Segurança da Informação · FCC · 2024 | Questão sqc-fc147360

Gerenciamento de Identidade e Acesso (IAM) e Single Sign-On (SSO)

Gabarito: letra B. O Keycloak é uma solução de código aberto (open source) para gerenciamento de identidade e acesso (IAM), que fornece funcionalidades como o Single Sign-On (SSO), autenticação e autorização para aplicações web e serviços RESTful. As demais alternativas não são soluções de IAM: NetBeans e IntelliJ são IDEs (Ambientes de Desenvolvimento Integrado), RESTful é um estilo arquitetural para serviços web, e Securhook não é uma ferramenta reconhecida nesse contexto.

O Gerenciamento de Identidade e Acesso (IAM) é um conjunto de processos, políticas e ferramentas que garante que as entidades certas (pessoas ou sistemas) tenham acesso aos recursos certos, no momento certo e com o nível de privilégio adequado. Ele abrange duas funções principais: autenticação (confirmar quem o usuário é) e autorização (definir o que o usuário autenticado pode acessar). O IAM gerencia o ciclo de vida completo das identidades digitais, desde a criação até a revogação do acesso.

O Single Sign-On (SSO) é um mecanismo que permite que um usuário acesse múltiplos aplicativos ou sistemas com uma única autenticação. O usuário faz login uma vez, o sistema armazena um token de autenticação, e os outros aplicativos confiam nesse token para permitir o acesso sem exigir novas credenciais. Isso reduz a fadiga de senhas, melhora a experiência do usuário e centraliza a autenticação, aumentando a segurança. O SSO depende de um provedor de identidade (IdP) confiável e é implementado por meio de protocolos como OAuth e OpenID Connect.

O Keycloak é um software open source, gerenciado pela Red Hat, que fornece funcionalidades de IAM, incluindo SSO, autenticação e autorização. Ele é amplamente utilizado em ambientes corporativos e governamentais, como a Plataforma Digital do Poder Judiciário Brasileiro (PDPJ-Br), para centralizar o controle de acesso a aplicações web e serviços RESTful. O Keycloak suporta protocolos como OAuth 2.0, OpenID Connect e SAML, e permite a integração com diretórios como LDAP e Active Directory.

A banca explora a confusão entre ferramentas de desenvolvimento (IDEs) e soluções de segurança. NetBeans e IntelliJ são IDEs, usadas para escrever código, enquanto RESTful é um estilo arquitetural para APIs. O candidato que não conhece o Keycloak pode ser tentado a escolher uma alternativa que pareça relacionada à programação, mas a questão pede especificamente uma solução de gerenciamento de identidade e acesso.

Guarde a distinção: IAM é o conceito amplo de gestão de identidades e acessos, SSO é uma funcionalidade que permite autenticação única, e Keycloak é uma ferramenta concreta que implementa ambos. É exatamente essa relação que a questão cobra.

IAM (Gerenciamento de Identidade e Acesso): Autenticação (quem é você); Autorização (o que pode acessar); Ciclo de vida da identidade; SSO (Single Sign-On) (Login único para múltiplos apps, Token de autenticação, Protocolos: OAuth, OpenID Connect); Keycloak (ferramenta open source) (Implementa IAM + SSO, Suporta OAuth 2.0, OpenID Connect, SAML, Integra com LDAP e Active Directory)

Alternativa A — ❌ Incorreta

O NetBeans é um Ambiente de Desenvolvimento Integrado (IDE) para desenvolvimento de software, principalmente em Java. Ele não possui funcionalidades de gerenciamento de identidade e acesso, nem fornece SSO. A banca incluiu essa alternativa para confundir o candidato com ferramentas de programação.

Alternativa B — ✅ Correta ⟵ GABARITO

O Keycloak é uma solução de código aberto para gerenciamento de identidade e acesso (IAM), que fornece funcionalidades como Single Sign-On (SSO), autenticação e autorização. Ele é amplamente utilizado em plataformas como a PDPJ-Br, e suporta protocolos como OAuth 2.0, OpenID Connect e SAML.

Alternativa C — ❌ Incorreta

Securhook não é uma solução reconhecida de gerenciamento de identidade e acesso. Não há referências a essa ferramenta no contexto de IAM ou SSO. A alternativa parece ser um distrator inventado pela banca.

Alternativa D — ❌ Incorreta

RESTful é um estilo arquitetural para construção de serviços web, baseado em HTTP e recursos. Não é uma solução de IAM nem fornece SSO. Embora o Keycloak possa ser usado para proteger APIs RESTful, o RESTful em si não é uma ferramenta de gerenciamento de identidade.

Alternativa E — ❌ Incorreta

O IntelliJ é um Ambiente de Desenvolvimento Integrado (IDE) para desenvolvimento de software, principalmente em Java e Kotlin. Assim como o NetBeans, não possui funcionalidades de IAM ou SSO. A banca incluiu essa alternativa para reforçar a confusão com ferramentas de programação.

NÃO CAIA NESSA!

A banca mistura ferramentas de desenvolvimento (IDEs) com soluções de segurança. NetBeans e IntelliJ são IDEs, RESTful é um estilo arquitetural, e Securhook é um nome inventado. O candidato que não conhece o Keycloak pode cair na tentação de escolher uma alternativa que pareça relacionada à programação, mas a questão pede especificamente uma solução de IAM. Com treino, você reconhece essas armadilhas de longe 💪.

PEGA ESSA DICA!

Para questões de IAM, lembre-se dos principais exemplos de ferramentas: Keycloak (open source), Microsoft Entra ID (Azure AD), AWS IAM, Google Cloud IAM. Eles são frequentemente cobrados em provas de segurança da informação. Associe cada ferramenta à sua função: IAM gerencia identidades e acessos, SSO é uma funcionalidade de autenticação única.

Gabarito: letra B