Rol delegasyonu ve erişimler

(Bölüm: Operasyonlar ve Yönetim)

1) Neden rol bazlı delegasyon

Amaç, her katılımcıya (çalışan, ortak, hizmet) tam olarak gerektiği kadar hak ve tam olarak gerektiği kadar zaman, eylemlerin tam izlenebilirliği ile vermektir. Bu, sızıntı ve kötüye kullanım risklerini azaltır, işe alım ve denetimlerin geçişini hızlandırır.

2) Erişim modeli: düzeyleri ve etki alanları

Erişim alanları: insanlar (konsol/paneller), hizmetler (makine belirteçleri), veriler (tablolar/nesneler), altyapı (bulut/K8s), karşı taraflar (dış entegrasyonlar), bölgeler/kiracılar.
Güven seviyeleri: public - internal - protected (PII/finans) - özellikle kritik (anahtarlar/ödemeler).
Operasyon bölgeleri: prod/staging/sandbox; "Aşağıdan" "yukardan" - sadece onaylanmış boru hatları aracılığıyla "kuralı.

3) Yetkilendirme modelleri

RBAC: roller görevlerle bağlantılıdır (İçerik Düzenleyici, Ödeme Operatörü). Basit başlangıç, kontrol etmek kolay.
ABAC: konunun/kaynağın/bağlamın niteliklerine göre politikalar (bölge, kiracı, vardiya, cihaz, risk puanlaması).
ReBAC (ilişki tabanlı): ilişkilerden kaynaklanan haklar (proje sahibi, ekip üyesi).
Hibrid: Temel matris için RBAC, bağlam kısıtlamaları için ABAC, sahiplik için ReBAC.

4) Minimum gerekli erişim (En Az Ayrıcalık)

Başlangıç - varsayılan olarak minimum roller (salt okunur, PII olmadan).
Promosyon - sadece gerekçe, terim ve sahibi olan bir başvuru yoluyla.
Süre sınırı (TTL): haklar otomatik olarak "erir"; Uzatma - bilinçli olarak.
Bağlamsal koruma rayları: bölge/kiracı, çalışma saatleri, cihaz, coğrafi.

5) Görev Ayrımı (SoD)

• "Sınırları belirler" ≠ "sınırları onaylar".
• "Ödemeyi hazırlar" ≠ "ödemeyi imzalar".
• "Kod yazar" ≠ "prod'da serbest bırakır".
• "Admin DB" ≠ "analitikte PII'yi okur".
• SoD'yi politikalarda ve süreçlerin kendisinde uygulayın (iki imza, M-of-N).

6) JML işlemleri (Joiner/Mover/Leaver)

Marangoz: Temel rollerin pozisyona/takıma/bölgeye göre otomatik atanması, 24 saat boyunca erişim kontrol listesi.
Taşıyıcı: takım/proje değiştirirken rollerin gözden geçirilmesi; "Eski" hakların otomatik olarak kaldırılması.
Leaver: oturumların, anahtarların, belirteçlerin iptali; Sırların yeniden yayınlanması, eserlerin mülkiyetinin devredilmesi.

7) Geçici Ayrıcalıklar: JIT/PAM

Just-In-Time (JIT): MFA ve bilet gerekçesi ile 15-240 dakika için bir başvuruda haklarını yükseltmek.
PAM (Ayrıcalıklı Erişim Yönetimi): proxy/kabuk girişi, kayıt oturumları, komut günlüğü.
Break-glass: Anında uyarı, kısa TTL ve zorunlu post-mortem ile acil erişim.

8) Servis kimlikleri ve anahtarları

Hizmet Hesapları: Her hizmet ve ortam için ayrı, paylaşılan sır yok.
İş Yükü Kimliği: belirteçleri pod/vir/fonksiyona bağlama; kısa vadeli krediler.
Sırlar: KMS/Vault, rotasyon, iki döngülü şifreleme, günlüklere girme yasağı.
İmza/ödeme anahtarları: eşik/MPC, donanım HSM'leri, güven alanlarında çeşitlilik.

9) SSO/MFA/SCIM ve hesap yaşam döngüsü

SSO: IdP (SAML/OIDC), tek oturum açma, merkezi şifre/cihaz politikaları.
MFA: yöneticiler/finans/PII için zorunlu; Tercihen FIDO2.
SCIM: Hesapların ve grupların otomatik oluşturulması/silinmesi/değiştirilmesi.
Aygıt Duruşu: aygıt durumuna göre koşullu erişim (disk şifreleme, EDR, geçerli yamalar).

10) Kod olarak politikalar ve doğrulama

OPA/Yetkilendirme hizmeti: kod şeklinde politikalar (Rego/JSON), PR ile inceleme, testler.
Sürüklenme kontrolü: Düzenli karşılaştırmalar "aslında vs beyan".
Uçuş öncesi kontroller: "Politika bu operasyona izin verecek mi?" - serbest bırakılmadan önce test vakaları.

11) Veri erişimi

Sınıflandırma: kamu/iç/sınırlı/PII/finans.
"Minimum" basınç: "Ham" veriler yerine agregalar/maskeler; PII istekleri - yalnızca onaylanmış jablar aracılığıyla.
Tokenization/DE-ID - tanımlayıcıları, denetim isteklerini değiştirin.
Katmanlar: Yiyecek - kopyalar - vitrinler - agregalar; Üretim veritabanına doğrudan erişim - sadece JIT/PAM.

12) Bulut, K8s, ağlar

Bulut IAM: hesap/proje başına roller; Varsayılan olarak "admin" yasağı; Etiketler/klasörler üzerindeki eylemleri kısıtlama.
Kubernetes: Neimspaces üzerinde RBAC, "ayrıcalıklı" olmayan PSP/benzer politikalar, allowlist görüntü, CSI aracılığıyla sırlar, pod başına servis hesapları.
Ağ: Sıfır Güven (mTLS, kimliğe duyarlı), jump-host'a erişim - yalnızca JIT, SSH oturumlarını kaydetme.

13) Dış Ortaklar ve Entegrasyonlar

İzole kiracılar/anahtarlar, minimum OAuth2 kapsamı, kısa TTL belirteçleri.
Webhooks: imza (HMAC/EdDSA), 'nonce + timestamp', dar alım penceresi.
Anahtarların bir programda döndürülmesi, uzlaşma üzerine geri çağırma,'sağlık "için durum bitiş noktaları.

14) Denetim, yeniden belgelendirme, raporlama

Bağışıklık: WORM günlükleri, politika serbest bırakma imzaları, Merkle dilimleri.
Yeniden sertifikalandırma: kritik rollerin üç ayda bir kontrolü, aylık - yönetici hakları.
Karantina hakları: "kullanılmayan 60 gün" - otomatik kaldırma.
Kanıt paketi: rol matrisinin yüklenmesi, SoD tetikleyicileri, JIT istekleri, PAM oturumlarının kaydedilmesi.

15) Metrikler ve SLO

TTG (Time-to-Grant): Standart bir uygulamaya erişim sağlamak için medyan süre (hedef ≤ 4h).
JIT erişiminin "ayrıcalıklı" olanlar arasındaki payı (hedef ≥ %80).
SoD-ihlalleri: Prod'da 0, eliminasyon süresi ≤ 24 saat.
Yetim hakları: Aşırı haklara sahip kullanıcıların yüzdesi (hedef - 0. %0x).
Sırların döndürülmesi: Sırrın ortalama yaşı (hassas için hedef ≤ 30 gün).
Denetim kapsamı: Yapaylarla %100 ayrıcalıklı eylemler (kayıtlar, makbuzlar).

16) Panolar

Erişim Sağlığı: aktif roller, yetim hakları, JIT vs kalıcı.
PAM ve Oturumlar: ayrıcalıklı oturumların sayısı, süresi, MFA başarısı.
SoD & Olaylar: kilit istatistikleri, nedenleri, MTTR.
Sırlar ve Anahtarlar: yaş, yaklaşan rotasyon, kırmızı anahtarlar.
JML: Onboarding/offboarding, gecikmiş uygulamaların SLA'sı.
Denetim Kanıtı: Üç aylık yeniden sertifikalandırma durumu, tamlık %100.

17) Olay oyun kitapları

Token/key uzlaşma: anında geri çağırma, global kullanım arama, bağımlılık rotasyonu, N gün içinde retro denetim.
SoD ihlali: operasyon bloğu, rolün geçici olarak kesilmesi, ölüm sonrası ve politika değişikliği.
PII'ye yetkisiz erişim: izolasyon, DPO bildirimi, sızıntı envanteri, yasal prosedürler.
Yükselme kötüye kullanımı: Konu/ekip için JIT'in dondurulması, uygulamaların/gerekçelerin analiz edilmesi, TTL limitlerinin ayarlanması.

18) Operasyonel uygulamalar

Kritik hakların verilmesi/değiştirilmesi konusunda dört göz.
Görevlerin, risklerin ve izin verilen işlemlerin tanımını içeren rol kataloğu.
Anonimleştirilmiş veriler ve diğer rollerle ortamları test edin.
Politika kuru çalıştırma: Uygulamadan önce değişikliklerin etkilerinin simülasyonu.
Erişim yoluyla GameDays: "IdP kaybı", "PAM hatası", "gizli sızıntı".

19) Uygulama kontrol listesi

• Anahtar süreçler için bir rol taksonomisi ve SoD matrisi oluşturun.
• Herkes için SSO + MFA, JML için SCIM akışlarını etkinleştirin.
• PAM/JIT'i dağıtın, uyarıları ve kısa TTL ile camı yapılandırın.
• Kod olarak politikalar (OPA), PR üzerinden revizyonlar ve autotest'ler girin.
• Ayrı hizmet hesapları ve iş yükü kimliği; Paylaşılan sırların yasaklanması.
• Vault/KMS, sırların ve anahtarların düzenli olarak döndürülmesi, kod/günlüklerdeki sırların yasaklanması.
• Ayrı ortamlar ve bölgeler, bölgeler arası erişim kurallarını birleştirin.
• Panoları ve SLO'ları çalıştırın, aylık yeniden sertifikalandırma raporları.
• Haklar grafiğinin SoD taramasını yapın ve tırmanma yollarını ortadan kaldırın.
• Düzenli egzersizler ve eylem öğeleri ile post-mortems.

20) SSS

RBAC mı, ABAC mı?
RBAC - temel okunabilirlik katmanı, ABAC - bağlam ve dinamikler. Hibrit kullanın.

JIT varsa PAM gerekli midir?
Evet: PAM oturum kaydı ve yönetilen ayrıcalıklı erişim kanalları sağlar.

Hakların "yapışmasını" nasıl azaltabilirim?
Roller için TTL, kullanılmayan otomatik kaldırma, aylık yeniden sertifikalandırma ve SoD uyarıları.

Dış yüklenicilerle ne yapmalı?
Özel kiracılar/gruplar, sınırlı kapsamlar, kısa TTL'ler, zorunlu raporlar ve yeniden sertifikalandırma.

Özet: Rol delegasyonu ve erişimler bir "onay kutusu seti'değil, bir hak yaşam döngüsüdür: minimum gerekli roller, SoD, JIT/PAM, kod olarak politika, gözlemlenebilirlik ve düzenli yeniden sertifikalandırma. Böyle bir taslak, ekiplere hızlı çalışma ve iş ve denetim için öngörülebilir güvenlik sağlar.