RBAC: идоракунии нақшҳо ва иҷозатномаҳо

1) Ҳадафҳо ва принсипҳои RBAC

Мақсад: Барои муҳофизати пул/PII ва мувофиқат (GDPR/AML/PCI/ISO) дастрасиро идорашаванда, санҷидашаванда ва ҳадди ақал созед.

Принсипҳо: Имтиёзи камтарин· Ҷудокунии вазифаҳо (So

2) Таксономияи ҳуқуқҳо ва нақшҳо

• Маълумот: 'READ', 'WRITE', 'EXPORT', 'НЕСТ', 'MASKED_READ' (пешфарз барои PII).
• Амалиётҳо: 'ТАСДИҚ _ БОЗСОЗӢ', 'CHANGE_FRM_RULE', 'KYC_DECORD', 'SANCTIONS_OVERRIDE'.
• Admin: 'REL_UPDATE', 'USER_PROVISION', 'SECRET_ROTATE', 'BREAK_GLASS'.
• Интегратсияҳо: 'API_CALL:', 'WEBHOOK_SIGN', 'SERVICE_CONFIG_UPDATE'.

• Core (аз аввал то охир): 'корманд _ basic', 'тамошобин _ дохилӣ', 'аудитор _ махфият'.
• Доменӣ: 'support_agent', 'vip_manager', 'payments_ops', 'aml_officer', 'kyc_operator', 'қаллобӣ _ таҳлилгар', 'rg _ мутахассис', 'bi_analysist'.
• Система/инҳо: 'devops_admin', 'dba_admin', 'service_account _', 'read_only_prod'.
• Имтиёз (тавассути PAM/JIT): 'break_glass_admin', 'prod_db_jit_editor'.

3) Муҳандисии нақш

1. Инвентаризатсияи захираҳо: системаҳо/ҷадвалҳо/нуқтаҳои ниҳоӣ, синфҳои маълумот (ҷамъиятӣ/дохилӣ/махфӣ/маҳдуд/хеле маҳдуд).
2. Ҳикояҳои корбар аз рӯи функсияҳо: кӣ чӣ кор мекунад ва чаро (мақсад).
3. Харитасозии вазифаҳо → иҷозат - маҷмӯи ҳадди ақали ҳар як функсия.
4. Гурӯҳбандӣ дар нақш: як нақш = як домени масъулият; аз "нақшҳои супер" канорагирӣ кунед.
5. Санҷиши So-D: санҷиши номувофиқатӣ (масалан, 'payments_ops' ≠ 'қаллобӣ _ rule_admin').
6. Озмоиш ва андозагирӣ: мо гурӯҳи муваққатан маҳдудро мебарорем, сайри аудиториро ҷамъ мекунем.
7. Версия: Ҳар як тағйири нақш тавассути CAB бо changelog аст.

4) Ҳамкории RBAC ↔ ABAC ↔ So

RBAC ба "кӣ аслан метавонад", ABAC - "дар кадом шароит" (муҳит, гео, дастгоҳ/MDM, вақт, сатҳи KYC, 'ҳадаф') ҷавоб медиҳад.
Ҳамин тавр, омезиши хатарноки нақшро манъ мекунад ва барои амалҳои интиқодӣ 4 чашм талаб мекунад.
Амал: бо нобаёнӣ, нақшҳо ба PII MASKED_READ медиҳанд; дастрасии пинҳоннашуда хусусияти "ҳадаф" + JIT ва қарори мусбати сиёсати ABAC-ро талаб мекунад.

5) Бисёр иҷора ва гео-контекст

Ҳаҷми иҷорагир: Нақшҳо бо иҷора/бренд/юрисдиксия алоқаманданд ('нақш: payments_ops @ EEA').
Калидҳои гео: калидҳои рамзгузории инфиродӣ ва сегментҳои дастрасӣ дар як минтақа (EC/UK/...).
Грануляризатсия: филтр аз ҷониби сутуни 'region_code' (RLS) ва аз рӯи салоҳияти бозингарон.

6) Амният ва ниқоб дар сатр/сутун

• RLS (сатрҳо): Дастрасӣ танҳо ба сабтҳои кишвар/бренд/даста.
• CLS (сутунҳо): майдонҳои ҳассос ниқоб доранд; unmasked - танҳо бо имтиёзи 'pii_unmask' + 'мақсад'.

sql
CREATE POLICY rls_tx
ON dwh. transactions
USING (region_code = current_setting('app. region'));

SELECT
CASE WHEN has_priv('pii_unmask') THEN email ELSE mask_email(email) END AS email_view
FROM dwh. users;

7) JIT, пора-шиша ва PAM v RBAC

JIT: нақши муваққатии муваққатӣ (15-120 дақиқа) дар чипта; фикру мулоҳизаҳои худкор; аудити пурра.
Шиша: дастрасии фавқулодда бо тасдиқи дуюм ва сабти сессия; пас аз баррасӣ бо Амният + DPO.
PAM: мағозаи махфӣ, прокси сессия, парол/гардиши калидҳо.

8) Давомнокии нақш (SOP)

SOP-1: Офаридан/Тағйир додани Нақш

1. Тафтиши соҳиби домен → рӯйхати вазифаҳо → харитасозии иҷозатномаҳо → So

SOP-2: Дархост ва дастрасӣ ба грант

1. Ариза (IDM/ITSM) бо 'мақсад' ва мӯҳлати ниҳоӣ → Санҷиши худкор/юрисдиксияи § Тасдиқи соҳиби маълумот + Амният (барои Маҳдудият +) → додани (аксар вақт JIT) → сабти ном.

SOP-3: Фикру мулоҳизаҳо/Offboarding

Триггерҳо: Қатъи кор, тағир додани нақш, ғайрифаъол> 30/60 рӯз, JIT ба охир расид.
Бозрасии худкор ва сабти ном.

SOP-4: Сертификатсияи дубора

Ҳар семоҳа, соҳибон тасдиқ мекунанд, ки нақшҳои корбар ҳоло ҳам лозиманд; система ҳуқуқҳои "овезон" -ро хориҷ мекунад.

9) Намунаи матритсаи нақш (порча)

10) Воситаҳо ва амалисозӣ (намунаҳо)

Каталоги нақш ҳамчун рамз: YAML/JSON дар анбор + CI validators, changelog.
IDP/SSO марказӣ: Таъминоти SCIM, харитасозии гурӯҳӣ 'гурӯҳи → нақш'.
Нуқтаи тасмими сиёсат: муҳаррики сиёсат (ABAC) бо хусусиятҳои контекстӣ.
Асрҳо/KMS: ҷудокунии калидӣ дар муҳити зист/минтақа/иҷорагир.
Дарвозаи маълумот: як қабати ягонаи ниқоб/аудит барои DWH/BI/содирот.
SIEM/SOAR: таносуби 'REL_UPDATE'/'READ_PII'/'EXPORT_DATA', худкор-чиптаҳо.

11) Аудит ва сабти ном

Рӯйдодҳои ҳатмӣ: 'РОЛ _ АССИГН', 'РОЛ _ РЕВОКЕ', 'РОЛ _ НАВ', 'BREAK_GLASS', 'JIT_GRANT', 'READ_PAYT_DATA', 'KYC _ ҚАРОР'.
Талабот: нусхаи WORM, занҷирҳои ҳаш, имзои пакет, 'мақсад '/'chicket_id' дар ҳар як ҳолат, ҳамоҳангсозии вақт.

12) Нишондиҳандаҳо ва KPI/KRI

Фарогирӣ:% системаҳо дар доираи RBAC ≥ 95%.
Қоидавайронкуниҳои SOD: = 0; кӯшиши таъини нақшҳои номувофиқ - блоки худкор.
Меъёри JIT: ≥ 80% афзоиш JIT мебошад.
Offboard TTR: бекор кардани ҳуқуқҳо ≤ 15 дақиқа.
Таносуби хондани ниқоб: ≥ 95% зангҳо ба PII ниқоб доранд.
Бозсозӣ: ҳар семоҳа 100% нақшҳо тасдиқ карда мешаванд.
Содирот ба имзо расид: 100% содирот бо имзо/сабти ном.

13) RACI (васеъшуда)

14) Рӯйхати санҷишҳо

Пеш аз офаридани нақш

• Тавсифи ҳикояҳои корбар ва 'ҳадаф'
• Рӯйхати захираҳо ва синфҳои маълумот
• Харитаи ҳадди аққали иҷозатҳо
• Пас санҷиш/муноқишаҳо
• Маска ва сиёсати RLS/CLS
• Нақшаи сертификатсия ва соҳибон

Пеш аз додани дастрасӣ

• 'мақсад' ва санаи муқарраршуда
• Пас/юрисдиксия/MDM/ВКХ ба итмом расид
• Ниқоби пешфарз, JIT оид ба таблиғ
• Санаи маҷалла ва таҷдиди назар дохил карда шудааст

15) Хатогиҳои зуд-зуд ва зидди намунаҳо

"Нақшҳои супер" бо ҳуқуқҳои васеъ ба ҷои домейнҳои хурд.
Дастрасии мустақим ба PII бидуни ниқоб ва 'ҳадаф'.
Не чашмони So 'D/чорум барои'PAYPE_APPOVE'/'KYC_APPROVE'.
Тамдиди ҳуқуқҳои муваққатӣ "то абад".
Нусха бардоштани иттилооти prod ба dev/stage.
Содироти ношаффоф бе имзо ва сабти ном.

16) Харитаи роҳсозӣ

Ҳафтаҳои 1-2: таснифи дороиҳо/таснифи маълумот; нақшаи матритсаи нақшҳо; Ҷадвали So-D.
Ҳафтаҳои 3-4: RBAC ҳамчун рамз (анбор), гурӯҳҳои ID/SCIM, муҳаррики ABAC (хусусиятҳои асосӣ: муҳити зист/гео/MDM/вақт), JIT/PAM, қабати ниқоб барои DWH/BI.
Моҳи 2: сертификатсияи такрорӣ, автоматизатсияи оффшорӣ, SOAR дар бораи вайронкунии RBAC/SO/ABAC, гузоришҳои содиротӣ/WORM.
Моҳи 3 +: тамдиди атрибут (хатари дастгоҳ, сатҳи KYC), аудити ғаразноки дастрасӣ, оптимизатсияи хароҷот ва машқҳои муқаррарии планшет.

TL; ДР

RBAC-ва қавӣ = нақшҳои домени хурд + шароити атрибут (ABAC) + SO ва JIT/PAM + ниқоб ва RLS/CLS + аудити сахт ва сертификатсияи дубора. Ин хатари ихроҷ/сӯиистифодаро коҳиш медиҳад, аудитро суръат мебахшад ва платформаро дар доираи талаботи махфият ва риояи он нигоҳ медорад.