Seks beslutninger som bør stå i en tilgangskontrakt fra sky til backend

Ta en rapporteringstjeneste i en skykonto som trenger godkjente sammendrag fra et kundes interne system. En VPN eller en autentisert applikasjonsforbindelse beskytter veien og avgjør ingenting annet. Den avgjør ikke om rapporteringsarbeidslasten kan lese urelaterte poster, endre backenden eller beholde det den hentet. Skriv tilgangsavtalen i termer av operasjoner og data før du velger connectoren, for connectoren er den billigste delen å endre senere og den letteste å gjøre feil først.

Beslutt operasjonene før connectoren

Den første beslutningen er hva arbeidslasten har lov til å gjøre, navngitt som operasjoner og ikke som et nettverksområde. I rapporteringstilfellet kan et smalt rapporterings-API dekke behovet uten å gi databaseadministrasjon til en skyarbeidslast.

Skill data rapporten trenger fra data som bare tilfeldigvis er tilgjengelige. Skriv de tillatte operasjonene som endepunkter og verb i samme dokument som identitetsbeslutningen. Den forskjellen er forskjellen mellom en integrasjon som overlever en revisjon og en som må forklares på nytt hvert år, og den avgjør diskusjoner senere uten nok et møte.

Beslutt arbeidslastens identitet, og gi den en eier

Uovervåkede jobber kan ikke svare på en forespørsel, derfor griper team etter en persons brede konto og glemmer den så. Bruk en tjenestekonto eller en maskinlegitimasjon som backenden faktisk godtar, og registrer hvem som eier den, hvor den lagres og hvordan den roteres.

Tre betingelser bør vippe beslutningen mot en dedikert identitet: jobben kjører uten et menneske til stede, legitimasjonen overlever én utrulling, og mer enn én person må vite at den finnes. Hvis alle tre er sanne, er en delt menneskelig konto ikke en snarvei, det er et permanent unntak ingen kan tilbakekalle rent.

Foretrekk en legitimasjon plattformen kan utstede og rotere for arbeidslasten, for eksempel et arbeidslast-identitetstoken som backenden validerer, fremfor en statisk hemmelighet limt inn i konfigurasjonen. Statiske hemmeligheter i applikasjonsinnstillinger er grunnen til at rotasjoner blir avbrudd.

Beslutt nettverksomfanget, vel vitende om at det ikke er tillatelse

Angi hvilken side som starter forbindelsen, transporten som støttes og endepunktene som er involvert. Hold peer-identitetskontroller på, og la urelaterte backend-destinasjoner være uoppnåelige i stedet for bare ikke annonserte.

En smal tunnelrute er nyttig omfang, men den kan ikke erstatte autorisasjon på operasjonsnivå. Backenden må håndheve kontrakten gjennom sine egne kontroller, for nettverket bærer villig enhver forespørsel som når en oppnåelig port. Sjekk backendens egne roller og tildelinger i stedet for rutetabellen. En rute som når serveren lar fortsatt beslutningen ligge hos serveren, og det er der kontrakten enten håndheves eller ignoreres.

Speilbildet er også sant: en gyldig tjenestelegetimasjon rettferdiggjør ikke å publisere en lytter til hver kilde. Begge kontrollene trengs, og ingen erstatter den andre.

Beslutt datahåndteringen og ansvarsfordelingen

Registrer hva som forlater kundens miljø, hvor applikasjonen behandler det, og de faktiske ordningene for lagring, sikkerhetskopi, tilgang og oppbevaring. Oppbevaring er delen som oppdages sent, vanligvis når noen spør om kopien fra forrige kvartal fortsatt finnes i en bøtte ingen dokumenterte.

Hold partene atskilt. Applikasjonsoperatøren, programvareleverandøren og infrastrukturverten kan bære ulike ansvar, og tjenestemodellen avgjør hvem som er hvem. Les den faktiske avtalen i stedet for å anta at alle tre har identisk tilgang, eller ingen i det hele tatt.

Beslutt feil, fjerning og hvordan du aksepterer det

Tildel ansvar for feiltilfellene før de skjer. Når connectoren ryker eller en identitet mistenkes kompromittert, bør svaret ikke være et improvisert ubegrenset nettverksunntak som overlever hendelsen.

Fjerning fortjener samme presisjon som oppsett. Definer hvordan autorisasjon tilbakekalles, hvordan aktiv tilgang slutter innenfor produktets støttede atferd, og hva som skjer med oppbevarte kopier når forholdet avsluttes.

Aksepter integrasjonen med representative tillatte operasjoner og avvisningene kontrakten krever, alt under den tiltenkte arbeidslastidentiteten. Bekreft forespørselsveien og dataene som faktisk leveres, og prøv deretter utskifting av legitimasjon og fjerning på ekte. En tilkoblet tunnel beviser at en vei finnes; kontrakten er det som gir den veien en grense.