Šest rozhodnutí, která zapsat do smlouvy o přístupu z cloudu do backendu

Vezměte si reportovací službu v cloudovém účtu, která potřebuje schválená shrnutí z interního systému zákazníka. VPN nebo autentizované aplikační spojení chrání cestu a nic dalšího neřeší. Nerozhoduje o tom, zda reportovací úloha smí číst nesouvisející záznamy, měnit backend nebo si ponechat to, co stáhla. Napište dohodu o přístupu v pojmech operací a dat dřív, než vyberete konektor, protože konektor je nejlevnější část k pozdější změně a nejsnazší k první chybě.

Rozhodněte operace dřív než konektor

První rozhodnutí je, co úloha smí dělat, pojmenované jako operace, ne jako síťový rozsah. V reportovacím případě může úzké reportovací API uspokojit potřebu, aniž by cloudové úloze dalo správu databáze.

Oddělte data, která report potřebuje, od dat, která jsou jen dosažitelná. Zapište povolené operace jako koncové body a slovesa do stejného dokumentu jako rozhodnutí o identitě. Tento rozdíl je rozdíl mezi integrací, která projde auditem, a takovou, kterou je třeba každý rok znovu vysvětlovat, a řeší spory později bez další porady.

Rozhodněte identitu úlohy a dejte jí vlastníka

Úlohy bez dohledu nemohou odpovědět na výzvu, proto týmy sáhnou po širokém účtu člověka a pak na něj zapomenou. Použijte servisní účet nebo strojový credential, který backend skutečně přijímá, a zaznamenejte, kdo ho vlastní, kde je uložen a jak se rotuje.

Tři podmínky by měly rozhodnutí obrátit k vyhrazené identitě: úloha běží bez přítomnosti člověka, credential přežije jedno nasazení a o jeho existenci musí vědět víc než jeden člověk. Pokud platí všechny tři, sdílený lidský účet není zkratka, ale trvalá výjimka, kterou nikdo nedokáže čistě zrušit.

Upřednostněte credential, který platforma umí úloze vydat a rotovat, třeba token identity úlohy, který backend ověřuje, před statickým tajemstvím vloženým do konfigurace. Statická tajemství v nastavení aplikace jsou důvod, proč se rotace mění ve výpadky.

Rozhodněte síťový rozsah s vědomím, že to není oprávnění

Určete, která strana spojení zahajuje, podporovaný transport a zúčastněné koncové body. Ponechte kontroly identity protějšku zapnuté a nesouvisející cíle backendu nechte nedosažitelné, ne jen neohlášené.

Úzká trasa tunelu je užitečný rozsah, ale nemůže nahradit autorizaci na úrovni operace. Backend musí smlouvu vynutit vlastními kontrolami, protože síť ochotně přenese každý požadavek, který dorazí na dosažitelný port. Kontrolujte vlastní role a oprávnění backendu, ne routovací tabulku. Trasa, která dorazí na server, stejně nechává rozhodnutí na serveru, a právě tam se smlouva buď vynucuje, nebo ignoruje.

Zrcadlově to platí také: platný servisní credential neospravedlňuje publikovat posluchač každému zdroji. Potřebné jsou obě kontroly a žádná nenahrazuje druhou.

Rozhodněte o nakládání s daty a rozdělení odpovědnosti

Zaznamenejte, co opouští prostředí zákazníka, kde to aplikace zpracovává, a skutečné uspořádání úložiště, zálohování, přístupu a retence. Retence je část, která se objeví pozdě, obvykle když se někdo ptá, zda kopie z minulého čtvrtletí ještě existuje v bucketu, který nikdo nezdokumentoval.

Držte strany oddělené. Provozovatel aplikace, dodavatel softwaru a hostitel infrastruktury mohou nést různé odpovědnosti a model služby určuje, kdo je kdo. Přečtěte si skutečnou dohodu, místo abyste předpokládali, že všechny tři mají stejný přístup, nebo žádný.

Rozhodněte o selhání, odstranění a o tom, jak to přijmete

Přiřaďte odpovědnost za případy selhání dřív, než nastanou. Když se konektor rozbije nebo je identita podezřelá z kompromitace, reakcí by neměla být improvizovaná neomezená síťová výjimka, která přežije incident.

Odstranění si zaslouží stejnou přesnost jako nastavení. Definujte, jak se autorizace odvolává, jak aktivní přístup končí v rámci podporovaného chování produktu a co se stane se zadanými kopiemi, když vztah skončí.

Přijměte integraci s reprezentativními povolenými operacemi a odmítnutími, která smlouva vyžaduje, to vše pod zamýšlenou identitou úlohy. Potvrďte cestu požadavku a skutečně doručená data, pak opravdu vyzkoušejte výměnu credentialu a odstranění. Připojený tunel dokazuje, že cesta existuje; smlouva je to, co této cestě dává mez.