खातों और उप-उपयोगकर्ताओं की पदानुक्रम

(धारा: संचालन और प्रबंधन)

1) कार्य और सिद्धांत

खातों का पदानुक्रम परिभाषित करता है कि कैसे संगठन और लोग मंच संसाधनों तक पहुंच प्राप्त करते हैं और कैसे अधिकार, कोटा, बजट और जिम्मेदारियां वितरित की जाती हैं।

• चिंताओं का पृथक्करण: हम इकाई के पेड़ में व्यवसाय की संरचना और नीतियों में अधिकारों को दर्शाते हैं।
• कम से कम विशेषाधिकार: डिफ़ॉल्ट - न्यूनतम भूमिकाएं, जेआईटी के माध्यम से अस्थायी पदोन्नति।
• रचनात्मकता: भूमिकाएं/कोटा/सीमाएं विरासत में मिलती हैं और ओवरराइड होती हैं।
• पॉलिसी-ए-कोड: एक्सेस पॉलिसी, कोटा, बिलिंग - वर्शन कलाकृतियां।
• श्रवणता - प्रत्येक कार्रवाई एक विषय, संदर्भ और हस्ताक्षर से संबंधित है।

2) पदानुक्रम संदर्भ मॉडल

Tenant
├─ Account - legally/operationally significant unit
│ ├─ Sub-account - Product/Region/Team/Project
│ │ ├─ Spaces/Projects/Environments: prod/stage/dev
│ │ └─ Roles and Groups (RBAC/ABAC) for People and Services
│ └─ Shares (limits, budgets, keys, integrations)
└─ Marketplace/Integrations/Affiliates (Outer Loops)

• किरायेदार: अनुबंध, उच्च-स्तरीय बिलिंग, वैश्विक नीतियों और एसएसओ के मालिक।
• खाता: जिम्मेदारी का पृथक क्षेत्र (ब्रांड/देश/कंपनी कोड); अपने बजट/सीमा।
• उप-खाता: कार्य इकाई (उत्पाद/स्ट्रीम/कमांड); आपकी कुंजी, कोटा, भूमिकाएँ और ऑडिटिंग।

3) प्राधिकरण मॉडल

RBAC: роли मालिक/एडमिन/ऑपरेटर/व्यूअर/बिलिंग/अनुपालन।

ABAC: атрибуты 'क्षेत्र', 'किरायेदार', 'खाता', 'पर्यावरण', 'जोखिम _ स्कोर', 'डिवाइस _ आसन'।

ReBAC: परियोजनाओं और रहस्यों के लिए "मालिक/भाग/समीक्षा" रिश्ते।

अभ्यास: हाइब्रिड - RBAC एक पढ़ ने योग्य आधार के रूप में, संदर्भ बाधाओं के लिए ABAC (क्षेत्र/समय/उपकरण), संसाधन स्वामित्व के लिए ReBAC।

4) प्रतिनिधिमंडल और विरासत

प्रतिनिधिमंडल नीचे: किरायेदार-व्यवस्थापक खाता एडमिन भूमिका देता है, वही - उप-खाता मेंटेनर।

ओवरराइड: पेड़ के नीचे कोटा/सीमा/नीतियां कड़ी की जा सकती हैं।

ट्रस्ट सीमाएं: पीआईआई/वित्त - केवल खाता-स्तर "विश्वास क्षेत्र" में; उप-खाता टोकन/समुच्चय देखता है।

ब्रेक-ग्लास: शॉर्ट टीटीएल, ऑटो-अलर्ट और पोस्टमार्टम के साथ आपातकालीन पहुंच।

5) कोटा, बजट, बिलिंग

कोटा: अनुरोध/सेकंड, ईवेंट/डे, एग्रेस, स्टोरेज, कुंजी/वेबहूक।

बजट: मासिक कैप और अलर्ट (80/90/100%), ऑटो-थ्रॉटलिंग/सस्पेंशन।

बिलिंग: किरायेदार/खाता स्तर पर चालान; उप-खाता और लागत केंद्र अनुभाग।

स्थानांतरण मूल्य निर्धारण: बीयू/क्षेत्रों के बीच आंतरिक शुल्क।

निष्पक्ष उपयोग: सार्वजनिक सीमा, दर-सीमा, "फटने" से सुरक्षा।

6) पहचान और एसएसओ/एससीआईएम

एसएसओ (एसएएमएल/ओआईडीसी): किरायेदार स्तर पर केंद्रीकृत प्रविष्टि।

SCIM: उपयोगकर्ताओं/समूहों का स्वचालित निर्माण/निष्क्रियकरण और भूमिकाओं के लिए बाध्यकारी।

जेएमएल (जॉइनर/मूवर/लीवर): शुरुआती भूमिकाओं का ऑटो-जारी करना, अनुवाद के दौरान संशोधन, बर्खास्तगी पर तत्काल याद करना।

MFA/FIDO2: प्रशासन, वित्त और पीआईआई तक पहुंच के लिए अनिवार्य।

उपकरण मुद्रा: उपकरण स्थिति सहिष्णुता (एन्क्रिप्शन, ईडीआर)।

7) सेवा खाते और कुंजियाँ

सेवा खाता प्रति उप-खाता + पर्यावरण, कोई साझा रहस्य नहीं।

वर्कलोड पहचान: अल्पकालिक टोकन, नीचे/फ़ंक्शन के लिए बाध्यकारी।

केएमएस/वॉल्ट: गुप्त रोटेशन, भूमिका पहुंच, डीएसएसई हस्ताक्षर।

वेबहूक: HMAC/EdDSA हस्ताक्षर, 'नॉन + टाइमस्टैम्प', TTL विंडो।

8) डेटा मॉडल (सरलीकृत)

'किरायेदार' {id, नाम, sso, billing_profile, नीतियां []} '

'account' {id, tenant_id, क्षेत्र, legal_entity, कोटा {}, बजट {}, risk_tier}'

'sub _ account' {id, account_id, उत्पाद, पर्यावरण, कुंजियां [], वेबहुक [], सीमा {}} '

'रोल' '{id, गुंजाइश: किरायेदार' account' sub _ account, अनुमति []} '

'मेम्बरशिप' '{security _ id, role_id, scope_ref, ttl, औचित्य}'

'पोलिसी' {प्रकार: rbac 'abac' sodota, संस्करण, नियम, हस्ताक्षर} '

'audit _ event' '{कौन, क्या, कहां, कब, trace_id, हस्ताक्षर}'

'कोटा _ उपयोग' '{scope _ ref, मीट्रिक, विंडो, उपयोग किया गया, कैप}'

9) एपीआई अनुबंध

• 'POST/किरायेदार/{ id }/खाता' - खाता बनाएं (नीतियां/कोटा/बिलिंग)।
• 'POST/खाता/{ id }/उप-खाता' - एक उप-खाता (कुंजी, वेबहूक) बनाएं.
• 'पुट/भूमिकाएं/{ id}' - भूमिका नीति; ' POST/सदस्यों '- एक भूमिका निभाएं।
• 'POST/एक्सेस/एलिवेट' - TTL और औचित्य के साथ JIT को बढ़ावा।
• 'GET/कोटा/उपयोग' - उपयोग/टोपी; ' POST/कोटा/ओवरराइड '।

• 'GET/ऑडिट/इवेंट? गुंजाइश =... '- हस्ताक्षरित लॉग।
• 'GET/स्थिति/पहुंच' - अभिनय भूमिकाएँ/TTL/कुंजियाँ।
• Вебхуки: 'CotaCapActed', 'भूमिका एक्सपायरिंग', 'कीरोटेशनड्यू', 'पॉलिसीज्ड'।

10) आरएसीआई (प्रमुख क्षेत्र)

11) मेट्रिक्स और एसएलओ

TTG (टाइम-टू-ग्रांट): औसत मानक पहुंच मुद्दा ≤ 4 घंटे

JIT कवरेज: अस्थायी भूमिकाओं के माध्यम से विशेषाधिकार प्राप्त लेनदे

SoD उल्लंघन: 0 в prod; उन्मूलन TTR ≤ 24 h।

अनाथ पहुंच: "भूल" अधिकारों का हिस्सा ≤ 0। 1%.
कोटा सटीकता: मिलान उपाय/उपयोग ≥ 99। 99%.

लेखा परीक्षा पूर्णता: 100% महत्वपूर्ण हस्ताक्षर/रसीद गतिविधि।

12) डैशबोर्ड

एक्सेस हेल्थ: स्तर से सक्रिय भूमिकाएं, टीटीएल, एसओडी उल्लंघन को समाप्त करना।

FinOps: कोटा उपयोग, बजट पूर्वानुमान, विसंगतियों की गणना/गणना।

सुरक्षा: प्रमुख रोटेशन, एमएफए/एसएसओ विफलताएं, सहकर्मियों की जोखिम दर।

अनुपालन: पुनरावृत्ति की स्थिति, ऑडिट लॉग, नीति उल्लंघन।

ऑपरेशन: MTTR एक्सेस अनुरोध, नए कमांड के लिए TTFI।

13) डेटा परिसीमन और गोपनीयता

डेटा डोमेन: पीआईआई/वित्त - खाता स्तर केवल; उप-खाता - समुच्चय/टोकन।

क्षेत्रीयता: डेटा का स्थानीयकरण और प्रति क्षेत्र (विश्वास क्षेत्र)।

पीआईआई अनुरोध: केवल अनुमोदित जैब के माध्यम से; टोकन और मास्किंग।

14) जोखिम और विरोधी पैटर्न

फ्लैट-मॉडल: सभी - "प्रशासन →" घटनाएं और लीक।

साझा रहस्य: समीक्षाओं की अविश्वसनीयता और असंभवता।

कोई SoD नहीं: एक व्यक्ति भुगतान/सीमा बनाता है और अनुमोदित करता है।

अनपोस्टेड वातावरण: प्रोड में देव कुंजी; मिश्रण परीक्षण और वास्तविक डेटा।

"अनंत" भूमिकाएँ: कोई टीटीएल/पुनरावृत्ति नहीं - जोखिम संचय।

कमजोर कोटा: एक उप-खाता "सभी की क्षमता" खाता है।

15) हादसा प्लेबुक

उप-खाता कुंजी का समझौता: तत्काल निरस्तीकरण, निर्भरता का रोटेशन, कोटा का पुनर्गणना, पिछले 7-30 दिनों का ऑडिट।

कोटा से अधिक: स्वचालित थ्रॉटलिंग/ठहराव, मालिक की अधिसूचना, अस्थायी बजट टोपी।

SoD का उल्लंघन: ऑपरेशन को अवरुद्ध करना, अस्थायी रूप से भूमिका को हटाना, नीति की जांच और ठीक करना।

वेबहूक का प्रतिस्थापन: एक हस्ताक्षर के बिना/टीटीएल के बाहर रिसेप्शन का निषेध, फिर से कुंजी, स्थिति-समाप्ति सामंजस्य।

16) ऑनबोर्डिंग और जीवन चक्र

1. किरायेदार प्रारंभ: एसएसओ/एससीआईएम, बिलिंग प्रोफाइल, वैश्विक नीतियां।

2. खाता बनाएँ - क्षेत्र, कोटा, बजट, डेटा क्षेत्र, आधार भूमिकाएँ

3. उप-खाता: कुंजी/वेबहूक, टीम भूमिकाएँ, एकीकरण।

4. JML/Recertification: अधिकारों की त्रैमासिक समीक्षा, "स्लीपर्स" का ऑटो-हटाना।

5. EOL: संग्रह, कुंजी रिकॉल, स्वामित्व हस्तांतरण, बिलिंग बंद।

17) कार्यान्वयन चेकलिस्ट

• किरायेदार खाता - उप-खाता वृक्ष और विरासत नियम।
• भूमिकाओं (RBAC) और संदर्भ नीतियों (ABAC), SoD मैट्रिक्स का वर्णन करें।
• SSO/SCIM, JML प्रक्रियाओं और JIT को बढ़ावा देना शुरू करें।
• कोटा/बजट/कैप नियम और अलर्ट दर्ज करें।
• केएमएस/वॉल्ट, घूर्णन और साझा रहस्य तैनात करें।
• नीतियों के रूप में-कोड, हस्ताक्षरित रिलीज और WORM लॉग शामिल करें।
• प्रबंधन एपीआई/वेबहूक, स्थिति समापन बिंदु और ऑडिटिंग कॉन्फ़िगर करें।
• पहुंच/FinOps/सुरक्षा/अनुपालन डैशबोर्ड का निर्माण करें।
• आचरण गेमडे: प्रमुख रिसाव, कोटा तूफान, आईडीपी विफलता, एसओडी उल्लंघन।
• भूमिकाओं और समीक्षा सीमाओं को नियमित रूप से पुनर्निर्

18) एफएक्यू

खाता और उप-खाते के बीच की सीमा कहां रखी जाए?

जहां वित्त/अनुपालन/नियामक (खाता) बदलता है, और उप-खाता - टीम/उत्पाद/पर्यावरण के बारे में।

क्या कई उप-खातों के "गोंद" कोटा को संभव है?

हां, पूल और प्राथमिकताओं के माध्यम से, लेकिन क्षमता के साथ "बर्न आउट" फ्यूज।

जल्दी से अस्थायी पहुंच कैसे जारी करें?

विशेषाधिकार प्राप्त सत्रों के लिए एमएफए और टीटीएल, ऑटोलोगेशन और पोस्टमार्टम के साथ जेआईटी आवेदन।

क्या मुझे बुधवार को अलग-अलग चाबियों की जरूरत है?

आवश्यक: नेटवर्क और अधिकारों के अलगाव के साथ dev/stage/prod के लिए अलग सेवा लेखा/कुंजी।

सारांश: खातों और उप-उपयोगकर्ताओं का पदानुक्रम प्रबंधनीयता का एक ढांचा है: संस्थाओं की एक पढ़ ने योग्य संरचना, विरासत में मिली नीतियां, सख्त कोटा और बिलिंग, सुरक्षित पहचान और सिद्ध ऑडिटिंग। RBAC/ABAC/ReBAC, JIT/SoD, और पॉलिसी-as-code हाइब्रिड को लागू करके, आप उत्पाद, टीम और क्षेत्र द्वारा स्केल किए जाने पर तेजी से ऑनबोर्डिंग, अनुमाना लाभ लाभ और टिका लागत सुरक सुरक्य।