Hukuklary we syýasatlary miras almak

1) Näme üçin ekosistema miras

• Masştabyň tizligi: täze düwünler/önümler standartlaşdyrylan "gutudan" syýasatlaryny alýarlar.
• Birmeňzeşlik we laýyklyk: ýokarky derejeli guardrails golçur kärhanalaryna awtomatiki usulda täsir edýär.
• Aç-açanlyk we audit: ulanmagyň öňünden aýdyp boljak tertibi, kadadan çykmalary azaltmak.

2) Elýeterliligiň esasy ontologiýasy

2. 1 Iýerarhiki derejeler

1. Gurama/Ekosistema → Global howpsuzlyk/maglumat syýasaty/RG.
2. Tenant/Partner → kwotalar, ýurisdiksiýalar, maglumatlaryň çäkleri, SLO çäklendirmeleri.
3. Domen (mazmun, tölegler, KYC, affiliates, analitika, wakalar) → giriş profili we tor perimetri.
4. Hyzmat/Programma → API/topiki/ammar.
5. Çeşme → tablisa/topik/endpoint/secret/stream.

2. 2 Ygtyýarnamanyň modelleri

RBAC (rollar): çalt, aç-açan, gowy miras (roly → rugsatlar toplumy).
ABAC (atributlar): çeýeligi (geo, ýurisdiksiýasy, töwekgelçilik-tizligi, wagty).
ReBAC (gatnaşyklar): "Meniň barlygym bilen baglanyşykly çeşmelere" girmek (operator, kampaniýa, maglumatlar).
Amal: RBAC + ABAC, ReBAC gibrid - eýeçilik/kampaniýa graflary üçin.

3) Syýasatlar, satyn alyşlar we ileri tutulýan ugurlar

3. 1 Syýasatçylaryň görnüşleri

Allow/Deny: aç-açan rugsat/gadaganlyk.
Guardrails: hökmany çäklendirmeler (PII out-of-scope, eksport çäkleri, wagt-based).
Quotas/Rate: tenant/kanal/sebit boýunça rps/txn/stream/event çäkleri.
Contextual: geo/ASN/enjam/wagt/barlag/töwekgelçilik-skoring şertleri.
Delegation: hukuklaryň bir bölegini gysgaldylan/TTL bilen geçirmek.

3. 2 Miras almak we ulanmak tertibi

Deny-first: gadaganlyk rugsatdan has güýçli.
Precedence: `Guardrails (root) > Deny (parent) > Allow (parent) > Deny (child) > Allow (child)`.
Shadowing: Golçur Allow ene Guardrail/Deny-ni ýatyrmaýar.
Kadadan çykmalar boýunça override: diňe TTL we awto surata düşürilen "justified exceptions" bilen ýazmaça resmileşdirilen.

3. 3 Satyn almak

Org/Tenant: global düzgünler we kwotalar.
Environment: prod/stage/sandbox - prod-a bolan berklik ýokarlanýar.
Jurisdiction: maglumatlaryň lokalizasiýasy, RG çäklendirmeleri.
Data Class: `Public/Internal/Confidential/PII-Sensitive/Financial`.
Operation: read/write/admin/export/impersonate.

4) Syýasatçy agaçlary (Syýasat agaçlary)

4. 1 Gurluş

/org
/tenants/{tenantId}
/domains/{payments    kyc    content    affiliates    analytics    events}
/services/{api    broker    db    storage    sfu}
/resources/{endpoint    topic    table    bucket    secret}

Her düwünde: syýasatçylaryň sanawy (allow/deny/guardrail/quota/context). Miras ýokardan aşak, ýerli syýasatçylar çäklendirmeleri goşýarlar, ýöne global gadaganlyklary aýyrmaýarlar.

4. 2 mysallar

Guardrail org-level: "PII-leri webhuka çykaryp bolmaýar".
Tenant-level: "X ýurtlaryndan KYC operatorlary gadagan; hasabatlaryň eksporty diňe agregatlar".
Domain payments: "Write diňe mTLS we ≤ 24h açary bolan hyzmat hasaby arkaly".
Service api: "POST/deposits diňe 'Idempotency-Key' -den".
Resource topic: "'kyc _ status' -y diňe 'KYC' roly bolan hyzmatlara okamak. moderation` и ABAC `verified=true`».

5) Ygtyýarlyk we wagtlaýyn hukuklar

Just-in-Time (JIT) Access: ýerine ýetiriş wagty üçin bermek (TTL, single-use).
Break-Glass: derrew audit we soňraky seljerme bilen gyssagly giriş.
Skoped Tokens: minimal 'scopes' (read: topic/kyc; write:api/deposit) + audience/issuer.
Chain-of-Trust :/ASN/kiçi ulgamyna birikdirilen hyzmatara bellikleri.
Impersonation: diňe magazineurnally we çäkli proxy hyzmaty arkaly.

6) Domenlerde miras

6. 1 Tölegler (PSP/APM)

Ene-atanyň guardrail: "ähli jaňlar - mTLS + JWS, wagt ≤ N, jitter bilen retralar arkaly; çarjbek-huk hökmany".
Golçur hyzmaty ARM/sebite kwotalar/kapslar goşup biler. Orkestratordan aýlanyp göni çagyryşlara Deny.

6. 2 KYC/AML

Ene-atasy Deny: "çig resminamany analitika ýazyp bolmaz".
Golçur Allow: "diňe hash/höküm/töwekgelçilik kategoriýalaryny bermek".

6. 3 Mazmun/akym

Org guardrail: "iň az bit we latency-SLO".
Tenant-override: "roumingde hiliň peselmegi, ýöne SLO-dan pes bolmaly däldir".
Resource: belli bir ýaşaýyş stoluna girmek - diňe RG-OK segmentleri.

6. 4 Wakalar/EDA

Root: iş manysy boýunça in-registry, exactly-once shemalary/wersiýalary.
Domain: partiýa açarlary, dedup syýasaty.
Hyzmat: Kim topik ýazyp/okap biler; quotas/lag-budget.

7) Gizlinlik we Zero Trust

PII-minimalizasiýa we tokenizasiýa, "seýf zolaklarynyň daşynda de-tokenizasiýa edip bolmaz" syýasaty.
Torlaryň segmentasiýasy: vendor-VPC, egress-allow-list, toruň zolakara syýasatlary.
mTLS/JWS/HMAC S2S we webhook üçin, gysga ömürli açarlar (JWKS/rotation).
SoD (Segregation of Duties): Okamagyň roly ≠ dolandyryşyň roly ≠ açarlaryň goýberilişiniň roly.
Ýurisdiksiýalar: lokalizasiýanyň miras galýan düzgünleri, DPA/DPIA bolmasa PD-leriň serhetaşa eksportynyň gadagan edilmegi.

8) Mirasyň syn edilmegi we auditi

Policy Evaluation Trace: 'traceId' bilen "haýsy syýasat işledi" magazineurnaly.
Diff-log: syýasatçynyň agajyny kim/haçan üýtgetdi; WORM saklaýyş.
Conformance-synaglar: giriş ssenarileriniň yzygiderli geçişleri (allow/deny; export; impersonation).
Alertler: deny/guardrail, kwotalardan ýokary, aýlanyp geçmek synanyşyklary.

9) Gapma-garşylyklar we olary çözmek

Synpy kesgitlemek: Allow/Deny gapma-garşylygy, garrail düzgünini bozmak, ABAC şertlerinden geçmek.
Precedence düzgünini ulanmak (§ 3 seret. 2).
Kadadan çykma klassifikasiýasy: wagtlaýyn (TTL), hemişelik (düzgün), nädogry (rollback).
Artefaktlary giriziň: RFC/CR-anketa, töwekgelçilik bahasyna salgylanma, CI-de awtoprowkerler.

10) Anti-patternler

TTL-siz ("hemişelik") el bilen berlen hukuklar.
Allow-adaty we "sessiz" kadadan çykmalar.
Göze görünmeýän guardrails - golçur şahalary howpsuz düzgünleri ýapýar.
Rollaryň garyşmagy (admin = analitik = operator) - SoD ýok.
Çig PD-leri üçünji tarap hyzmatlaryna eksport etmek, "wagtlaýyn" webhuklar gol çekmezden.
Break-glass wagtynda audit öçürildi.
Shemalaryň ýüzýän wersiýalary: analitika/EDA gidýär, deny täze meýdanlara işlemeýär.

11) Syýasatçynyň agajyny dizaýn etmegiň çek-sanawy

1. Maglumatlary klassifikasiýa ediň (Public/Internal/Confidential/PII/Financial).
2. Iýerarhiýa we düwün eýelerini (RACI) kesgitläň.
3. Gardrailleri kökünde goýuň (Zero Trust, PII, RG, ýurisdiksiýalar).
4. RBAC rollaryny we ABAC atributlaryny emele getiriň; SoD-ni açyň.
5. Satyn almalaryňyzy düşündiriň (org/tenant/env/jurisdiction/data class/operation).
6. Delegasiýa/TTL we auditoriýa ýoly bilen break-glass goşuň.
7. Deslapky we gapma-garşylygy belläň (deny-first, override-proses).
8. Syn edilişini sazlaň: evaluation-trace, diff-log, alertler.
9. Konformance toplumyny we kadadan çykmalaryň yzygiderli gykylygyny açyň.
10. Resminamalaşdyrmak: syýasatçylar portaly, mysallar, sandyk gutulary, simulýatorlar.

12) Kämillik ölçegleri

Coverage: miras syýasatlary we konformans synaglary bilen örtülen çeşmeleriň paýy.
Drift: ýerli kadadan çykmalaryň sany/100 çeşme; orta TTL kadadan çykmalar.
SoD Score: jogapkärçiligi bölmek bilen ulanyjylaryň paýy.
PII Exposure: seýf zolaklaryndan daşary eksport sany (maksat = 0).
Auditability:% evaluation-trace bilen soraglar; Giriş gapma-garşylyklary boýunça MTTR.
Change Velocity: CR-iň miras syýasatyna degişli wagty.

13) Şablonlaryň mysallary (shematiki)

• Deny: `export:PII` if `destination. country ∉ whitelist`
• Require: `mTLS && JWS` for `webhook:`
• Quota: `read:event: ≤ X rps per tenant`

• Allow: `write:api/deposit` if `verified && risk_score < T && geo ∈ allowed`
• Deny: `direct:psp/`

• Allow: `read` for role `KYC. moderation` where `jurisdiction == resource. jurisdiction`
• Deny: `write` except service `kyc-orchestrator`

14) Ewolýusiýanyň ýol kartasy

v1 (Foundation): syýasatçy agajy, kökdäki goragçylar, RBAC, deny-first, üýtgeşmeleriň barlagy.
v2 (Integration): ABAC, Delegation/TTL, conformance-set, evaluation-trace.
v3 (Automation): ýurisdiksiýa/maglumatlar boýunça awto-skoping, policy-as-code, CI/CD-de awto-barlag, awtokarantin düzgün bozmalar.
v4 (Networked Governance): hyzmatdaşara syýasatçylar federasiýasy, kriptografik gol bilen kross-tenant tabşyrmak, hukuklary bermek üçin öňünden aýdylýan maslahatlar (töwekgelçilik-skor).

Gysgaça gysgaça

Hukuklaryň we syýasatlaryň mirasy howpsuz we çalt ekosistemanyň çarçuwasydyr. Garawullar bilen policy-tree guruň, deny-first we precedence ulanyň, RBAC + ABAC + ReBAC birleşdiriň, TTL bilen delegasiýa we berk audit ulanyň. Gözegçilikleri we kadadan çykmalary dolandyrmagy awtomatlaşdyryň - we gatnaşyjylaryň tutuş ulgamy üçin ulalyp bilinýän, goşulýan we öňünden aýdyp boljak giriş modelini alarsyňyz.