Ierarhia conturilor și a subutilizatorilor

(Secțiunea: Operațiuni și Management)

1) Sarcină și principii

Ierarhia conturilor definește modul în care organizațiile și oamenii au acces la resursele platformei și modul în care sunt distribuite drepturile, cotele, bugetele și responsabilitățile.

• Separarea preocupărilor: reflectăm structura afacerii în arborele entității și drepturile în politici.
• Cel mai mic privilegiu: implicit - roluri minime, promovare temporară prin JIT.
• Composability: roluri/cote/limite sunt moștenite și suprascrise.
• Policy-as-Code: politici de acces, cote, facturare - artefacte versionate.
• Auditabilitate - Fiecare acțiune este corelată cu un subiect, context și semnătură.

2) Modelul de referință al ierarhiei

Tenant
├─ Account - legally/operationally significant unit
│ ├─ Sub-account - Product/Region/Team/Project
│ │ ├─ Spaces/Projects/Environments: prod/stage/dev
│ │ └─ Roles and Groups (RBAC/ABAC) for People and Services
│ └─ Shares (limits, budgets, keys, integrations)
└─ Marketplace/Integrations/Affiliates (Outer Loops)

• Chiriaș: proprietar de contracte, facturare la nivel înalt, politici globale și OSS.
• Cont: zona izolata de responsabilitate (marca/tara/cod companie); bugete proprii/limite.
• Sub-cont: unitate de lucru (produs/flux/comandă); cheile, cotele, rolurile și auditul.

3) Modele de autorizare

RBAC: Proprietar роли/Admin/Operator/Vizualizator/Facturare/Conformitate.
ABAC: атрибуты „regiune”, „chiriaș”, „cont”, „mediu”, „risc _ scor”, „dispozitiv _ postură”.
ReBAC: „deține/participă/recenzii” relații pentru proiecte și secrete.

Practică: Hibrid - RBAC ca bază lizibilă, ABAC pentru constrângerile contextuale (regiune/timp/dispozitiv), ReBAC pentru deținerea resurselor.

4) Delegarea și moștenirea

Delegarea în jos: Chiriaș-admin dă rolul de Cont Admin, același - Sub-cont de întreținere.
Suprascrie: Cotele/limitele/politicile pot fi înăsprite în jos copac.
Trust Boundaries: PII/Finance - numai în zonele de încredere la nivel de cont; Sub-cont vede jetoane/agregate.
Break-glass: acces de urgență cu TTL scurt, auto-alertă și post-mortem.

5) Cote, bugete, facturare

Cote: cereri/sec, evenimente/zi, iesire, stocare, chei/carti web.
Bugete: capace și alerte lunare (80/90/100%), auto-throttling/suspensie.
Facturare: facturi la nivel de Chiriaș/Cont; Subcontul și centrele de cost.
Prețurile de transfer: taxe interne între BU/regiuni.
Utilizarea echitabilă: limite publice, limite de rată, protecție împotriva „exploziilor”.

6) Identități și SSO/SCIM

SSO (SAML/OIDC): intrare centralizată la nivel de chiriaș.
SCIM: crearea automată/dezactivarea utilizatorilor/grupurilor și legarea la roluri.
JML (Joiner/Mover/Leaver): auto-emiterea rolurilor de pornire, revizuirea în timpul traducerii, rechemarea instantanee la concediere.
MFA/FIDO2: obligatoriu pentru administratori, finanțe și acces la PII.
Postura dispozitivului: toleranța la starea dispozitivului (criptare, EDR).

7) Conturi de service și chei

Cont de serviciu per Subcont + Mediu, fără secrete partajate.
Volum de lucru Identitate: jetoane cu durată scurtă de viață, care se leagă de partea de jos/funcție.
KMS/Vault: rotație secretă, acces la rol, semnături DSSE.
Carti web: semnaturi HMAC/EdDSA, 'nonce + timestamp', fereastra TTL.

8) Modelul de date (simplificat)

'tent' {id, name, sso, billing_profile, policies []} '

'account'' {id, tenant_id, region, legal_entity, cote {}, bugete {}, risk_tier}'

'sub _ account'' {id, account_id, produs, mediu, chei [], webhooks [], limite {}} '

'role' '{id, scope: tenant' account' sub _ account, permissions []} '

'membership' '{subject _ id, role_id, scope_ref, ttl, justificare}'

'politicy' '{type: rbac' abac 'sod' cota, versiunea, regulile, semnătura} '

'audit _ event' '{cine, ce, unde, când, trace_id, semnătură}'

'cota _ utilizare' '{scope _ ref, metric, window, used, cap}'

9) Contracte API

• 'POST/chiriași/{ id }/conturi' - creați cont (politici/cote/facturare).
• 'POST/accounts/{ id }/sub-accounts' - creați un Sub-cont (chei, carti web).
• "PUNE/roluri/{ id}" - politica de rol; " POST/membri "- atribuie un rol.
• „POST/access/elevate” - JIT impuls cu TTL și justificare.
• "GET/cote/utilizare" - utilizare/capac; " POST/cote/suprascriere ".

• "GET/audit/evenimente? domeniul de aplicare =... "- jurnalele semnate.
• 'GET/status/access' - roluri actoricești/TTL/chei.
• Вебхуки: 'CotaCapReach', 'RoleExpiring', 'KeyRotationDue', 'PolicyChanged'.

10) RACI (domenii cheie)

11) Metrics și SLO

TTG (Time-to-Grant): problemă mediană de acces standard ≤ 4 ore

Acoperire JIT: ≥ 80% din tranzacțiile privilegiate prin roluri temporare.
Încălcări SoD: 0 в prod; Eliminare TTR ≤ 24 ore.
Acces orfan: cota drepturilor „uitate” ≤ 0. 1%.
Precizie cotă: potrivire acumulări/utilizare ≥ 99. 99%.
Audit Integralitate: 100% activitate critică de semnătură/primire.

12) Tablouri de bord

Access Health: roluri active după nivel, TTL expiră, încălcări SoD.
FinOps: utilizarea cotelor, prognoza bugetară, anomalii de ieșire/calcul.
Securitate: rotație cheie, eșecuri MFA/SSO, rata de risc a cohortelor.
Conformitate: starea de recertificare, jurnalele de audit, încălcări ale politicilor.
Operațiuni: cereri de acces MTTR, TTFI pentru comenzi noi.

13) Delimitarea datelor și confidențialitatea

Domenii de date: PII/Finance - Numai la nivel de cont; Sub-cont - agregate/jetoane.
Regionalitate: localizarea datelor și cheilor pe regiune (zone de încredere).
cereri PII: numai prin jabs aprobate; tokenizare și mascare.

14) Riscuri și anti-modele

Model plat: toate - „administratorii” → incidente și scurgeri.
Secretele împărtășite: untraceability și imposibilitatea de recenzii.
Nu SoD: O persoană creează și aprobă plățile/limitele.
Medii nepostate: chei dev în prod; test de amestecare și date reale.
Roluri „infinite”: fără TTL/recertificare → acumulare de risc.
Cote slabe: un subcont „mănâncă” capacitatea tuturor.

15) Registrele de redare incidente

Compromiterea cheii subcontului: revocarea imediată, rotația dependențelor, recalcularea cotelor, auditul ultimelor 7-30 de zile.
Depășirea cotelor: accelerare automată/pauză, notificarea proprietarului, plafon bugetar temporar.
Încălcarea SoD: blocarea operațiunii, eliminarea temporară a rolului, investigarea și fixarea politicii.
Înlocuirea cărților web: interzicerea recepției fără semnătură/în afara TTL, reconcilierea status-endpoint.

16) Onboarding și ciclul de viață

1. Initializare chirias: SSO/SCIM, profil facturare, politici globale.

2. Creați cont - regiuni, cote, bugete, zone de date, roluri de bază

3. Sub-cont: chei/carti web, roluri in echipa, integrari.
4. JML/Recertificare: revizuirea trimestrială a drepturilor, îndepărtarea automată a „dormitoarelor”.
5. EOL: arhivă, rechemare cheie, transfer de proprietate, închidere facturare.

17) Lista de verificare a implementării

• Reconcilierea chiriaș → cont → copac sub-cont și regulile de moștenire.
• Descrie rolurile (RBAC) și politicile contextuale (ABAC), matricea SoD.
• Începe SSO/SCIM, procesele JML și stimulează JIT.
• Introduceți cote/bugete/reguli de plafonare și alertă.
• Implementați KMS/Vault, rotații și secrete partajate.
• Includeți politicile ca cod, versiunile semnate și jurnalele WORM.
• Configurați API-urile de management/broșurile web, punctele finale de stare și auditul.
• Build Access/FinOps/Security/Tablouri de bord de conformitate.
• Conduita GameDay: scurgeri de chei, furtuna cota, IdP eșec, încălcarea SoD.
• Recertifica în mod regulat rolurile și limitele de revizuire.

18) ÎNTREBĂRI FRECVENTE

Unde să păstrați frontiera dintre Cont și Subcont?
În cazul modificării finanțelor/conformității/reglementării (Cont) și Subcontului - despre echipă/produs/mediu.

Este posibilă „lipirea” cotelor mai multor sub-conturi?
Da, prin piscine și priorități, dar cu capacitatea „arde” siguranțe.

Cum de a emite rapid acces temporar?
Aplicație JIT cu MFA și TTL, autologare și post-mortem pentru sesiuni privilegiate.

Am nevoie de chei diferite miercurea?
Necesar: Conturi de service/chei separate pentru dev/stage/prod cu izolarea rețelelor și a drepturilor.

Rezumat: Ierarhia conturilor și a sub-utilizatorilor este un cadru de gestionare: o structură lizibilă a entităților, politici moștenite, cote stricte și facturare, identități sigure și audit dovedibil. Prin implementarea RBAC/ABAC/ReBAC, JIT/SoD și policy-as-code hybrid, veți obține onboarding rapid, costuri previzibile și securitate durabilă atunci când sunt scalate de produs, echipă și regiune.