ירושה של זכויות ומדיניות

1) מדוע המערכת האקולוגית זקוקה לירושה

• מהירות הגדלה: צמתים/מוצרים חדשים מקבלים מדיניות סטנדרטית מתוך הקופסה.
• אחידות ותאימות: מעקות בטיחות ברמה הגבוהה ביותר פועלות באופן אוטומטי על משאבי ילדים.
• שקיפות וביקורת: סדר יישום צפוי, צמצום חריגים.

2) גישה בסיסית לאונטולוגיה

2. 1 רמות היררכיות

1. Global Security/Data/RG Policy.
2. Tenant/Partner # מכסות, תחומי שיפוט, גבולות נתונים, הגבלות SLO.
3. Domain (תוכן, תשלומים, KYC, Associates, Analytics, Events).
4. שירות/יישום = API/Topics/Storage.
5. משאב x טבלה/נושא/נקודת סוף/סודי/זרם.

2. 2 מודלי הרשאה

RBAC (תפקידים): מהיר, שקוף, תורשתי היטב (תפקיד = הרשאה).
(ABAC (תכונות: גמישות (geo, תחום שיפוט, שיעור סיכון, זמן).
RBAC (מערכות יחסים): גישה למשאבים הקשורים לישויות שלי (אופרטור ↔ קמפיין ↔ נתונים).
תרגול: RBAC + ABAC היברידי, REBAC - עבור גרפי בעלות/קמפיין.

3) מדיניות, סקופים וסדרי עדיפויות

3. סוגי מדיניות 1

הרשה/הכחיש: היתר מפורש/מכחיש.
מעקות בטיחות: הגבלות חובה (פיל "א מחוץ לתחום, מגבלות ייצוא, מבוסס זמן).
מכסות/קצב: rps/txn/stream/event limits by derenant/channel/region.
הקשר: Geo/ASN/התקן/זמן/אימות/תנאי ניקוד סיכונים.
משלחת של חלק מהזכויות עם היקף מוגבל/TTL.

3. 2 ירושה והזמנת יישומים

היובש חזק יותר מהכרעה.
קדימות: 'מעקות שמירה (שורש)> מכחיש (הורה)> הרשה (הורה)> מכחיש (ילד)> הרשה (ילד) ".
חברת הבת אללו לא מבטלת את מעקה הבטיחות של ההורים.
Observide by Experience: נכתב רק ”יוצא מן הכלל מוצדק” עם TTL ו-Autofit.

3. 3 סקופים

Org/Tenant: כללים גלובליים ומכסות.
סביבה: prod/stage/sandbox - קשיחות עולה לדרבן.
תחום שיפוט: איתור נתונים, אילוצי אר-ג 'י.
מחלקת נתונים: ”ציבורי/פנימי/סודי/PII-רגיש/פיננסי”.
פעולה: קריאה/כתיבה/ניהול/ייצוא/התחזות.

4) עצי מדיניות

4. מבנה 1

/org
/tenants/{tenantId}
/domains/{payments    kyc    content    affiliates    analytics    events}
/services/{api    broker    db    storage    sfu}
/resources/{endpoint    topic    table    bucket    secret}

בכל צומת: רשימת מדיניות (אפשר/מכחיש/מעקה בטיחות/מכסה/הקשר). ירושה מלמעלה למטה, מדיניות מקומית להוסיף הגבלות, אבל לא להסיר איסורים גלובליים.

4. 2 דוגמאות

מעקה בטיחות: ”לא ניתן לקחת את פיי לספרי אינטרנט מחוץ ללבן של מדינות”.
רמת הדייר: "מפעילי KYC ממדינות X אסורים; דו "חות ייצוא רק מצרפים.
תשלומי דומיין: ”כתוב רק דרך חשבון שירות עם mTLS ומפתח מקורי של 24h”.

אפי שירות: ”פוסט/פיקדונות רק עם 'Idempotency-Key'.”

נושא משאב: ”Read 'kyc _ status” רק לשירותים עם תפקיד ה-KYC. מתינות ”BOLABAC” אומתה = אמת ””

5) משלחות וזכויות זמניות

Just-in-Time (JIT) Access TTL (שימוש יחיד).
פריצת זכוכית: גישת חירום עם ביקורת מיידית וניתוח לאחר מכן.
Scoped Tokens: מינימום סט של 'scopes' (קרא: נושא/kyc; לכתוב: api/הפקדה) + קהל/הפצה.
שרשרת אמון: אסימונים חוצים שירות מחוברים למכשיר/ASN/תת רשת.
התחזות: רק באמצעות שירות פרוקסי עם יומן ומגבלות.

6) ירושה בתחום

6. 1 תשלומים (PSP/APM)

מעקה הבטיחות של ההורים: "כל השיחות - באמצעות mTLS + JWS, timeout low N, retras with jitter; וו אשפה חובה"

שירות הילדים יכול להוסיף מכסות/פקקים לאזור AWP/. למנוע שיחות ישירות עוקף את התזמור.

6. 2 KYC/AML

הורה מכחיש: ”לא ניתן לכתוב מסמך גולמי לאנליטיקה”.
”העברה רק קטגוריות של חשיש/פסק דין/סיכון”.

6. 3 תוכן/הזרמה

מעקה בטיחות אורג: ”קצב סיביות מינימלי ו-Latency-SLO”.
מעקף דייר: ”איכות מופחתת בשוטטות, אבל לא נמוכה מ-SLO”.
משאב: גישה לשולחן חי ספציפי - רק קטעים עם RG-OK.

6. 4 אירועים/EDA

תרשימים/גרסאות ברישום, בדיוק פעם אחת במובן העסקי.
מפתחות למסיבה, פוליטיקה.
שירות: מי יכול לכתוב/לקרוא את הנושא; מכסות/תקציב לג.

7) פרטיות ואפס אמון

PII מזערי ו-tokenization כברירת מחדל, המדיניות ”אינה ניתנת לביטול מחוץ לאזורים בטוחים”.
מקטע רשת: ספק-VPC, egress-low-list-list, מדיניות רשת בין-אזורית.
MTLS/JWS/HMAC עבור S2S וחוברות אינטרנט, מפתחות קצרים (JWKS/Rotation).
SoD (הפרדה גזעית של החובות): לקרוא תפקידים נגד תפקידי ממשל עבור תפקידי מפתח.
תחומי שיפוט: חוקי לוקליזציה תורשתיים, איסור על יצוא חוצה גבולות של מידע אישי ללא DPA/DPIA.

8) יכולת התבוננות וביקורת ירושה

עקבות הערכת מדיניות: מגזין "איזו מדיניות שבה עבד" עם "trackeId'.
רישום דיף: מי/מתי שינה את עץ המדיניות; אחסון תולעת.
מבחני קונפורמציה: ריצות רגילות של תרחישי גישה (אפשר/מכחיש; ייצוא; התחזות).
התראות: מכחיש/מעקה בטיחות מפעיל, מכסה סחירות, ניסיונות מעקפים.

9) סכסוכים והחלטתם

הגדר רמה: הרשה/דחיית התנגשות, הפרת מעקה בטיחות, צומת ABAC.
הפעל סדר קדימות (ראה # 3. 2).
סווג את היוצא מן הכלל: זמני (TTL), קבוע (כלל), שגוי (rollback).
הוסף חפצים: בקשת RFC/CR, קישור להערכת סיכונים, בדיקות אוטומטיות ב CI.

10) אנטי דפוסים

מדריך הנפיק זכויות ללא TTL (”לנצח”).
אפשר ברירת מחדל וחריגים שקטים.
ירושה ללא מעקות בטיחות נראים לעין - ענפי ילדים חופפים כללים בטוחים.
מיזוג תפקידים (מנהל = אנליסט = מפעיל) - לא SoD.
יצוא של מידע אישי גולמי לשירותי צד שלישי, קורות אינטרנט ”זמניות” ללא חתימה.
ביקורת נכה עם זכוכית שבורה.
גרסאות צפות של תוכניות: אנליטיקה/EDA נוסע, מכחיש לא עובד על שדות חדשים.

11) רשימת בדיקות לעיצוב עץ מדיניות

1. סיווג הנתונים (Public/Internal/Security/PII/Financial).
2. הגדר רמות היררכיות ובעלי צומת (RACI).
3. הגדרת מעקות בטיחות בשורש (אפס נאמנות, PII, RG, שיפוט).
4. צרו תפקידי RBAC ותכונות ABAC; אפשר SoD.
5. תאר את הסקופים (org/terenant/env/שיפוט/data class/operation).
6. אפשר משלוח/TTL ושבר זכוכית עם לולאת ביקורת.
7. תרשום את התקדימים והסכסוכים (תהליך ההכחשה הראשון, ביטול העימות).
8. הגדרה תצפית: הערכה-עקבות, diff-רישום, התראות.
9. הפעל חיוג בהתאם וביקורות חריגות קבועות.
10. מסמך: פורטל מדיניות, דוגמאות, ארגזי חול, סימולטורים.

12) מדדי בגרות

סיקור: נתח של משאבים מכוסים על ידי מדיניות מורשת ומבחני קונפורמציה.
דריפט: מספר חריגים/100 משאבים מקומיים; יוצא מן הכלל ממוצע של טי-אל.
SoD Score: שיתוף של משתמשים שיתוף אחריות.
חשיפה: מספר היצוא מחוץ לאזורים בטוחים (מטרה = 0).
שמיעה:% מהבקשות עם הערכה-עקבות; MTTR על ידי טענות גישה.
שינוי מהירות: זמן CR לפי מדיניות עם ירושה בראש.

13) תבניות דגימה (סכמות)

• הכחיש: "ייצוא: PII 'אם' יעד. ארץ ∉ לבן &fost
• דרישה: "mTLS & JWS עבור" webhook: "
• מכסה: "קרא: אירוע: RPS EXT per tenantfost

• הרשו: "כתוב: api/deposit" אם "מאומת & risk_score
• הכחיש: ”ישיר: psp/”

• אפשר: "לקרוא" לתפקיד "קיי-סי. מתינות ”איפה” תחום שיפוט = משאב. תחום שיפוט &fost
• הכחיש: "לכתוב" מלבד שירות "kyc-תזמורת &fost

14) מפת דרכים אבולוציונית

עץ מדיניות, מעקות בטיחות בשורש, RBAC, מכחיש ראשון, שינויים בביקורת.
V2 (אינטגרציה): ABAC, משלחת/TTL, קונפורמציה-סט, הערכה-עקבות.
V3 (אוטומציה): בדיקה אוטומטית על ידי סמכות שיפוט/נתונים, מדיניות כקוד, בדיקות אוטומטיות ב CI/CD, הפרות הסגר אוטומטי.
פדרציה בין-שותפה של מדיניות, משלחת צולבת עם חתימת קריפטו, מנבא (שיעור סיכון) להענקת זכויות.

תקציר

ירושה של זכויות ומדיניות היא המסגרת של מערכת אקולוגית בטוחה ומהירה. לבנות עץ מדיניות עם מעקות בטיחות על השורש, להשתמש במכחיש ראשון וקדימות, לשלב RBAC + ABAC + REBAC, להשתמש במשלחת עם TTL וביקורת קפדנית. צ 'קים אוטומטיים וניהול יוצא מן הכלל - ויש לך מודל נגיש, תואם וצפוי לכל רשת המשתתפים שלך.