RBAC: भूमिकाओं और अनुमतियों का प्रबंधन

1) आरबीएसी उद्देश्य और सिद्धांत

उद्देश्य: धन/पीआईआई और अनुपालन (जीडीपीआर/एएमएल/पीसीआई/आईएसओ) की सुरक्षा के लिए मात्रा में प्रबंधनीय, सत्यापित और न्यूनतम बनाएं।

सिद्धांत: कम से कम विशेषाधिकार -नीड-टू-नो· कर्तव्यों का पृथक्करण (SoD)· जीरो ट्रस्ट· Revocability (त्वरित याद)· श्रवण (उत्पादकता)।

2) अधिकारों और भूमिकाओं का वर्गीकरण

अनुमतियों के प्रकार:

डेटा: 'READ', 'LOW', 'EXPORT', 'DELETE', 'MASKED_READ' (PII के लिए डिफ़ॉल्ट).
संचालन: 'अनुमोदन _ विदड्रॉअल', 'CHANGE_FRM_RULE', 'KYC_DISECTION', 'BANDS_OVERRIDE'।
एडमिन: 'ROLE_UPDATE', 'USER_PROVISION', 'SECEART_ROTATE', 'BREAK_GLASS'।
एकीकरण: 'API_CALL:', 'WEBHOOK_SIGN', 'SERVY_CONFIG_UPDATE'.

भूमिका वर्ग:

कोर (एंड-टू-एंड): 'कर्मचारी _ बुनियादी', 'दर्शक _ आंतरिक', 'ऑडिटर _ गोपनीयता'।
डोमेन: 'सपोर्ट _ एजेंट', 'वीआईपी _ मैनेजर', 'पेमेंट _ ऑप्स', 'एएमएल _ ऑपरेटर', 'केआईसी _ ऑपरेटर', 'फ्रॉड _ एनालिस्ट', 'आरजी _ विशेषज्ञ', 'द्वि _ विश्लेषक'।
सिस्टम/उन: 'devops_admin', 'dba_admin', 'service_account', 'read_only_prod'।
विशेषाधिकार प्राप्त (PAM/JIT के माध्यम से): 'ब्रेक _ glass_admin', 'prod_db_jit_editer'.

3) रोल इंजीनियरिंग

1. संसाधनों की सूची: सिस्टम/टेबल/एंडपॉइंट, डेटा कक्षाएं (सार्वजनिक/आंतरिक/गोपनीय/प्रतिबंधित/उच्च प्रतिबंधित)।

2. फ़ंक्शन द्वारा उपयोगकर्ता की कहानियाँ: कौन करता है और क्यों (उद्देश्य)।

3. कार्य मानचित्रण → अनुमतियाँ - प्रति फ़ंक्शन न्यूनतम सेट।

4. भूमिका में समूहीकरण: एक भूमिका = एक जिम्मेदारी डोमेन; "सुपर भूमिकाओं" से बचें।

5. SoD परीक्षण: असंगतताओं की जाँच (उदा। 'पेमेंट्स _ ऑप्स' ≠ 'फ्रॉड _ रूल _ एडमिन')।

6. पायलट और माप: हम एक अस्थायी रूप से सीमित समूह जारी करते हैं, एक ऑडिट ट्रेल एकत्र करते हैं।

7. वर्शनिंग: प्रत्येक भूमिका परिवर्तन CAB के माध्यम से changelog के साथ है

4) RBAC ↔ ABAC ↔ SoD बातचीत

आरबीएसी जवाब देता है "जो सिद्धांत रूप में", एबीएसी - "किन परिस्थितियों में" (पर्यावरण, भू, उपकरण/एमडीएम, समय, केवाईसी स्तर, 'उद्देश्य')।

SoD खतरनाक भूमिका संयोजनों को प्रतिबंधित करता है और महत्वपूर्ण कार्यों के लिए 4-आंखों

अभ्यास: डिफ़ॉल्ट रूप से, भूमिकाएं पीआईआई को MASKED_READ देती हैं; अनमास्क्ड एक्सेस के लिए एक 'उद्देश्य' + जेआईटी विशेषता और एक सकारात्मक एबीएसी नीति निर्णय की आवश्यकता होती है।

5) बहु-किरायेदारी और भू-संदर्भ

किरायेदार-गुंजाइश: भूमिकाएं एक पट्टे/ब्रांड/अधिकार क्षेत्र ('भूमिका: भुगतान _ ops @ EEA') से जुड़ी हुई हैं।

भू-कुंजियाँ: प्रति क्षेत्र व्यक्तिगत एन्क्रिप्शन कुंजियाँ और अभिगम खंड (EC/UK/...)।

ग्रैनुलरिटी: 'रीजन _ कोड' कॉलम (RLS) और खिलाड़ी क्षेत्राधिकार द्वारा फ़िल्टर करना।

6) रो/कॉलम-लेवल सिक्योरिटी एंड मास्किंग

रणनीति:

आरएलएस (तार): केवल अपने देश/ब्रांड/टीम रिकॉर्ड तक पहुंचें।
सीएलएस (कॉलम): संवेदनशील क्षेत्र नकाबपोश उपलब्ध हैं; अनमास्क - केवल विशेषाधिकार 'pii_unmask' + 'उद्देश्य' के साथ।

मिनी-उदाहरण (SQL विचार):

sql
CREATE POLICY rls_tx
ON dwh. transactions
USING (region_code = current_setting('app. region'));

SELECT
CASE WHEN has_priv('pii_unmask') THEN email ELSE mask_email(email) END AS email_view
FROM dwh. users;

7) JIT, ब्रेक-ग्लास और PAM RBAC में

JIT: टिकट के तहत अस्थायी विशेषाधिकार प्राप्त भूमिका (15-120 मिनट); ऑटो-फीडबैक; पूर्ण लेखा परीक्षा।

ब्रेक-ग्लास: एमएफए + दूसरी पुष्टि और सत्र रिकॉर्डिंग के साथ आपातकालीन पहुंच; सुरक्षा + डीपीओ के साथ पोस्ट-रिव्यू।

PAM: गुप्त भंडार, सत्र प्रॉक्सी, पासवर्ड/कुंजी घुमाव.

8) रोल लाइफसाइकिल (एसओपी)

SOP-1: बनाएँ/परिवर्धित करें

1. डोमेन के मालिक की पूछताछ → कार्यों की सूची → अनुमतियों की मैपिंग → SoD-जाँच → पायलट → CAB → रिलीज़ + प्रलेखन।

SOP-2: अनुरोध और अनुदान प्रवेश

1. आवेदन (IDM/ITSM) 'उद्देश्य' और समय सीमा के साथ SoD/अधिकार क्षेत्र ऑटो-सत्यापन डेटा मालिक अनुमोदन + सुरक्षा (प्रतिबंधित + के लिए) जारी (अक्सर JIT) रजिस्ट्ट।

SOP-3: प्रतिक्रिया/ऑफबोर्डिंग

ट्रिगर: समाप्ति, भूमिका परिवर्तन, निष्क्रियता> 30/60 दिन, जेआईटी समाप्त हो गया।

स्वचालित रिकॉल करें और लॉग करें।

SOP-4: पुन: प्रमाणन

त्रैमासिक, मालिक पुष्टि करते हैं कि उपयोगकर्ता भूमिकाओं की अभी भी आवश सिस्टम "हैंगिंग" अधिकारों को हटाता है।

9) भूमिका मैट्रिक्स उदाहरण (टुकड़ा)

भूमिका	अनुमति आधार	मास्किंग	गंभीर क्रियाएँ	SoD-संघर्ष
'support_agent'	READ प्रोफाइल, टिकट	हाँ (PII नकाबपोश)	—	'kyc के साथ _ operatore'
'vip_manager'	READ VIP, बोनस	हाँ मैंने किया	—	'भुगतान _ ऑप्स' (अनुमोदन) के साथ
'payments_ops'	,	पीआईआई नकाबपोश	'भुगतान _ अनुमोदन' (4-आँखें)	'धोखाधड़ी के साथ _ नियम _ प्रशासन'
'fraud _ विश्लेषण'	,	पीआईआई नकाबपोश	'CHANCE_FRM_RULEP'	'भुगतान के साथ _ ऑप्स'
'kyc_operatore'	KYC_DECISION	दस्तावेज़ नकाबपोश (JIT के माध्यम से एक बार देखें)	'KYC_REPREPOVE'	'सपोर्ट के साथ _ एजेंट'
'bi _ विश्लेषण'	READ इकाइयां	हमेशा नकाबपोश	'EXPORT' via प्रदर्शन मामले	'dba के साथ _ adment'
'डेवोप्स _ एडमिन'	इन्फ्रा एडमिन	—	'ब्रेक _ ग्लास'	व्यावसायिक भू

10) उपकरण और कार्यान्वयन (पैटर्न)

कोड के रूप में रोल कैटलॉग: YAML/JSON रिपॉजिटरी + CI वेलिडेटर्स, चेंजलॉग में।

केंद्रीय IdP/SSO: SCIM प्रावधान, समूह मैपिंग 'समूह → भूमिका'।

नीति निर्णय बिंदु: संदर्भ विशेषताओं के साथ नीति इंजन (ABAC)।

राज/केएमएस: प्रति पर्यावरण/क्षेत्र/किरायेदार प्रमुख अलगाव।

डेटा प्रवेश द्वार: DWH/BI/निर्यात के लिए मास्किंग/ऑडिटिंग की एक परत।

SIEM/SOAR: सहसंबंध 'ROLIM_UPDATE'/'READ_PII'/'EXPORT_DATA', ऑटो-टिकट।

11) ऑडिट और लॉगिंग

अनिवार्य इवेंट्स: 'ROLIL_ASSIGN', 'ROLE_REVOCE', 'ROLE_UPDATE', 'BRAKE_GRASH', 'JEAD_GRAN','।

आवश्यकताएं: WORM कॉपी, हैश चेन, पैकेट हस्ताक्षर, प्रत्येक घटना में 'उद्देश्य '/' टिकट _ id', समय तुल्यकालन।

12) मेट्रिक्स और केपीआई/केआरआई

कवरेज: RBAC ≥ 95% के तहत सिस्टम का%।

SoD उल्लंघन: = 0; असंगत भूमिकाओं को असाइन करने का प्रयास - ऑटो-ब्लॉक।

JIT दर: ≥ 80% वृद्धि JIT हैं।

ऑफबोर्डिंग टीटीआर: अधिकारों का निरसन ≤ 15 मिनट।

नकाबपोश अनुपात पढ़ ता है: PII को ≥ 95% कॉल नकाबपोश हैं।

सुधार: 100% भूमिकाओं की पुष्टि तिमाही।

हस्ताक्षरित निर्यात: 100% निर्यात हस्ताक्षर/लॉग के साथ।

13) आरएसीआई (बढ़ाहुआ)

गतिविधि	अनुपालन/कानूनी	डीपीओ	सुरक्षा	SRE/IT	डेटा/द्वि	उत्पाद/Eng	डोमेन स्वामी
आरबीएसी/एसओडी नीति	A/R	सी	सी	सी	सी	सी	सी
भूमिका/अधिकार डिजाइन	सी	सी	A/R	आर	आर	आर	आर
ABAC/JIT/PAM	मैं	मैं	A/R	आर	मैं	सी	मैं
सुधार	सी	सी	ए	आर	आर	आर	आर
निर्यात/मास्क	सी	ए	आर	आर	आर	सी	सी

14) चेकलिस्ट

भूमिका बनाने से पहले

वर्णित उपयोगकर्ता-कहानियाँ और 'उद्देश्य'
संसाधनों और डेटा वर्गों की सूची
न्यूनतम अनुमति मानचित्रण
SoD जाँच/विरोध
मास्किंग और आरएलएस/सीएलएस नीति
पुन: प्रमाणन योजना और मालिक

पहुँच देने से पहले

निश्चित 'उद्देश्य' और तिथि
SoD/न्यायालय/MDM/MFA पूरा
डिफ़ॉल्ट मास्किंग, पदोन्नति पर JIT
जर्नल और संशोधन तिथि में शामिल हैं

15) लगातार त्रुटियां और विरोधी पैटर्न

छोटे डोमेन के बजाय व्यापक अधिकारों के साथ "सुपर भूमिकाएं"।

मास्किंग और 'उद्देश्य' के बिना पीआईआई तक सीधी पहुंच।

कोई SOD/चौथी आँखें 'PANDEMENT_ADSPOVE'/' KYC_ADMENDOv

अस्थायी अधिकारों का विस्तार "हमेशा के लिए"

dev/stage पर प्रोड डेटा नक़ल करें।

अपारदर्शी निर्यात बिना हस्ताक्षर और लॉग के।

16) कार्यान्वयन रोडमैप

सप्ताह 1-2: परिसंपत्ति इन्वेंट्री/डेटा वर्गीकरण; भूमिकाओं का एक मसौदा मैट्रिक्स; SoD तालिका।

सप्ताह 3-4: आरबीएसी कोड (भंडार), आईडीपी समूह/एससीआईएम, एबीएसी इंजन (मूल विशेषताएं: पर्यावरण/भू/एमडीएम/समय), जेआईटी/पीएएम, डीडब्ल्यूएच/बीआई के लिए मास्किंग परत।

महीना 2: RBAC/SOD/ABAC उल्लंघन, निर्यात लॉग/WORM के लिए पुन: प्रमाणन, ऑफबोर्डिंग स्वचालन, SOAR अलर्ट।

महीना 3 +: विशेषता विस्तार (डिवाइस जोखिम, केवाईसी स्तर), पूर्वाग्रह ऑडिट, लागत अनुकूलन और नियमित टेबलटॉप अभ्यास।

टीएल; डीआर

मजबूत RBAC = छोटी डोमेन भूमिकाएँ + विशेषता शर्तें (ABAC) + SOD और JIT/PAM + मास्किंग और RLS/CLS + हार्ड ऑडिटिंग और री-सर्टिफिकेशन। यह लीक/दुरुपयोग के जोखिम को कम करता है, ऑडिटिंग को गति देता है और प्लेटफॉर्म को गोपनीयता और अनुपालन आवश्यकताओं की सीमाओं के भीतर रखता है।

RBAC: भूमिकाओं और अनुमतियों का प्रबंधन

पहुँच देने से पहले

टीएल; डीआर

हमसे संपर्क करें

त्वरित संपर्क

हम इस समय परियोजनाओं में बहुत व्यस्त हैं