компании должны отвечать на вопросы, такие как: Является ли этот пользователь тем, за кого он себя выдает? Достиг ли он совершеннолетия для этой услуги? Проверен ли он по спискам наблюдения? И на основе этих ответов, какие конкретные действия ему разрешено выполнять?

Традиционные механизмы контроля доступа с трудом включают такие нюансированные данные о личности в реальном времени в решения об авторизации. Это часто приводит либо к избыточному доступу, создавая уязвимости безопасности, либо к избыточному ограничению доступа, препятствуя удобству использования и операционной эффективности. Решение состоит в разделении применения политик от кода приложения и централизации решений по политикам на основе богатой, проверенной информации о личности.

Open Policy Agent (OPA): Ваш централизованный механизм политик

Open Policy Agent (OPA) — это открытый, универсальный механизм политик, который позволяет унифицированно применять политики с учетом контекста по всему вашему стеку. OPA позволяет определять политики как код (используя его декларативный язык Rego) и перекладывать решения об авторизации с ваших приложений и служб. Когда приложению необходимо принять решение об авторизации, оно запрашивает OPA, предоставляя соответствующий контекст (например, ID пользователя, ресурс, к которому осуществляется доступ, время суток). Затем OPA оценивает свои политики на основе этого ввода и возвращает решение (например, разрешить/запретить).

Сила OPA заключается в его гибкости. Он может применять политики для микросервисов, Kubernetes, конвейеров CI/CD, API-шлюзов и многого другого. Вынося политики вовне, вы получаете:

• Централизованное управление политиками: Все политики находятся в одном месте, что упрощает их управление, аудит и обновление.
• Повышенная безопасность: Последовательное применение политик по всей вашей инфраструктуре снижает риск неправильных конфигураций.
• Ускоренная разработка: Разработчики могут сосредоточиться на основной логике приложения, оставляя решения по политикам OPA.
• Динамические решения: OPA может включать любые данные в свою оценку политики, что делает его идеальным для авторизации с учетом контекста.

Интеграция Didit для получения богатого контекста личности

Хотя OPA предоставляет механизм политик, ему нужны данные для принятия обоснованных решений. Именно здесь Didit, AI-нативная платформа идентификации, играет ключевую роль. Didit предлагает набор модульных сервисов верификации личности, которые могут предоставить OPA богатые, проверенные атрибуты личности, необходимые для динамического контроля доступа. Представьте себе сценарий, когда доступ к ценной транзакции или контенту с возрастными ограничениями определяется не только ролью пользователя, но и его проверенной личностью в реальном времени, статусом активности и проверками на соответствие.

Например, верификация ID (OCR, MRZ, штрих-коды) Didit может подтвердить личность пользователя по официальным документам. Ее пассивное и активное обнаружение активности гарантирует, что пользователь является реальным, присутствующим человеком, предотвращая дипфейки и атаки с использованием презентаций. Для конкретных случаев использования, оценка возраста может обеспечить проверку возраста с соблюдением конфиденциальности, что крайне важно для соблюдения требований в таких отраслях, как онлайн-игры или продажа алкоголя. Кроме того, проверка и мониторинг AML предоставляет критически важные данные о соответствии, указывая, находится ли пользователь в списке наблюдения.

Интегрируя Didit, политики OPA могут быть разработаны для использования этих проверенных данных. Политика может гласить: «Разрешить доступ к финансовым услугам только в том случае, если ID пользователя проверен, проверка активности пройдена, и он не находится ни в одном списке наблюдения AML». Это привносит новое измерение безопасности и соответствия в вашу стратегию контроля доступа.

Практическая реализация: Didit + OPA в действии

Внедрение Didit с OPA включает несколько ключевых шагов:

1. Выполните верификацию личности с помощью Didit: Когда пользователь регистрируется или пытается получить доступ к защищенному ресурсу, ваше приложение инициирует процесс верификации с использованием API Didit. Это может включать проверку ID, обнаружение активности или проверку AML, в зависимости от ваших требований. Didit предоставляет результаты в реальном времени, включая статус верификации, оценки совпадения лиц, оценки активности, оценку возраста и попадания в AML.

2. Сохраните проверенные атрибуты: Проверенные атрибуты, возвращенные Didit, сохраняются в вашей базе данных профилей пользователей или в специальном хранилище идентификационных данных. Эти данные становятся частью контекста, который OPA будет оценивать.

3. Определите политики в OPA (Rego): Напишите политики OPA, которые ссылаются на эти проверенные атрибуты. Например:

   package myapp.authz
   
   default allow = false
   
   allow {
       input.method == "GET"
       input.path == ["products"]
   }
   
   allow {
       input.method == "POST"
       input.path == ["financial_transaction"]
       input.user.is_verified_id == true
       input.user.liveness_passed == true
       not input.user.on_aml_watchlist
       input.user.age >= 18
   }
   

   В этом примере второе правило allow демонстрирует, как OPA использует is_verified_id, liveness_passed, on_aml_watchlist и age — все атрибуты, которые могут быть предоставлены Didit — для предоставления доступа к финансовой транзакции.

4. Запросите OPA для авторизации: Прежде чем разрешить пользователю выполнить действие, ваше приложение отправляет запрос OPA, включая проверенные атрибуты пользователя (полученные из вашего хранилища идентификационных данных) и контекст запрашиваемого действия. OPA оценивает политики и возвращает решение разрешить/запретить.

Эта архитектура гарантирует, что решения об авторизации всегда актуальны в соответствии со статусом проверенной личности пользователя, обеспечивая беспрецедентную безопасность и соответствие.

Как Didit помогает

Didit идеально подходит для использования в качестве поставщика данных об идентификации для вашей системы динамического контроля доступа, управляемой OPA. Наша AI-нативная платформа, ориентированная на разработчиков, предлагает несколько ключевых преимуществ:

• Модульные примитивы идентификации: Модульная архитектура Didit позволяет вам выбирать именно те проверки верификации, которые вам нужны, будь то проверка ID, пассивное и активное обнаружение активности, сопоставление лиц 1:1 и поиск лиц, проверка и мониторинг AML или оценка возраста. Каждый компонент предоставляет детальные данные, которые могут быть переданы в политики OPA.
• Точность AI-нативной технологии: Наша AI-технология верификации обеспечивает высокую точность и возможности обнаружения мошенничества, предоставляя OPA надежные данные для принятия критических решений.
• Опыт для разработчиков: Благодаря чистым API и мгновенной тестовой среде, интеграция Didit в существующие системы для извлечения атрибутов идентификации является простой и эффективной.
• Бесплатный Core KYC и гибкое ценообразование: Didit предлагает бесплатный Core KYC, позволяя вам начать создание надежной верификации личности без первоначальных затрат. Наша модель оплаты за успешную проверку без платы за настройку обеспечивает масштабируемость и экономическую эффективность.
• Оркестрованные рабочие процессы: Помимо автономных API, консоль Didit без кода позволяет оркестрировать сложные рабочие процессы верификации, гарантируя сбор и проверку всех необходимых данных идентификации перед их передачей в OPA.

Используя Didit, вы можете быть уверены, что контекст идентификации, который оценивает OPA, всегда точен, актуален и всеобъемлющ, что приводит к более безопасным и соответствующим требованиям решениям по контролю доступа.

Готовы начать?

Готовы увидеть Didit в действии? Получите бесплатную демонстрацию сегодня.

Начните бесплатно проверять личности с бесплатным тарифом Didit.