უფლებებისა და პოლიტიკოსების მემკვიდრეობა

1) რატომ არის მემკვიდრეობა ეკოსისტემაში

• მასშტაბის სიჩქარე: ახალი კვანძები/პროდუქტები იღებენ სტანდარტიზებულ პოლიტიკას „ყუთიდან“.
• ერთგვაროვნება და შესაბამისობა: ზედა დონის guardrails ავტომატურად მოქმედებს შვილობილი რესურსებზე.
• გამჭვირვალობა და აუდიტი: პროგნოზირებადი გამოყენების პროცედურა, გამონაკლისების შემცირება.

2) წვდომის ძირითადი ონტოლოგია

2. 1 იერარქიული დონე

1. ორგანიზაცია/ეკოსისტემა - გლობალური უსაფრთხოების/მონაცემთა პოლიტიკა/RG.
2. ტენანტი/პარტნიორი - კვოტები, იურისდიქცია, მონაცემთა საზღვრები, SLO შეზღუდვები.
3. დომენი (შინაარსი, გადახდა, KYC, აფილატები, ანალიტიკა, მოვლენები) - წვდომის პროფილი და ქსელის პერიმეტრი.
4. მომსახურება/API პროგრამა/ტოპები/საცავი.
5. რესურსი - ცხრილი/ტოპიკა/ენდოპოინტი/საიდუმლო/ნაკადი.

2. 2 ავტორიზაციის მოდელები

RBAC (როლები): სწრაფად, გამჭვირვალედ, კარგად მემკვიდრეობით მიიღება (როლი არის ნებართვების ერთობლიობა).
ABAC (ატრიბუტები): მოქნილობა (გეო, იურისდიქცია, რისკი, დრო).
ReBAC (ურთიერთობები): წვდომა „ჩემს ერთეულებთან დაკავშირებულ რესურსებზე“ (ოპერატორი, კამპანია და მონაცემები).
პრაქტიკა: RBAC + ABAC ჰიბრიდი, ReBAC - საკუთრების/კამპანიების გრაფიკებისთვის.

3) პოლიტიკოსები, კომპეტენციები და პრიორიტეტები

3. 1 ტიპის პოლიტიკოსი

ალოუ/დენი: მკაფიო რეზოლუცია/აკრძალვა.
Guardrails: სავალდებულო შეზღუდვები (PII out-of-scope, ექსპორტის შეზღუდვები, დრო და დრო).
U tas/Rate: rps/txn/stream/event ლიმიტები ტენანტის/არხის/რეგიონის საშუალებით.
კონტინენტური: გეო/ASN/მოწყობილობის/დროის/გადამოწმების/რისკის მორიელის პირობები.
Delegation: უფლებების ნაწილის დელეგირება დაძაბული თვითმფრინავით/TTL.

3. 2 მემკვიდრეობა და გამოყენების წესი

დენის პირველი: აკრძალვა უფრო ძლიერია, ვიდრე ნებართვა.
Precedence: `Guardrails (root) > Deny (parent) > Allow (parent) > Deny (child) > Allow (child)`.
Shadowing: Allow არ გააუქმებს მშობლის Guardrail/Deny.
გამონაკლისის თანახმად, Override: მხოლოდ წერილობით გაფორმებული „სამართლიანი ექსკლუზიები“ TTL- ით და ავტომობილებით.

3. 3 Skopes

Org/Tenant: გლობალური წესები და კვოტები.

Environment

იურისდიქცია: მონაცემთა ლოკალიზაცია, RG შეზღუდვები.
Data Class: `Public/Internal/Confidential/PII-Sensitive/Financial`.
Operation: read/write/admin/export/impersonate.

4) პოლიტიკის ხეები

4. 1 სტრუქტურა

/org
/tenants/{tenantId}
/domains/{payments    kyc    content    affiliates    analytics    events}
/services/{api    broker    db    storage    sfu}
/resources/{endpoint    topic    table    bucket    secret}

თითოეულ კვანძზე: პოლიტიკოსის სია (allow/deny/guardrail/èta/context). ზემოდან ქვემოდან მემკვიდრეობა, ადგილობრივი პოლიტიკოსები დაამატებენ შეზღუდვებს, მაგრამ არ აშორებენ გლობალურ აკრძალვებს.

4. 2 მაგალითები

Guardrail org-level: „PII არ შეიძლება განთავსდეს ვებჰუკებში ქვეყნების თეთრი სიის მიღმა“.

Tenant-level: "X ქვეყნებიდან KYC ოპერატორები აკრძალულია; მხოლოდ აგრეგატების მიერ ანგარიშების ექსპორტი."

Domain payments: „Write მხოლოდ mTLS სერვისის ანგარიშის საშუალებით და გასაღებით 24ch“.
სერვისი ap: „POST/deposits მხოლოდ 'Idempotency-Key'“ - ით.
Resource topic: "წაკითხვა 'kyc _ status' მხოლოდ KYC როლის მქონე სერვისებისთვის. moderation` и ABAC `verified=true`».

5) დელეგაცია და დროებითი უფლებები

Just-in-Time (JIT) Access: გაცემა შესრულების ხანგრძლივობისთვის (TTL, single-use).
Break-Glass: გადაუდებელი წვდომა დაუყოვნებლივი აუდიტით და შემდგომი ანალიზით.
Scoped Tokens: მინიმალური ნაკრები 'scopes' (read: topic/kyc; write:api/deposit) + audience/issuer.
Chain-of-Trust: ოფშორული ნიშნები მოწყობილობის/ASN/ქვესახეობების მითითებით.
Impersonation: მხოლოდ მარიონეტული სერვისის საშუალებით ჟურნალთან და ლიმიტებთან.

6) მემკვიდრეობა დომენებში

6. 1 გადახდა (PSP/APM)

მშობელი guardrail: "ყველა გამოწვევა - mTLS + JWS, Timaut N- ის მეშვეობით, retray ერთად jitter; სავალდებულო ჩარჟბეკი."

შვილობილი კომპანიას შეუძლია დაამატოთ კვოტები/ქუდი ARM/რეგიონში. დენის პირდაპირ ზარებს, გვერდის ავლით ორკესტრს.

6. 2 KYC/AML

მშობელი დენი: „ნედლეული დოკუმენტი არ შეიძლება დაიწეროს ანალიტიკაში“.
შვილობილი Allow: „გადასცეს მხოლოდ hash/განაჩენი/რისკის კატეგორიები“.

6. 3 შინაარსი/ნაკადი

Org guardrail: „მინიმალური bitrate და latency-SLO“.
Tenant-override: „ხარისხის შემცირება როუმინგში, მაგრამ არანაკლებ SLO“.
Resource: კონკრეტულ Live მაგიდაზე წვდომა მხოლოდ RG-OK სეგმენტებია.

6. 4 მოვლენები/EDA

Root: სქემები/ვერსიები in-registry, exactly-once ბიზნეს მნიშვნელობისთვის.
დომენი: წვეულებების გასაღებები, დედაპლატის პოლიტიკა.
სამსახური: ვისაც შეუძლია დაწერა/წაიკითხოს ტოპიკი; quotas/lag-budget.

7) კონფიდენციალურობა და Zero Trust

PII შემცირება და სტანდარტულად ტოკენიზაცია, პოლიტიკა „არ შეიძლება დე-ტოკენიზირებული იყოს სეიფ ზონების გარეთ“.
ქსელების სეგმენტი: vendor-VPC, egress-allow-list, ბრინჯის ინტერზონის პოლიტიკოსები.
mTLS/JWS/HMAC S2S და ვებჰუკებისთვის, მოკლე გასაღებები (JWKS/rotation).
SoD: კითხვისა და ადმინისტრირების როლის როლი, კლავიშების გამოშვების როლი.
იურისდიქციები: მემკვიდრეობით ლოკალიზაციის წესები, PDN ტრანსსასაზღვრო ექსპორტის აკრძალვა DPA/DPIA- ს გარეშე.

8) მემკვიდრეობის დაკვირვება და აუდიტი

Policy Evaluation Trace: ჟურნალი „რომელი პოლიტიკა სად მუშაობდა“ TracaId- ით.
Diff-log: ვინ/როდის შეცვალა პოლიტიკოსის ხე; WORM საცავი.
Conformance ტესტები: წვდომის სცენარების რეგულარული გადასასვლელი (allow/deny; export; impersonation).
ალერტები: დენის/guardrail- ის მოქმედება, კვოტების გადაჭარბება, შემოვლითი მცდელობები.

9) კონფლიქტები და მათი მოგვარება

კლასის განსაზღვრა: Allow/Deny კონფლიქტი, guardrail- ის დარღვევა, ABAC პირობების გადაკვეთა.
გამოიყენეთ პრეცედენტის ბრძანება (იხ. § 3. 2).
გამონაკლისის კლასიფიკაცია: დროებითი (TTL), მუდმივი (წესი), მცდარი (rollback).
შეიტანეთ არტეფაქტები: RFC/CR განაცხადი, რისკის შეფასების ბმული, CI- ში მანქანის შემოწმება.

10) ანტი შაბლონები

ხელით გაცემული უფლებები TTL- ს გარეშე („სამუდამოდ“).
ალოუ ნაგულისხმევი და „ჩუმად“ გამონაკლისები.
მემკვიდრეობა ხილული guardrails- ის გარეშე - შვილობილი ფილიალები ბლოკავს უსაფრთხო წესებს.
როლების ნაზავი (admin = ანალიტიკოსი = ოპერატორი) - არა SoD.
ნედლეული PDN- ის ექსპორტი მესამე მხარის სერვისებში, „დროებითი“ ვებჰუკები ხელმოწერის გარეშე.
გამორთული აუდიტი break-glass.
სქემების მცურავი ვერსიები: ანალიტიკა/EDA მოგზაურობს, დენი არ მუშაობს ახალ სფეროებში.

11) პოლიტიკოსის ხის დიზაინის ჩეკის სია

1. მონაცემთა კლასიფიკაცია (Public/Internal/Confidential/PII/Financial).
2. დაადგინეთ კვანძების იერარქიისა და მფლობელების დონე (RACI).
3. დაუსვით guardrails ფესვზე (Zero Trust, PII, RG, იურისდიქცია).
4. ჩამოაყალიბეთ RBAC როლები და ABAC ატრიბუტები; ჩართეთ SoD.
5. აღწერეთ ნაკრები (org/tenant/env/jurisdiction/მონაცემთა კლასი/ოპერაცია).
6. ჩართეთ დელეგაცია/TTL და break-glass აუდიტორული მატარებლით.
7. დაწერეთ პრეცედენტი და კონფლიქტოლოგია (დენის-პირველი, override პროცესი).
8. დაკვირვების პარამეტრები: ევალუცია-ტრეკი, დიფის ლოგო, ალერტები.
9. Sconformance ნაკრები და რეგულარული გამონაკლისები.
10. დოკუმენტაცია: პორტალი პოლიტიკოსი, მაგალითები, ქვიშის ყუთები, სიმულატორები.

12) სიმწიფის მეტრიკა

Coverage: მემკვიდრეობითი პოლიტიკოსებისა და კონფორმაციის ტესტებით დაფარული რესურსების წილი.
დრიფი: ადგილობრივი გამონაკლისების რაოდენობა/100 რესურსი; საშუალო TTL გამონაკლისი.
SoD Score: მომხმარებელთა წილი მოვალეობების გაყოფით.
PII Exposure: ექსპორტის რაოდენობა სეიფის ზონების მიღმა (სამიზნე = 0).
Auditability:% მოთხოვნის ევალება; MTTR წვდომის კონფლიქტებში.
Change Velocity: CR პოლიტიკის დრო მემკვიდრეობის გათვალისწინებით.

13) შაბლონების მაგალითები (სქემატურად)

• Deny: `export:PII` if `destination. country ∉ whitelist`
• Require: `mTLS && JWS` for `webhook:`
• Quota: `read:event: ≤ X rps per tenant`

• Allow: `write:api/deposit` if `verified && risk_score < T && geo ∈ allowed`
• Deny: `direct:psp/`

• Allow: `read` for role `KYC. moderation` where `jurisdiction == resource. jurisdiction`
• Deny: `write` except service `kyc-orchestrator`

14) ევოლუციის გზის რუკა

v1 (ფონდი): პოლიტიკოსის ხე, guardrails ფესვზე, RBAC, დენის პირველი, ცვლილებების აუდიტი.
v2 (Integration): ABAC, დელეგაცია/TTL, საკომუნიკაციო ნაკრები, evaluation-trace.
v3 (Automation): იურისდიქციის მანქანა/მონაცემები, პოლიცია-as-code, CI/CD- ში მანქანის მრჩევლები, დარღვევების ავტოკარანტინი.
v4 (ქსელის მთავრობა): პოლიტიკოსთა ინტერპარტიული ფედერაცია, დელეგაციის ჯვარედინი ტენანტი კრიპტოვალუტით, პრედიკატური მინიშნებები (რისკი) უფლებების გასაცემად.

მოკლე რეზიუმე

უფლებებისა და პოლიტიკოსის მემკვიდრეობა უსაფრთხო და სწრაფი ეკოსისტემის ჩარჩოა. ააშენეთ პოლიცია-ხე guardrails- ით ძირზე, გამოიყენეთ დენის პირველი და პრესა, დააკავშირეთ RBAC + ABAC + ReBAC, გამოიყენეთ დელეგაციები TTL- ით და მკაცრი აუდიტით. ავტომატიზირებული შემოწმება და გამონაკლისების მართვა - და თქვენ შეძლებთ მასშტაბური, კომპოზიციური და პროგნოზირებადი წვდომის მოდელს მონაწილეთა მთელი ქსელისთვის.