Como este tema funciona na sua empresa
Integração entre acesso físico e IAM corporativo significa que mesma identidade que governa login em computador também governa acesso a prédio, data center e salas. Benefícios: provisionamento unificado (novo funcionário recebe acesso simultâneo), deprovisioning automático (desligado perde acesso em todos os lugares), auditoria simplificada (uma trilha de acesso). Para gestores, entender arquitetura, protocolos e riscos é essencial.
Benefícios da integração
Novo funcionário criado em HR ? sistema detecta ? cria em Active Directory ? cria em email ? cria acesso a prédio (cartão emitido automaticamente). Tudo em horas. Sem integração: múltiplos processos manuais, dias para estar completo1.
Funcionário desligado ? AD marca como inativo ? cartão é desativado automaticamente. Risco comum sem integração: funcionário desligado ainda tem acesso físico (descoberto meses depois). Integração elimina essa lacuna.
Arquitetura de integração
IAM deve ser fonte única. Todos os atributos de usuário (nome, departamento, função, localização) vêm de diretório único. Sistema de acesso físico consulta diretório para determinar permissão. Mudança em AD propaga automaticamente para acesso físico2.
Qual atributo de AD governa acesso físico? Exemplo: atributo "local=São Paulo" ? permissão acesso prédio São Paulo. Atributo "departamento=TI" ? permissão acesso data center. Matriz deve ser clara e documentada.
Protocolos de integração
Protocolo padrão de consulta a diretório. Sistema de acesso físico conecta a AD via LDAP, consulta permissões. Vantagem: simples, amplamente suportado. Desvantagem: latência (consulta em tempo real), sem sincronização bidirecional.
Integração bidirecional: quando usuário é criado em AD, webhook dispara API que cria cartão. Quando cartão é revogado, API notifica AD. Vantagem: flexível, em tempo real. Desvantagem: desenvolvimento customizado, manutenção.
Fluxo de provisionamento e desprovisionamento
Provisionamento: Novo usuário em HR ? Import a AD ? Email criado ? Acesso a aplicações ? Cartão emitido ? Enviado para endereço. SLA: 24-48 horas. Desprovisionamento: Desligamento em HR ? Marcado como inativo em AD ? Cartão revogado em real-time ? Email redirecionado/suspenso ? Acesso a aplicações removido. SLA: <2 horas.
Sincronização e latência
Importante: mudanças em IAM devem propagar para acesso físico rapidamente. Síncrono (em tempo real) é ideal. Assíncrono (polling a cada hora) é aceitável. Nunca manual (leva a desincronização, vulnerabilidades)3.
Se IAM cai, como acesso físico se comporta? Opções: fallback permissivo (acesso continua), fallback restritivo (acesso é bloqueado), modo hybrid (cartão RFID funciona offline com lista local). Escolha depende de risco e criticidade.
Auditoria integrada
Com integração, auditoria de acesso é simplificada: "quem acessou quê, quando?" É respondido com uma consulta. Login em computador às 9 AM + entrada em data center às 9:05 AM = rastreamento completo. Sem integração: duas trilhas diferentes, difícil correlacionar.
Segurança da integração
Alerta crítico: se IAM é comprometido, acesso físico é comprometido simultaneamente. IAM torna-se novo perímetro crítico. Investimento em segurança de IAM (MFA forte, monitoramento) é investimento em segurança física também.
Sinais de falta de integração
- Funcionários desligados ainda têm acesso físico (descoberto em auditoria)
- Provisionamento leva dias (múltiplos processos manuais)
- Mudança de departamento não atualiza acesso físico automaticamente
- Trilhas de auditoria são desconexas (TI não sabe quem entrou na sala)
- Sem sincronização: AD diz "inativo", cartão ainda funciona
- Sem correlação: incidente envolve tanto acesso lógico quanto físico, análise é difícil
Implementação progressiva
Fase 1: Mapeamento
Documentar estrutura atual de IAM e acesso físico. Definir atributos que governam acesso. Escolher protocolo de integração (LDAP, API).
Fase 2: Implementação
Desenvolver integração. Testar em staging. Implementar gradualmente. Monitorar sincronização. Validar auditoria correlacionada.
Perguntas frequentes
Como integrar acesso físico com Active Directory?
Usar protocolo LDAP (consulta) ou API (sincronização). Sistema de acesso físico conecta a AD, lê atributos de usuário (departamento, localização), determina permissão. Mudanças em AD propagam automaticamente para acesso físico.
Qual é o benefício de integrar acesso físico com IAM?
Provisionamento unificado (novo usuário em horas, não dias), deprovisioning automático (desligado perde acesso em tudo), auditoria simplificada (uma trilha), menos erros humanos (menos processos manuais).
Como sincronizar permissões de acesso automaticamente?
Usar sincronização síncrona (tempo real) ou assíncrona (polling horário). Webhook: quando usuário muda em AD, evento dispara API que atualiza cartão. Importante: sempre bidirecional para consistência.
Qual é a arquitetura de integração (componentes, protocolos)?
Componentes: AD (fonte de verdade), Sistema de acesso físico (consumer). Protocolo: LDAP (consulta) ou API (sincronização). Middleware: software que traduz atributos AD para permissões de acesso.
Quais são os padrões e protocolos de integração?
LDAP (consulta padrão a diretório), SAML (federação), OAuth (autenticação), APIs RESTful (sincronização customizada). Escolha depende de caso de uso.
Se IAM cai, como acesso físico se comporta?
Opções: fallback permissivo (acesso continua), fallback restritivo (bloqueado), modo hybrid (cartão RFID offline). Definir política antes de implementar. Criticidade determina escolha.
Referências
- 1 ABNT NBR ISO/IEC 27001:2022 — A.5.1 a A.5.4 sobre gestão de acesso baseada em identidade
- 2 NIST SP 800-63B — Autenticação e ciclo de vida de identidade
- 3 RFC 3959 (LDAP Proxy) — Protocolo de integração de diretório
- OASIS SAML 2.0 — Protocolo de federação de identidade
- ABNT NBR ISO/IEC 27701:2022 — Privacidade em gestão de identidade