التسلسل الهرمي للحسابات والمستعملين الفرعيين

(القسم: العمليات والإدارة)

1) المهمة والمبادئ

يحدد التسلسل الهرمي للحسابات كيفية وصول المنظمات والأشخاص إلى موارد المنصة وكيفية توزيع الحقوق والحصص والميزانيات والمسؤوليات.

• فصل المخاوف: نعكس هيكل الأعمال في شجرة الكيان، والحقوق في السياسات.
• أقل امتياز: افتراضي - الحد الأدنى من الأدوار، الترقية المؤقتة عبر JIT.
• قابلية التسميد: الأدوار/الحصص/الحدود موروثة ومتجاوزة.
• سياسة كمدونة: سياسات الوصول، الحصص، الفواتير - القطع الأثرية المحفوظة.
• قابلية المراجعة - يرتبط كل إجراء بموضوع وسياق وتوقيع.

2) النموذج المرجعي للتسلسل الهرمي

Tenant
├─ Account - legally/operationally significant unit
│ ├─ Sub-account - Product/Region/Team/Project
│ │ ├─ Spaces/Projects/Environments: prod/stage/dev
│ │ └─ Roles and Groups (RBAC/ABAC) for People and Services
│ └─ Shares (limits, budgets, keys, integrations)
└─ Marketplace/Integrations/Affiliates (Outer Loops)

• المستأجر: صاحب العقود والفواتير عالية المستوى والسياسات العالمية ومنظمات المجتمع المدني.
• الحساب: منطقة مسؤولية معزولة (رمز العلامة التجارية/البلد/الشركة) ؛ ميزانياتها/حدودها.
• الحساب الفرعي: وحدة العمل (المنتج/التيار/القيادة) ؛ المفاتيح والحصص والأدوار والتدقيق.

3) نماذج الترخيص

RBAC: роли Owner/Admin/Operator/Viewer/Billing/Compliance.
ABAC: атрибуты «المنطقة»، «المستأجر»، «الحساب»، «البيئة»، «المخاطرة _ النتيجة»، «الجهاز _ الوضع».
ReBAC: علاقات «تملك/تشارك/تستعرض» للمشاريع والأسرار.

الممارسة: هجين - RBAC كأساس مقروء، ABAC لقيود السياق (المنطقة/الوقت/الجهاز)، ReBAC لملكية الموارد.

4) التفويض والميراث

التفويض: يعطي المستأجر-الإدارة دور إدارة الحساب، نفس الدور - مشرف الحساب الفرعي.
التجاوزات: يمكن تشديد الحصص/الحدود/السياسات على الشجرة.
الحدود الاستئمانية: PII/Finance - فقط في «المناطق الاستئمانية» على مستوى الحساب ؛ الحساب الفرعي يرى الرموز/المجاميع.
زجاج الكسر: الوصول إلى الطوارئ باستخدام TTL قصير وتنبيه تلقائي وتشريح بعد الوفاة.

5) الحصص والميزانيات والفواتير

الحصص: الطلبات/الثانية، الأحداث/اليوم، الخروج، التخزين، المفاتيح/الخطابات الشبكية.
الميزانيات: الحدود القصوى والتنبيهات الشهرية (80/90/100٪)، الاختناق التلقائي/التعليق.
الفواتير: الفواتير على مستوى المستأجر/الحساب ؛ أقسام الحسابات الفرعية ومراكز التكاليف.
التسعير التحويلي: الرسوم الداخلية بين موحدي/المناطق.
الاستخدام العادل: الحدود العامة، حدود الأسعار، الحماية من «الانفجارات».

6) الهويات و SSO/SCIM

SSO (SAML/OIDC): الدخول المركزي على مستوى المستأجر.
SCIM: إنشاء/تعطيل تلقائي للمستخدمين/المجموعات والارتباط بالأدوار.
JML (Joiner/Mover/Leaver): الإصدار التلقائي لأدوار البداية، المراجعة أثناء الترجمة، الاستدعاء الفوري عند الفصل.
MFA/FIDO2: إلزامية للمديرين والتمويل والوصول إلى PII.
وضع الجهاز: تحمل حالة الجهاز (التشفير، EDR).

7) حسابات الخدمة والمفاتيح

حساب الخدمة لكل حساب فرعي + البيئة، لا توجد أسرار مشتركة.
هوية عبء العمل: رموز قصيرة العمر، مرتبطة بالقاع/الوظيفة.
KMS/Vault: التناوب السري، والوصول إلى الأدوار، وتوقيعات DSSE.
خطافات الويب: توقيعات HMAC/EdDSA، «nonce + timestamp»، نافذة TTL.

8) نموذج البيانات (مبسط)

"مستأجر" {معرف، اسم، سو، billing_profile، سياسات []} "

"account' {معرف، tenant_id، منطقة، legal_entity، حصص {}، ميزانيات {}، risk_tier}'

'sub _ account' {id, account_id, product, environment, keys [], webhooks [], limits {}}'

'role' {id، scope: المستأجر 'account' sub _ account، الأذونات []} '

'memmeship' {subject _ id, role_id, scope_ref, tl, substance} '

'policy' {type: rbac' abac' sod 'conta, version, rules, signiture}'

'audit _ event' {who, what, where, where, trace_id, signation} '

"الحصة _ الاستخدام" {scope _ ref, metric, window, used, cap} "

9) عقود API

• «POST/المستأجرين/{ id }/الحسابات» - إنشاء حساب (السياسات/الحصص/الفوترة).
• 'POST/accounts/{ id }/sub-accounts' - إنشاء حساب فرعي (مفاتيح، وصلات شبكية).
• 'PUT/roles/{ id}' - سياسة الأدوار ؛ ' POST/الأعضاء - تعيين دور.
• «POST/access/elevate» - تعزيز JIT باستخدام TTL والتبرير.
• "احصل على/حصص/استخدام" - الاستخدام/الحد الأقصى ؛ " POST/Cosas/override '.

• 'احصل على/تدقيق/أحداث ؟ النطاق =... سجلات موقعة
• "GET/status/access' - أدوار التمثيل/TTL/المفاتيح.
• Вебхуки: «CataCapReach» و «RoleExperiening» و «KeyDotationDue» و «PolicyChange».

10) RACI (المجالات الرئيسية)

11) المقاييس و SLO

TTG (Time-to-Grant): متوسط مشكلة الوصول القياسية ≤ 4 ساعات

تغطية JIT: ≥ 80٪ من المعاملات المميزة من خلال الأدوار المؤقتة.
SoD Violences: 0 в prod; القضاء على TTR ≤ 24 ساعة.
الوصول اليتيم: حصة الحقوق «المنسية» ≤ 0. 1%.
دقة الحصص: مطابقة ≥ الاستحقاقات/الاستخدام 99. 99%.
اكتمال المراجعة: 100٪ نشاط توقيع/استلام حاسم.

12) لوحات القيادة

الوصول إلى الصحة: الأدوار النشطة حسب المستوى، وانتهاء TTL، وانتهاكات SoD.
FinOps: استخدام الحصص، وتوقعات الميزانية، والخروج/حساب الحالات الشاذة.
الأمن: التناوب الرئيسي، وفشل MFA/SSO، ومعدل المخاطر للأفواج.
الامتثال: حالة إعادة التصديق، سجلات مراجعة الحسابات، انتهاكات السياسة العامة.
العمليات: طلبات الوصول إلى MTTR، TTFI للأوامر الجديدة.

13) تعيين البيانات والخصوصية

مجالات البيانات: مؤشر الاستثمار الدولي/التمويل - مستوى الحساب فقط ؛ الحساب الفرعي - المجاميع/الرموز.
الإقليمية: توطين البيانات والمفاتيح لكل منطقة (المناطق الاستئمانية).
تطلب المبادرة: من خلال اللكمات المعتمدة فقط ؛ الترميز والإخفاء.

14) المخاطر والأنماط المضادة

نموذج مسطح: الكل - «المسؤولون» → الحوادث والتسريبات.
الأسرار المشتركة: عدم إمكانية التتبع واستحالة المراجعات.
لا SoD: يقوم شخص واحد بإنشاء المدفوعات/الحدود والموافقة عليها.
البيئات غير المنشورة: مفاتيح التطوير في الحث ؛ اختبار الخلط والبيانات الحقيقية.
الأدوار «اللانهائية»: عدم وجود TTL/إعادة التصديق → تراكم المخاطر.
الحصص الضعيفة: حساب فرعي واحد «يأكل» قدرة الجميع.

15) كتب لعب الحوادث

الحل الوسط لمفتاح الحساب الفرعي: الإلغاء الفوري، تناوب التبعيات، إعادة حساب الحصص، مراجعة حسابات الأيام 7-30 الأخيرة.
تجاوز الحصص: الخنق التلقائي/التوقف المؤقت، إخطار المالك، سقف الميزانية المؤقت.
انتهاك SoD: منع العملية، وإزالة الدور مؤقتًا، والتحقيق في السياسة وإصلاحها.
الاستعاضة عن الحواسيب الشبكية: حظر الاستقبال بدون توقيع/خارج موقع TTL، وإعادة المفتاح، ومطابقة الوضع مع نقطة النهاية.

16) الإقامة ودورة الحياة

1. استهلال المستأجر: SSO/SCIM، موجز الفواتير، السياسات العالمية.

2. إنشاء حساب - المناطق والحصص والميزانيات ومناطق البيانات والأدوار الأساسية

3. الحساب الفرعي: مفاتيح/خطابات شبكية، أدوار الفريق، عمليات التكامل.
4. JML/إعادة التصديق: مراجعة ربع سنوية للحقوق، الإزالة التلقائية لـ «النائمين».
5. EOL: الأرشيف، استدعاء المفتاح، نقل الملكية، إغلاق الفواتير.

17) قائمة التنفيذ المرجعية

• تسوية حساب → المستأجر → شجرة الحساب الفرعي وقواعد الميراث.
• وصف الأدوار (RBAC) والسياسات السياقية (ABAC)، مصفوفة SoD.
• ابدأ SSO/SCIM وعمليات JML وتعزيز JIT.
• إدخال قواعد الحصص/الميزانيات/الحد الأقصى والتنبيه.
• نشر KMS/Vault والتناوب والأسرار المشتركة.
• تشمل السياسات كرمز، والإصدارات الموقعة، وسجلات WORM.
• تكوين واجهات برمجة التطبيقات/خطوط الويب الإدارية، ونقاط النهاية للحالة، ومراجعة الحسابات.
• بناء لوحات معلومات الوصول/FinOps/الأمن/الامتثال.
• إجراء GameDay: تسرب مفاتيح، عاصفة حصص، فشل IdP، انتهاك SoD.
• إعادة التصديق بانتظام على الأدوار وحدود المراجعة.

18) الأسئلة الشائعة

أين تبقي الحدود بين الحساب والحساب الفرعي ؟

عندما تتغير المالية/الامتثال/التنظيم (الحساب)، والحساب الفرعي - حول الفريق/المنتج/البيئة.

هل من الممكن «لصق» حصص عدة حسابات فرعية ؟

نعم، من خلال البرك والأولويات، ولكن مع صمامات «حرق» السعة.

كيف تصدر بسرعة الوصول المؤقت ؟

تطبيق JIT مع MFA و TTL، والتشريح الذاتي وتشريح الجثة للجلسات المميزة.

هل أحتاج إلى مفاتيح مختلفة أيام الأربعاء ؟

مطلوب: حسابات/مفاتيح خدمات منفصلة للتطوير/المرحلة/الدفع مع عزل الشبكات والحقوق.

الملخص: التسلسل الهرمي للحسابات والمستخدمين الفرعيين هو إطار للإدارة: هيكل مقروء للكيانات، والسياسات الموروثة، والحصص الصارمة والفواتير، والهويات الآمنة، ومراجعة الحسابات التي يمكن إثباتها. من خلال تنفيذ RBAC/ABAC/ReBAC و JIT/SoD وهجين السياسة كرمز، ستكتسب سرعة الاستقبال والتكاليف التي يمكن التنبؤ بها والأمن المستدام عند تحجيمها حسب المنتج والفريق والمنطقة.