RBAC: rolleri ve izinleri yönetme

1) RBAC hedefleri ve ilkeleri

Amaç: Para/PII ve uyumluluğu (GDPR/AML/PCI/ISO) korumak için erişimi yönetilebilir, doğrulanabilir ve minimum hacimde yapın.
İlkeler: En Az Ayrıcalık· Bilinmesi Gerekenler· Görevlerin Ayrılması (SoD)· Sıfır Güven· Geri alınabilirlik (hızlı hatırlama)· Denetlenebilirlik (kanıtlanabilirlik).

2) Hakların ve rollerin taksonomisi

• Veriler: 'READ', 'WRITE', 'EXPORT', 'DELETE', 'MASKED_READ' (PII için varsayılan).
• Işlemler: 'APPROVE_WITHDRAWING', 'CHANGE_FRM_RULE', 'KYC_DECISION', 'SANCTIONS_OVERRIDE'.
• Yönetici: 'ROLE_UPDATE', 'USER_PROVISION', 'SECRET_ROTATE', 'BREAK_GLASS'.
• Entegrasyonlar: 'API_CALL:', 'WEBHOOK_SIGN', 'SERVICE_CONFIG_UPDATE'.

• Çekirdek (uçtan uca): 'employee_basic', 'viewer_internal', 'auditor_privacy'.
• Alan: 'support_agent', 'vip_manager', 'payments_ops', 'aml_officer', 'kyc_operator', 'fraud_analyst', 'rg_specialist', 'bi_analyst'.
• Sistem/bunlar: 'devops_admin', 'dba_admin', 'service_account _', 'read_only_prod'.
• Ayrıcalıklı (PAM/JIT aracılığıyla): 'Break_glass_admin', 'prod_db_jit_editor'.

3) Rol mühendisliği

1. Kaynakların envanteri: sistemler/tablolar/uç noktalar, veri sınıfları (Genel/Dahili/Gizli/Kısıtlı/Çok Kısıtlı).
2. İşlevlere göre kullanıcı hikayeleri: kim ne yapar ve neden (amaç).
3. Görev eşleme - izinler - işlev başına minimum set.
4. Rolde gruplama: bir rol = bir sorumluluk alanı; "Süper rollerden" kaçının.
5. SoD testi: uyumsuzlukları kontrol etme (örn. 'ödemeler_ops' ≠ 'dolandırıcılık_kural_yönetici').
6. Pilot ve ölçüm: Geçici olarak sınırlı bir grup yayınlıyoruz, bir denetim izi topluyoruz.
7. Sürüm oluşturma: Her rol değişikliği, changelog ile CAB aracılığıyla yapılır.

4) RBAC ↔ ABAC ↔ SoD etkileşimi

RBAC, prensip olarak "ABAC -'hangi koşullarda" (çevre, coğrafi, cihaz/MDM, zaman, KYC seviyesi, 'amaç') cevap verir.
SoD, tehlikeli rol kombinasyonlarını yasaklar ve kritik eylemler için 4 göz gerektirir.
Uygulama: varsayılan olarak, roller PII'ye MASKED_READ verir; Maskesiz erişim bir 'amaç' + JIT özniteliği ve olumlu bir ABAC politika kararı gerektirir.

5) Çok kiracılık ve coğrafi bağlam

Kiracı kapsamı: Roller bir kiralama/marka/yargı yetkisine bağlıdır ('rol: payments_ops @ EEA').
Coğrafi anahtarlar: bireysel şifreleme anahtarları ve bölge başına erişim segmentleri (EC/UK/...).
Granülerlik: 'region_code' sütununa (RLS) ve oyuncu yetki alanına göre filtreleme.

6) Satır/Sütun Düzeyinde Güvenlik ve Maskeleme

• RLS (dizeler): Yalnızca ülke/marka/ekip kayıtlarınıza erişin.
• CLS (sütunlar): hassas alanlar maskelenmiş olarak kullanılabilir; Maskesiz - sadece 'pii_unmask' + 'amaç' ayrıcalığı ile.

sql
CREATE POLICY rls_tx
ON dwh. transactions
USING (region_code = current_setting('app. region'));

SELECT
CASE WHEN has_priv('pii_unmask') THEN email ELSE mask_email(email) END AS email_view
FROM dwh. users;

7) JIT, kırılma camı ve PAM RBAC içinde

JIT: Bilet altında geçici ayrıcalıklı rol (15-120 dakika); Otomatik geri bildirim; tam denetim.
Cam kırma: MFA + ikinci onay ve oturum kaydı ile acil erişim; Security + DPO ile inceleme sonrası.
PAM: gizli mağaza, oturum proxy'si, şifre/anahtar rotasyonu.

8) Rol Yaşam Döngüsü (SOP)

SOP-1: Rol Oluşturma/Değiştirme

1. Etki alanının sahibinin sorgulanması - görevlerin listesi - izinlerin haritalanması - SoD-kontrol - pilot - CAB - sürüm + belgeler.

SOP-2: İstek ve Hibe Erişimi

1. 'Amaç've son tarih ile uygulama (IDM/ITSM) - SoD/yargı otomatik doğrulama - veri sahibi onayı + Güvenlik (Kısıtlı + için) - yayınlama (genellikle JIT) - kayıt defteri girişi.

SOP-3: Geri bildirim/Offboarding

Tetikleyiciler: Sonlandırma, rol değişikliği, hareketsizlik> 30/60 gün, JIT süresi doldu.
Otomatik geri çağırma ve kayıt.

SOP-4: Yeniden sertifikalandırma

Üç ayda bir, sahipler kullanıcı rollerinin hala gerekli olduğunu onaylar; sistem "asılı" hakları kaldırır.

9) Rol matrisi örneği (fragman)

10) Araçlar ve uygulama (desenler)

Kod olarak rol kataloğu: Depoda YAML/JSON + CI doğrulayıcıları, changelog.
Merkezi IdP/SSO: SCIM sağlama, grup eşlemeleri'grup - rol '.
Politika karar noktası: bağlam nitelikleri ile politika motoru (ABAC).
Sırlar/KMS: çevre/bölge/kiracı başına anahtar yalıtımı.
Veri ağ geçidi: DWH/BI/ihracat için tek bir maskeleme/denetim katmanı.
SIEM/SOAR: korelasyon 'ROLE_UPDATE'/'READ_PII'/'EXPORT_DATA', otomatik biletler.

11) Denetim ve Kayıt

Zorunlu olaylar: 'ROLE_ASSIGN', 'ROLE_REVOKE', 'ROLE_UPDATE', 'BREAK_GLASS', 'JIT_GRANT', 'READ_PII', 'EXPORT_DATA', 'PAYMENT_APPROVE', 'KYC_DECISION'.
Gereksinimler: WORM kopyası, hash zincirleri, paket imzası, her olayda 'amaç'/'bilet_id', zaman senkronizasyonu.

12) Metrikler ve KPI/KRI

Kapsama: RBAC altındaki sistemlerin %'si ≥ %95'i.
SoD ihlalleri: = 0; Uyumsuz roller atamaya çalışır - otomatik blok.
JIT oranı: Artışların ≥ %80'i JIT'tir.
Offboarding TTR: Hakların iptali ≤ 15 dk.
Maskelenmiş okuma oranı: PII'ye yapılan çağrıların ≥ %95'i maskelenir.
Yeniden sertifikalandırma: Üç ayda bir onaylanan %100 roller.
İmzalı ihracat: İmza/log ile yapılan ihracatın %100'ü.

13) RACI (büyütülmüş)

14) Kontrol listeleri

Rol oluşturmadan önce

• Açıklanan kullanıcı hikayeleri ve 'amaç'
• Kaynakların ve veri sınıflarının listesi
• Minimum izinler eşleme
• SoD kontrolü/çakışmaları
• Maskeleme ve RLS/CLS Politikası
• Yeniden sertifikalandırma planı ve sahipleri

Erişim izni vermeden önce

• Sabit 'amaç've tarih
• SoD/yargı/MDM/MFA tamamlandı
• Varsayılan maskeleme, promosyonda JIT
• Dergi ve revizyon tarihi dahil

15) Sık hatalar ve anti-desenler

Küçük alan adları yerine geniş haklara sahip "süper roller".
Maskeleme ve 'amaç' olmadan PII'ye doğrudan erişim.
'PAYMENT_APPROVE'/'KYC_APPROVE' için SoD/dördüncü göz yok.
Geçici hakların "sonsuza dek" uzatılması.
Prod verilerini dev/stage'e kopyalayın.
İmza ve log olmadan opak dışa aktarma.

16) Uygulama Yol Haritası

Hafta 1-2: Varlık envanteri/veri sınıflandırması; rollerin taslak matrisi; SoD tablosu.
3-4. Haftalar: Kod olarak RBAC (depo), IdP grupları/SCIM, ABAC motoru (temel nitelikler: çevre/jeo/MDM/zaman), JIT/PAM, DWH/BI için maskeleme katmanı.
Ay 2: yeniden sertifikalandırma, offboarding otomasyonu, RBAC/SoD/ABAC ihlalleri için SOAR uyarıları, ihracat günlükleri/WORM.
Ay 3 +: özellik uzantısı (cihaz riski, KYC seviyesi), erişim yanlılığı denetimleri, maliyet optimizasyonu ve düzenli masa üstü egzersizleri.

TL; DR

Güçlü RBAC = küçük alan rolleri + öznitelik koşulları (ABAC) + SoD ve JIT/PAM + maskeleme ve RLS/CLS + sert denetim ve yeniden sertifikalandırma. Bu, sızıntı/kötüye kullanım riskini azaltır, denetimi hızlandırır ve platformu gizlilik ve uyumluluk gereksinimlerinin sınırları içinde tutar.