Delegowanie ról i dostęp do nich

(Sekcja: Operacje i zarządzanie)

1) Dlaczego delegacja oparta na roli

Celem jest danie każdemu uczestnikowi (pracownikowi, partnerowi, obsłudze) dokładnie tyle praw, ile będzie to konieczne i dokładnie tyle czasu, ile będzie to konieczne, przy pełnej identyfikowalności działań. Zmniejsza to ryzyko wycieków i nadużyć, przyspiesza wejście na pokład i przejście audytów.

2) Model dostępu: poziomy i domeny

Domeny dostępu: osoby (konsola/panele), usługi (tokeny maszynowe), dane (tabele/obiekty), infrastruktura (chmura/K8), kontrahenci (integracje zewnętrzne), regiony/najemcy.
Poziom zaufania: publiczne → wewnętrzne → chronione (PII/finanse) → szczególnie krytyczne (klucze/płatności).
Strefy operacyjne: prod/staging/piaskownica; zasada „od „poniżej” do „powyżej” - tylko za pomocą zatwierdzonych rurociągów”.

3) Modele autoryzacji

RBAC: role są powiązane z zadaniami (Content Editor, Payout Operator). Prosty start, łatwy do sprawdzenia.
ABAC: zasady według atrybutów przedmiotu/zasobu/kontekstu (region, najemca, zmiana, urządzenie, ocena ryzyka).
ReBAC (oparte na relacjach): prawa wynikające ze stosunków (właściciel projektu, członek zespołu).
Hybryda: RBAC dla matrycy podstawowej, ABAC dla ograniczeń kontekstowych, ReBAC dla własności.

4) Minimalny wymagany dostęp (najmniejszy przywilej)

Start - minimalne role domyślne (tylko do odczytu, bez PII).
Promocja - tylko poprzez wniosek z uzasadnieniem, termin i właściciela.
Termin (TTL): prawa „topić” automatycznie; przedłużenie - świadomie.
Szyny ochronne kontekstowe: region/najemca, godziny otwarcia, urządzenie, geo.

5) Podział obowiązków (SoD)

• „Wyznacza granice”, „zatwierdza limity”.
• „Przygotowuje płatność” i „podpisuje płatność”.
• "Pisze kod", "publikacje w prod'.
• „Admin DB” i „odczytuje PII w analityce”.
• Wdrożenie SoD w polityce i w samych procesach (dwumiesięczny, M-of-N).

6) Procesy JML (Joiner/Mover/Leaver)

Stolarka: automatyczne przypisywanie ról podstawowych według pozycji/zespołu/regionu, lista kontrolna dostępu przez 24 godziny.
Mover: przegląd ról przy zmianie zespołu/projektu; automatyczne usuwanie „starych” praw.
Dźwignia: odwołanie sesji, kluczy, żetonów; ponowne wykorzystanie tajemnic, przeniesienie posiadania artefaktów.

7) Przywileje tymczasowe: JIT/PAM

Just-In-Time (JIT): podnoszenie praw na wniosek przez 15-240 minut z uzasadnieniem MFA i biletów.
PAM (Privileged Access Management): proxy/shell login, recording sessions, command log.
Break-glass: dostęp awaryjny z natychmiastowym alarmem, krótkim TTL i obowiązkowym pośmiertnym.

8) Identyfikacje usług i klucze

Konta serwisowe: oddzielne dla każdej usługi i środowiska, brak wspólnych tajemnic.
Tożsamość obciążenia roboczego: wiązanie żetonów z funkcją pod/vir/; kredyty krótkoterminowe.
Sekrety: KMS/Skarbiec, obrót, szyfrowanie w dwóch pętlach, zakaz wchodzenia do dzienników.
Klucze podpisu/wypłaty: próg/MPC, HSMS sprzętowe, różnorodność domen zaufania.

9) SSO/MFA/SCIM i cykl życia konta

SSO: IdP (SAML/OIDC), pojedyncze logowanie, scentralizowane zasady hasła/urządzenia.
MSZ: obowiązkowe dla administratorów/finansów/PII; najlepiej FIDO2.
SCIM: automatyczne tworzenie/usuwanie/modyfikacja kont i grup.
Postawa urządzenia: warunkowy dostęp według stanu urządzenia (szyfrowanie dysku, EDR, aktualne plastry).

10) Polityka jako kod i weryfikacja

Usługa OPA/autoryzacji: polityka w formie kodu (Rego/JSON), przegląd za pośrednictwem PR, testy.
Sterowanie dryfem: regularne porównania "zadeklarowane vs'.
Kontrole przed lotem: „Czy polityka pozwoli na tę operację?” - przypadki badań przed zwolnieniem.

11) Dostęp do danych

Klasyfikacja: publiczne/wewnętrzne/ograniczone/PII/finanse.
„Minimalne” ciśnienie: agregaty/maski zamiast danych „surowych”; Wnioski PII - tylko za pośrednictwem zatwierdzonych jabs.
Tokenizacja/DE-ID - wymiana identyfikatorów, żądania audytu.
Warstwy: żywność → repliki → prezentuje → kruszywa; bezpośredni dostęp do bazy danych produkcji - tylko JIT/PAM.

12) Chmura, K8s, sieci

Cloud IAM: role per-account/project; Domyślny zakaz „administratora”; Ograniczenie działań na tagach/folderach.
Kubernetes: RBAC na neimspace, PSP/podobne polityki bez „uprzywilejowany”, dopuszczalny obraz listy, tajemnice za pośrednictwem CSI, konta serwisowe per-pod.
Sieć: Zero-Trust (mTLS, identity-aware), dostęp do skakania-host - tylko JIT, nagrywanie sesji SSH.

13) Partnerzy zewnętrzni i integracja

Odizolowani najemcy/klucze, minimalne zakresy OAuth2, krótkie żetony TTL.
Haki internetowe: podpis (HMAC/EdDSA), 'nonce + timestamp', wąskie okno odbioru.
Rotacja kluczy na harmonogramie, przypomnijmy o kompromisie, punktach końcowych statusu dla „zdrowia”.

14) Audyt, ponowna certyfikacja, sprawozdawczość

Immunitet: dzienniki WORM, podpisy z polityką, plasterki Merkle.
Ponowna certyfikacja: kwartalna kontrola ról krytycznych, miesięcznie - prawa administratora.
Prawa kwarantanny: „nieużywane 60 dni” → automatyczne usuwanie.
Pakiet dowodów: przesyłanie macierzy roli, wyzwalaczy SoD, żądań JIT, nagrywanie sesji PAM.

15) Mierniki i SLO

TTG (Time-to-Grant): mediana czasu na udzielenie dostępu do standardowego wniosku (cel ≤ 4h).
Udział dostępu do JIT wśród „uprzywilejowanych” (cel ≥ 80%).
Naruszenie SoD: 0 w prod, czas eliminacji ≤ 24 godziny.
Prawa sieroty:% użytkowników z nadwyżką praw (cel → 0. 0x%).
Rotacja tajemnic: średni wiek tajemnicy (cel ≤ 30 dni dla osób wrażliwych).
Zakres kontroli: 100% uprzywilejowanych działań z artefaktami (zapisy, wpływy).

16) Deski rozdzielcze

Zdrowie dostępu: aktywne role, prawa sierot, JIT vs stałe.
PAM & Sesje: liczba uprzywilejowanych sesji, czas trwania, sukces MSZ.
SoD & Incydenty: statystyki blokad, przyczyny, MTTR.
Sekrety i klucze: wiek, nadchodząca rotacja, czerwone klucze.
JML: SLA pokładowego/offboardowego, zaległych aplikacji.
Dowód audytu: kwartalny status recertyfikacji, kompletność 100%.

17) Playbooks incydentów

Token/key kompromis: natychmiastowe wycofanie, globalne wyszukiwanie użytkowania, rotacja zależności, retro audyt w N dni.
Naruszenie SoD: blok działania, tymczasowe odłączenie roli, pośmiertne i zmiany polityki.
Nieautoryzowany dostęp do PII: izolacja, powiadomienie DPO, wyciek inwentarza, procedury prawne.
Nadużycie eskalacji: zamrożenie JIT dla przedmiotu/zespołu, analiza aplikacji/uzasadnień, dostosowanie limitów TTL.

18) Praktyki operacyjne

Cztery oczy na wydawanie/zmienianie praw krytycznych.
Katalog ról z opisem zadań, zagrożeń i dozwolonych operacji.
Testowanie środowisk z anonimizowanymi danymi i innymi rolami.
Policy dry-run: symulacja skutków zmian przed zastosowaniem.
GameDays przez dostęp: „utrata IdP”, „awaria PAM”, „tajny przeciek”.

19) Lista kontrolna wdrażania

• Stworzenie roli taksonomii i matrycy SoD dla kluczowych procesów.
• Włącz MFA SSO + dla wszystkich, strumienie SCIM dla JML.
• Wdrożenie PAM/JIT, konfiguracja szkła break-glass z wpisami i krótki TTL.
• Wprowadź zasady-as-code (OPA), zmiany za pośrednictwem PR i autotest.
• Oddzielne rachunki usług i identyfikacja obciążenia pracą; zakaz wspólnych tajemnic.
• Skarbiec/KMS, regularne obracanie tajemnic i kluczy, zakaz tajemnic w kodzie/dziennikach.
• Oddzielne środowiska i regiony, konsolidacja przepisów dotyczących dostępu międzyregionalnego.
• Uruchom deski rozdzielcze i SLO, miesięczne sprawozdania z rekertyfikacji.
• Wykonaj skan SoD wykresu praw i wyeliminować ścieżki eskalacji.
• Regularne ćwiczenia i poubojowe z elementami działania.

20) FAQ

RBAC czy ABAC?
RBAC - podstawowa warstwa czytelności, ABAC - kontekst i dynamika. Użyj hybrydy.

Czy PAM jest potrzebne, jeśli istnieje JIT?
Tak: PAM umożliwia nagrywanie sesji i zarządzanie uprzywilejowanymi kanałami dostępu.

Jak zmniejszyć „trzymanie się” praw?
TTL do ról, automatycznego usuwania niewykorzystanych, miesięcznych rekertyfikacji i wpisów SoD.

Co zrobić z zewnętrznymi wykonawcami?
Dedykowane najemcy/grupy, ograniczone zakresy, krótkie TTL, obowiązkowe raporty i ponownej certyfikacji.

Podsumowanie: Delegowanie ról i dostęp nie są „zestaw kleszczy”, ale cykl życia praw: minimalne wymagane role, SoD, JIT/PAM, policy-as-code, obserwowalność, i regularne ponownej certyfikacji. Taki zarys daje szybką pracę zespołom i przewidywalne bezpieczeństwo dla biznesu i audytu.