Sis decisions per escriure en un contracte d’accés del núvol al backend

Preneu un servei d’informes en un compte de núvol que necessita resums aprovats d’un sistema intern del client. Una VPN o una connexió d’aplicació autenticada protegeix el camí i no decideix res més. No decideix si la càrrega de treball d’informes pot llegir registres no relacionats, canviar el backend o quedar-se el que ha obtingut. Escriviu l’acord d’accés en termes d’operacions i dades abans de triar el connector, perquè el connector és la part més barata de canviar més endavant i la més fàcil d’encertar malament primer.

Decidiu les operacions abans del connector

La primera decisió és què pot fer la càrrega de treball, anomenat com a operacions i no com a rang de xarxa. Per al cas d’informes, una API d’informes estreta pot satisfer la necessitat sense concedir administració de bases de dades a una càrrega de treball al núvol.

Separeu les dades que l’informe necessita de les dades que només són accessibles. Escriviu les operacions permeses com a punts finals i verbs al mateix document que la decisió d’identitat. Aquesta distinció és la diferència entre una integració que supera una auditoria i una que s’ha de tornar a explicar cada any, i resol discussions després sense una altra reunió.

Decidiu la identitat de la càrrega de treball, i doneu-li un propietari

Les feines sense supervisió no poden respondre a un avís, per això els equips recorren al compte ampli d’una persona i després l’obliden. Feu servir un compte de servei o una credencial de màquina que el backend accepti realment, i registreu qui la posseeix, on s’emmagatzema i com es rota.

Tres condicions haurien de fer girar la decisió cap a una identitat dedicada: la feina s’executa sense cap persona present, la credencial sobreviu a un sol desplegament, i més d’una persona necessita saber que existeix. Si les tres són certes, un compte humà compartit no és un drecera, és una excepció permanent que ningú pot revocar netament.

Preferiu una credencial que la plataforma pugui emetre i rotar per a la càrrega de treball, com ara un testimoni d’identitat de càrrega de treball que el backend validi, en lloc d’un secret estàtic enganxat a la configuració. Els secrets estàtics a la configuració de l’aplicació són la raó per la qual les rotacions es converteixen en interrupcions.

Decidiu l’abast de xarxa, sabent que no és permís

Especifiqueu quin costat inicia la connexió, el transport admès i els punts finals implicats. Manteniu les comprovacions d’identitat del parell enceses, i deixeu les destinacions del backend no relacionades inabastables en lloc de només no anunciades.

Una ruta de túnel estreta és un abast útil, però no pot substituir l’autorització a nivell d’operació. El backend ha de fer complir el contracte amb els seus propis controls, perquè la xarxa portarà de bon grat qualsevol petició que arribi a un port abastable. Reviseu els rols i permisos propis del backend, no la taula de rutes. Una ruta que arriba al servidor encara deixa la decisió al servidor, i és allà on el contracte o es fa complir o s’ignora.

El mirall també és cert: una credencial de servei vàlida no justifica publicar un oient a cada origen. Calen tots dos controls, i cap no substitueix l’altre.

Decidiu el tractament de les dades i el repartiment de responsabilitats

Registreu què surt de l’entorn del client, on ho processa l’aplicació, i els arranjaments reals d’emmagatzematge, còpia de seguretat, accés i retenció. La retenció és la part que es descobreix tard, normalment quan algú pregunta si la còpia del trimestre passat encara existeix en un bucket que ningú no va documentar.

Manteniu les parts diferenciades. L’operador de l’aplicació, el proveïdor de programari i l’amfitrió d’infraestructura poden portar responsabilitats diferents, i el model de servei determina qui és qui. Llegiu l’acord real en lloc de suposar que tots tres tenen accés idèntic, o cap.

Decidiu el fracàs, la retirada i com l’acceptareu

Assigneu la responsabilitat dels casos de fracàs abans que passin. Quan el connector es trenca o se sospita que una identitat està compromesa, la resposta no hauria de ser una excepció de xarxa il·limitada improvisada que sobrevisqui a l’incident.

La retirada mereix la mateixa precisió que la configuració. Definiu com es revoca l’autorització, com acaba l’accés actiu segons el comportament admès del producte, i què passa amb les còpies retingudes quan la relació acaba.

Accepteu la integració amb operacions permeses representatives i les denegacions que el contracte exigeix, tot sota la identitat de càrrega de treball prevista. Confirmeu el camí de la petició i les dades realment lliurades, i després proveu de debò la substitució de credencials i la retirada. Un túnel connectat demostra que existeix un camí; el contracte és el que dóna un límit a aquest camí.