Cenário: com a solução legada, é difícil e caro gerenciar com segurança as identidades dos funcionários, do provisionamento à redefinição de contas
A Sonos, líder mundial em experiência sonora, ainda está crescendo rapidamente 20 anos após a introdução de seus pioneiros sistemas de áudio residenciais sem fio para vários ambientes. Com mais de 1.800 funcionários, 800 prestadores de serviços e um fluxo constante de novatos, a empresa está ocupada garantindo segurança e conformidade consistentes enquanto gerencia um número crescente de identidades de funcionários.
Quando a Sonos se tornou uma empresa de capital aberto em 2018, provisionar funcionários e redefinir contas bloqueadas com rapidez e precisão tornaram-se ainda mais importantes. “Queremos garantir que a força de trabalho da Sonos entre e saia nos momentos certos. Também queremos rastrear isso facilmente por meio da pilha de identidade”, diz Curtis Norman, engenheiro sênior de identidade da Sonos. As principais tarefas também incluíam fornecer o nível certo de acesso para identidades privilegiadas e participação nos canais apropriados do Slack. Além do provisionamento, a equipe precisava de uma forma simples, mas segura, de redefinir senhas ou um fator de MFA.
No entanto, gerenciar com segurança as identidades dos funcionários com o provedor de identidade legado da Sonos era difícil e caro. Alguns dos principais desafios que a empresa enfrentou incluíam:
- Dificuldade para solucionar problemas em uma infraestrutura complexa: a Sonos dependia de uma combinação de cinco provedores para identidade e provisionamento, criando cinco possíveis pontos de falha. Se ocorresse um problema, a empresa precisava gastar recursos valiosos investigando toda a pilha para determinar onde estava o problema.
- Provisionamento imprevisível: regras complexas falhavam com frequência, criavam contas duplicadas ou nem criavam o usuário. Os atributos permaneciam desatualizados até a próxima sincronização completa. Demorou para corrigir isso, além de representar um risco de segurança.
- Falta de automação: as regras eram codificadas de forma que, se fosse necessário fazer ajustes, eles poderiam levar semanas ou meses, em vez de horas.
- Hardware e serviços profissionais onerosos: a edição de regras de provisionamento exigia um contrato caro de serviços profissionais. A necessidade de hardware adicional para servidores de agente e servidores de equipamentos virtuais aumentou ainda mais o custo da configuração.
Solução: implementar a automação sem código Okta Workflows e RH como fonte
Para simplificar a arquitetura, a Sonos reavaliou como tratava identidade, começando com a busca do RH. Ao mudar para o Workday no RH e integrá-lo ao Okta, a Sonos viabilizou um processo em tempo real entre os dois sistemas e conseguiu usar o Okta como fonte de provisionamento orientado por RH. “Queríamos que o RH pudesse controlar totalmente quando um usuário deveria ou não estar ativo, em vez de ter que enviar um tíquete ou uma solicitação de TI”, explica David Wurtzburg, engenheiro de segurança de identidade da Sonos. A Sonos ganhou uma arquitetura mais simples e com muito menos pontos de falha, tornando a solução de problemas mais eficiente e fácil.
Então, a equipe da Sonos começou a implementar a automação para melhorar o provisionamento e eliminar a necessidade de serviços profissionais caros para fazer mudanças básicas. O sistema legado foi abandonado, e a equipe começou a usar o provisionamento do SCIM quando disponível e a automação de identidade com pouco ou nenhum código do Okta Workflows para ampliar ainda mais o provisionamento. Agora, a Sonos usa o Workflows para automatizar uma lista crescente de tarefas complexas de provisionamento e integração e simplificar as redefinições de MFA.
Criação de identidades exclusivas para contas privilegiadas
A Sonos rapidamente começou a usar o Workflows para permitir um provisionamento fácil e seguro para contas privilegiadas como administradores de sistema. Embora esses usuários dependam das contas padrão para fazer login no computador, acessar e-mail e outras tarefas de usuário, eles precisam fazer login em contas privilegiadas separadas para realizar tarefas administrativas de alto nível. O provisionamento incorreto de contas tão importantes pode ser perigoso e caro para os negócios.
Para provisionar essas contas privilegiadas, o Workflows cria identificadores únicos para administradores de sistema. Embora os nomes de usuário padrão sejam definidos com o formato “<InicialNome><Sobrenome>”, a Sonos agora pode criar contas privilegiadas usando pares aleatórios de adjetivo-substantivo que são anônimos e difíceis de descobrir. “O objetivo é aumentar a dificuldade de exposição de identidades de alto impacto e remover o acesso das identidades 'padrão' para que a experiência de autenticação seja mais prática”, explica Norman. Para isso, ele criou um fluxo para escolher adjetivos e substantivos aleatórios de listas separadas, agrupá-los e verificar a combinação para ver se há uma correspondência com uma conta existente. Caso haja, um fluxo de autorreferência cria uma recursividade e tenta novamente. “É como um ponto único para encontrar um nome de usuário exclusivo desse tipo.”
Quando o fluxo não encontra um conflito, ele usa essa combinação para gerar o nome de usuário privilegiado. O Okta Workflows fornece a credencial ao usuário para que crie a própria senha. “Ter essa opção de autoatendimento fora do Okta sem precisar fornecer uma senha é sem dúvida útil para proteger nossas contas privilegiadas”, afirma Norman.
Colocar funcionários automaticamente nos canais certos do Slack
A Sonos simplifica a integração ao adicionar e remover usuários dos canais apropriados do Slack. Por exemplo, a empresa usa o Workflows para adicionar novos gerentes a um canal privado no Slack. “Antes, não havia muito controle sobre esse ciclo de vida, então poderia levar algum tempo para incluí-los”, conta Wurtzburg. “Agora, temos um marcador para novos gerentes que vem do Workday, e eu uso alguns cartões padrão do Okta Workflows para encontrar esses usuários, analisar atributos específicos, adicioná-los a uma lista e convidá-los para esse canal específico do Slack.”
Um fluxo de trabalho semelhante automatiza a remoção de membros do canal que saíram da empresa ou voltaram ao status de colaborador individual. “Existem alguns casos de pessoas que não têm o marcador de gerente, mas ainda precisam fazer parte do canal, como a equipe de RH. Para evitar a remoção dela, eu a excluí do fluxo com um cartão baseado no nível da organização ou em outros atributos relevantes”, explica Wurtzburg.
Proteção das redefinições de fatores de MFA
Um dos fluxos de trabalho mais usados na empresa torna o processo de redefinição de fator mais seguro. “Tínhamos um problema. Alguém poderia perder o telefone e precisaria ignorar a MFA, o que poderia ser muito terrível para nós, especialmente se a pessoa permanecesse nessa lista indefinidamente. Seis meses depois, poderíamos acabar com 30 usuários com esse status, e os administradores já teriam esquecido que os adicionaram”, disse Wurtzburg. Esse cenário representava uma possível ameaça à segurança da empresa e exigia uma revisão manual para tomar as medidas apropriadas.
Para proteger e simplificar esse processo de redefinição de fatores, a equipe recorreu ao Workflows. Ela criou um fluxo agendado básico para tratar pessoas com o status de MFA ignorada como um grupo do Okta. O fluxo revisou a lista e a limpou várias vezes por semana. “Esse fluxo nos ajudou a garantir que não encontrássemos essa falha de segurança de uma lista crescente de pessoas que ignoraram a MFA”, explicou Wurtzburg.
Um segundo fluxo de trabalho ajuda os usuários resolver o problema principal. “É basicamente um comando do Slack conectado ao Okta para redefinir a MFA. O usuário é instruído a abrir uma janela anônima, fazer login e configurar o dispositivo. Esse provavelmente é o fluxo de trabalho mais usado na organização.”
Resultado: uma infraestrutura de identidade mais eficiente e segura
Do provisionamento de contas privilegiadas, proteção das redefinições de fatores e muito mais, o Okta Workflows tornou o gerenciamento de identidade da Sonos mais simples, eficiente e seguro. Norman explica que o Workflows facilita a solução de problemas de TI, sem a necessidade de conhecimento técnico. Wurtzburg concorda. “O Okta Workflows é como Lego”.
Alguns dos benefícios mais concretos que a Sonos conseguiu com o Workflows incluem:
- Solução de problemas simplificada e redução de possíveis pontos de falha: a consolidação do provedor de identidade, da automação e da busca do RH ajudou a reduzir de cinco para dois pontos de falha, exigindo menos tempo e recursos para solucionar problemas.
- Provisionamento rápido e preciso: o Workflows permitiu que a Sonos integrasse e desligasse usuários em dias, em vez de semanas, o que foi especialmente útil para criações de última hora.
- Economia de tempo para a TI e o suporte: as equipes de TI e suporte não precisam mais lidar com problemas como caracteres em branco nos nomes das contas, devolvendo tempo às equipes.
- Redução de custos: a Sonos eliminou os custos adicionais com hardware exigido pelo provedor de identidade anterior para servidores de agentes e servidores de equipamentos virtuais.
- Maior segurança: o Workflows pode ajudar a tornar as redefinições de MFA mais seguras, permitindo que a empresa resolva os possíveis riscos de segurança rapidamente por meio da automação.
O futuro com a Okta
Com a conclusão da mudança para o RH como fonte e a implementação do Okta como fonte de identidade, a Sonos continuou com uma nova fase da iniciativa de incorporar sua automação para não funcionários ao Okta. “Todos os nossos não funcionários estão no SharePoint. Começamos a usar o agente de provisionamento local da Okta com o SharePoint como fonte oficial no sistema Okta”, disse Tarell Evans, gerente sênior de operações de identidade e segurança da Sonos. “Agora, o Okta pode controlar quem não é funcionário e responder ao AD e a aplicativos de terceiros.” Em uma fase futura, a Sonos criará ainda mais automações do Okta Workflows para fluxos integrados com Jira, Google Workspace e outros aplicativos de terceiros.
