Aşırı izinli RBAC: her odanın anahtarlı ekipleri
Güncelleme
Herkese cluster-admin faizli borçtur: ekip başına kapsamlı roller, üç ayda bir gözden geçirme, otomatik denetim.
Her küme her odaya güçlü erişim çekmecesi büyütür: bir kez ihtiyacı olan ekibe cluster-admin, kopya örnekten jokerler, iki yıl önce ayrılanların bağlamaları. Her biri sınırsız yazım hatası ya da jetonlu olay gününe kadar uygundur.
Kapsamla, adlandır, incele
Rolleri amaca kapsamla. Dağıtım rolü isimli namespacelerde dağıtım yazar; debug rolü log ve pod okur. Hiçbir insan günlük cluster-admin tutmaz.
Kişileri değil grupları bağla. Ekip üyeliği erişimi otomatik sürer. Ekip değiştiren tam doğru odaları kazanır ve kaybeder.
Tarifeyle incele. Üç ayda bir isimli onay her bağlamayı doğrular ya da gider. Otomasyon incelemeler arası jokerleri, uykulu özneleri ve aşırı geniş fiilleri listeler.
Çalışılmış örnek: kurgusal bir erişim denetimi
Aşağıdaki bağlam kurgusaldır. Kurgusal ParcelOps platform ekibi 60 bağlama denetler, 11 cluster-admin hakkı bulur; 4'ü ayrılmış personel, 9'u örneklerden joker. Bir öğleden sonra sahip görüşmeleri admini uyarılı 2 kırılmaz-cam bağlamaya indirir, gerisini ekipçe kapsamlar, üç aylık incelemeyi takvime koyar.
Sonraki çeyrek: inceleme bir saat sürer, otomasyon iki yeni joker işaretler, meşru hiçbir şey kaldırılmadığı için dağıtım kırılmaz.
Kontrol listesi: sınırlı erişim
- Hiçbir insan daimi cluster-admin tutmuyor.
- Bağlamalar kapsamlı rollerle grupları hedefliyor.
- Her bağlamanın isimli onayı ve inceleme tarihi var.
- Otomasyon joker ve uykulu özneleri işaretliyor.
İlgili okuma
- Uygulamalı: Ekiplerde Aşırı İzinli RBAC.
- Professional seviye: DevOps Professional.
Net yanıtlar
Sık sorulan sorular
Dağınık RBAC nereden başlar?
Admin ya da küme kapsamı veren her bağlamayı listele, sonra her sahibe onsuz ne kırılır sor. Çoğunun yanıtı yoktur.
Ekip başına mı kişi başına mı rol?
Ekip ve amaç başına, gruplara bağlı. Kişi başı bağlamalar biri ekip değiştirdiği gün çürür.
Temizliği nasıl korurum?
İsimli onaylı üç aylık incelemeler artı joker ve uykulu bağlamaları işaretleyen otomasyon.