RBAC: إدارة الأدوار والأذونات
1) أهداف ومبادئ المكتب الإقليمي لآسيا والمحيط الهادئ
الغرض: جعل الوصول قابلاً للإدارة وقابلاً للتحقق والحد الأدنى من الحجم لحماية الأموال/الأرقام القياسية لأسعار الاستهلاك والامتثال (GDPR/AML/PCI/ISO).
المبادئ: Lest Privilege· Need-to-Know· فصل الواجبات (SoD)· صفر Trust· إمكانية الإلغاء (سرعة الاستدعاء)· قابلية المراجعة (إمكانية الإثبات).
2) تصنيف الحقوق والأدوار
أنواع الأذونات:- البيانات: «اقرأ»، «اكتب»، «تصدير»، «حذف»، «مقنع _ اقرأ» (افتراضي لـ PII).
- Операции: 'الموافقة _ الانسحاب'، 'التغيير _ FRM _ RULE'، 'KYC _ DECISION'، 'العقوبات _ التجاوز'.
- Админ: "ROLE _ UPDATE", "USER _ PROVISION", "SECRET _ ROTATE", "BREAK _ GLASs'.
- الإدماجات: «API _ CALL:»، «WEBHOOK _ SIGN»، «SERVICE _ CONFIG _ UPDATE».
- جوهر (сквозные): «موظف _ أساسي»، «مشاهد _ داخلي»، «مدقق حسابات _ خصوصية».
- Доменные: "support _ agent", "vip _ manager", "payments _ ops", "aml _ officer", "kyc _ operator", "fraud _ analyst'," rg _ specialist', "bi _ analyst'.
- النظام/تلك: «devops _ admin»، «dba _ admin»، «service _ account _'،» اقرأ _ فقط _ prod'.
- امتياز (عبر PAM/JIT): «break _ glass _ admin»، «prod _ db _ jit _ editor».
3) هندسة الأدوار
1. جرد الموارد: النظم/الجداول/نقاط النهاية، فئات البيانات (العامة/الداخلية/السرية/المقيدة/المقيدة بشدة).
2. قصص المستخدم حسب الوظائف: من يفعل ماذا ولماذا (الغرض).
3. رسم خرائط المهام → الأذونات - المجموعة الدنيا لكل وظيفة.
4. تجميع الأدوار: دور واحد = مجال مسؤولية واحد ؛ تجنب «الأدوار الخارقة».
5. اختبار SoD: التحقق من عدم التوافق (على سبيل المثال "مدفوعات _ عمليات ≠" احتيال _ قاعدة _ إدارة ").
6. التجريب والقياس: نصدر مجموعة محدودة مؤقتًا، ونجمع مسارًا للتدقيق.
7. الإصدار: يتم تغيير كل دور عبر CAB مع التغيير.
4) تفاعل RBAC ↔ ABAC ↔ SoD
يجيب RBAC «من يستطيع من حيث المبدأ»، ABAC - «في أي ظروف» (البيئة، geo، الجهاز/MDM، الوقت، مستوى KYC، «الغرض»).
تحظر SoD مجموعات الأدوار الخطيرة وتتطلب 4 عيون للإجراءات الحاسمة.
الممارسة: تعطي الأدوار، افتراضياً، MASKED_READ لمبادرة الاستثمار الدولية ؛ يتطلب الوصول غير المقنع «غرضًا» + سمة JIT وقرارًا إيجابيًا بشأن سياسة ABAC.
5) تعدد الإيجارات والسياق الجغرافي
نطاق المستأجر: الأدوار مرتبطة بعقد إيجار/علامة تجارية/ولاية قضائية («الدور: المدفوعات _ العمليات @ EEA»).
المفاتيح الجغرافية: مفاتيح التشفير الفردية وقطاعات الوصول لكل منطقة (EC/UK/...).
الحبيبية: الترشيح بواسطة عمود «المنطقة _ الرمز» (RLS) وبحسب اختصاص اللاعب.
6) الأمن والإخفاء على مستوى الصف/العمود
الاستراتيجية:- RLS (سلاسل): الوصول فقط إلى سجلات بلدك/علامتك التجارية/فريقك.
- CLS (أعمدة): تتوفر حقول حساسة مقنعة ؛ غير مقنع - فقط مع امتياز 'pii _ unmask' + 'الغرض'.
sql
CREATE POLICY rls_tx
ON dwh. transactions
USING (region_code = current_setting('app. region'));
SELECT
CASE WHEN has_priv('pii_unmask') THEN email ELSE mask_email(email) END AS email_view
FROM dwh. users;7) JIT، كسر الزجاج и PAM в RBAC
JIT: دور مميز مؤقت (15-120 دقيقة) تحت التذكرة ؛ والتغذية المرتدة تلقائيا ؛ المراجعة الكاملة للحسابات.
زجاج الكسر: الوصول في حالات الطوارئ مع التأكيد الثاني لولاية MFA + وتسجيل الجلسة ؛ بعد المراجعة مع الأمن + DPO.
PAM: متجر سري، وكيل جلسة، كلمة مرور/دوران مفتاح.
8) دورة حياة الدور (SOP)
SOP-1: إنشاء/تعديل الدور
1. استفسار عن مالك المجال قائمة المهام رسم خرائط الأذونات SoD-check تجريبي CAB إصدار + وثائق.
SOP-2: طلب ومنح الوصول
1. الطلب (IDM/ITSM) مع «الغرض» والموعد النهائي → SoD/التحقق التلقائي من الولاية القضائية → موافقة مالك البيانات + الأمن (بالنسبة لـ +) إصدار → (غالبًا JIT) → قيد السجل.
SOP-3: التغذية المرتدة/الإقلاع
المشغلات: الإنهاء، تغيير الدور، عدم النشاط> 30/60 يومًا، انتهت صلاحية JIT.
الاستدعاء والتسجيل التلقائي.
SOP-4: إعادة التصديق
كل ثلاثة أشهر، يؤكد المالكون أن أدوار المستخدمين لا تزال مطلوبة ؛ يزيل حقوق «الشنق».
9) مثال مصفوفة الدور (جزء)
10) الأدوات والتنفيذ (الأنماط)
كتالوج الأدوار كرمز: YAML/JSON في المستودع + CI التحقق من صحة، changelog.
Central IdP/SSO: SCIM providing, group mappings' group → role '.
نقطة قرار السياسة العامة: محرك السياسات (ABAC) مع خصائص السياق.
الأسرار/KMS: العزلة الرئيسية لكل بيئة/منطقة/مستأجر.
بوابة البيانات: طبقة واحدة من الإخفاء/التدقيق بالنسبة للصادرات.
SIEM/SOAR: الارتباط «ROLE _ UPDATE »/« READ _ PII »/« EXPORT _ DATA»، تذاكر تلقائية.
11) التدقيق وقطع الأشجار
Обязательные события: 'ROLE _ SIGN'، 'ROLE _ REVOKE'، 'ROLE _ UPDATE'، 'BREAD _ GLASS'، 'JIT _ GRANT'،' READ D D GE E E E A A A A A A A A A A A A A. '،'.
المتطلبات: نسخة WORM، سلاسل التجزئة، توقيع الحزمة، «الغرض »/« تذكرة _ معرف» في كل حالة، تزامن الوقت.
12) المقاييس و KPI/KRI
التغطية:٪ من الأنظمة في RBAC ≥ 95٪.
انتهاكات SoD: = 0 ؛ محاولات لتعيين أدوار غير متوافقة - حظر تلقائي.
معدل JIT: ≥ 80٪ من الزيادات هي JIT.
TTR: إلغاء الحقوق ≤ 15 دقيقة.
نسبة القراءات المقنعة: ≥ 95٪ من المكالمات إلى PII مقنعة.
إعادة التصديق: تم تأكيد الأدوار بنسبة 100٪ كل ثلاثة أشهر.
الصادرات الموقعة: 100٪ من الصادرات مع التوقيع/السجل.
13) RACI (موسع)
14) القوائم المرجعية
قبل إنشاء دور
- وصف قصص المستخدم و «الغرض»
- قائمة بفئات الموارد والبيانات
- رسم خرائط الحد الأدنى من الأذونات
- فحص SoD/تضارب
- سياسة الإخفاء و RLS/CLS
- خطة إعادة التصديق والمالكون
قبل منح الوصول
- ثابت 'الغرض' والتاريخ
- تم الانتهاء من SoD/jurisdictions/MDM/MFA
- الإخفاء الافتراضي، JIT على الترويج
- يومية وتاريخ تنقيح
15) الأخطاء المتكررة والأنماط المضادة
«الأدوار الفائقة» مع حقوق واسعة بدلاً من المجالات الصغيرة.
الوصول المباشر إلى PII دون إخفاء و «غرض».
لا توجد عيون SoD/رابعة لـ «الدفع _ الموافقة »/« KYC _ APPROVE».
تمديد الحقوق المؤقتة «إلى الأبد».
نسخ بيانات prod إلى dev/stage.
صادرات غير شفافة بدون توقيع وسجل.
16) خارطة طريق التنفيذ
الأسابيع 1-2: جرد الأصول/تصنيف البيانات ؛ ومشروع مصفوفة للأدوار ؛ جدول SoD.
الأسابيع 3-4: RBAC كرمز (مستودع)، مجموعات IdP/SCIM، محرك ABAC (السمات الأساسية: البيئة/geo/MDM/time)، JIT/PAM، طبقة إخفاء لـ DWH/BI.
2 الشهر: إعادة التصديق، أتمتة الإقلاع، تنبيهات SOAR لانتهاكات RBAC/SoD/ABAC، سجلات التصدير/WORM.
الشهر 3 +: تمديد السمة (مخاطر الجهاز، مستوى KYC)، عمليات تدقيق تحيز الوصول، تحسين التكلفة وتمارين الطاولة المنتظمة.
TL; د
RBAC القوي = أدوار المجال الصغيرة + شروط السمة (ABAC) + SoD و JIT/PAM + القناع و RLS/CLS + التدقيق الصلب وإعادة التصديق. هذا يقلل من مخاطر التسريبات/إساءة الاستخدام، ويسرع التدقيق ويبقي النظام الأساسي ضمن حدود متطلبات الخصوصية والامتثال.