भूमिका प्रतिनिधिमंडल और पहुँच

(धारा: संचालन और प्रबंधन)

1) भूमिका आधारित प्रतिनिधिमंडल क्यों

लक्ष्य प्रत्येक प्रतिभागी (कर्मचारी, भागीदार, सेवा) को आवश्यक रूप से उतने ही अधिकार देना है और पूर्ण समय के साथ आवश्यक रूप से आवश्यक है। यह लीक और दुरुपयोग के जोखिमों को कम करता है, ऑनबोर्डिंग को गति देता है और ऑडिट पारित करता है।

2) एक्सेस मॉडल: स्तर और डोमेन

अभिगम डोमेन: लोग (कंसोल/पैनल), सेवाएं (मशीन टोकन), डेटा (टेबल/ऑब्जेक्ट्स), बुनियादी ढांचा (क्लाउड/K8s), समकक्ष (बाहरी एकीकरण), क्षेत्र/किरायेदार।

विश्वास का स्तर: सार्वजनिक आंतरिक संरक्षित (पीआईआई/वित्त) - विशेष रूप से महत्वपूर्ण (कुंजी/भुगतान)।

ऑपरेशन क्षेत्र: प्रोड/मंचन/सैंडबॉक्स; नियम "नीचे" से "ऊपर" - केवल अनुमोदित पाइपलाइनों के माध्यम से "।

3) प्राधिकरण मॉडल

RBAC: भूमिकाएं कार्यों से जुड़ी हुई हैं (सामग्री संपादक, पेआउट ऑपरेटर)। सरल शुरुआत, जाँचने में आसान।

ABAC: विषय/संसाधन/संदर्भ (क्षेत्र, किरायेदार, शिफ्ट, डिवाइस, जोखिम स्कोरिंग) की विशेषताओं द्वारा नीतियां।

ReBAC (संबंध-आधारित): अधिकार रिश्तों (परियोजना के मालिक, टीम के सदस्य) से पालन करते हैं।

हाइब्रिड: बेस मैट्रिक्स के लिए RBAC, संदर्भ बाधाओं के लिए ABAC, स्वामित्व के लिए ReBAC।

4) न्यूनतम आवश्यक पहुँच (कम से कम विशेषाधिकार)

प्रारंभ करें - न्यूनतम भूमिकाएँ-दर-डिफ़ॉल्ट (केवल पढ़ें, पीआईआई के बिना)।

पदोन्नति - केवल औचित्य, शब्द और मालिक के साथ एक आवेदन के माध्यम से।

समय सीमा (टीटीएल): अधिकार "पिघल" स्वचालित रूप से; विस्तार - सचेत रूप से।

प्रासंगिक गार्ड रेल: क्षेत्र/किरायेदार, खुलने के घंटे, उपकरण, भू।

5) कर्तव्यों का अलगाव (SoD)

• "सेट सीमा" - "सीमा को मंजूरी देता है।"
• "भुगतान तैयार करता है" - "भुगतान पर हस्ताक्षर करता है।"
• "कोड लिखता है" ≠ "प्रोड में रिलीज़ करता है।"
• "एडमिन डीबी" - "एनालिटिक्स में पीआईआई पढ़ ता है।"
• नीतियों में और प्रक्रियाओं में SoD को लागू करें (दो-हस्ताक्षर, M-of-N)।

6) जेएमएल प्रक्रियाएं (जॉइनर/मूवर/लीवर)

जॉइनर: स्थिति/टीम/क्षेत्र द्वारा बुनियादी भूमिकाओं का ऑटो-असाइनमेंट, 24 घंटे के लिए पहुंच की चेकलिस्ट।

प्रस्तावक: टीम/परियोजना बदलने पर भूमिकाओं की समीक् "पुराने" अधिकारों को स्वचालित हटाना।

लीवर: सत्रों, चाबियों, टोकन का निरसन; रहस्यों का पुनर्जागरण, कलाकृतियों के कब्जे का हस्तांतरण।

7) अस्थायी विशेषाधिकार: जेआईटी/पीएएम

जस्ट-इन-टाइम (JIT): MFA और टिकट औचित्य के साथ 15-240 मिनट के लिए एक आवेदन पर अधिकार जुटाना।

PAM (विशेषाधिकार प्राप्त पहुँच प्रबंधन): प्रॉक्सी/शेल लॉगिन, रिकॉर्डिंग सत्र, कमांड लॉग.

ब्रेक-ग्लास: तत्काल अलर्ट, लघु टीटीएल और अनिवार्य पोस्टमार्टम के साथ आपातकालीन पहुंच।

8) सेवा पहचान और कुंजी

सेवा खाते: प्रत्येक सेवा और पर्यावरण के लिए अलग, कोई साझा रहस्य नहीं।

कार्यभार पहचान: फली/वीर/फ़ंक्शन के लिए बाध्यकारी टोकन; अल्पकालिक क्रेडिट।

रहस्य: केएमएस/वॉल्ट, रोटेशन, टू-लूप एन्क्रिप्शन, लॉग में होने का निषेध।

हस्ताक्षर/भुगतान कुंजी: दहलीज/एमपीसी, हार्डवेयर एचएसएम, ट्रस्ट डोमेन में विविधता।

9) एसएसओ/एमएफए/एससीआईएम और खाता जीवनचक्र

एसएसओ: आईडीपी (एसएएमएल/ओआईडीसी), एकल साइन-ऑन, केंद्रीकृत पासवर्ड/डिवाइस नीतियां।

एमएफए: प्रशासन/वित्त/पीआईआई के लिए अनिवार्य; अधिमानतः -।

SCIM: खातों और समूहों का स्वचालित निर्माण/विलोपन/संशोधन।

उपकरण स्थिति: उपकरण स्थिति (डिस्क एन्क्रिप्शन, ईडीआर, वर्तमान पैच) द्वारा सशर्त पहुंच।

10) नीतियों के रूप में कोड और सत्यापन

OPA/प्राधिकरण सेवा: कोड (Rego/JSON) के रूप में नीतियां, पीआर के माध्यम से समीक्षा, परीक्षण।

बहाव नियंत्रण: नियमित तुलना "वास्तव में घोषित बनाम।"

प्री-फ्लाइट चेक: "क्या नीति इस ऑपरेशन की अनुमति देगी?" - रिहाई से पहले मामलों का परीक्षण

11) डेटा एक्सेस

वर्गीकरण: सार्वजनिक/आंतरिक/सीमित/पीआईआई/वित्त।

"न्यूनतम" दबाव: "कच्चे" डेटा के बजाय कुल/मुखौटे; पीआईआई अनुरोध - केवल अनुमोदित जैब के माध्यम से।

Tokenization/DE-ID - पहचानकर्ताओं को बदलें, ऑडिट अनुरोध करें।

परतें: भोजन → प्रतिकृतियाँ → शोकेस → कुल; उत्पादन डेटाबेस तक सीधी पहुंच - केवल JIT/PAM।

12) क्लाउड, K8s, नेटवर्क

क्लाउड आईएएम: प्रति-खाता/परियोजना भूमिकाएँ; डिफ़ॉल्ट रूप से "व्यवस्थापक" निषेध; टैग/फ़ोल्डर पर क्रिया प्रतिबंधित कर रहा है।

Kubernetes: neimspaces पर RBAC, PSP/इसी तरह की नीतियों के बिना "विशेषाधिकार प्राप्त", मिश्रधातु छवि, CSI के माध्यम से रहस्य, सेवा खाते प्रति-पॉड।

नेटवर्क: जीरो-ट्रस्ट (एमटीएलएस, पहचान-जागरूक), जंप-होस्ट तक पहुंच - केवल जेआईटी, एसएसएच सत्रों की रिकॉर्डिंग।

13) बाहरी भागीदार और एकीकरण

पृथक किरायेदारों/कुंजियों, OAuth2 के न्यूनतम स्कोप, छोटे टीटीएल टोकन।

वेबहूक: हस्ताक्षर (HMAC/EdDSA), 'नॉन + टाइमस्टैम्प', संकीर्ण रिसेप्शन विंडो।

एक शेड्यूल पर चाबियों का रोटेशन, समझौता करने पर याद करें, "स्वास्थ्य" के लिए स्थिति समापन बिंदु।

14) लेखा परीक्षा, पुनरावृत्ति, रिपोर्टिंग

प्रतिरक्षा: WORM लॉग, पॉलिसी रिलीज़ हस्ताक्षर, मर्कल स्लाइस।

सुधार: महत्वपूर्ण भूमिकाओं की त्रैमासिक जांच, मासिक - व्यवस्थापक अधिकार।

संगरोध अधिकार: "अप्रयुक्त 60 दिन" → ऑटो-हटाना।

साक्ष्य पैक: रोल मैट्रिक्स, SoD ट्रिगर, JIT अनुरोध, रिकॉर्डिंग PAM सत्र के अपलोड।

15) मेट्रिक्स और एसएलओ

TTG (टाइम-टू-ग्रांट): एक मानक अनुप्रयोग (लक्ष्य ≤ 4h) तक पहुंच प्रदान करने के लिए औसत समय।

"विशेषाधिकार प्राप्त" (लक्ष्य ≥ 80%) के बीच जेआईटी पहुंच का हिस्सा।

SoD-उल्लंघन: 0 प्रोड में, उन्मूलन समय ≤ 24 घंटे।

अनाथ अधिकार: अतिरिक्त अधिकारों वाले उपयोगकर्ताओं का% (लक्ष्य → 0। 0x%)।

रहस्यों का रोटेशन: गुप्त की औसत आयु (संवेदनशील के लिए लक्ष्य ≤ 30 दिन)।

ऑडिट कवरेज: कलाकृतियों के साथ 100% विशेषाधिकार प्राप्त कार्य (रिकॉर्ड, रसीदें)।

16) डैशबोर्ड

एक्सेस हेल्थ: सक्रिय भूमिकाएं, अनाथ अधिकार, जेआईटी बनाम स्थायी।

पीएएम और सत्र: विशेषाधिकार प्राप्त सत्रों की संख्या, अवधि, एमएफए सफलता।

SoD & घटनाएँ: ताला आँकड़े, कारण, MTTR।

रहस्य और कुंजी: आयु, आगामी रोटेशन, लाल कुंजी।

JML: ऑनबोर्डिंग/ऑफबोर्डिंग का SLA, ओवरड्यू एप्लिकेशन।

ऑडिट साक्ष्य: त्रैमासिक पुनरावृत्ति की स्थिति, पूर्णता 100%।

17) हादसा प्लेबुक

टोकन/कुंजी समझौता: तत्काल रिकॉल, वैश्विक उपयोग खोज, निर्भरता रोटेशन, एन दिनों में रेट्रो ऑडिट।

SoD का उल्लंघन: ऑपरेशन का ब्लॉक, भूमिका का अस्थायी विघटन, पोस्टमार्टम और नीति परिवर्तन।

पीआईआई के लिए अनधिकृत पहुंच: अलगाव, डीपीओ अधिसूचना, लीक इन्वेंट्री, कानूनी प्रक्रियाएं।

वृद्धि दुरुपयोग: विषय/टीम के लिए जेआईटी को फ्रीज करना, अनुप्रयोगों/औचित्यों का विश्लेषण करना, टीटीएल सीमाओं को समायोजित करना।

18) परिचालन प्रथाएं

महत्वपूर्ण अधिकार जारी करने/बदलने पर चार आँखें।

कार्यों, जोखिमों और अनुमत संचालन के विवरण के साथ भूमिका सूची।

गुमनाम डेटा और अन्य भूमिकाओं के साथ वातावरण का परीक्षण करें।

नीति ड्राई-रन: आवेदन से पहले परिवर्तनों के प्रभावों का अनुकरण।

गेमडेज़एक्सेस द्वारा: "आईडीपी का नुकसान", "पीएएम विफलता", "गुप्त लीक"।

19) कार्यान्वयन चेकलिस्ट

• प्रमुख प्रक्रियाओं के लिए एक भूमिका वर्गीकरण और SoD मैट्रिक्स बनाएं।
• सभी के लिए SSO + MFA सक्षम करें, JML के लिए SCIM धाराएँ।
• PAM/JIT तैनात करें, अलर्ट और छोटे TTL के साथ ब्रेक-ग्लास कॉन्फ़िगर करें।
• नीतियों-ए-कोड (ओपीए), पीआर के माध्यम से संशोधन और ऑटोटेस्ट दर्ज करें।
• अलग सेवा खाते और कार्यभार-पहचान; साझा रहस्यों का निषेध।
• तिजोरी/केएमएस, रहस्य और कुंजियों का नियमित घुमाव, कोड/लॉग में रहस्यों का निषेध।
• अलग-अलग वातावरण और क्षेत्र, क्रॉस-क्षेत्रीय पहुंच नियमों को मजबूत करें।
• डैशबोर्ड और एसएलओ चलाएं, मासिक पुनरावृत्ति रिपोर्ट।
• अधिकार ग्राफ का एक SoD स्कैन करें और वृद्धि पथ को समाप्त करें।
• एक्शन आइटम के साथ नियमित अभ्यास और पोस्टमार्टम।

20) एफएक्यू

RBAC या ABAC?

RBAC - बुनियादी पढ़ ने योग्यता परत, ABAC - संदर्भ और गतिशीलता। एक हाइब्रिड का उपयोग करें।

अगर कोई जेआईटी है तो क्या पीएएम की जरूरत है?

हां: पीएएम सत्र रिकॉर्डिंग और प्रबंधित विशेषाधिकार प्राप्त एक्सेस चैनल देता है

अधिकारों के "चिपके" को कैसे कम करें?

भूमिकाओं के लिए टीटीएल, ऑटो-रिमूवल अप्रयुक्त, मासिक पुनरावृत्ति और एसओडी अलर्ट।

बाहरी ठेकेदारों के साथ क्या करें?

समर्पित किरायेदार/समूह, सीमित स्कोप, लघु टीटीएल, अनिवार्य रिपोर्ट और पुनरावृत्ति।

सारांश: भूमिका प्रतिनिधिमंडल और पहुंच एक "टिक बॉक्स सेट" नहीं है, लेकिन एक अधिकार जीवनचक्र: न्यूनतम आवश्यक भूमिकाएं, SoD, JIT/PAM, नीति-जैसा कोड, अवलोकन और नियमित पुनवीकरण। इस तरह की रूपरेखा टीमों को त्वरित कार्य और व्यवसाय और लेखा परीक्षा के लिए पूर्वानुमानित सुरक्