Moștenirea drepturilor și a politicilor

1) De ce ecosistemul are nevoie de moștenire

• Viteza de scalare: Nodurile/produsele noi primesc politici standardizate din cutie.
• Uniformitate și conformitate: garniturile de nivel superior acționează automat asupra resurselor pentru copii.
• Transparență și audit: ordinea previzibilă a aplicării, minimizarea excepțiilor.

2) Ontologia accesului de bază

2. 1 Niveluri ierarhice

1. Organizare/Ecosistem → Politici globale de securitate/date/RG.
2. Chiriaș/Partener → cote, jurisdicții, limite de date, restricții SLO.
3. Domeniu (conținut, plăți, KYC, afiliați, analiză, evenimente) → profil de acces și perimetre de rețea.
4. Service/Aplicație → API/Topicals/Stocare.
5. Resurse → tabel/topic/endpoint/secret/stream.

2. 2 Modele de autorizare

RBAC (roluri): rapid, transparent, bine moștenit (rol → set de permisiune).
ABAC (atribute): flexibilitate (geo, jurisdicție, rata de risc, timp).
ReBAC (relații): acces „la resursele asociate cu entitățile mele” (operator ↔ campanie ↔ date).
Practica: RBAC + ABAC hibrid, ReBAC - pentru grafice de proprietate/campanie.

3) Politici, domenii și priorități

3. 1 Tipuri de politici

Permiteți/negați: Permiteți/negați explicit.
Guardrails: restricții obligatorii (PII în afara domeniului de aplicare, limite de export, bazate pe timp).
Cote/Rata: rps/txn/stream/eveniment limite de chiriaș/canal/regiune.
Contextual: geo/ASN/device/time/verificare/condiții de notare a riscului.
Delegare: delegarea unei părți a drepturilor cu un domeniu de aplicare limitat/TTL.

3. 2 Ordinul de moștenire și de aplicare

Prima: interdicția este mai puternică decât rezoluția.
Precedent: 'Guardrails (root)> Deny (parinte)> Allow (parinte)> Deny (copil)> Allow (copil)'.
Shadowing: Permisul subsidiar nu anulează Guardrail/Deny.
Suprascriere prin excepție: Numai „excepții justificate” scrise cu TTL și Autofit.

3. 3 Scopuri

Org/Chiriaș: reguli și cote globale.
Mediu: prod/etapa/sandbox - rigiditate crește la prod.
Jurisdicție: localizarea datelor, constrângeri RG.
Clasa de date: „Public/Intern/Confidential/PII-Sensitive/Financial”.
Operatiune: read/write/admin/export/impersonate.

4) Copaci de politică

4. 1 Structura

/org
/tenants/{tenantId}
/domains/{payments    kyc    content    affiliates    analytics    events}
/services/{api    broker    db    storage    sfu}
/resources/{endpoint    topic    table    bucket    secret}

Pe fiecare nod: lista politicilor (permite/nega/guardrail/cota/context). Moștenirea de sus în jos, politicile locale adaugă restricții, dar nu elimină interdicțiile globale.

4. 2 Exemple

Guardrail org-level: „PII nu poate fi luat în cârlige web în afara listei albe a țărilor”.
Chiriaș: "Operatorii KYC din țările X sunt interziși; Rapoarte de export numai agregate.
Plăți domenii: „Scrieți numai printr-un cont de servicii cu mTLS și o cheie ≤ de 24h”.
Serviciu api: „POST/depozite numai cu 'Idempotency-Key'”.

Subiect de resurse: „Read 'kyc _ status” numai pentru serviciile cu rol' KYC. moderare' и ABAC' verified = true '"

5) Delegarea și drepturile temporare

Just-in-Time (JIT) Access TTL (de unică folosință).
Break-Glass: acces de urgență cu audit imediat și parsare ulterioară.
Scoped Jetoane: set minim de 'scopes' (citește: topic/kyc; scrie: api/depozit) + audiență/emitent.
Lanț de încredere: token-uri cross-service legate de un dispozitiv/ASN/subrețea.
Impersonarea: numai printr-un serviciu proxy cu un jurnal și limite.

6) Moștenirea în domenii

6. 1 Plăți (PSP/APM)

Parental guardrail: "toate apelurile - prin mTLS + JWS, timeout ≤ N, retras cu jitter; cârlig chargeback obligatoriu"

Serviciul pentru copii poate adăuga cote/capace la AWP/regiune. Neagă să direcționeze apeluri ocolind orchestrator.

6. 2 KYC/AML

Parent Deny: „un document brut nu poate fi scris la analiză”.
Subsidiar Permite: „transfer numai hash/verdict/categorii de risc”.

6. 3 Conținut/Streaming

Org guardrail: „bitrate minim și latență-SLO”.
Chiriaș-suprascriere: „calitate redusă în roaming, dar nu mai mică decât SLO”.
Resursă: acces la o anumită masă live - numai segmente cu RG-OK.

6. 4 Evenimente/EDA

Rădăcină: scheme/versiuni în registru, exact o dată în sens de afaceri.
Domeniu: chei de partid, politică dedup.
Serviciu: cine poate scrie/citi subiectul; cote/lag-buget.

7) Confidențialitate și Zero Trust

PII de minimizare și tokenizare în mod implicit, politica „nu poate fi de-tokenized în afara zonelor sigure”.
Segmentarea rețelei: vânzător-VPC, lista de ieșire-permite, politicile de plasă inter-zone.
mTLS/JWS/HMAC pentru S2S și cârlige web, chei de scurtă durată (JWKS/rotație).
SoD (Segregarea îndatoririlor): citiți rolurile ≠ rolurile de administrare ≠ rolurile cheie de lansare.
Jurisdicții: reguli moștenite de localizare, interzicerea exportului transfrontalier de date cu caracter personal fără DPA/DPIA.

8) Observabilitatea și auditul moștenirii

Politica de evaluare Trace: revista "ce politică în cazul în care a lucrat" cu "traceId'.
Jurnal diff: cine/când a schimbat arborele de politică; Depozitarea WORM.
Teste de conformitate: rulează periodic scenarii de acces (permite/refuza; export; impersonare).
Alerte: neagă/parapete declanșatoare, depășiri ale cotelor, încercări de by-pass.

9) Conflictele și soluționarea lor

Definiți clasa: Permiteți/negați coliziunea, încălcarea parapetului, intersecția ABAC.
Se aplică ordinea de prioritate (a se vedea § 3. 2).
Clasificați excepția: temporar (TTL), permanent (regulă), eronat (rollback).
Adăugați artefacte: cerere RFC/CR, legătură la evaluarea riscurilor, verificări automate în CI.

10) Anti-modele

Drepturi eliberate manual fără TTL („pentru totdeauna”).
Excepții permise și silențioase.
Moștenirea fără parapete vizibile - ramurile copiilor se suprapun normelor sigure.
Amestecarea rolurilor (admin = analist = operator) - fără SoD.
Exportul de date cu caracter personal brute către servicii terțe, broșuri web „temporare” fără semnătură.
Audit dezactivat cu sticlă spartă.
Versiuni plutitoare ale schemelor: analytics/EDA călătorește, neagă nu funcționează pe domenii noi.

11) Politica de proiectare copac Lista de verificare

1. Clasificarea datelor (Public/Intern/Confidential/PII/Financiar).
2. Definiți nivelurile ierarhice și proprietarii de noduri (RACI).
3. Setați parapete la rădăcină (Zero Trust, PII, RG, jurisdicții).
4. Formează roluri RBAC și atribute ABAC; activați SoD.
5. Descrieți domeniile (org/chiriaș/env/jurisdicție/clasă de date/operațiune).
6. Activați delegarea/TTL și spargerea sticlei cu bucla de audit.
7. Notați precedența și conflictul (negați mai întâi, suprascrieți procesul).
8. Configurați observabilitatea: evaluare-urmă, diff-log, alerte.
9. Efectuați apelarea conformității și recenzii regulate de excepție.
10. Document: portal de politici, exemple, cutii de nisip, simulatoare.

12) Valorile maturității

Acoperire: ponderea resurselor acoperite de politicile moștenite și de testele de conformitate.
Derivă: numărul de excepții locale/100 resurse; excepție medie TL.
Scor SoD: Partajarea responsabilităților utilizatorilor.
Expunere PII: numărul de exporturi în afara zonelor sigure (țintă = 0).
Auditabilitate:% din solicitări cu evaluare-urmărire; MTTR prin contestație de acces.
Viteza schimbării: timpul CR prin politică cu moștenirea în minte.

13) Modele de probă (schematică)

• Neagă: "export: PII" dacă "destinație. ţară ∉ whitelist '
• Necesită: 'mTLS & & JWS' pentru 'webhook:'
• Cota: 'read: event: ≤ X rps per tenant'

• Permiteți: 'write: api/deposit' if 'verified & & risk_score
• Neagă: 'direct: psp/'

• Permiteți: "citit" pentru rol "KYC. moderare 'where' jurisdicție = = resursă. jurisdicţie "
• Neagă: „scrie”, cu excepția serviciului „kyc-orchestrator”

14) Foaie de parcurs evolutie

v1 (Fundația): arbore de politică, parapete la rădăcină, RBAC, nega-în primul rând, modificări de audit.
v2 (Integrare): ABAC, delegație/TTL, set de conformitate, evaluare-trace.
v3 (Automatizare): auto-scoping pe jurisdicție/date, policy-as-code, auto-checks în CI/CD, auto-carantină încălcări.
v4 (Networked Governance): federația interconfesională de politici, delegația de chiriași cu semnătură cripto, solicită predictiv (rata de risc) pentru acordarea drepturilor.

Scurt rezumat

Moștenirea drepturilor și a politicilor este cadrul unui ecosistem sigur și rapid. Construiți un arbore de politică cu parapete pe rădăcină, utilizați nega-primul și precedența, combinați RBAC + ABAC + ReBAC, utilizați delegarea cu TTL și auditarea strictă. Automatizați verificările și gestionarea excepțiilor - și aveți un model de acces scalabil, compatibil și previzibil pentru întreaga rețea de participanți.