Kiel registri aprobojn de VPN-aliro sen retuma historio
Konservu la identecon, la aprobanton kaj la findaton, kaj preterlasu la liston de celoj. Tri kondiĉoj decidas, kiom de la alira decido vi vere bezonas en la dosiero.
Du teamoj petas la saman dokumenton kaj komprenas malsamajn aferojn per ĝi. La revizianto volas pruvon, ke nomita persono aprobis rolon ĝis dato, dum la reta teamo havas fajroŝirman protokolon plenan de celoj kaj supozas, ke ĝi valoras. Ĝi ne valoras, kaj tial aprobaj dosierujoj pleniĝas je gastigantaj nomoj kaj tamen malsukcesas ĉe la unua aŭdita demando. Kion vi vere bezonas, estas malmulte, kaj neniu parto postulas registri, kie iu retumis.
La grando de la rikordo sekvas tri kondiĉojn: ĉu la aprobo estas donita por persono aŭ por rolo, ĉu la rajto povas postvivi la dungadon de la persono, kaj ĉu kontrakto aŭ kadro nomas la alirrevizion postulata pruvo.
Komencu de la demando de la revizianto, ne de la konekto
Skribu la demandon, kiun revizoro laŭte farus, antaŭ ol vi elektos unu solan kampon. Kiu aprobis aliron por ĉi tiu identeco, al kio, inter kiuj datoj, kaj kiu devis forigi ĝin ĉe la fino. Ĉiu kampo de la formularo devas respondi parton de tiu frazo, kaj ĉio, kio ne faras tion, estas inventaro, pri kiu vi ĵus prenis la devon protekti ĝin.
Tiu testo forigas la plej grandan parton de tio, kio aldoniĝas pro kutimo. Celolistoj, DNS-demandoj, uzgrafikoj de aplikaĵoj kaj ekrankopioj de viva seanco ĉiuj priskribas konduton. Konduto ne estas la aprobo, kaj ĝia kolektado translokas la dosieron en multe pli altan klason de sentemo, kio laboras kontraŭ la celo, kun kiu vi komencis.
Tri kondiĉoj decidas, kiom konservi
Aproboj por persono bezonas identecon kaj findaton. Aproboj por rolo bezonas la rolon, la amplekson, kiun ĝi donas, kaj la posedanton de la loĝantaro, ĉar listigi kvardek homojn en unu vico kreas kvardek rikordojn por prizorgi kaj kvardek ŝancojn maltrafi foriron. Kie la rajto povas postvivi la dungadon, aldonu posedanton de forigo kaj revizian ritmon, ĉar findato en kalkultabelo malofte igas iun agi.
| Condition | Add to the record | Leave out |
|---|---|---|
| Approved per person | Identity, approver, expiry | Device telemetry |
| Approved per role | Role, scope, population owner | Per-user destinations |
| Outlives employment | Removal owner, review date | Session transcripts |
| Named in a contract | The cited artifact and its revision | A second, friendlier copy |
Kiam kadro nomas la alirrevizion postulata pruvo, konservu la dokumenton, kiun la revizia procezo jam citas. Konstrui paralelan kopion por la VPN-teamo estas la maniero, kiel du versioj de la sama aprobo finas malkonsenti pri findato.
La kampoj, kiuj portas la decidon
La uzebla aro estas mallonga: la aprobita identeco, la petanto, la aprobanto, la amplekso de rolo aŭ rimedo, la kialo en unu linio, la valideca fenestro, la posedanto de revizio aŭ forigo, kaj montrilo al la bileto, kie oni argumentis la peton. Referencu la aparaton aŭ la akreditilon per ne-sekreta identigilo kiel havaĵa etikedo aŭ subjekto de atestilo, neniam per la privata ŝlosilo aŭ la pasvorto, kiu estis uzita.
Traktu la rezulton kiel personajn datumojn eĉ se ĝi enhavas neniujn celojn. Rikordo, kiu diras, ke ĉi tiu nomita dungito havis administran aliron al la financa segmento dum ses monatoj, estas sentema per si mem, do limigu, kiu povas legi la dosierujon, kaj starigu konservadon por la administra celo anstataŭ nomi la dosieron anonima.
Kie retumaj datumoj enŝteliĝas en la aproban dosieron
Tri likoj klarigas la plej grandan parton. Subtena bileto portas ekrankopion de la konekta fenestro de la kliento, iu algluas SIEM-eksporton pro kunteksto, aŭ inventara raporto aldoniĝas al la aprobo ĉar la kunigo estis facila tiutempe. Ĉiu aldonaĵo aldonas konduton al dosiero, kiu bezonis nur decidon. Post kiam la ekrankopio estas interne, la revizianto komencas demandi, al kio la uzanto alvenis, kaj la dosiero devas esti reklasifikita.
Anstataŭigu aldonaĵojn per montriloj kie la ilo permesas. Se politiko insistas pri aldonaĵo, petu la tekston de la decido kaj la petan fadenon, ne la seancon registraĵon, kaj forigu la reston antaŭ ol la dosiero estas konservita. La propra mesaĝo de la aprobanto estas kutime la plej bona pruvo kaj la malplej malkaŝa.
Kontrolu la amplekson sen la spuro
La pordega politiko estas tio, kio transformas aprobon en aliron, do testu ĝin rekte. Salutu per konto ene de la aprobita amplekso kaj atingun permesitan rimedon, tiam provu celon ekster la amplekso kaj konfirmu la rifuzon, uzante la klienton kaj metodon, kiujn la politiko atendas, ne retuman langeton sur la sama gastiganto.
Disponeca observado kaj incidenta diagnozo povas teni sian propran videblecon, sub sia propra konservado kaj sia propra alirlisto. Teni tiujn du celojn aparte estas tio, kio ebligas al vi respondi la revizianton sen transdoni retuman spuron, kaj ĝi tenas la diagnozon utila, kiam io efektive paneas.
Kion kontroli antaŭ la sekva revizio
Konfirmu, ke la formularo respondas la frazon de la revizoro kaj nenion pli. Kontrolu, ke ĉiu vico portas aprobanton, fenestron kaj posedanton de forigo. Poste rigardu la propran alirliston de la dosierujo kaj demandu, ĉu ĝi estas pli malgranda ol la uzantaro de VPN.
La lasta paŝo estas tiu, kiun homoj preterlasas. Prenu eksvalidiĝintan aprobon kaj sekvu ĝin al la identeca provizanto por vidi, ĉu la konto efektive estis malŝaltita. Se la identeco ankoraŭ aktivas, la rikordo estis preciza kaj la procezo ne.