Укуктарды жана саясатчыларды мурастоо

1) Эмне үчүн экосистема мурас

• Масштабдоо ылдамдыгы: жаңы түйүндөр/буюмдар стандартташтырылган саясат "кутудан" алышат.
• Бирдейлик жана комплаенс: Жогорку деңгээлдеги guardrails автоматтык түрдө туунду ресурстарга таасир этет.
• Ачыктык жана аудит: колдонуунун болжолдуу тартиби, өзгөчөлүктөрдү минималдаштыруу.

2) Жеткиликтүүлүктүн негизги онтологиясы

2. 1 Иерархиялык деңгээл

1. Уюм/Экосистема → глобалдык коопсуздук/маалымат саясаты/RG.
2. Tenant/Partner → квота, юрисдикция, маалымат чектери, SLO чектери.
3. Домен (мазмун, төлөмдөр, KYC, аффилиаттар, аналитика, окуялар) → кирүү профили жана тармактык периметрлер.
4. Кызмат/Колдонмо → API/Топик/сактоо.
5. Ресурс → Таблица/Топик/End Point/Secret/Stream.

2. 2 Авторизация моделдери

RBAC (ролу): тез, ачык-айкын, жакшы тукум кууп өткөн (ролу → уруксат топтому).
ABAC (атрибуттар): ийкемдүүлүк (гео, юрисдикция, тобокелдик-ылдамдык, убакыт).
ReBAC (мамилелер): "Менин заттарым менен байланышкан ресурстарга" жетүү (оператор, кампания, маалыматтар).
Практика: RBAC + ABAC гибриди, ReBAC - ээлик кылуучу графалар/кампаниялар үчүн.

3) Саясат, сатып алуулар жана артыкчылыктар

3. 1 Саясат түрлөрү

Allow/Deny: так уруксат/тыюу салуу.
Guardrails: милдеттүү чектөөлөр (PII out-of-scope, экспорттук лимиттер, убакыт-негизделген).
Quotas/Rate: rps/txn/stream/event тенант/канал/аймак боюнча чектер.
Contextual: гео/ASN/түзмөк/убакыт/текшерүү/тобокелдик-эсеби шарттары.
Делегация: чектелүү/TTL менен укуктардын бир бөлүгүн өткөрүп берүү.

3. 2 Мурастоо жана колдонуу тартиби

Deny-биринчи: тыюу уруксат күчтүү.
Precedence: `Guardrails (root) > Deny (parent) > Allow (parent) > Deny (child) > Allow (child)`.
Shadowing: туунду Allow ата-Guardrail/Deny жокко чыгарбайт.
Override өзгөчөлүктөрү боюнча: гана жазуу жүзүндө "justified exceptions" TTL жана Auto-съёмка менен.

3. 3 Скупы

Org/Tenant: дүйнөлүк эрежелер жана квоталар.
Environment: prod/stage/sandbox - катуулугу prod өсөт.
Jurisdiction: маалыматтарды локалдаштыруу, RG-чектөөлөр.
Data Class: `Public/Internal/Confidential/PII-Sensitive/Financial`.
Operation: read/write/admin/export/impersonate.

4) Дарактар саясатчылар (Саясат Trees)

4. 1 түзүмү

/org
/tenants/{tenantId}
/domains/{payments    kyc    content    affiliates    analytics    events}
/services/{api    broker    db    storage    sfu}
/resources/{endpoint    topic    table    bucket    secret}

Ар бир түйүн боюнча: саясаттардын тизмеси (allow/deny/guardrail/quota/context). Жогорудан төмөн мурастоо, жергиликтүү саясатчылар чектөөлөрдү кошот, бирок глобалдык тыюу салууларды алып салбайт.

4. 2 мисалдар

Guardrail org-level: "PII өлкөлөрдүн ак тизмесинен тышкары Webhook алып мүмкүн эмес".
Tenant-level: "X өлкөлөрүнүн KYC операторлору тыюу салынат; отчетторду экспорттоо агрегаттар гана".
Domain payments: "Write mTLS жана ≤ 24h ачкычы менен кызмат эсеби аркылуу гана".
Service api: "POST/deposits гана 'Idempotency-Key' менен".
Resource topic: "Окуу 'kyc _ status' гана ролу менен кызматтар 'KYC. moderation` и ABAC `verified=true`».

5) Өткөрүп берүү жана убактылуу укуктар

Just-in-Time (JIT) Access: аткаруу убактысы боюнча берүү (TTL, single-use).
Break-Glass: дароо аудит жана андан кийин талдоо менен шашылыш кирүү.
Scoped Tokens: минималдуу топтому 'scopes' (read: topic/kyc; write:api/deposit) + audience/issuer.
Chain-of-Trust: түзмөк/ASN/көмөкчордондорго байланыштуу кызматтар аралык токендер.
Impersonation: журнал жана лимиттер менен прокси кызматы аркылуу гана.

6) Домендерде мурастоо

6. 1 Төлөмдөр (PSP/APM)

Ата-эне guardrail: "Бардык чалуулар - mTLS + JWS аркылуу, таймаут ≤ N, джиттер менен ретра; чарджбек-хук милдеттүү".
Туунду кызматы ARM/регионго квота/капса кошууга болот. Deny оркестр айланып түз чалуулар.

6. 2 KYC/AML

Ата-эне Deny: "чийки документ аналитика жазылышы мүмкүн эмес".
Туунду Allow: "hash/өкүм/тобокелдик категорияларын гана өткөрүп берүү".

6. 3 Мазмун/стриминг

Org guardrail: "минималдуу битрейт жана latency-SLO".
Tenant-override: "роуминг сапатын төмөндөтүү, бирок SLO төмөн эмес".
Resource: белгилүү бир Live-столдун жетүү - гана RG-OK менен сегменттер.

6. 4 Окуялар/EDA

Root: схемалар/версиялар in-registry, бизнес мааниси боюнча exactly-once.
Домен: партиялардын ачкычтары, дедуп-саясат.
Кызмат: ким жазуу/топик окуй алат; quotas/lag-budget.

7) Купуялык жана Zero Trust

PII-минималдаштыруу жана демейки токенизациялоо, саясат "коопсуз аймактардан тышкары де-токенизациялоо мүмкүн эмес".
Тармактарды сегментациялоо: vendor-VPC, egress-allow-list, зоналар аралык мештин саясаты.
mTLS/JWS/HMAC S2S жана Webhook үчүн, кыска ачкычтар (JWKS/айлануу).
SoD (Duties сегрегациясы): окуу ролдору ≠ башкаруу ролдору ≠ ачкычтарды чыгаруу ролдору.
Юрисдикциялар: мурасталган локалдаштыруу эрежелери, DPA/DPIA жок PDn чек ара экспортуна тыюу салуу.

8) Байкоо жана мурас аудит

Policy Evaluation Trace: журнал "кандай саясат иштеген" менен 'traceId'.
Diff-лог: ким/качан өзгөргөн дарак саясатчы; WORM сактоо.
Conformance-тесттер: кирүү сценарийлеринин үзгүлтүксүз прогондору (allow/deny; export; impersonation).
Alerty: deny/guardrail ишке киргизүү, ашыкча квота, айланма аракет.

9) Чыр-чатактар жана аларды чечүү

Классын аныктоо: Allow/Deny кагылышуусу, guardrail бузулушу, ABAC шарттарынын кесилиши.
precedence тартибин колдонуу (караңыз § 3. 2).
Кошпогондо: убактылуу (TTL), туруктуу (эреже), ката (rollback).
Артефакттарды киргизүү: RFC/CR-арыз, тобокелдик-баалоо шилтемеси, CIге автопроверка.

10) Анти-үлгүлөрү

Кол берилген укуктар TTL жок ("түбөлүккө").
Allow-демейки жана "унчукпай" өзгөчөлүктөрү.
көзгө көрүнгөн guardrails жок мурас - кыздардын бутактары коопсуз эрежелерди жаап.
Ролдорду аралаштыруу (админ = аналитик = оператор) - эч кандай SoD.
чийки PDn үчүнчү тараптын кызматтарына экспорттоо, "убактылуу" Webhook кол жок.
break-glass учурунда аудит өчүрүлгөн.
Схемалардын сүзүүчү версиялары: аналитика/EDA, deny жаңы талааларда иштебейт.

11) Чек тизмеси жыгач саясат долбоорлоо

1. Маалыматтарды классификациялоо (Public/Internal/Confidential/PII/Financial).
2. Иерархия жана түйүн ээлеринин деңгээлдерин аныктаңыз (RACI).
3. тамыры боюнча guardrails (Zero Trust, PII, RG, юрисдикция).
4. RBAC ролдорун жана ABAC атрибуттарын түзүү; SoD кирет.
5. (org/tenant/env/jurisdiction/data class/operation).
6. Делегацияны/TTL жана аудитордук шлейф менен break-glass киргизиңиз.
7. precedence жана конфликтология (deny-first, override-жараяны).
8. байкоо жөндөө: evaluation-trace, diff-лог, alerty.
9. conformance топтомун ишке киргизүү жана үзгүлтүксүз кошпогондор.
10. Документтештирүү: саясатчылар порталы, мисалдар, кумсалар, симуляторлор.

12) Жетилүү метрикасы

Coverage: мурас саясат жана conformance тесттер менен капталган ресурстардын үлүшү.
Drift: жергиликтүү өзгөчөлүктөрдүн саны/100 ресурстар; орточо TTL өзгөчөлүктөрү.
SoD Score: милдеттерди бөлүштүрүү менен колдонуучулардын үлүшү.
PII Exposure: коопсуз аймактан тышкары экспорттун саны (максаттуу = 0).
Auditability: evaluation-trace менен суроо%; MTTR жетүү чыр-чатактар.
Change Velocity: мурас эске алуу менен CR саясат убактысы.

13) Үлгүлөрдүн үлгүлөрү (схемалык)

• Deny: `export:PII` if `destination. country ∉ whitelist`
• Require: `mTLS && JWS` for `webhook:`
• Quota: `read:event: ≤ X rps per tenant`

• Allow: `write:api/deposit` if `verified && risk_score < T && geo ∈ allowed`
• Deny: `direct:psp/`

• Allow: `read` for role `KYC. moderation` where `jurisdiction == resource. jurisdiction`
• Deny: `write` except service `kyc-orchestrator`

14) Эволюциянын жол картасы

v1 (Foundation): дарак саясаты, тамыры боюнча guardrails, RBAC, deny-биринчи, аудит өзгөрүүлөр.
v2 (Integration): ABAC, делегациялоо/TTL, conformance-топтому, evaluation-trace.
v3 (Automation): юрисдикция/маалыматтар боюнча auto-skoping, policy-as-code, CI/CD auto-текшерүү, auto-карантин бузуулар.
v4 (Networked Governance): өнөктөштөр аралык саясат Киргизия, kriptopodobiska менен кросс-тенант өткөрүп берүү, алдын ала (тобокелдик-тез) укук берүү үчүн.

Кыскача резюме

Укуктарды жана саясатты мурастоо - бул коопсуз жана тез экосистеманын алкагы. түп guardrails менен саясат-tree куруу, дени-биринчи жана precedence колдонуу, RBAC + ABAC + ReBAC айкалыштыруу, TTL жана катуу аудит менен өткөрүп колдонуу. Текшерүүлөрдү жана башкарууну автоматташтырыңыз - жана сиз катышуучулардын бүт тармагы үчүн масштабдуу, комплаенс жана алдын ала ала ала турган кирүү моделин аласыз.