تفويض الأدوار والوصول

(القسم: العمليات والإدارة)

1) لماذا التفويض القائم على الأدوار

الهدف هو منح كل مشارك (موظف، شريك، خدمة) بالضبط نفس العدد من الحقوق حسب الضرورة والوقت بالضبط حسب الضرورة، مع إمكانية تتبع الإجراءات بالكامل. هذا يقلل من مخاطر التسريبات وسوء المعاملة، ويسرع من الصعود على متن الطائرة ومرور عمليات التدقيق.

2) نموذج الوصول: المستويات والمجالات

مجالات الوصول: الأشخاص (وحدة التحكم/اللوحات)، الخدمات (رموز الآلة)، البيانات (الجداول/الأشياء)، البنية التحتية (السحابة/K8s)، الأطراف المقابلة (التكامل الخارجي)، المناطق/المستأجرين.
مستويات الثقة: → العامة → الداخلية المحمية (PII/finance) → بالغة الأهمية (المفاتيح/المدفوعات).

'1' مناطق العمليات: الدفع/التدريج/الرمل ؛ القاعدة «من «أدناه» إلى «أعلاه» - فقط من خلال خطوط الأنابيب المعتمدة.»

3) نماذج الترخيص

RBAC: الأدوار مرتبطة بالمهام (محرر المحتوى، مشغل Payout). بداية بسيطة، سهلة التحقق.
ABAC: السياسات حسب خصائص الموضوع/الموارد/السياق (المنطقة، المستأجر، التحول، الجهاز، تحديد المخاطر).
ReBAC (قائم على العلاقة): الحقوق تتبع العلاقات (مالك المشروع، عضو الفريق).
هجين: RBAC للمصفوفة الأساسية، ABAC لقيود السياق، ReBAC للملكية.

4) الحد الأدنى المطلوب للوصول (أقل امتياز)

ابدأ - الحد الأدنى من الأدوار الافتراضية (اقرأ فقط، بدون PII).
الترقية - فقط من خلال طلب مبرر ومصطلح ومالك.
الحد الزمني: «تذوب» الحقوق تلقائياً ؛ التمديد - بوعي.
قضبان الحراسة السياقية: المنطقة/المستأجر، ساعات العمل، الجهاز، geo.

5) الفصل بين الواجبات (SoD)

• «يحدد الحدود» ≠ «يوافق على الحدود».
• «يعد الدفع» ≠ «يوقع الدفع».
• «يكتب الرمز» ≠ «الإصدارات في الحث».
• «Admin DB» ≠ «يقرأ PII في التحليلات».
• تنفيذ مبادرة التنمية الاجتماعية في السياسات وفي العمليات نفسها (توقيعان، M-of-N).

6) عمليات JML (Joiner/Mover/Leaver)

Joiner: التعيين التلقائي للأدوار الأساسية حسب الوظيفة/الفريق/المنطقة، قائمة مرجعية للوصول لمدة 24 ساعة.
المحرك: استعراض الأدوار عند تغيير الفريق/المشروع ؛ الإزالة التلقائية للحقوق «القديمة».
Leaver: إلغاء الجلسات والمفاتيح والرموز ؛ إعادة إصدار الأسرار، ونقل حيازة القطع الأثرية.

7) الامتيازات المؤقتة: JIT/PAM

Just-In-Time (JIT): رفع الحقوق على طلب لمدة 15-240 دقيقة مع MFA وتبرير التذكرة.
PAM (إدارة الوصول المميز): تسجيل الدخول بالوكالة/الصدفة، جلسات التسجيل، سجل الأوامر.
زجاج الكسر: الوصول إلى الطوارئ مع تنبيه فوري، TTL قصير وتشريح إلزامي بعد الوفاة.

8) هويات ومفاتيح الخدمة

حسابات الخدمة: منفصلة عن كل خدمة وبيئة، ولا توجد أسرار مشتركة.
هوية عبء العمل: رموز مربوطة بالكبسولة/vir/function ؛ الائتمانات القصيرة الأجل.
الأسرار: KMS/Vault، التناوب، التشفير ثنائي الحلقة، حظر الدخول في جذوع الأشجار.
مفاتيح التوقيع/الدفع: العتبة/لجنة السياسة النقدية، الأجهزة HSMs، التنوع عبر مجالات الثقة.

9) SSO/MFA/SCIM ودورة حياة الحساب

SSO: IdP (SAML/OIDC)، تسجيل الدخول الفردي، وسياسات كلمة المرور/الجهاز المركزية.
MFA: إلزامي للإداريين/المالية/PII ؛ ويفضل أن تكون FIDO2.
SCIM: إنشاء/حذف/تعديل الحسابات والمجموعات تلقائيًا.
وضع الجهاز: الوصول المشروط حسب حالة الجهاز (تشفير القرص، EDR، التصحيحات الحالية).

10) السياسات كرمز والتحقق

OPA/خدمة الترخيص: سياسات في شكل رمز (Rego/JSON)، مراجعة عبر العلاقات العامة، الاختبارات.
التحكم في الانجراف: مقارنات منتظمة «معلنة مقابل في الواقع».
فحوصات ما قبل الرحلة: «هل ستسمح السياسة بهذه العملية ؟» - حالات الاختبار قبل الإفراج.

11) الوصول إلى البيانات

التصنيف: العام/الداخلي/المحدود/مؤشر الاستثمار الاستثماري/المالية.
الضغط «الأدنى»: المجاميع/الأقنعة بدلاً من البيانات «الخام» ؛ طلبات PII - من خلال اللكمات المعتمدة فقط.
الترميز/DE-ID - يستعاض عن محددات الهوية وطلبات مراجعة الحسابات.
الطبقات: نسخ طبق الأصل من → الأغذية → تعرض مجاميع → ؛ الوصول المباشر إلى قاعدة بيانات الإنتاج - فقط JIT/PAM.

12) السحابة، K8s، الشبكات

الإدارة المتكاملة للمعلومات السحابية: الأدوار لكل حساب/مشروع ؛ حظر «الإدارة» افتراضياً ؛ تقييد الإجراءات على العلامات/المجلدات.
Kubernetes: RBAC on neimspaces، PSP/سياسات مماثلة بدون صورة «مميزة»، allowist، أسرار عبر CSI، حسابات خدمة لكل جراب.
الشبكة: Zero-Trust (mTLS، وعي بالهوية)، والوصول إلى مضيف القفز - JIT فقط، وتسجيل جلسات SSH.

13) الشركاء الخارجيون والتكامل

المستأجرين/المفاتيح المعزولة، الحد الأدنى لنطاقات OAuth2، رموز TTL القصيرة.
خطوط الويب: توقيع (HMAC/EdDSA)، «nonce + timestamp»، نافذة استقبال ضيقة.
تناوب المفاتيح على جدول زمني، واستدعاء عند التسوية، ونقاط نهاية الحالة لـ «الصحة».

14) مراجعة الحسابات وإعادة التصديق والإبلاغ

المناعة: سجلات WORM، وتوقيعات إصدار السياسة، وشرائح Merkle.
إعادة التصديق: فحص ربع سنوي للأدوار الحاسمة، شهريًا - حقوق الإدارة.
حقوق الحجر الصحي: «60 يومًا غير مستخدمة» → الإزالة التلقائية.
حزمة الأدلة: تحميل مصفوفة الدور، مشغلات SoD، طلبات JIT، تسجيل جلسات PAM.

15) المقاييس و SLO

TTG (وقت المنح): متوسط الوقت لمنح الوصول إلى طلب قياسي (الهدف ≤ 4 ساعة).
حصة الوصول إلى JIT بين «المتميزين» (الهدف ≥ 80٪).
انتهاكات SoD: 0 في الحث، وقت الإقصاء ≤ 24 ساعة.
حقوق الأيتام: النسبة المئوية للمستخدمين ذوي الحقوق الزائدة (الهدف → 0. 0x٪).
تدوير الأسرار: متوسط عمر السر (الهدف ≤ 30 يومًا للحساسية).
تغطية مراجعة الحسابات: 100٪ إجراءات مميزة مع القطع الأثرية (السجلات والإيصالات).

16) لوحات القيادة

الوصول إلى الصحة: أدوار نشطة، حقوق الأيتام، JIT مقابل دائم.
PAM & Sessions: عدد الدورات المتميزة، والمدة، ونجاح MFA.
SoD & Incidences: إحصائيات القفل، الأسباب، MTTR.
الأسرار والمفاتيح: العمر، التناوب القادم، المفاتيح الحمراء.
JML: SLA للالتحاق/الإقلاع، الطلبات المتأخرة.
أدلة مراجعة الحسابات: حالة إعادة التصديق ربع السنوية، الاكتمال 100٪.

17) كتب لعب الحوادث

الرمز/الحل الوسط الرئيسي: الاستدعاء الفوري، البحث عن الاستخدام العالمي، تناوب التبعية، التدقيق الرجعي في أيام N.
انتهاك SoD: حظر التشغيل، وفصل الدور مؤقتًا، وتشريح الجثة وتغيير السياسة.
الوصول غير المصرح به إلى PII: العزل، إخطار DPO، جرد التسريب، الإجراءات القانونية.
إساءة التصعيد: تجميد JIT للموضوع/الفريق، وتحليل التطبيقات/المبررات، وتعديل حدود TTL.

18) الممارسات التشغيلية

أربع عيون على إصدار/تغيير الحقوق الحرجة.
فهرس الأدوار مع وصف المهام والمخاطر والعمليات المسموح بها.
اختبار البيئات مع بيانات مجهولة المصدر وأدوار أخرى.
تجفيف السياسات: محاكاة آثار التغييرات قبل التطبيق.
GameDays عن طريق الوصول: «فقدان بطاقة الهوية»، «فشل PAM»، «تسريب سري».

19) قائمة التنفيذ المرجعية

• إنشاء تصنيف دور ومصفوفة SoD للعمليات الرئيسية.
• تمكين SSO + MFA للجميع، تدفقات SCIM لـ JML.
• نشر PAM/JIT، وتهيئة زجاج الكسر مع التنبيهات و TTL القصير.
• أدخل السياسات كرمز (OPA)، والمراجعات عبر العلاقات العامة، والاختبارات الذاتية.
• حسابات الخدمة المستقلة وعبء العمل - الهوية ؛ حظر الأسرار المشتركة.
• قبو/KMS، تناوب منتظم للأسرار والمفاتيح، حظر الأسرار في الرموز/السجلات.
• بيئات ومناطق منفصلة، وتوحيد قواعد الوصول عبر الأقاليم.
• تشغيل لوحات القيادة و SLOs، تقارير إعادة التصديق الشهرية.
• إجراء مسح SoD للرسم البياني للحقوق والقضاء على مسارات التصعيد.
• التمارين المنتظمة والتشريح مع بنود العمل.

20) الأسئلة الشائعة

RBAC أو ABAC ؟

RBAC - طبقة القراءة الأساسية، ABAC - السياق والديناميكيات. استخدم الهجين.

هل PAM مطلوب إذا كان هناك JIT ؟

نعم: تمنح PAM تسجيل الجلسات وقنوات الوصول المميزة المدارة.

كيف تقلل من «التمسك» بالحقوق ؟

TTL للأدوار والإزالة التلقائية غير المستخدمة وإعادة التصديق الشهري وتنبيهات SoD.

ماذا تفعل بالمقاولين الخارجيين ؟

مستأجرون/مجموعات مخصصة، ونطاقات محدودة، وقصيرة TTLs، وتقارير إلزامية، وإعادة التصديق.

الملخص: تفويض الأدوار والوصول ليست «مجموعة مربع علامة»، ولكنها دورة حياة الحقوق: الحد الأدنى من الأدوار المطلوبة، SoD، JIT/PAM، السياسة كرمز، إمكانية الملاحظة، وإعادة التصديق المنتظم. يعطي هذا المخطط عملاً سريعًا للفرق وأمانًا يمكن التنبؤ به للأعمال والتدقيق.