Roly tabşyrmak we elýeterlilik

(Bölüm: Amallar we Dolandyryş)

1) Näme üçin roly tabşyrmak

Maksat - her bir gatnaşyja (işgäre, hyzmatdaşa, hyzmata) zerur bolan we zerur bolan wagt üçin, hereketleriň doly yzarlanylýan wagty ýaly hukuklary bermek. Bu syzmak we hyýanatçylykly peýdalanmak töwekgelçiligini peseldýär, auditleriň onbordingini we geçişini çaltlaşdyrýar.

2) Giriş modeli: derejeler we domenler

Giriş domenleri: adamlar (konsol/panel), hyzmatlar (maşyn bellikleri), maglumatlar (tablisalar/obýektler), infrastruktura (bulut/K8s), kontragentler (daşarky integrasiýa), sebitler/tenantlar.
Ynam derejeleri: köpçülige açyk → içerki → goralýan (PII/maliýe) → aýratyn möhüm (açarlar/tölegler).
Amal zolaklary: prod/staging/sandbox; "aşaky" -dan "ýokarda" düzgüni - diňe tassyklanan pipeline 'lar arkaly ".

3) Ygtyýarlylandyrmagyň modelleri

RBAC: rollar wezipelere baglydyr ("Mazmun redaktory", "Töleg operatory"). Simpleönekeý başlangyç, barlamak aňsat.
ABAC: subýektiň/çeşmäniň/kontekstiň atributlary boýunça syýasatlar (sebit, tenant, çalşyk, gurnama, töwekgelçilik-skoring).
ReBAC (relationship-based): hukuklar aragatnaşyklardan gelýär (taslamanyň eýesi, toparyň agzasy).
Gibrid: Esasy matrisa üçin RBAC, kontekstdäki çäklendirmeler üçin ABAC, eýeçilik üçin ReBAC.

4) Iň az zerur giriş (Least Privilege)

Başlangyç - minimal rollar-standart (read-only, PII-siz).
Ösüş - diňe esaslary, möhleti we eýesi bolan haýyşnama arkaly.
Wagt çäkleri (TTL): hukuklar awtomatiki usulda "ereýär"; uzaltmak - aňly.
Kontekst gward-reller: sebit/tenant, iş wagty, enjam, geo.

5) Borçlaryň bölünmegi (SoD)

• "Çäklendirmeleri başlaýar" ≠ "çäklendirmeleri tassyklaýar".
• "Tölegi taýýarlaýar" ≠ "tölege gol çekýär".
• "Kody ýazýar" ≠ "relizit v prod".
• "Admin DB" ≠ "analitikada PII okaýar".
• Syýasatda we proseslerde SoD-ni durmuşa geçiriň (iki ýazgyly, M-of-N).

6) JML prosesleri (Joiner/Mover/Leaver)

Joiner: wezipe/topar/sebit boýunça esasy rollaryň awto-bellenilmegi, giriş çek sanawy 24s.
Mover: buýruk/taslama çalşylanda rollara täzeden seretmek; "köne" hukuklaryň awtomatiki ýatyrylmagy.
Leaver: sessiýalary, açarlary, bellikleri yzyna almak; syrlaryň gaýtadan berilmegi, artefaktlara eýelik etmegiň geçirilmegi.

7) Wagtlaýyn artykmaçlyklar: JIT/PAM

Just-In-Time (JIT): MFA we bilet bilen 15-240 minutlyk haýyşnama boýunça hukuklaryň ýokarlanmagy.
PAM (Privileged Access Management): proxy/giriş "gabyk-gabyk", sessiýalary ýazga almak, buýruk magazineurnaly.
Break-glass: gyssagly alert, gysga TTL we hökmany post-mortem bilen gyssagly giriş.

8) Hyzmatlaryň şahsyýetleri we açarlary

Service Accounts: her hyzmat we gurşaw üçin aýratyn, hiç hili paýlaşylan syr ýok.
Workload Identity: bellikleri podu/wiru/funksiýa birikdirmek; gysga möhletli kredtler.
Syrlar: KMS/Vault, aýlaw, iki konturly şifrlemek, girelgelere girmegi gadagan etmek.
Gollaryň/tölegleriň açarlary: threshold/MPC, HSM enjamlary, ynam domenlerine ýaýratmak.

9) SSO/MFA/SCIM we hasaplaryň durmuş sikli

SSO: IdP (SAML/OIDC), ýeke giriş, merkezleşdirilen parol/enjam syýasaty.
MFA: administratiw/maliýe/PII üçin hökmanydyr; has gowusy FIDO2.
SCIM: hasaplary we toparlary awtomatiki döretmek/aýyrmak/üýtgetmek.
Device Posture: enjamyň ýagdaýy boýunça şertli giriş (diski şifrlemek, EDR, aktual ýamalar).

10) Syýasatlar-kod hökmünde we tassyklamak

OPA/Authorization service: kod görnüşindäki syýasatlar (Rego/JSON), PR arkaly rewyu, synaglar.
Drift-gözegçilik: yzygiderli deňeşdirmeler "hakykatda yglan edildi".
Pre-flight barlagy: "Syýasatçy şeýle operasiýa rugsat berermi?" - çykmazdan ozal ýagdaýlary synagdan geçiriň.

11) Maglumatlara elýeterlilik

Klassifikasiýa: jemgyýetçilik/içerki/çäklendirilen/PII/maliýe.
"Minimum" basyşy: "çig" maglumatlaryň ýerine agregatlar/maskalar; PII haýyşlary - diňe tassyklanan joblar arkaly.
Tokenization/DE-ID: identifikatorlary çalyşmak, haýyşlary barlamak.
Gatlaklar: prod → replikalar → penjireler → agregatlar; prod-BD-e göni girmek - diňe JIT/PAM.

12) Bulut, K8s, torlar

Cloud IAM: per-hasap/taslama rollary; "Admin" -iň adaty gadaganlygy; taglar/bukjalar boýunça hereketleriň çäklendirilmegi.
Kubernetes: RBAC, PSP/şuňa meňzeş syýasatlar "privileged", surat-allowlist, CSI arkaly syrlar, per-aşaky hyzmat hasaplary.
Tor: Zero-Trust (mTLS, identity-aware), jump-host - diňe JIT, SSH-sessiýalaryň ýazgysy.

13) Daşarky hyzmatdaşlar we integrasiýa

Izolirlenen tenantlar/açarlar, iň az satyn OAuth2, gysga TTL bellikleri.
Webhook: gol (HMAC/EdDSA), 'nonce + timestamp', dar kabul ediş penjiresi.
Açarlary meýilnama boýunça aýlamak, eglişik wagtynda yzyna çagyrmak, "saglyk" üçin status-endpointler.

14) Audit, gaýtadan gözden geçirmek, hasabat bermek

Immutability: WORM-magazinesurnallar, syýasatçylaryň neşirleriniň gollary, Merkle-bölekler.
Resertifikasiýa: möhüm rollaryň çärýekleýin barlagy, her aýda - administratiw hukuklar.
Hukuklaryň karantini: "ulanylmaýan 60 gün" → awto-aýyrmak.
"Evidence pack": rol matrisasyny düşürmek, SoD-işläp düzmek, JIT-programmalar, PAM-sessiýalary ýazga almak.

15) Metrikler we SLO

TTG (Time-to-Grant): Standart haýyşnama boýunça elýeterlilik berýän mediýa (maksat ≤ 4 sagat).
"Artykmaç" JIT elýeterliligiň paýy (maksat ≥ 80%).
SoD-violations: 0 v prod, ýok etmek wagty ≤ 24s.
Ýetim hukuklary: artykmaç hukukly ulanyjylaryň% -i (maksat → 0. 0x%).
Syrlaryň aýlanmagy: syryň ortaça ýaşy (maksady duýgur adamlar üçin 30 gün ≤).
Audit-örtük: Artefaktlar bilen artykmaç hereketleriň 100% -i (ýazgylar, kwitansiýalar).

16) Daşbordlar

Access Health: işjeň rollar, ýetim hukuklar, JIT vs hemişelik.
PAM & Sessions: artykmaç sessiýalaryň sany, dowamlylygy, MFA-nyň üstünligi.
SoD & Incidents: blokirlemeleriň statistikasy, sebäpleri, MTTR.
Secrets & Keys: ýaş, ýetip gelýän aýlaw, "gyzyl" açarlar.
JML: SLA onbording/offbording, möhleti geçen arzalar.
Audit Evidence: çärýekleýin gaýtadan dikeldiş ýagdaýy, completeness 100%.

17) Wakalaryň pleýbuklary

Belligi/açary bozmak: derrew yzyna almak, ulanyşy global gözlemek, endikleriň aýlanmagy, N gün üçin retro-audit.
SoD bozulmasy: amal bloky, roly wagtlaýyn öçürmek, post-mortem we syýasaty üýtgetmek.
PII-e ygtyýarnamasyz girmek: izolýasiýa, DPO habarnamasy, syzdyrmagyň sanawy, hukuk amallary.
Escalation abuse: subýekt/topar üçin JIT-i doňdurmak, arzalary/esaslary seljermek, TTL çäklerini düzetmek.

18) Amal amallary

Kritiki hukuklaryň berilmegine/üýtgedilmegine dört göz.
Wezipeleriň, töwekgelçilikleriň we ýol berilýän amallaryň beýany bilen rollaryň katalogy.
Anonimleşdirilen maglumatlar we beýleki rollar bilen synag gurşawy.
Policy dry-run: ulanylmazdan ozal üýtgeşmeleriň netijelerini simulýasiýa etmek.
Giriş boýunça GameDays: "IdP ýitirmek", "PAM şowsuzlygy", "gizlin syzmak".

19) Girizmegiň çek-sanawy

• Esasy prosesler boýunça rollaryň taksonomiýasyny we SoD matrisini emele getiriň.
• SSO + MFA-ny hemmeler üçin, JML üçin SCIM akymy.
• PAM/JIT ýerleşdiriň, alertler we gysga TTL bilen break-glass sazlaň.
• Kod syýasatlaryny (OPA), PR we awtotestler arkaly barlaglary giriziň.
• Aýry-aýry hyzmat hasaplary we workload-identity; shared-syrlary gadagan etmek.
• Vault/KMS, syrlaryň we açarlaryň yzygiderli aýlanmagy, kod/ýazgylarda syrlaryň gadagan edilmegi.
• Gurşawy we sebitleri bölmek, sebitlere girmegiň düzgünlerini berkitmek.
• Daşbordlary we SLO-lary, aýlyk gaýtadan işlemek hasabatlaryny işe giriziň.
• Haklaryň sütünini SoD skanirläň we güýçlenmegiň ýollaryny ýok ediň.
• action items bilen yzygiderli maşklar we post-mortemler.

20) FAQ

RBAC ýa-da ABAC?
RBAC - okalmagyň esasy gatlagy, ABAC - kontekst we dinamika. Gibrid ulanyň.

JIT bar bolsa PAM gerekmi?
Hawa: PAM sessiýalaryň ýazgysyny we dolandyrylýan artykmaç giriş kanallaryny berýär.

Hukuklaryň "ýapyşmagyny" nädip azaltmaly?
Rollar üçin TTL, ulanylmaýanlary awto-aýyrmak, aýlyk resertifikasiýa we SoD-alertler.

Daşarky potratçylar bilen näme etmeli?
Bölünip berlen tenantlar/toparlar, çäkli satyn alyşlar, gysga TTL, hökmany hasabatlar we gaýtadan işlemek.

Gysgaça maglumat: Roly tabşyrmak we elýeterlilik "bellikler toplumy" däl-de, eýsem hukuklaryň durmuş sikli: iň az zerur rollar, SoD, JIT/PAM, kod ýaly syýasatlar, gözegçilik etmek we yzygiderli gaýtadan işlemek. Şeýle konturlar toparlara çalt iş we işewürlik we audit üçin öňünden aýdyp boljak howpsuzlygy berýär.