CapordiaWyznaczyć osoby odpowiedzialne przed rozdzieleniem dostępów
Odróżnij osobę odpowiedzialną za dossier wynajmu, osobę, która autoryzuje dostęp do projektu, oraz osobę, która może wprowadzać zmiany techniczne na celu. Osoba odpowiedzialna za wyniki nie musi koniecznie uruchamiać procesów ani administrować maszyną. Zapisz wymagane operacje przed wyborem uprawnień: odczyt eksportu, wgranie danych wejściowych, uruchomienie zadania lub zmiana środowiska.
Następnie sprawdź zakres faktycznie przyznanych dostępów. Jeśli nie masz uprawnienia do tworzenia tożsamości lub ustawiania uprawnień, potwierdź możliwą procedurę przed zaproszeniem innych uczestników. Nie omijaj tego ograniczenia, rozdając hasło konta Capordia. Dzielenie pracy i zarządzanie dossier handlowym to dwie różne kwestie.
Używaj indywidualnej tożsamości i znasz jej zakres
Indywidualna tożsamość pozwala odebrać dostęp jednej osobie bez wymiany dostępu całego zespołu. W organizacji SSH opartej na kluczach OpenSSH rozróżnia klucz publiczny znany serwerowi i klucz prywatny przechowywany przez użytkownika. Dokument koordynacyjny może zawierać odniesienie lub odcisk klucza publicznego; nigdy nie może zawierać klucza prywatnego ani jego hasła ochronnego.
Dwa różne klucze dające dostęp do tego samego konta systemowego nie tworzą automatycznie dwóch różnych zakresów plików. Uprawnienia zależą od konta i mechanizmów skonfigurowanych na maszynie. Zdecyduj więc, czy wymóg dotyczy tylko indywidualnego uwierzytelniania, czy także rozdzielenia działań. W przypadku automatyzacji zaplanuj wyraźną tożsamość i właściciela, bez dyskretnego ponownego użycia osobistej tożsamości kolegi.
Sprawdź cel, zanim przedstawisz mu tożsamość
Przy pierwszym dostępie sprawdź nazwę maszyny, oczekiwane konto i odcisk jej klucza hosta na podstawie zaufanego odniesienia uzyskanego w procesie przekazywania dostępów. Ten klucz hosta identyfikuje serwer; jest odrębny od twojego klucza użytkownika. Nieoczekiwany komunikat o zmianie tożsamości serwera zasługuje na zbadanie, a nie na automatyczne usunięcie znanego odniesienia.
OpenSSH przechowuje klucze hosta i sygnalizuje ich zmiany. Wykorzystaj tę informację wraz z kontekstem: zapowiedziana przebudowa maszyny, zmieniony adres lub niewyjaśnione zdarzenie. Jeśli zmiana nie jest oczekiwana, potwierdź ją przed kontynuowaniem. Celem nie jest dodanie rytuału do każdego połączenia, lecz uniknięcie traktowania alertu tożsamości jako zwykłej niedogodności wyświetlania.
Przykład fikcyjny: trzech uczestników, trzy potrzeby
Fikcyjny zespół „Dossier des ouvrages” przygotowuje tydzień pracy. Idriss wykonuje przetwarzanie projektu A, Noémie sprawdza eksporty, a Sacha tymczasowo konfiguruje środowisko. Zespół chce uprawnień z tabeli, ale musi sprawdzić, czy są one wykonalne w rzeczywiście przekazanym systemie. Nie chodzi ani o istniejące konta klientów, ani o funkcje zarządzania zespołem ogłaszane przez Capordia.
Zasada rozstrzygająca jest taka, że Noémie nie otrzymuje dostępu administracyjnego, aby otworzyć wynik, a udział Sachy ma swój koniec. Sama ludzka aprobata nie konfiguruje żadnych uprawnień: odpowiedzialny techniczny stosuje dostępne mechanizmy, a następnie każdy wykonuje przewidziane kontrole. Jeśli pożądane rozdzielenie nie jest wykonalne, projekt musi dostosować swoją organizację, zanim wprowadzi dane wymagające tego rozdzielenia.
| Uczestnik | Potrzeba | Pożądany zakres | Przegląd |
|---|---|---|---|
| Idriss, eksploatacja | Wgrywanie danych wejściowych i uruchamianie projektu A | Obszar roboczy A, bez ogólnej administracji | Koniec kampanii lub zmiana roli |
| Noémie, walidacja | Odczyt przekazanych eksportów | Zatwierdzone wyniki, bez modyfikacji danych wejściowych | Koniec walidacji |
| Sacha, interwencja | Przygotowanie dozwolonego środowiska | Zdefiniowana i zatwierdzona zmiana | Od momentu odbioru interwencji |
Przygotuj kartę dostępu i przetestuj granice
Karta łączy osobę lub automatyzację, tożsamość techniczną, osobę zatwierdzającą, zakres, uzasadnienie i termin. Przechowuj odniesienie klucza publicznego i procedurę odbioru bez przechowywania sekretów. OpenSSH ssh-keygen pozwala wyświetlić odcisk klucza publicznego: to odniesienie pomaga wskazać właściwy klucz podczas dodawania lub usuwania, bez kopiowania jego części prywatnej.
Przetestuj dozwolone działanie na pliku syntetycznym, a następnie działanie celowo poza zakresem, przewidziane jako odrzucone. Dla roli odczytu otwarcie musi działać, a kontrolowana próba modyfikacji musi zostać odrzucona. Nie używaj rzeczywistych danych do testowania zakazu usuwania. Sprawdź także wspólne ścieżki i miejsce docelowe wyników, ponieważ poprawne uprawnienie do folderu nie gwarantuje wszystkich ścieżek programu.
Zaplanuj odebranie dostępu i zweryfikuj nowe połączenie
Zainicjuj odebranie dostępu na końcu interwencji, przy odejściu osoby lub po podejrzeniu naruszenia bezpieczeństwa. Odpowiedzialny wskazuje wszystkie powiązane uprawnienia, w tym inne dozwolone ścieżki dostępu dla tej samej tożsamości. Wdraża odebranie dostępu zgodnie z rzeczywistą konfiguracją. Dyrektywa RevokedKeys w OpenSSH to jeden z możliwych, udokumentowanych mechanizmów; nie należy zakładać, że jest aktywna na maszynie bez weryfikacji.
Następnie sprawdź, czy nowe uwierzytelnienie z usuniętą tożsamością jest odrzucane, bez usuwania dostępu odzyskiwania menedżera. Osobno przeanalizuj już otwarte sesje, trwające zadania i tożsamości automatyzacji: odebranie uprawnienia i zatrzymanie aktywności to różne decyzje. Jeśli praca ma być kontynuowana, przekaż odpowiedzialność za nią zgodnie z ustaloną procedurą, zamiast pozostawiać osieroconą tożsamość.
Unikaj skrótów, które uniemożliwiają kontrolę
Wspólny klucz prywatny uniemożliwia ustalenie, kto powinien go wymienić, i często wymusza zbiorową rotację. Szeroki dostęp „na tymczasem” ma tendencję do utrwalania się, jeśli nikt nie wyznaczył jego daty przeglądu. Konto weryfikacyjne używane również do administrowania maszyną utrudnia interpretację kontroli rozdzielenia. Napraw te problemy w karcie dostępu, zanim staną się zależnością operacyjną.
Unikaj również dodawania przekazywania agenta, tuneli czy wyjątków w dostępie wyłącznie po to, by obejść niezdiagnozowaną trudność. Niech upoważniony odpowiedzialny opisze potrzebę połączenia i jego ograniczenia. Ten przewodnik nie proponuje uniwersalnej konfiguracji serwera: mechanizmy zależą od przekazanych uprawnień, środowiska i wymagań projektu. Ogólna dokumentacja nie zastępuje walidacji celu.
Przekaż organizację dostępu, która pozostaje weryfikowalna
Przy przekazaniu zbierz zatwierdzoną macierz, aktywne tożsamości, testy dozwolone i odrzucone, terminy oraz osobę zdolną odebrać dostęp. Sprawdź, że nieobecną osobę można zastąpić bez rozpowszechniania jej sekretu. Ciągłość opiera się na procedurze i upoważnionym zastępcy, a nie na haśle udostępnianym w folderze projektu.
Przy przekazywaniu obowiązków przejrzyj dostępy, które stały się zbędne, oraz automatyzacje zależne od tożsamości osobistej. Jeśli nieoczekiwane odrzucenie blokuje pracę, sporządź ukierunkowany raport incydentu z tożsamością techniczną, dotyczącą ścieżką i oczyszczonym błędem. Nie dodawaj ogólnych uprawnień tylko po to, by usunąć objaw. Właściwym zamknięciem jest dostęp niezbędny, przetestowany i z znanym terminem zakończenia.
Pytania przed decyzją
Czy konto Capordia należy udostępnić wszystkim współpracownikom?
Nie. Śledzenie wynajmu i techniczne dostępy do pracy należy zorganizować oddzielnie. Zdefiniuj możliwe tożsamości maszyn z rzeczywiście przekazanymi uprawnieniami. Ta metoda nie zakłada żadnego systemu zaproszeń ani ról zespołowych w przestrzeni Capordia.
Czy klucz publiczny automatycznie daje właściwe uprawnienia?
Nie. Służy do uwierzytelniania, gdy jest dozwolony; dostępne działania zależą następnie od konta i uprawnień systemu. Zweryfikuj działanie dozwolone i działanie, które powinno zostać odrzucone, na plikach syntetycznych.
Co sprawdzić po odejściu współpracownika?
Odbierz jego uprawnienia, sprawdź odrzucenie nowego uwierzytelnienia i przejrzyj sesje, zadania oraz automatyzacje wciąż powiązane z jego tożsamością. Zachowaj upoważnionego odpowiedzialnego do odzyskiwania dostępu i monitorowania. Nie wnioskuj o odebraniu dostępu na podstawie samego zaznaczonego pola.