Baggrund
Identiteterne bag kulisserne
En ikke-menneskelig identitet (NHI) er enhver identitet, der ikke tilhører et menneske: servicekontoen, der kører natjobbet, API-nøglen, der binder to systemer sammen, certifikatet bag en integration og tokenet i en CI/CD-pipeline. De opstår, hver gang nogen bygger, integrerer eller automatiserer noget – og de forsvinder sjældent igen.
Hvor en medarbejder har en leder, en ansættelsesdato og en fratrædelsesproces, har servicekontoen typisk ingen af delene. Den blev oprettet til et projekt for år tilbage, projektdeltagerne er videre, og i dag tør ingen slukke for den, fordi ingen ved, hvad der går i stå.
Risikoen
Derfor er de et oplagt mål
- Brede rettigheder: servicekonti får ofte flere rettigheder end nødvendigt, fordi det var hurtigst, da integrationen skulle virke.
- Ingen rotation: adgangskoder og nøgler, der aldrig skiftes, og som ligger gemt i scripts, pipelines og delte dokumenter.
- Ingen MFA: maskiner kan ikke godkende med en telefon, så kontoen er kun beskyttet af sin adgangskode eller nøgle.
- Ingen ejer: når ingen har ansvaret, er der heller ingen, der reagerer på mistænkelig aktivitet eller rydder op.
- Ingen udløb: medarbejdere fratræder – servicekonti kører videre, til nogen aktivt lukker dem.
Governance for identiteter, der ikke kan svare på en mail
Disciplinerne er de samme som for medarbejdere: Enhver ikke-menneskelig identitet skal have en navngiven ejer, en dokumenteret opgave og kun de adgange, opgaven kræver. Oprettelse skal ske gennem en kontrolleret proces, og nøgler og adgangskoder skal roteres automatisk – helst fra en central secrets-løsning frem for at ligge i kode.
Recertificering fanger resten: Med faste intervaller bekræfter ejeren, at kontoen stadig er nødvendig, og at adgangene svarer til det faktiske brug. Konti uden ejer eller uden aktivitet er de første kandidater til nedlukning.
Hvor skal I starte?
Med overblikket. De fleste organisationer bliver overraskede over, hvor mange servicekonti, nøgler og tokens en kortlægning finder – og hvor mange af dem, ingen kan forklare. Kortlæg dem, tildel ejere, og luk det, der ikke længere bruges.
Er AI-agenter på vej ind i jeres miljø, haster det ekstra: Agenter er den nyeste og hurtigst voksende type ikke-menneskelig identitet, og de arver alle NHI-problemerne i forstærket form. Disciplinerne fra vores artikel om styring af AI-agenter er de samme, som skal på plads her.
Hvor mange identiteter har I egentlig?
Et IAM Healthcheck kortlægger jeres identiteter og adgange – mennesker såvel som maskiner – og giver jer en prioriteret plan for oprydning og governance.
