Identity & Access Management

Qisqacha xulosa

IAM - bu kim nimaga, qanday sharoitda va qanday nazorat qilinishini ta’minlaydigan jarayonlar, siyosat va vositalar majmuidir. Maqsadlar: ortiqcha huquqlarni minimallashtirish, hujum yuzasini pasaytirish, onbording va auditni tezlashtirish, talablarga muvofiqlik (PCI DSS, GDPR va boshqalar) va foydalanishning o’lchanadigan ishonchliligi.

Bazaviy tushunchalar

Identity: shaxs (xodim, pudratchi), servis/ilova, qurilma.
Autentifikatsiya (AuthN): «kim» ni tekshirish (maxfiy soʻz → MFA → parolsiz sxemalar FIDO2/passkeys).
Avtorizatsiya (AuthZ): «Ruxsat berilgan narsa» yechimi (RBAC/ABAC/ReBAC, siyosati).
Hisob maʼlumotlari (Credentials): parollar, kalitlar, tokenlar, sertifikatlar (mTLS).
Maxfiy menejment: KMS/HSM/Vault, rotatsiyalar, qisqa TTL, dinamik sirlar.
Hayot sikli: Joiner-Mover-Leaver (JML) - rollarni yaratish, o’zgartirish, sharhlash.

Maqsadli IAM arxitekturasi

Tekisliklar va rollar:

IdP (identifikatsiya provayderi): SSO, MFA, katalog, federatsiya (OIDC/SAML), tavakkalchilik siyosati.
PDP/PEP: Decision/Enforcement - siyosat dvigateli (OPA/Cedar) + qo’llash nuqtalari (API-shlyuzlar, proksi, servis-mesh).
Kataloglar/HR-tizim: xodimlar va rollar bo’yicha haqiqat manbai.
Provijining: SCIM/Automation foydalanuvchilarni yaratish/oʻzgartirish/chaqirib olish uchun.
Audit: markazlashtirilgan loglar, UEBA, rollar va kirishlar bo’yicha hisobotlar.

Foydalanish oqimi (user → app):

SSO (+ MFA) → token chiqarish (OIDC/JWT/SAML) → PEP token/kontekstni tekshiradi → PDP siyosat (rol/atributlar/xavf) bo’yicha qaror qabul qiladi → ilova kirish imkoniyatini beradi/rad etadi.

Autentifikatsiya: parollardan passkeys

Maxfiy soʻzlar: faqat parol menejerlari bilan, kamida 12-14 belgili, «taqvim boʻyicha» rotatsiyasiz, ammo hodisada majburiy.
Andoza MFA: TOTP/WebAuthn/Push; asosiy omil sifatida SMSdan qochish.
Parolsiz kirish: kritik domenlar uchun FIDO2/passkeys.
Moslashuvchan AuthN: xavf signalini (geo, ASN, qurilma, anomaliyalar) hisobga oling → qo’shimcha omilni talab qilish/blokirovka qilish.

Avtorizatsiya: RBAC, ABAC, ReBAC

RBAC: funksiyalarga mos rollar (Support, Finance, DevOps). Oddiy va tushunarli, ammo «oʻsib bormoqda».
ABAC: atributlar bo’yicha qoidalar (bo’lim, xavf darajasi, vaqt, zona, resurslar belgilari). Kattalashtirish.
ReBAC: «kim nimaga tegishli» munosabatlari (loyiha egalari, jamoa ishtirokchilari). Ko’p tenantli ssenariylar uchun qulay.

Eng yaxshi amaliyotlar:

RBAC + ABAC/ReBAC (kontekst/chegara) ni birlashtirish.
JIT (Just-In-Time): so’rov/appruv orqali vaqtinchalik imtiyozlar berish, avtomatik tarzda chaqirib olish.
JEA (Just-Enough Access): operatsiya uchun minimal yetarli huquqlar.
PAM: sessiyalar brokeri, ekran/buyruqlar yozuvi va qisqa yashaydigan kreditlar berish bilan izolyatsiyalangan «kuchli» kirish (DB/bulutlar ma’murlari).

Federatsiya va SSO

Protokollar: OIDC (JWT-tokenlar), SAML 2. 0 (XML assertions) - tashqi provayderlar/hamkorlar uchun.
SSO: MFA bilan yagona kirish nuqtasi, fishingning kamayishi, markazlashtirilgan chaqirib olish.
B2B/B2C: sheriklar bilan federatsiya, viloyatlarni cheklash, domen siyosati.
mTLS/m2m: xizmatlar uchun x.509 (SPIFFE/SVID) yoki OAuth2 Client Credentials dan foydalaning.

Hayot sikli (JML) va provijining

Joiner: HR/katalogdagi hisoblar va asosiy rollarning avtomatik SCIM provizingi.
Mover: rollar atributlar (boʻlim, loyiha, joy) boʻyicha avtomatik ravishda oʻzgaradi.
Leaver: SSO, kalitlar, tokenlar, repozitorlarga kirish/CI/CD.
Jarayonlar: kirish uchun arizalar (ITSM), SoD matritsasi (vazifalarni ajratish), davriy access review.

Sirlar, kalitlar va rotatsiyalar

KMS/HSM: ildiz/kritik kalitlarni saqlang, amallar auditini yoqing.
Vault/Secrets-menejerlar: dinamik kredlar (DB, bulutlar), TTL tugaganida avto-revok.
Rotatsiyalar: OAuth tokenlari, JWT imzo kalitlari, xizmat parollari - jadval bo’yicha va hodisalarda.
mTLS: qisqa muddatli sertifikatlar (soat/kun), avtomatik ravishda qayta chiqarish.

Siyosat va yechimlar dvigateli

Deklarativlik: siyosatni Git’da saqlang; CI (policy-tests) da tekshiring.
Kontekst: vaqt/joylashuv/ASN/xavf darajasi/qurilmaning holati (MDM/EDR).

Misol (Rego, soddalashtirilgan):

rego package authz. payments default allow = false

allow {
input. user. role == "finance"
input. device. compliant == true input. action == "read"
input. resource. type == "report"
time. now_hh >= 8 time. now_hh <= 20
}

Monitoring, SLO va audit

Metriklar:

AuthN/AuthZ muvaffaqiyati (%), p95 login/yechim vaqti, MFA/parolsiz kirish ulushi.
JIT/PAM eskalatsiyalari soni, imtiyozlarning o’rtacha davomiyligi.
Kompliant-qurilmalarni qoplash, qisqa yashaydigan sirlarning ulushi.

SLO (misollar):

SSO/IdP foydalanish imkoniyati ≥ 99. oyiga 95%.
p95 AuthZ decision ≤ 50 мс.
100% hisobni oʻchirish ≤ offboardingdan keyin 15 daqiqa.
Audit va UEBA: markazlashtirilgan o’zgarmas loglar (kirish, rollarni o’zgartirish, muvaffaqiyatsiz kirish, PDP yechimlari), xulq-atvor tahlili va anomaliyalar bo’yicha tashvishlar.

IAMda insident-respons

Token/kalitlarni buzish: darhol chaqirib olish, majburiy logout, imzo kalitlarini rotatsiya qilish, qisqacha maxfiyliklarni re-issue.
Huquqlarni suiisteʼmol qilish: hisobni toʻxtatish, JIT/JEAni blokirovka qilish, qoʻshni mavjudotlar boʻyicha access review oʻtkazish.
IdP mavjud emas: oflayn rejimlar (qisqa TTL bilan tokenlarni vaqtinchalik kesh-validatsiya qilish), ustuvor tiklash jarayonlari.
Fishing: majburiy MFA, sessiyalarni tekshirish, foydalanuvchilarni xabardor qilish, o’qitish.

Bulutlar va Kubernetes (patternlar)

Public Cloud IAM: least privilege printsipi bilan milliy rollardan foydalaning; «abadiy» kalitlar o’rniga - OIDC-federatsiyasi bilan bulutga ish yuklamasi (IRSA/Workload Identity).
Kubernetes: Nomspeys/rollar bo’yicha RBAC, cheklansin’cluster-admin’; sirlar - tashqi menejerlar orqali; L7-siyosatchi uchun servis-mesh + OPA; Admission-nazoratchilar (imzolangan tasvirlar, «: latest» taqiqlangan).
API-shlyuzlar: JWT/mTLSni tekshirish, tezlikni cheklash, sezgir endpointlar uchun so’rovlar imzosi (HMAC).

iGaming/fintech uchun amaliyot

Kirish domenlari: to’lovlar, antifrod, PII, kontent-provayderlar - rollar va tarmoq segmentlari bilan izolyatsiya qilinsin.
SoD: ziddiyatli rollarni birlashtirishni taqiqlash (masalan, promo + to’lovlarni tasdiqlash).
PAM va JIT: PSP/banklar va prod-DBlarga kirish uchun - faqat sessiya brokeri orqali, yozuv va avto-sharh bilan.
Komplayens: PCI DSS - MFA, minimal imtiyozlar, CHD zonasi segmentatsiyasi; GDPR - ma’lumotlarni minimallashtirish printsipi va PII ga kirish nuqtalari.
Kontent sheriklari va provayderlari: federatsiya va per-tenant siyosati; qisqa yashovchi tokenlar va IP/ASN allow-list.

Tipik xatolar

«Abadiy» kalitlar va tokenlar: rotatsiya va TTL yo’q → oqish xavfi yuqori.
Qo’lda offboarding: huquqlarni qaytarib olishda kechikishlar → «arvoh» kirish.
Monolit rollar: kompozitsiya va atributlar o’rniga bitta «super rol».
MFA faqat maʼmurda: MFA barcha kirish va tanqidiy operatsiyalar uchun boʻlishi kerak.
Hech qayerda: markazlashtirish va UEBA yo’q → hodisalarni keyinroq aniqlash.

IAMni joriy etish yo’l xaritasi

1. Foydalanuvchilar/servislar/resurslarni xatlovdan o’tkazish; ma’lumotlar va sezgirlik xaritasi.
2. Hamma uchun SSO + MFA, fishing-resistant omillarni o’z ichiga oladi.
3. Rol modeli: kontekst uchun bazaviy RBAC + atributlar (ABAC); SoD matritsasi.
4. Provijining SCIM: avtosanoat/HR/katalogdan huquqlarni o’zgartirish/chaqirib olish; ITSMga buyurtmanomalar va arizalar.
5. PAM va JIT/JEA: imtiyozli kirish uchun; sessiyalar yozuvi, qisqa TTL.
6. Sir-menejment: statik kalitlardan voz kechish; qisqa sertifikatlar bilan dinamik sirlar, rotatsiyalar, mTLS.
7. Git + CI siyosati: qoidalar testlari, o’zgarishlarni nazorat qilish, siyosatni kanareykali joylashtirish.
8. Kuzatish va SLO: AuthN/AuthZ dashbordlari, alertlar, muntazam access review.

Artefaktlar namunalari

AWS IAM Policy (kamida S3 hisobotlarini oʻqish uchun)

json
{
"Version": "2012-10-17",
"Statement": [{
"Sid": "ReadOnlyReports",
"Effect": "Allow",
"Action": ["s3:GetObject","s3:ListBucket"],
"Resource": [
"arn:aws:s3:::reports-bucket",
"arn:aws:s3:::reports-bucket/"
],
"Condition": {
"IpAddress": { "aws:SourceIp": "203. 0. 113. 0/24" }
}
}]
}

Kubernetes RBAC (namespace-scoped ishlab chiquvchi)

yaml apiVersion: rbac. authorization. k8s. io/v1 kind: Role metadata:
name: dev-read-write namespace: app-prod rules:
- apiGroups: ["","apps"]
resources: ["pods","deployments","services","configmaps"]
verbs: ["get","list","watch","create","update","patch","delete"]
apiVersion: rbac. authorization. k8s. io/v1 kind: RoleBinding metadata:
name: dev-bind namespace: app-prod subjects:
- kind: User name: alice@example. com roleRef:
kind: Role name: dev-read-write apiGroup: rbac. authorization. k8s. io

OIDC: ABAC uchun tasdiqlash (misol)

json
{
"sub": "d81f0b5c-...",
"email": "bob@example. com",
"dept": "finance",
"role": "analyst",
"device_compliant": true,
"tenant": "casino-eu"
}

Siyosat’device _ compliant = true’va’tenant’resursga mos kelishini talab qilishi mumkin.

Nazorat roʻyxati (check-list)

SSO barcha ilovalar uchun yoqilgan; MFA andoza, passkeys ustuvor.
RBAC aniqlangan; ABAC/ReBAC kontekst qo’shadi; JIT/JEA amalga oshirildi.
PAM imtiyozli kirishni himoya qiladi; sessiyalar yozib olinadi.
HR dan SCIM-provijining; offboarding to’liq avtomatlashtirilgan.
Qisqa TTL bilan dinamik sirlar; rotatsiyalash avtomatlashtirilgan.
Siyosatchilar Git-da, CI-da sinovdan o’tkaziladi; kanareya shakllari mavjud.
AuthN/AuthZ bo’yicha Dashbordlar va SLO; markazlashtirilgan loglar va UEBA.
Davriy access review va SoD tekshiruvlari; komplayens uchun hisobotlar.

FAQ

Hamma uchun ReBAC kerakmi?
Yo’q. Oddiy muhit uchun RBAC + ABAC yetarli. ReBAC resurslarga egalik qilish va ko’p tanlanuvchanlikning murakkab ierarxiyasida foydalidir.

Mahalliy hisoblarni qoldirish mumkinmi?
Faqat break-glass va oflayn ssenariylar uchun, qattiq cheklovlar va davriy tekshiruvlar bilan.

«Rol portlashini» qanday kamaytirish mumkin?
Resurslarning granulyarligini oshirish, AVAS/shablonlardan foydalanish, shovqinni avtomatlashtirish va foydalanilmayotgan rollardan voz kechish.

Jami

Yetuk IAM arxitekturasi - bu SSO + MFA, minimal zarur huquqlar, avtomatlashtirilgan JML, markazlashtirilgan siyosat va kuzatish qobiliyati. RBACni atribut va relyasion modellar bilan birlashtirish, JIT/JEA va PAMni qo’llash, shuningdek, provijining va sirlarni rotatsiya qilishni avtomatlashtirish orqali siz xavfsizlik va biznes talablariga javob beradigan boshqariladigan, tekshiriladigan va ko’paytiriladigan kirish imkoniyatiga ega bo’lasiz.