Introdução

O gerenciamento de identidades consiste em um conjunto de políticas e ferramentas que identificam usuários dentro de um sistema ou rede através de funções e habilidades, como administração, descoberta e troca de informações, usadas para garantir a identidade de uma entidade e as informações contidas nessa identidade, permitindo assim que relações comerciais possam ocorrer de forma segura. O objetivo deste artigo é apresentar o conceito de gerenciamento de identidades como serviço para ambiente de computação em nuvem como uma oportunidade de negócio para o Serpro.

Gerenciamento de Identidades

Um Sistema de Gerenciamento de Identidades (SGI) é um sistema capaz de automatizar os processos de acrescentar, modificar, revogar, excluir e gerenciar direitos de acesso e senhas de usuários.

Para classificação dos SGIs, alguns conceitos são necessários: Usuário (é a pessoa que assume a identidade digital que será usada para interagir com uma aplicação digital); Identidade Digital (é formada por um identificador único e atributos descritivos); Credenciais (são informações relacionadas ou derivadas da posse de uma identidade digital, geralmente secretas e apenas o portador da identidade deve conhecê-las); Provedor de Serviço (Service Provider – SP – é aquele que fornece os serviços que o usuário efetivamente deseja utilizar); Provedor de Identidade (Identity Provider – IdP – é responsável por emitir a identidade de um usuário, atestando-a perante os SPs).

Os SGIs classificam-se em Tradicional, Centralizado, Federado e Centrado no usuário (Figura 1). No modelo tradicional, a identificação do usuário é tratada de forma isolada por cada SP, o qual também atua como IdP identificando os usuários. É o modelo mais comum, ampla e atualmente adotado pela maioria dos serviços na internet, em virtude da sua fácil implantação, ficando a cargo do usuário criar uma identidade digital para cada serviço/sistema com o qual tenha interesse em acessar.

O modelo centralizado está fundamentado no compartilhamento das identidades dos usuários entre SPs e no conceito de autenticação única (Single Sign-On – SSO), isto é, o usuário se autentica uma única vez obtendo credenciais para todos os SPs utilizados. Neste modelo, existe um único IdP e vários SPs, os quais compartilham entre si as identidades dos usuários, sendo que todos os SPs confiam no IdP, que pode ser implementado de diversas formas.

O modelo federado está fundamentado sobre a distribuição da tarefa de autenticação dos usuários por múltiplos IdPs, estando esses dispostos em diferentes domínios administrativos, tais como empresas, governos e universidades. Portanto, em cada domínio administrativo há usuários, um único IdP e vários SPs, sendo que os IdPs realizam um acordo para que uma identidade, emitida por um IdP de um determinado domínio, seja reconhecida por SPs de outros domínios.

No modelo centrado no usuário, os usuários possuem aparelhos pessoais de autenticação (Personal Authentication Devices – PADs), físicos ou lógicos, e quando um usuário deseja se autenticar em um SP, ele apresenta seu PAD e é autenticado. Ao contrário dos modelos anteriores, o próprio usuário gerencia as políticas de uso de suas identidades e informações, bem como controla a criação, uso e remoção dessas mesmas informações.

  Figura 1: Modelos de SGI

Gerenciamento de Identidade como Serviço

Este artigo assume como contexto macro (Figura 2), o usuário que acessa de forma protegida diretamente o SP, que por sua vez o redireciona para seu respectivo IdP (IdP-Serpro) que pode ser informado pelo usuário e deve ter a confiança do SP. O IdP-Serpro funciona no ambiente na nuvem Serpro, o que é transparente para o usuário. O IdP-Serpro pede a autenticação do usuário e acessa seus atributos em sua base de dados. Quando o usuário está autenticado e antes de ser novamente redirecionado para o SP, seus dados passam por controles de privacidade, onde o usuário fica ciente e deve consentir com a liberação de seus atributos.

Figura 2: Contexto macro de atuação

Inicialmente, poderia ser ofertado um IDaaS (IDentify as a Service) baseado no modelo centralizado, uma vez que o Serpro seria o provedor de infraestrutura da nuvem (Cloud Provider – CP). Posteriormente, caso a ideia fosse a venda do serviço onde houvessem várias nuvens (por exemplo Serpro, Telebras e Dataprev) e o Serpro fosse apenas um dos CPs, o modelo a ser usado deveria ser o federado, uma vez que a troca de identidades entre nuvens diferentes seria necessária. Seria o caso, por exemplo, da criação de uma grande nuvem pública para a oferta de serviços compartilhados ao governo federal inicialmente e, numa segunda etapa, também a estados e municípios. Neste modelo federado, o Serpro teria a capacidade de atuar como um proxy, no qual seria o IdP representante de seus clientes, transferindo para si toda a preocupação e administração das bases de dados de seus clientes.

A Figura 3 apresenta o IDaaS funcionando de maneira centralizada dentro da nuvem do Serpro. Nesse primeiro cenário, o serviço funciona como o IdP do modelo centralizado e provê o provisionamento dos usuários para os serviços hospedados na nuvem. Os SPs podem ainda compartilhar identidades e informações dos usuários através do IDaaS e tem a possibilidade de SSO entre seus serviços. O Serpro seria a terceira parte confiável, uma vez que tem melhores condições de proteger as informações sensíveis na nuvem e precisa manter um contrato formal com todos os SPs que utilizam sua estrutura para disponibilizar seus serviços. Os SPs que desejarem utilizar o gerenciamento de identidades disponibilizado pelo Serpro podem incluí-lo ainda no acordo de nível de serviço que mantém com o mesmo. O SSO entre os SPs hospedados na nuvem do Serpro seria interessante, onde todos os SPs confiariam no IDaaS disponibilizado pelo Serpro. Assim, o modelo de negócio do Serpro garantiria a dinamicidade e flexibilidade necessárias para que aplicações parceiras autenticassem e trocassem atributos sem ter que forçar o usuário a executar um processo de autenticação toda vez que um SP diferente for acessado.

Figura 3: IDaaS como modelo centralizado na nuvem do Serpro

Em um segundo cenário, o acesso por SSO poderia ser feito a partir de outras nuvens, e não apenas na nuvem do Serpro. Desta forma, as aplicações parceiras poderiam confiar em informações provenientes de SPs hospedados em outras nuvens. Neste caso, seria necessário o estabelecimento de redes de confiança entre os IDaaS nas diferentes nuvens (Figura 4). Sendo assim, um dos SPs da nuvem do Serpro ou de seus clientes poderia solicitar recursos da Nuvem A. Da mesma forma, o IDaaS da Nuvem A também possuiria uma relação de confiança com a Nuvem B. E assim para quantas nuvens estivessem envolvidas nessa nuvem governamental.

O controle de quais informações serão compartilhadas com os SPs não pode ser totalmente transparente ao usuário. Em especial, perante todo o crescimento da computação móvel e da demanda dos usuários por acesso móvel, essa não-transparência significa que o modelo de gerenciamento de identidades centrado no usuário deve ser também considerado. Seria uma expansão ou evolução do negócio a ser ofertado, uma vez que para a implementação do modelo centrado no usuário, um dos dois cenários pensados (centralizado e federado), precisa ser implantado antes. E como o modelo federado é implantado em cima do centralizado, seria caracterizado no negócio a possibilidade de uso daquilo que fosse conveniente ou demandado pelo cliente.

Figura 4: Círculo de Confiança entre nuvens parceiras

Sendo assim, o sistema deverá prover ao usuário controle sobre suas informações, uma vez que informações sensíveis que ele queira disponibilizar a um SP podem não ser factíveis de compartilhar com outro SP com fins diversos. O usuário precisa ter não só o controle das informações compartilhadas, mas também controlar com que SPs estas informações serão compartilhadas, aumentando assim seu grau de confiança em adotar serviços na nuvem. Como o Serpro seria o CP ou o responsável pela disponibilização/integração de todas as infraestruturas de nuvens, ele definiria quais informações seriam utilizadas e em quais níveis elas estariam.

Conclusão

Em um cenário promissor de mercado, o Serpro, por seu grande conhecimento em computação em nuvem e gerenciamento de identidades, pode vislumbrar novas oportunidades de negócios de modo que evoluções e expansões tecnológicas sejam acompanhadas em busca por inovação e melhorias na oferta de serviços aos clientes. É válido ressaltar que não era objetivo deste artigo apresentar a solução técnica do serviço, mas sim disseminar o conhecimento.

 Este artigo é baseado no trabalho "Identidade como Serviço para Ambientes de Computação em Nuvem", premiado no ConSerpro 2014

Elisângela Santana Aguiar
Doutoranda em Engenharia Elétrica com ênfase em Computação Aplicada pela Universidade Federal do Pará (UFPA), mestre em Ciências da Computação pela Universidade Federal de Pernambuco (UFPE) e bacharel em Ciências da Computação pela UFPA. Desde 2004 é analista de redes no Serpro, atualmente lotada na Coordenação Geral de Infraestrutura de Tecnologia da Informação e Comunicação (Cogti), na Regional Belém. Foi menção honrosa no ConSerpro 2006, premiada em primeiro lugar no ConSerpro 2012 e em segundo lugar no ConSerpro 2014, tema Infraestrutura Tecnológica, com o trabalho “Identidade como serviço para ambiente de computação em nuvem”.