Her Yerde En Az Ayrıcalık

Neden önemli

İzleme servisi kurulum kolay diye küme yöneticisi koşar; panosundaki açık tüm iş yüklerinin denetimine dönüşür. Veya geliştirici kişisel anahtarı üç ayrılmış çalışana üretim yazma tutar; kimse hibe izlemez. İhlal raporları aslında geniş izinleri bekleyen her tetik olan sofistike saldırılar gibi okunur. Daraltma var olan en ucuz güvenlik denetimidir, çoğu silmektir.

Kavramlar

En az ayrıcalık kimlik başına üç sorudur: işi nedir, işin ihtiyaç duyduğu asgari küme nedir, bu kimlik çalınırsa ne olur. Yazılı yanıtla, asgariyi ver; hırsızlık senaryosu patlama alanını yapısal sınırlar. Çizelgeyle ve rol değişiminde incele: izinler birikir (geçici hibeler kalıcılaşır); her hibe son tarih veya inceleme tarihi taşır, inceleme eklediğinden çok kaldırır.

Kimlik sınıfları farklı kurallıdır. İnsanlar iş değiştikçe değişen rollü adlı hesaplar, sonsuz anahtar yerine kısa oturumlar alır; paylaşılan hesaplar atfı öldürür, olay faili adlandıramaz. Hizmetler iş yükü başına özel kimlikler alır; filoda tek paylaşılan süper kimlik asla; ele geçen hizmet komşusunu okuyamaz. Hatlar M06 4. dersin iş başına kapsamlı jetonlarını alır; platform izin veriyorsa koşu başına basılır.

Varsayılan ret, istisna kendini açıklar. Yeni kimlikler hiçlikle başlar, hibeleri işi ve süreyi belirten isteklerle kazanır; istek geçmişi denetim izidir. Joker hibeler (tüm eylemler, tüm kaynaklar) erişim denetiminin chmod 777'sidir, M01'den: gece 3'te bazen gerekli, hep kayıtlı, sonra hep daraltılmış. Kimsenin açıklayamadığı izin kimsenin ihtiyaç duymadığı izindir.

Uygulamalı örnek

Hizmet hesabı yedekler dahil her kovada okuma yazma tutar. İnceleme işi haftalık rapor üretmektir; ihtiyacı iki dar yoldur; bugünkü patlama alanı silinebilir her bayttır. Beklenen okuma: iş iki dar yol ister, tüm malikâne silinebilir tutulur. Onarım iki yola kapar, Silmeyi tümden düşürür (raporlar asla silmez), inceleme tarihini ekler. İşi yeşil oynatarak ve eski erişimin reddedildiğini göstererek doğrula; ikisi kayıtta. L22 labı bunu yerel hizmet kullanıcısında ister: daralt, işi kanıtla, eski erişimin gittiğini kanıtla.

Yaygın yanlış hamle

Çalışsın diye yönetici ilkesini kopyalayıp bir daha dönmemek. Bileti dakikada çözer, her gelecek olayı ipotekler: her hata ayıklama tanrı koşar, her log satırı tam güç taşır. Acil genişletme bazen doğrudur; kayıtsız kalıcı genişletme ihlalden önceki ihlaldir. Kaydet, sonlandır, daralt.

Lab ve sonraki adım

L22 labı aşırı ayrıcalıklı yerel hizmet kullanıcısını iş kanıtı ve ret kanıtı ile daraltır. Sırada 2. ders en çok sızan varlık sınıfı: gizliler ve etrafındaki konfigürasyon.