Hesablar və sub-istifadəçilər hiyerarxiyası

(Bölmə: Əməliyyatlar və İdarəetmə)

1) Vəzifə və prinsiplər

Hesablar hiyerarxiyası təşkilatlar və insanlar platformanın resurslarına necə daxil olduqlarını və hüquqların, kvotaların, büdcələrin və məsuliyyətin necə bölüşdürüldüyünü müəyyən edir.

• Concerns Separation: biznes strukturu mahiyyət ağacında, hüquqlar isə siyasətdə əks olunur.
• Least Privilege: default - minimal rollar, JIT vasitəsilə müvəqqəti artım.
• Composability: Rollar/kvotalar/limitlər irsi və yenidən təyin olunur.
• Policy-as-Code: giriş siyasəti, kvotalar, billing - versiyalaşdırıla bilən artefaktlar.
• Auditability: Hər bir hərəkət subyekt, kontekst və imza ilə əlaqələndirilir.

2) Hiyerarxiyanın istinad modeli

Tenant
├─ Account - legally/operationally significant unit
│ ├─ Sub-account - Product/Region/Team/Project
│ │ ├─ Spaces/Projects/Environments: prod/stage/dev
│ │ └─ Roles and Groups (RBAC/ABAC) for People and Services
│ └─ Shares (limits, budgets, keys, integrations)
└─ Marketplace/Integrations/Affiliates (Outer Loops)

• Tenant: müqavilələrin sahibi, yüksək səviyyəli billing, qlobal siyasətçilər və SSO.
• Account: təcrid olunmuş məsuliyyət sahəsi (marka/ölkə/BE); öz büdcələri/limitləri.
• Sub-account: iş vahidi (məhsul/axın/komanda); açarları, kvotaları, rolları və audit.

3) Avtorizasiya modelləri

RBAC: роли Owner/Admin/Operator/Viewer/Billing/Compliance.
ABAC: атрибуты `region`, `tenant`, `account`, `environment`, `risk_score`, `device_posture`.
ReBAC: əlaqələr layihələr və sirləri üçün «sahibi/iştirak/revyuit».

Təcrübə: hibrid - RBAC oxu bazası kimi, ABAC kontekst məhdudiyyətləri üçün (region/vaxt/cihaz), ReBAC resurslara sahib olmaq üçün.

4) Nümayəndəlik və miras

Aşağıya nümayəndəlik: Tenant-admin Account Admin rolunu verir, o - Sub-account Maintainer.
Yenidən təyin: kvotalar/limitlər/siyasətlər ağacın altında sərtləşə bilər.
Trust Boundaries: PII/maliyyə - yalnız Account səviyyəsinin «etimad zonalarında»; Sub-account tokenləri/aqreqatları görür.
Break-glass: qısa TTL, auto-alert və post-mortem ilə təcili giriş.

5) Kvotalar, büdcələr, billing

Kvotalar: sorğular/san, hadisələr/gün, egress, saxlama, açarlar/webhucks.
Büdcələr: aylıq kaplar və alertlər (80/90/100%), avto-trotlinq/dayandırma.
Billing: Tenant/Account səviyyəsində invoys; Sub-hesaba və etiketlərə görə kəsilmələr (cost centers).
Transfer Pricing: BU/regionlar arasında daxili sifarişlər.
Fair-use: ictimai limitlər, rate-limits, «burst» qorunması.

6) Kimlik və SSO/SCIM

SSO (SAML/OIDC): Tenant səviyyəsində mərkəzləşdirilmiş giriş.
SCIM: istifadəçilərin/qrupların avtomatik yaradılması/deaktivasiyası və rollara bağlanması.
JML (Joiner/Mover/Leaver): başlanğıc rollarının avtomatik verilməsi, tərcümədə yenidən baxılması, işdən çıxarıldıqda dərhal geri çağırılması.
MFA/FIDO2: administratorlar, maliyyə və PII-yə giriş üçün məcburidir.
Device Posture: cihaz vəziyyətinə görə qəbul (şifrələmə, EDR).

7) Xidmət hesabları və açarları

Service Account per Sub-account + Environment, paylaşılan sirləri olmadan.
Workload Identity: qısamüddətli tokenlər, pod/funksiyalar.
KMS/Vault: sirlərin rotasiyası, rollara giriş, DSSE imzaları.
Vebhuki: HMAC/EdDSA imzaları, 'nonce + timestamp', TTL pəncərə.

8) Data modeli (sadələşdirilmiş)

`tenant` `{id, name, sso, billing_profile, policies[]}`

`account` `{id, tenant_id, region, legal_entity, quotas{}, budgets{}, risk_tier}`

`sub_account` `{id, account_id, product, environment, keys[], webhooks[], limits{}}`

`role` `{id, scope: tenant|account|sub_account, permissions[]}`

`membership` `{subject_id, role_id, scope_ref, ttl, justification}`

`policy` `{type: rbac|abac|sod|quota, version, rules, signature}`

`audit_event` `{who, what, where, when, trace_id, signature}`

`quota_usage` `{scope_ref, metric, window, used, cap}`

9) API müqavilələri

• 'POST/tenants/{ id }/accounts' - Account (siyasət/kvota/billing) yaratmaq.
• 'POST/accounts/{ id }/sub-accounts' - Sub-account (açarlar, webhucks) yaratmaq.
• 'PUT/roles/{ id}' - rol siyasəti; 'POST/memberships' - rol təyin etmək.
• 'POST/access/elevate' - TTL və əsaslandırma ilə JIT artımı.
• 'GET/quotas/usage' - istifadə/cap; 'POST/quotas/override'.

• `GET /audit/events? scope =... '- imzalanmış qeydlər.
• 'GET/status/access' - aktiv rollar/TTL/açarlar.
• Вебхуки: `QuotaCapReached`, `RoleExpiring`, `KeyRotationDue`, `PolicyChanged`.

10) RACI (əsas sahələr)

11) Metrika və SLO

TTG (Time-to-Grant): Standart giriş medianı ≤ 4 saat

JIT Coverage: ≥ 80% müvəqqəti rollar vasitəsilə imtiyazlı əməliyyatlar.
SoD Violations: 0 в prod; TTR aradan qaldırılması ≤ 24 saat.
Orphaned Access: «unudulmuş» hüquqların payı ≤ 0. 1%.
Quota Accuracy: hesablamalar/istifadə uyğunluğu ≥ 99. 99%.
Audit Completeness: 100% imza/qəbz ilə kritik hərəkətlər.

12) Daşbordlar

Access Health: TTL, SoD pozuntuları ilə bitən səviyyələrdə aktiv rollar.
FinOps: kvotaların istifadəsi, büdcə proqnozu, egress/compute anomaliyaları.
Security: açarların rotasiyası, MFA/SSO uğursuzluqları, risk sürəti.
Compliance: resertifikasiya statusu, audit-loqlar, siyasət pozuntuları.
Operations: MTTR giriş sorğuları, yeni komandalar üçün TTFI.

13) Məlumatların ayrılması və məxfiliyi

Data Domains: PII/maliyyə - yalnız Account səviyyəsində; Sub-account - aqreqatlar/tokenlər.
Regionallıq: per-region (etimad zonaları) məlumatlarının və açarlarının lokallaşdırılması.
PII sorğular: yalnız təsdiq Jobs vasitəsilə; tokenizasiya və maskalanma.

14) Risklər və anti-nümunələr

Flat-model: hamısı - «admins» → insidentlər və sızmalar.
Paylaşılan sirlər: izlənilməzlik və rəylərin mümkünsüzlüyü.
No SoD: Bir nəfər ödəmə/limitləri yaradır və təsdiq edir.
Gizli mühit: dev-açarları prod; test və real məlumatların qarışdırılması.
«Sonsuz» rollar: TTL/resertifikasiyasız → risklərin toplanması.
Zəif kvotalar: bir Sub-hesab hər kəsin tutumunu «yeyir».

15) Hadisə pleybukları

Sub-account açarının güzəşti: dərhal geri çağırılması, asılılığın rotasiyası, kvotaların yenidən hesablanması, son 7-30 günün auditi.
Artıq kvota: avtomatik trottling/pauzer, sahibinin bildirişi, müvəqqəti büdcə kapitalı.
SoD pozuntusu: əməliyyatın bloklanması, rolun müvəqqəti çıxarılması, siyasətin araşdırılması və bərkidilməsi.
Vebhukların dəyişdirilməsi: TTL, re-key, yoxlama status-end nöqtəsi olmadan/xaricində qəbulun qadağan edilməsi.

16) Onbording və həyat dövrü

1. Tenant təşəbbüsü: SSO/SCIM, billing profili, qlobal siyasətlər.
2. Hesabın yaradılması: regionlar, kvotalar, büdcələr, məlumat zonaları, əsas rollar.
3. Sub-account: açarlar/webhucks, komanda rolları, inteqrasiya.
4. JML/Resertifikasiya: rüblük hüquqların yenidən baxılması, «yatmış» avtomatik çıxarılması.
5. EOL: arxiv, açarların geri çağırılması, mülkiyyətin köçürülməsi, billinqin bağlanması.

17) Giriş çek siyahısı

• Ağac Tenant → Account → Sub-account və miras qaydaları.
• Rolları təsvir (RBAC) və kontekstli siyasətlər (ABAC), SoD matrisi.
• SSO/SCIM, JML prosesləri və JIT təkmilləşdirmələrini işə salın.
• Kvota/büdcə/cap qaydaları və alerting daxil edin.
• KMS/Vault, rotasiya və paylaşılan sirləri qadağan edin.
• Code kimi siyasət daxil, imzalanmış buraxılışlar və WORM jurnalları.
• API/Webhook Management, Status End Points və Audit konfiqurasiya.
• Access/FinOps/Security/Compliance dashboard qurmaq.
• GameDay keçirin: açar sızması, kvota fırtınası, IdP uğursuzluğu, SoD pozuntusu.
• Mütəmadi olaraq rolları resertləşdirin və limitləri nəzərdən keçirin.

18) FAQ

Account və Sub-account arasında sərhədi harada saxlamaq olar?
Harada maliyyə/komplayens/tənzimləyici (Account), Sub-account isə komanda/məhsul/mühit haqqında dəyişir.

Bir neçə Sub-hesabın kvotalarını «yapışdırmaq» mümkündürmü?
Bəli, hovuzlar və prioritetlər vasitəsilə, lakin «yandırma» konteyner qoruyucuları ilə.

Müvəqqəti giriş necə tez verilir?
imtiyazlı sessiyalar üçün MFA və TTL, avtoloji və post-mortem ilə JIT ərizə.

Çərşənbə günü müxtəlif açarlar lazımdırmı?
Mütləq: Fərdi Service Accounts/dev/stage/prod üçün açarlar şəbəkə və hüquqların izolyasiyası ilə.

Xülasə: Hesabların və sub-istifadəçilərin iyerarxiyası idarə olunma çərçivəsidir: oxunan mahiyyət quruluşu, irsi siyasətlər, ciddi kvotalar və billing, təhlükəsiz şəxsiyyət və sübut edilə bilən audit. RBAC/ABAC/ReBAC, JIT/SoD və policy-as-code hibridini tətbiq etməklə məhsullar, komandalar və bölgələr üzrə miqyas zamanı sürətli bağlama, proqnozlaşdırıla bilən xərclər və davamlı təhlükəsizlik əldə edəcəksiniz.