Kiraci Siniri ve Tutan RBAC

Neden onemli

Kume yoneticili dagitim anahtari iki ekibin CI isinde durur; A ekibinin hattindaki yazim yanlisi B ekibinin ad alanini siler. Patlama yaricapi sans degil kimlik tasarimiydi: paylasilan guclu kimlikler ad alanlarinin cizdigi siniri sildi. Kiraci yapisi hic olumsuz denemeyen her sistemde varsayilan acik basarisiz olur. L49 labi iki hayali ekibe asiri genis kurulumu duzeltir, olumsuz denetimlerle kanitlar; bu ders duzeltmenin seklini aciklar.

Kavramlar

Sinir uc katmanlidir. Ad alanlari isim ve ilkeleri kapsar: kiraci basina kota, ag ilkesi varsayilanlari, gizli depolari. Roller sinir icinde fiillere kaynaklarda yetki verir (kendi ad alaninda dagit, yapilandirmani oku, baska hicbir sey). Baglamalar rolleri ekip kimliklerine takar; kimlikler birey degil grup olmali: uyelik kimlik saglayicide degisir, kume bildirilerinde asla.

En az yetki cikarimsaldir. Ekibin gosterdigi ihtiyacla basla (dagit, geri al, kayit oku, hata ayiklamaya port ilet) ve tam onu ver; her fazla fiil sureli yazili gerekce ister. Kume kapsamli fiiller masumiyeti kanitlanana sucludur: hata ayiklamaya dugum listelemek cogunlukla mesru, silmek neredeyse asla. Klasik asiri erisim kurulum rahatligi yildizli fiillerdir, kimse kaldiramaz; kaldiran inceleme hatirlanmaz, takvimlenir.

Olumsuz denetimler kabul denemesidir. Her RBAC degisikliginden sonra yasak eylemleri her ekip kimligiyle dene, retleri alintila: ad alanlari arasi okuma, ekipler arasi gizli erisim, kume yonetici fiilleri. Izinli yollar da denenir; cunku mesru isi engelleyen sinir atlatilir ve atlatmalar kacindigi surtunmeden kotudur. Varsayilan ret, denemeyle gosterim, takvimle inceleme.

Uygulamali ornek

Demo kumeyi paylasan iki hayali ekibin herbiri asiri genis baglamalidir. Ogrenci ikisini ad alan kapsamli en az yetkiye daraltir; sonra olumsuz matrisi calistirir: A ekibi B gizlilerini okur (ret), A ekibi Bye dagitir (ret), A ekibi kendi surumlerini yonetir (izin). Alti ret ve izin sonucu alintilanir.

Yaygin yanlis hamle

Hatti bir ayricalikli adim istedigi icin paylasilan otomasyon kimligine kume yoneticisi baglamak. Adimi daralt (o kaynaktaki o fiile dar rol) veya onay arkasina al; tum kumeyi her committe calisan betige verme.