Delegação de rolos e acessibilidade

(Seção Operações e Gerenciamento)

1) Por que delegação de papel

O objetivo é dar a cada participante (funcionário, parceiro, serviço) exatamente o tempo necessário e exatamente o tempo necessário para que as ações sejam completamente rastreáveis. Isso reduz os riscos de vazamento e abuso, acelera o fluxo e a passagem de áudios.

2) Modelo de acesso: níveis e domínios

Domínios de acesso: pessoas (console/painel), serviços (tokens de máquina), dados (tabelas/objetos), infraestrutura (nuvem/K8s), contêineres (integração externa), regiões/tenentes.
Níveis de confiança: público → interno → seguro (PII/finanças) → particularmente crítico (chaves/pagamentos).
Áreas de operações: prod/estaging/sandbox; regra de «abaixo» para «acima» - somente através de pipeline's aprovados.

3) Modelos de autorização

RBAC: os papéis estão ligados a tarefas (Editor de conteúdo, Operador de pagamento). Uma partida simples, fácil de verificar.
ABAC: Políticas de atributos de sujeito/recurso/contexto (região, tenante, mudança, dispositivo, risco-mapeamento).
ReBAC (relationship-based): permissões a partir de vínculos (proprietário do projeto, membro do comando).
Híbrido: RBAC para matriz básica, ABAC para limitações contextuais ReBAC para propriedade.

4) Acesso mínimo necessário (Least Privilege)

Início: papéis-padrão mínimos (read-only, sem PII).
A promoção é apenas através de um pedido de justificativa, prazo e proprietário.
Limite de tempo (TTL): permissões «derretem» automaticamente; a extensão é consciente.
Hard Rails contextuais: região/tenante, horário de trabalho, dispositivo, geo.

5) Divisão de responsabilidades (SoD)

• «Executa limites» ≠ «aprova limites».
• «Prepara o pagamento» ≠ «assina o pagamento».
• «Escreve o código» ≠ «lança em prod».
• Admin BD ≠ lê PII em análise.
• Realize SoD nas políticas e nos próprios processos (dois, M-of-N).

6) Processos JML (Joiner/Mover/Leaver)

Joiner: atribuição automática de papéis básicos por cargo/equipe/região, folha de cheque de acesso de 24h.
Mover: rever os papéis quando você muda de comando/projeto; Levantamento automático de direitos «antigos».
Leaver: Rever sessões, chaves, tokens; transbordar segredos, transferir propriedades de artefatos.

7) Privilégios temporários: JIT/PAM

Just-In-Time (JIT): pedido de habilitação de 15 a 240 minutos com MFA e justificativa tíquete.
PAM (Privileged Access Management): proxy/entrada «debaixo da caixa», gravação de sessões, registro de comando.
Break-glass: acesso de emergência com alerte instantânea, TTL curto e pós-mortem obrigatório.

8) Serviços de identidade e chaves

Service Accounts: individuais para cada serviço e ambiente, sem segredos shared.
O Workload Identity: vinculação de tokens a um rabo/vira/função; Crenças de curta duração.
Segredos: KMS/Vault, rotação, criptografia de dois contornos, proibição de entrada nos logs.
Chaves de assinatura/pagamento: threshold/MPC, HSM de hardware, compartilhamento de domínios de confiança.

9) SSO/MFA/SCIM e ciclo de vida de contas

SSO: IdP (SAML/OIDC), entrada única, políticas centralizadas de senhas/dispositivos.
MFA: obrigatório para almirantes/finanças/PII; preferencialmente FIDO2.
SCIM: criação automática/remoção/alteração de contas e grupos.
Device Posture: acesso condicional ao estado do dispositivo (criptografia de disco, EDR, patches atuais).

10) Políticas-como código e verificação

OPA/Autorization Service: políticas como código (Rego/JSON), revezamento via PR, testes.
Controle de Drift: comparações regulares «declarado vs de fato».
Pré-flight de verificação: «A política autoriza essa operação?» - Teste as malas antes do lançamento.

11) Acesso aos dados

Classificação: parâmetro/interior/limitado/PII/finanças.
Pressão mínima: unidades/máscaras em vez de dados «crus»; solicitações PII - somente através de jobs aprovados.
Tokenization/DE-ID: substituição de identificadores, auditoria de solicitações.
Camadas: frases → frases → vitrines → equipamentos; acesso direto ao prod-BD - apenas JIT/PAM.

12) Nuvem, K8s, redes

Cloud IAM: papéis por conta/projeto; A proibição padrão do Admin; limitar as ações de formatação/pasta.
Kubernetes: RBAC de Neymspace, PSP/políticas similares sem «priveged», imagem-allowlist, segredos via CSI, contas de serviço por-baixo.
Rede: Zero-Trust (mTLS, identidade-aware), acesso a jump-hosts - apenas JIT, gravação de sessões SSH.

13) Parceiros externos e integração

Tenentes/chaves isolados, mínimo de escopos OAuth2, TTL de tokens curtos.
Webhooks: assinatura (HMAC/EdDSA), 'nose + timestamp', janela de recepção estreita.
Rotação de chaves programada, revisão de comprometimento, status de endpoint para «health».

14) Auditoria, ressocialização, relatórios

Imutability: revistas WORM, assinaturas de lançamentos de políticas, cortes Merkle.
Recontagem: Verificação trimestral de papéis críticos e permissões mensais.
Quarentena: «60 dias não usados» → levantamento automático.
Evidence pack: carregar matriz de papéis, execução SoD, solicitações JIT, gravação de sessões PAM.

15) Métricas e SLO

TTG (Time-to-Grant): Mediana de acesso com pedido padrão (meta ≤ 4h).
Proporção de JIT entre os «privilegiados» (meta ≥ 80%).
SoD-violations: 0 no prod, hora de eliminação ≤ 24h.
Direitos órfãos:% dos usuários com excesso de permissão (objetivo → 0. 0x%).
Rotação de segredos: idade média do segredo (meta ≤ 30 dias para sensíveis).
Auditoria-cobertura: 100% de ação privilegiada com artefatos (gravações, recibos).

16) Dashboards

Access Health: papéis ativos, direitos órfãos, JIT vs constantes.
PAM & Sessions: número de sessões privilegiadas, duração, sucesso MFA.
& Inventos: estatísticas de bloqueios, razões, MTTR.
Segredos & Keys: idade, rotação iminente, chaves vermelhas.
JML: SLA onboarding/off, inscrições atrasadas.
Audit Evidence: Estado de redecoração trimestral, 100% completeness.

17) Playbooks incidentes

Comprometer o token/chave: levantamento imediato, pesquisa global de uso, rotação de dependências, auditoria retrô de N dias.
Violação de SoD, bloco de operações, desligamento temporário, pós-mortem e mudança de política.
Acesso não autorizado ao PII: isolamento, notificação de DPO, inventário de vazamento, procedimentos legais.
Escalation abuse: congelamento de JIT para sujeito/comando, análise de pedidos/justificativas, correção de limites TTL.

18) Práticas operacionais

Quatro olhos para a emissão/alteração de direitos críticos.
Um diretório de papéis que descreve tarefas, riscos e operações válidas.
Ambientes de teste com dados anónimos e outros papéis.
Policy dry-run: Simulação dos efeitos das alterações antes da aplicação.
«perda de », «falha PAM», «fuga de segredo».

19) Folha de cheque de implementação

• Formar taxonomia de papéis e matriz de SoD em processos-chave.
• Incluir SSO + MFA para todos, SCIM para JML.
• Inverter PAM/JIT, ajustar break-glass com alertas e TTL curto.
• Digite políticas-como-código (OPA), revisões via PR e autopeças.
• Contas de serviço individuais e workload-identidade; a proibição de segredos shared.
• Vault/KMS, rotação regular de segredos e chaves, proibição de segredos em código/logs.
• Dividir ambientes e regiões, fixar regras de acessibilidade cruzada.
• Iniciar dashboards e SLO, relatórios mensais de reinstalação.
• Realizar scan SoD do grafo de permissão e eliminar caminhos de escalação.
• Exercícios regulares e pós-mortem com action items.

20) FAQ

RBAC ou ABAC?
RBAC - camada básica de legibilidade, ABAC - contexto e dinâmica. Use o híbrido.

Será que o PAM é necessário se houver um JIT?
Sim: o PAM fornece gravação de sessões e canais de acesso privilegiado administrados.

Como reduzir os direitos?
TTL para os papéis, levantamento automático não utilizado, recentralização mensal e alertas SoD.

O que fazer com as empreiteiras externas?
Tenentes/grupos selecionados, caixas limitados, TTL curtos, relatórios obrigatórios e recentralização.

Resumo: Delegação de rol e acessibilidade não é um conjunto de selos, mas sim um ciclo de vida de direitos: funções minimamente necessárias, SoD, JIT/PAM, políticas-como-código, observabilidade e ressocialização regular. Este caminho permite que os comandos funcionem rapidamente e que a segurança para negócios e auditorias seja previsível.