CapordiaNêu tên người phụ trách trước khi phân phối quyền truy cập
Hãy phân biệt người phụ trách hồ sơ thuê, người cho phép truy cập vào dự án và người có thể áp dụng các thay đổi kỹ thuật trên mục tiêu. Người phụ trách kết quả không nhất thiết cần khởi chạy tiến trình hay quản trị máy. Hãy viết ra các thao tác cần thiết trước khi chọn quyền: đọc một bản xuất, nạp dữ liệu đầu vào, chạy một tác vụ hay sửa đổi một môi trường.
Sau đó kiểm tra phạm vi của các quyền truy cập thực sự đã được trao. Nếu bạn không có quyền tạo danh tính hay thiết lập quyền, hãy để quy trình khả thi được xác nhận trước khi mời thêm người tham gia. Đừng lách giới hạn này bằng cách chia sẻ mật khẩu tài khoản Capordia. Chia sẻ công việc và quản lý hồ sơ thương mại là hai vấn đề khác nhau.
Sử dụng danh tính riêng và hiểu rõ phạm vi của nó
Danh tính riêng cho phép thu hồi quyền truy cập của một người mà không phải thay thế quyền của cả nhóm. Trong một tổ chức SSH bằng khóa, OpenSSH phân biệt khóa công khai mà máy chủ đã biết và khóa riêng do người dùng nắm giữ. Tài liệu phối hợp có thể chứa tham chiếu hoặc dấu vân tay của khóa công khai; tuyệt đối không được chứa khóa riêng hay cụm mật khẩu bảo vệ nó.
Hai khóa khác nhau cấp quyền truy cập vào cùng một tài khoản hệ thống không tự động tạo ra hai phạm vi tệp khác nhau. Quyền phụ thuộc vào tài khoản và các cơ chế được cấu hình trên máy. Vì vậy, hãy quyết định xem yêu cầu chỉ liên quan đến xác thực riêng lẻ hay còn bao gồm cả việc tách biệt các hành động. Đối với tự động hóa, hãy dự trù một danh tính và chủ sở hữu rõ ràng, không lặng lẽ tái sử dụng danh tính cá nhân của một đồng nghiệp.
Xác minh đích đến trước khi trình bày danh tính với nó
Trong lần truy cập đầu tiên, hãy kiểm tra tên máy, tài khoản dự kiến và dấu vân tay khóa máy chủ của nó dựa trên một tham chiếu đáng tin cậy thu được trong quy trình bàn giao quyền truy cập. Khóa máy chủ này nhận diện máy chủ; nó khác biệt với khóa người dùng của bạn. Một thông báo bất ngờ về việc thay đổi danh tính máy chủ đáng được xem xét, chứ không phải tự động xóa tham chiếu đã biết.
OpenSSH lưu giữ các khóa máy chủ và báo hiệu khi chúng thay đổi. Hãy sử dụng thông tin này cùng với bối cảnh: máy được thông báo dựng lại, địa chỉ thay đổi hoặc sự kiện không giải thích được. Hãy yêu cầu xác nhận thay đổi trước khi tiếp tục nếu nó không được mong đợi. Mục đích không phải là thêm một nghi thức cho mỗi lần kết nối, mà là tránh coi một cảnh báo về danh tính như một sự phiền toái hiển thị đơn thuần.
Ví dụ giả định: ba người tham gia, ba nhu cầu
Nhóm giả định «Dossier des ouvrages» chuẩn bị một tuần làm việc. Idriss thực hiện các xử lý của dự án A, Noémie đọc lại các tệp xuất và Sacha tham gia tạm thời để cấu hình môi trường. Nhóm mong muốn các quyền trong bảng, nhưng phải kiểm tra xem chúng có khả thi với hệ thống thực sự được bàn giao hay không. Đây không phải là các tài khoản khách hàng hiện có hay các chức năng quản lý nhóm do Capordia công bố.
Nguyên tắc quyết định là Noémie không có được quyền quản trị để mở một kết quả và sự can thiệp của Sacha có điểm kết thúc. Chỉ một sự phê duyệt của con người không cấu hình bất kỳ quyền nào: người phụ trách kỹ thuật áp dụng các cơ chế hiện có, sau đó mỗi người thực hiện các kiểm tra đã định. Nếu việc tách biệt mong muốn không khả thi, dự án phải điều chỉnh tổ chức của mình trước khi đưa vào những dữ liệu đòi hỏi sự tách biệt đó.
| Người tham gia | Nhu cầu | Phạm vi mong muốn | Xem xét lại |
|---|---|---|---|
| Idriss, vận hành | Nộp dữ liệu đầu vào và khởi chạy dự án A | Không gian làm việc A, không có quyền quản trị chung | Kết thúc chiến dịch hoặc thay đổi vai trò |
| Noémie, xác nhận | Đọc các tệp xuất được bàn giao | Kết quả được chọn, không sửa đổi dữ liệu đầu vào | Kết thúc xác nhận |
| Sacha, can thiệp | Chuẩn bị môi trường được phép | Thay đổi được xác định và phê duyệt | Ngay sau khi hoàn tất can thiệp |
Chuẩn bị phiếu truy cập và kiểm tra các giới hạn
Phiếu này liên kết một người hoặc một tự động hóa, một danh tính kỹ thuật, một người phê duyệt, một phạm vi, một lý do và một thời hạn. Hãy lưu giữ tham chiếu của khóa công khai và quy trình thu hồi mà không lưu trữ các bí mật. OpenSSH ssh-keygen cho phép hiển thị dấu vân tay của một khóa công khai: tham chiếu này giúp chỉ định đúng khóa khi thêm hoặc xóa, mà không sao chép phần riêng của nó.
Hãy kiểm tra một hành động được phép trên một tệp tổng hợp rồi một hành động cố ý nằm ngoài phạm vi, được dự kiến là bị từ chối. Đối với vai trò đọc, việc mở phải hoạt động và một nỗ lực sửa đổi có kiểm soát phải bị từ chối. Không sử dụng dữ liệu thực để kiểm tra lệnh cấm xóa. Cũng hãy kiểm tra các đường dẫn chung và đích của các tệp xuất, vì quyền đúng trên một thư mục không đảm bảo tất cả các đường dẫn của chương trình.
Dự phòng việc thu hồi và kiểm tra một kết nối mới
Kích hoạt thu hồi vào cuối đợt can thiệp, khi một người rời đi hoặc sau khi nghi ngờ bị xâm phạm. Người phụ trách xác định tất cả các quyền liên quan, kể cả các đường truy cập được phép khác cho cùng danh tính đó. Người đó áp dụng việc thu hồi theo cấu hình thực tế. Chỉ thị RevokedKeys của OpenSSH là một cơ chế khả thi trong số những cơ chế được tài liệu hóa; không nên mặc định nó đang hoạt động trên một máy mà chưa kiểm tra.
Sau đó kiểm tra rằng một lần xác thực mới bằng danh tính đã bị thu hồi sẽ bị từ chối, mà không xóa quyền truy cập khôi phục của người phụ trách. Xem xét riêng các phiên đã mở, các tác vụ đang chạy và các danh tính tự động hóa: thu hồi một quyền và dừng một hoạt động là hai quyết định khác nhau. Nếu một công việc phải tiếp tục, hãy chuyển giao trách nhiệm theo một quy trình đã thống nhất thay vì để lại một danh tính mồ côi.
Tránh những lối tắt cản trở việc kiểm soát
Một khóa riêng dùng chung khiến không thể biết ai phải thay nó và thường buộc phải xoay vòng tập thể. Một quyền truy cập rộng "tạm thời" có xu hướng kéo dài nếu không ai ấn định ngày xem xét. Một tài khoản kiểm thử cũng được dùng để quản trị máy sẽ khiến các kiểm tra tách biệt khó diễn giải. Hãy khắc phục những vấn đề này trong phiếu truy cập trước khi chúng trở thành một sự phụ thuộc của vận hành.
Cũng tránh thêm các chuyển tiếp agent, đường hầm hoặc ngoại lệ truy cập chỉ để lách qua một khó khăn chưa được chẩn đoán. Hãy để người phụ trách được ủy quyền mô tả nhu cầu kết nối và các ràng buộc của nó. Hướng dẫn này không đưa ra một cấu hình máy chủ phổ quát: các cơ chế phụ thuộc vào quyền được giao, môi trường và yêu cầu của dự án. Một tài liệu chung không thay thế cho việc kiểm chứng mục tiêu.
Bàn giao một tổ chức truy cập vẫn có thể kiểm chứng được
Khi tiếp nhận, hãy tập hợp ma trận đã được phê duyệt, các danh tính đang hoạt động, các kiểm thử được phép và bị từ chối, các thời hạn và người có khả năng thu hồi một quyền truy cập. Kiểm tra rằng một người vắng mặt có thể được thay thế mà không phải phát tán bí mật của họ. Tính liên tục dựa trên một quy trình và một người phụ trách dự phòng được ủy quyền, chứ không dựa trên một mật khẩu dùng chung trong hồ sơ dự án.
Khi bàn giao, hãy xem lại các quyền truy cập trở nên không cần thiết và các tự động hóa phụ thuộc vào một danh tính cá nhân. Nếu một lần từ chối bất ngờ chặn công việc, hãy lập một hồ sơ sự cố có mục tiêu với danh tính kỹ thuật, đường dẫn liên quan và lỗi đã được lọc. Không thêm các quyền chung chỉ để làm biến mất triệu chứng. Cách kết thúc đúng đắn là một quyền truy cập cần thiết, đã được kiểm thử và có thời điểm kết thúc đã biết.
Câu hỏi để quyết định
Có nên chia sẻ tài khoản Capordia với tất cả những người tham gia không?
Không. Việc theo dõi thuê và các quyền truy cập kỹ thuật vào công việc phải được tổ chức tách biệt. Hãy xác định các danh tính máy khả thi với các quyền thực sự được giao. Phương pháp này không giả định có bất kỳ hệ thống lời mời hay vai trò nhóm nào trong không gian Capordia.
Một khóa công khai có tự động cấp đúng các quyền không?
Không. Nó dùng để xác thực khi được cho phép; các hành động có thể thực hiện sau đó phụ thuộc vào tài khoản và các quyền của hệ thống. Hãy kiểm tra một hành động được phép và một hành động phải bị từ chối trên các tệp tổng hợp.
Cần kiểm tra gì sau khi một người tham gia rời đi?
Hãy thu hồi các quyền của họ, kiểm tra rằng một lần xác thực mới bị từ chối và xem xét các phiên, công việc và tự động hóa vẫn còn gắn với danh tính của họ. Giữ một người phụ trách được ủy quyền cho việc khôi phục và theo dõi. Đừng kết luận đã thu hồi chỉ dựa trên một ô được đánh dấu.