Artykmaçlyklary bölmek

1) Segmentasiýa näme üçin zerur?

Artykmaçlyklary bölmek "blast radius" ýalňyşlyklary we içerki hyýanatçylyklary azaltmagyň açarydyr. Ol haýsy maglumatlar bilen kimiň we nirede haýsy hereketleri edip biljekdigini takyk çäklendirmäge, şol bir wagtyň özünde amallaryň tizligini we düzgünleşdirijileriň talaplaryna laýyklygyny saklamaga mümkinçilik berýär.

• "artykmaç hukuklar" sebäpli az hadysalar;
• derňewi çaltlaşdyrmak: elýeterlilik aç-açan we düşnükli;
• SoD/complayens laýyklygy, subut edilip bilinjek audit;
• proto-ýadro üçin töwekgelçiliksiz howpsuz synaglar we çalt çykarmalar.

2) Ýörelgeler

Zero Trust: her hereket kontekstde barlanýar; "ynanylan zolaklar" ýok.
Least Privilege: iň az möhlete berlen iň az hukuklar (iň gowusy - JIT).
Context over Role: hukuklar diňe bir rola däl, eýsem atributlara hem baglydyr (tenant, sebit, daşky gurşaw, töwekgelçilik).
Segregation of Duties (SoD): inisiatiwany, tassyklanmagy, ýerine ýetirilişi we barlagy paýlaşýarys.
Policy-as-Code: wersiýalaşdyrmak, synaglar we review kodundaky syýasatlar.

3) Elýeterliligiň kämillik modeli

1. RBAC (roles): Başlangyç - kesgitlenen rollar (Support, Risk, Payments, Trading, Ops, SRE, Compliance).
2. ABAC (attributes): atributlary goşýarys: tenant, sebit, ýurisdiksiýa, önüm, kanal, gurşaw (prod/stage/dev), wagt, amal töwekgelçilik synpy, KRI-signallary.
3. PBAC (policy-based): merkezleşdirilen syýasatlar "kim/näme/nirede/haçan/näme üçin" + şertler (mysal üçin, "önümde - diňe JIT we bilet bilen").

4) Segmentasiýa domenleri (okuň aňyrsynda ok)

4. 1 Tenant/Müşderi

Giriş we amallar belli bir marka/operator/affiliat bilen çäklendirilýär.
PII-siz berk kesgitlenen agregasiýalardan başga, tenant hereketleri gadagan edilýär.

4. 2 Sebit/ýurisdiksiýa

Syýasatçylar ýerli ygtyýarnama we KYC/AML düzgünlerini göz öňünde tutýarlar.
Oýunçynyň maglumatlary bilen amallar saklamak we gaýtadan işlemek geografiýasy bilen çäklenýär.

4. 3 Gurşaw (dev/stage/prod)

Prod izolirlenen: aýry-aýry kodlar, torlar, Bastion/PAM, "read-only variant".
Diňe JIT prod-a girmek, bilet we üýtgetmek penjireleri bilen.

4. 4 Maglumatlar synpy

PII/maliýe/oýun telemetriýasy/tehnloglar - elýeterliligiň we maskalanmagyň dürli derejeleri.
PII eksporty - diňe tassyklanan şifrlemek we TTL işleri arkaly.

4. 5 Amallaryň kritikligi

P1/P2/P3 synplary: koeffisiýentleri çap etmek, el synplary, netijeler, PSP-marşruty üýtgetmek - dual control talap edýär.
Pes girdejili amallar syýasat tarapyndan awto-güýçlendirilip bilner.

5) Artykmaçlyklaryň derejesi (tiers)

Viewer: diňe agregatlary we gizlenen maglumatlary okamak.
Operator: konfigurasiýalary üýtgetmän, bukjalar boýunça amallary ýerine ýetirmek.
Contributor: kritiki däl domenlerde konfigurasiýalary üýtgetmek.
Approver: arzalary we ýokary töwekgelçilikli amallary tassyklamak (ýerine ýetiriş bilen utgaşmaýar - SoD).
Admin (JIT): dual control we sessiýany ýazga almak üçin seýrek meseleler üçin gysga möhletli ösüş.

6) SoD we gabat gelmeýän rollar

• Netijelere başlamak ≠ tassyklamak ≠ ahyrsoňy geçirmek.
• Bonus kampaniýasyny döretmek ≠ önümde işjeňleşdirmek ≠ çäkleri üýtgetmek.
• Fiçany işläp düzmek ≠ goýbermegi goşmak ≠ önüme çykarmak.
• PII-iň düşürilmegini talap etmek ≠ tassyklamak ≠ düşündirmek.

Her jübüt üçin - täzeden seredilen senesi bilen gadagan etmegiň we kadadan çykarmagyň resmileşdirilen syýasaty.

7) JIT-elýeterlilik we PAM

Haýyş boýunça Elevation: maksat/bilet/möhlet görkezilýär; gutarandan soň - awto-yzyna almak.
Dual control: P1/P2 hereketler - dürli funksiýalardan iki appruver.
Session control: möhüm sessiýalaryň ýazgysy, anomaliýalaryň alertleri, PII bilen işleşende kopipasta gadaganlygy.
Break-glass: berk çäklendirmeler we hökmany post-audit bilen gyssagly giriş.

8) Hyzmat hasaplary we API-satyn alyşlar

Iň az satyn almak; wezipeler/mikroservisler boýunça bölünişik; gysga ömürli bellikler/şahadatnamalar.
Syrlaryň aýlanmagy, şered-syrlaryň gadagan edilmegi; "god-skope" gadaganlygy.
Rate/quotas, idempotency-açarlar üçin çäkler, webhuklaryň goly (HMAC).

9) Infrastruktura derejesinde segmentasiýa

Torlar: segmentleri izolýasiýa etmek (per-domain/per-tenant), egress-i gadagan etmek, mTLS.
Kubernetes/Cloud: howply şablonlary gadagan etmek üçin nyşanlar/per-gurşaw we domen, Gatekeeper/OPA taslamalary.
BD/Nagt pul: giriş brokeri (DB proxy/IAM), adaty ýagdaýda, penjiräniň daşyndaky önümde DDL gadaganlygy.
Ammar: audit üçin TTL we WORM syýasatlary bilen dürli açarlar/baketler per-klas maglumatlar.

10) Kod hökmünde syýasatlar (PaC)

Repozitoriýalardaky syýasatlar (Rego/YAML), PR-revyu, awto-synaglar (unit/e2e), diff-audit.
Dinamiki kontekst: gije-gündiziň wagty, ýerleşýän ýeri, KRI derejesi, töwekgelçilik-skoring amallary.
allow/deny çözgüdiniň düşündirilmegi we auditde syýasata salgylanma.

11) Žurnallar we audit

Doly: kim/näme/nirede/haçan/näme üçin, öň/post-gymmatlyklar, ID bileti.
Üýtgedilmezlik: merkezleşdirilen ýygnamak, WORM/immutable, ýazgylaryň goly.
Baglanyşyk: administratiw konsoldan zynjyr → API → DB → daşarky üpjün edijiler.
SLA audit: gözegçilik/düzgünleşdirijiniň haýyşlaryna jogap tizligi.

12) Daşbordlar we metrikler (KPI/KRI)

Giriş KPI: JIT vs hemişelik hukuklaryň paýy, artykmaçlygyň ortaça dowamlylygy, SoD bilen örtülen%, arzalary gaýtadan işlemek wagty, gaýtadan tassyklamalary ýapmak.
KRI hyýanatçylykly peýdalanmalar: duýgur amallaryň partlamalary, köpçülikleýin düşürmeler, adaty bolmadyk ýerler/sagatlar, "programma → hereket → yza gaýdyp gelmek" yzygiderliligi.
Exec-daşbord: ýokary töwekgelçilikli rollar statusynyň ýoly, break-glass wakalar, tendensiýalar.

13) Syýasatçylaryň mysallary (eskizler)

Prod-операции: `allow if role in {Operator, Admin} AND env=prod AND jit=true AND ticket!=null AND sod_ok AND time in ChangeWindow`.
Экспорт PII: `allow if data_class=PII AND purpose in ApprovedPurposes AND ttl<=7d AND encryption=ON AND approvers>=2`.
PSP-роутинг: `allow if action=UpdateRouting AND dual_control AND risk_assessment_passed AND rollback_plan_attached`.

14) Durmuşa geçirmegiň ýol kartasy (8-12 hepde)

Ned. 1-2: amallaryň/rollaryň/maglumatlaryň inventarizasiýasy, SoD matrisa, maglumatlaryň klassifikasiýasy we segmentasiýa domenleri.
Ned. 3-4: RBAC-bazis, rollar katalogy, prod-konsollar üçin JIT, PaC (OPA/Gatekeeper) başlangyjy.
Ned. 5-6: ABAC: tenant/sebit/gurşaw/maglumat synpy atributlary; belgileriň/taslamalaryň bölünmegi.
Ned. 7-8: PAM (JIT-elevation, sessiýalary ýazga almak, break-glass), DDL gadaganlygy we DB brokeri, PII eksport syýasaty.
Ned. 9-10: PBAC ýokary töwekgelçilikli amallar üçin (netijeler, bonuslar, PSP), dual control, KRI-alertler.
Ned. 11-12: çärýekleýin gaýtadan sertifikatlaşdyrmak, 100% ýokary töwekgelçilikli PaC amallaryny ýapmak, hasabat bermek we okatmak.

15) Artefaktlar

Role Catalog: rollar, iň az artykmaçlyklar, eýeler.
SoD Matrix: gabat gelmeýän rollar/amallar, kadadan çykmalar, override prosesi.
Policy Pack: deny/allow synaglary we mysallary bilen PaC syýasatçylarynyň toplumy.
Access Request Form: maksat, möhlet, obýekt (tenant/sebit/gurşaw), töwekgelçilik-baha bermek, appruverler.
Sensitive Ops Register: P1/P2 hereketleriň sanawy, penjireler, dual control ölçegleri.
Audit Playbook: magazinesurnallary, SLA jogaplaryny, rollaryny ýygnamak we bermek.

16) Antipatternler

Hemişelik dolandyryş hukuklary we umumy hasaplar.
"Amatlylyk üçin" kross-tenant elýeterliligi.
Izolýasiýa prod/stage/dev.
Kodda/konsollarda enforce bolmazdan kagyz ýüzünde syýasatlar.
PII-ni şifrlemezden we TTL-den el bilen baglaşylan şertnama boýunça eksport etmek.
Resertifikasiýalaryň we "asylan" hukuklaryň ýoklugy.

17) Jemleýji

Artykmaçlyklary bölmek diňe "dogry rollar" däl. Bu köp ölçegli izolýasiýa (tenant, sebit, gurşaw, maglumatlar, kritiklik) + dinamiki kontekst (ABAC/PBAC) + prosesler (SoD, JIT, resertifikasiýa) + tehniki mejbury (PaC, PAM, tor/BD). Şeýle konturlar ýalňyşlyklaryň we hyýanatçylyklaryň töwekgelçiligini düýpgöter peseldýär, howpsuz üýtgeşmeleri çaltlaşdyrýar we platformany masştabyň we düzgünleşdirijileriň talaplaryna çydamly edýär.