Imtiyazların seqmentləşdirilməsi

1) Niyə seqmentasiya lazımdır

Imtiyazların seqmentləşdirilməsi «blast radius» səhvləri və insayder sui-istifadələrini azaltmağın açarıdır. Bu, əməliyyatların sürətini və tənzimləyicilərin tələblərinə uyğunluğunu qoruyarkən, hansı məlumatlarla kimin və harada hansı hərəkətləri edə biləcəyini dəqiq məhdudlaşdırmağa imkan verir.

• «lazımsız hüquqlar» səbəbindən daha az insident;
• araşdırmaların sürətləndirilməsi: giriş şəffaf və başa düşüləndir;
• SoD/komplayens uyğunluğu, sübut edilə bilən audit;
• Proto-nüvə üçün risksiz təhlükəsiz təcrübələr və sürətli buraxılışlar.

2) Prinsiplər

Zero Trust: Hər bir hərəkət kontekstlə yoxlanılır; «etibarlı zonalar» yoxdur.
Least Privilege: minimum müddətə verilən minimum hüquqlar (ideal olaraq - JIT).
Context over Role: hüquqlar yalnız roldan deyil, həm də atributlardan (tenant, region, ətraf mühit, risk) asılıdır.
Segregation of Duties (SoD): təşəbbüs, təsdiq, icra və audit bölüşürük.
Policy-as-Code: Version, testlər və review kodunda siyasətlər.

3) Erişim yetkinlik modeli

1. RBAC (roles): başlanğıc - sabit rollar (Support, Risk, Payments, Trading, Ops, SRE, Compliance).
2. ABAC (attributes): atributları əlavə edin: tenant, region, yurisdiksiya, məhsul, kanal, mühit (prod/stage/dev), vaxt, risk-sinif əməliyyatı, KRI siqnalları.
3. PBAC (policy-based): mərkəzləşdirilmiş siyasətçilər «kim/nə/harada/nə vaxt/nə üçün» + şərtlər (məsələn, «prod - yalnız JIT və bilet ilə»).

4) Segmentasiya domenləri (oxun arxasında ox)

4. 1 Tenant/Müştəri

Giriş və əməliyyatlar müəyyən bir marka/operator/affiliatla məhdudlaşır.
PII olmadan ciddi müəyyən edilmiş aqreqasiyalar istisna olmaqla, tenant hərəkətləri qadağandır.

4. 2 Region/yurisdiksiya

Siyasətçilər yerli lisenziya və KYC/AML qaydalarını nəzərə alırlar.
Oyunçu məlumatları ilə əməliyyatlar saxlama və emal coğrafiyası ilə məhdudlaşır.

4. 3 Mühit (dev/stage/prod)

Prod təcrid olunur: ayrı-ayrı kredtlər, şəbəkələr, Bastion/PAM, «read-only default».
Prod-a giriş yalnız JIT, bilet və dəyişiklik pəncərələri ilə.

4. 4 verilənlər sinfi

PII/maliyyə/oyun telemetriyası/texnoloqlar - müxtəlif giriş və maskalanma səviyyələri.
PII ixracı - yalnız təsdiq edilmiş şifrələmə və TTL ilə workflow vasitəsilə.

4. 5 Əməliyyatların kritikliyi

P1/P2/P3 sinifləri: əmsalların dərc edilməsi, əl testləri, nəticələr, PSP marşrutunun dəyişdirilməsi - dual nəzarət tələb edir.
Aşağı riskli əməliyyatlar avto-siyasətlə təmin edilə bilər.

5) Imtiyaz səviyyələri (tiers)

Viewer: Yalnız aqreqatları və maskalı məlumatları oxumaq.
Operator: konfiqurasiyaları dəyişdirmədən ranbukların prosedurlarını yerinə yetirmək.
Contributor: kritik olmayan domenlərdə konfiqurasiya dəyişikliyi.
Approver: müraciətlərin təsdiqlənməsi və yüksək riskli əməliyyatlar (icrası ilə birləşdirilmir - SoD).
Admin (JIT): Dual control və qeyd sessiyası altında nadir vəzifələr üçün qısa müddətli artım.

6) SoD və uyğun olmayan rollar

• Nəticələrə başlamaq ≠ təsdiqləmək ≠ yekunlaşdırmaq.
• Bonus kampaniyası yaradın ≠ məhsulda aktivləşdirin ≠ limitləri dəyişdirin.
• Fichu inkişaf etdirmək ≠ azad etmək ≠ prod geri almaq.
• PII boşaltma tələb ≠ təsdiq ≠ deşifrə.

Hər bir cütlük üçün - yenidən baxılma tarixi ilə rəsmiləşdirilmiş qadağa və istisna siyasəti.

7) JIT-access və PAM

Elevation sorğu üzrə: məqsəd/bilet/müddət göstərilir; bitdikdən sonra - avtomatik geri çağırma.
Dual control: P1/P2 hərəkətlər - müxtəlif funksiyalardan iki appruver.
Session control: kritik sessiyaların qeydləri, anomaliyaların alertləri, PII ilə işləyərkən kopipastın qadağan edilməsi.
Break-glass: sərt limitlər və məcburi post-audit ilə təcili giriş.

8) Xidmət hesabları və API-skuplar

Minimum cups; tapşırıqlar/mikroservislər üzrə bölgü; qısamüddətli tokenlər/sertifikatlar.
Sirlərin rotasiyası, paylaşılan sirlərin qadağan edilməsi; «god-scope» qadağası.
rate/quotas limitləri, idempotency-açarları, vebhuk imzası (HMAC).

9) Infrastruktur səviyyəsində seqmentasiya

Şəbəkələr: seqmentlərin izolyasiyası (per-domain/per-tenant), default egress qadağası, mTLS.
Kubernetes/Cloud: təhlükəli şablonları qadağan etmək üçün gamspaces/per-mühit layihələri və domen, Gatekeeper/OPA.
BD/Caches: giriş broker (DB proxy/IAM), default, pəncərə xaricində prod DDL qadağan.
Anbarlar: audit üçün TTL və WORM siyasətləri ilə müxtəlif açarlar/baketlər per-class məlumat.

10) Kod kimi siyasət (PaC)

Anbarlarda siyasət (Rego/YAML), PR-review, avto-testlər (unit/e2e), diff-audit.
Dinamik kontekst: günün vaxtı, yeri, KRI səviyyəsi, risk-skorinq əməliyyatı.
allow/deny həllinin izahı və audit siyasətinə istinad.

11) Jurnallar və audit

Dolğunluq: kim/nə/harada/nə vaxt/niyə, pre/post dəyərləri, ID bileti.
Dəyişməzlik: mərkəzləşdirilmiş kolleksiya, WORM/immutable, imza qeydləri.
Əlaqə: admin-konsol zənciri → API → DB → xarici provayderlər.
SLA audit: nəzarət/tənzimləyici sorğulara cavab sürəti.

12) Daşbordlar və Metriklər (KPI/KRI)

KPI Access: daimi hüquqlara qarşı JIT payı, orta imtiyaz müddəti, SoD əhatə%, ərizə emalı vaxtı, resertifikasiya əhatə edir.
KRI sui-istifadə: həssas əməliyyatlar, kütləvi boşaltmalar, atipik yerlər/saatlar, ardıcıllığı «ərizə → hərəkət → geri dönüş».
Exec dashboard: yüksək riskli rollar statusu track, break-glass hadisələr, trendlər.

13) Siyasətçi nümunələri (eskizlər)

Prod-операции: `allow if role in {Operator, Admin} AND env=prod AND jit=true AND ticket!=null AND sod_ok AND time in ChangeWindow`.
Экспорт PII: `allow if data_class=PII AND purpose in ApprovedPurposes AND ttl<=7d AND encryption=ON AND approvers>=2`.
PSP-роутинг: `allow if action=UpdateRouting AND dual_control AND risk_assessment_passed AND rollback_plan_attached`.

14) Yol xəritəsi (8-12 həftə)

Ned. 1-2: əməliyyatların/rolların/məlumatların inventarlaşdırılması, SoD matrisi, məlumatların təsnifatı və segmentasiya domenləri.
Ned. 3-4: RBAC bazisi, rol kataloqu, prod konsolları üçün JIT, PaC (OPA/Gatekeeper) başlanğıcı.
Ned. 5-6: ABAC: tenant/region/mühit/məlumat sinfi atributları; neyspace/layihələrin bölünməsi.
Ned. 7-8: PAM (JIT-elevation, sessiya qeydləri, break-glass), DDL qadağası və DB broker, PII ixrac siyasəti.
Ned. 9-10: yüksək riskli əməliyyatlar üçün PBAC (nəticələr, bonuslar, PSP), dual control, KRI-alertlər.
Ned. 11-12: rüblük resertifikasiya, 100% yüksək riskli PaC əməliyyatlarının əhatə dairəsi, hesabat və təlim.

15) Artefaktlar

Role Catalog: rollar, minimal imtiyazlar, sahibləri.
SoD Matrix: uyğun olmayan rollar/əməliyyatlar, istisnalar, override prosesi.
Policy Pack: deny/allow testləri və nümunələri ilə PaC siyasətçi dəsti.
Access Request Form: məqsəd, müddət, obyekt (tenant/region/mühit), risk qiymətləndirilməsi, appruvers.
Sensitive Ops Register: P1/P2 hərəkətlərin siyahısı, pəncərələr, ikili nəzarət meyarları.
Audit Playbook: jurnalların toplanması və təqdim edilməsi, SLA cavabları, rolları.

16) Antipattern

Daimi inzibati hüquqlar və ümumi qeydlər.
«Rahatlıq üçün» xaç-tenant giriş.
No izolyasiya prod/stage/dev.
Kod/konsollarda enforce olmadan kağız üzərində siyasət.
şifrələmə və TTL olmadan əl razılaşması ilə PII ixrac.
Resertifikasiya və «asma» hüquqların olmaması.

17) Yekun

Imtiyazların seqmentləşdirilməsi sadəcə «düzgün rollar» deyil. Bu çox ölçülü izolyasiya (tenant, region, mühit, məlumat, kritik) + dinamik kontekst (ABAC/PBAC) + proseslər (SoD, JIT, resertifikasiya) + texniki məcburiyyət (PaC, PAM, şəbəkə/BD). Bu kontur səhvlər və sui-istifadə riskini kəskin azaldır, təhlükəsiz dəyişiklikləri sürətləndirir və platformanı miqyaslı tələblərə və tənzimləyicilərə davamlı edir.