Zes beslissingen om in een toegangscontract van cloud naar backend te schrijven

Neem een rapportagedienst in een cloudaccount die goedgekeurde samenvattingen nodig heeft uit een intern systeem van een klant. Een VPN of een geauthenticeerde applicatieverbinding beschermt het pad en beslist niets anders. Ze beslist niet of de rapportageworkload niet-verwante records mag lezen, de backend mag wijzigen of mag houden wat ze ophaalde. Schrijf de toegangsovereenkomst in termen van operaties en data voordat je de connector kiest, want de connector is het goedkoopste onderdeel om later te wijzigen en het gemakkelijkste om eerst fout te doen.

Beslis de operaties voor de connector

De eerste beslissing is wat de workload mag doen, benoemd als operaties en niet als een netwerkbereik. In het rapportagegeval kan een smalle rapportage-API in de behoefte voorzien zonder databasebeheer aan een cloudworkload te geven.

Scheid de data die het rapport nodig heeft van data die toevallig bereikbaar is. Schrijf de toegestane operaties als eindpunten en werkwoorden in hetzelfde document als de identiteitsbeslissing. Dat onderscheid is het verschil tussen een integratie die een audit doorstaat en een die elk jaar opnieuw moet worden uitgelegd, en het beslecht later discussies zonder nog een vergadering.

Beslis de identiteit van de workload, en geef die een eigenaar

Onbeheerde taken kunnen geen prompt beantwoorden, daarom grijpen teams naar het brede account van een persoon en vergeten het dan. Gebruik een serviceaccount of machinecredential die de backend echt accepteert, en leg vast wie eigenaar is, waar die wordt opgeslagen en hoe die wordt geroteerd.

Drie voorwaarden zouden de beslissing naar een toegewijde identiteit moeten doen kantelen: de taak draait zonder aanwezig mens, de credential overleeft één implementatie, en meer dan één persoon moet weten dat ze bestaat. Als alle drie waar zijn, is een gedeeld menselijk account geen snelkoppeling maar een permanente uitzondering die niemand schoon kan intrekken.

Geef de voorkeur aan een credential die het platform voor de workload kan uitgeven en roteren, zoals een workload-identiteitstoken dat de backend valideert, boven een statisch geheim dat in de configuratie is geplakt. Statische geheimen in applicatie-instellingen zijn de reden dat rotaties uitvallen worden.

Beslis de netwerkbereik, wetend dat het geen toestemming is

Geef aan welke zijde de verbinding start, het ondersteunde transport en de betrokken eindpunten. Houd peer-identiteitscontroles aan, en laat ongerelateerde backend-bestemmingen onbereikbaar in plaats van alleen niet aangekondigd.

Een smalle tunnelroute is nuttige reikwijdte, maar kan autorisatie op operatieniveau niet vervangen. De backend moet het contract via zijn eigen controles afdwingen, want het netwerk vervoert graag elk verzoek dat een bereikbare poort bereikt. Controleer de eigen rollen en toekenningen van de backend, niet de routetabel. Een route die de server bereikt laat de beslissing nog steeds bij de server, en daar wordt het contract ofwel afgedwongen ofwel genegeerd.

Het spiegelbeeld geldt ook: een geldige servicecredential rechtvaardigt niet dat je een listener naar elke bron publiceert. Beide controles zijn nodig, en geen ervan vervangt de andere.

Beslis de dataverwerking en de verdeling van verantwoordelijkheid

Leg vast wat de klantomgeving verlaat, waar de applicatie het verwerkt, en de werkelijke regelingen voor opslag, back-up, toegang en bewaring. Bewaring is het deel dat laat wordt ontdekt, meestal wanneer iemand vraagt of de kopie van vorig kwartaal nog bestaat in een bucket die niemand heeft gedocumenteerd.

Houd de partijen gescheiden. De applicatiebeheerder, de softwareleverancier en de infrastructuurhost kunnen verschillende verantwoordelijkheden dragen, en het servicemodel bepaalt wie wat is. Lees de werkelijke overeenkomst in plaats van aan te nemen dat alle drie identieke toegang hebben, of helemaal geen.

Beslis falen, verwijdering en hoe je het accepteert

Wijs verantwoordelijkheid voor de faalgevallen toe voordat ze gebeuren. Wanneer de connector breekt of een identiteit verdacht wordt van compromittering, zou het antwoord geen geïmproviseerde onbeperkte netwerkuitzondering moeten zijn die het incident overleeft.

Verwijdering verdient dezelfde precisie als de inrichting. Definieer hoe autorisatie wordt ingetrokken, hoe actieve toegang eindigt binnen het ondersteunde gedrag van het product, en wat er gebeurt met bewaarde kopieën wanneer de relatie eindigt.

Accepteer de integratie met representatieve toegestane operaties en de weigeringen die het contract vereist, alles onder de bedoelde workload-identiteit. Bevestig het aanvraagpad en de daadwerkelijk geleverde data, en oefen daarna het vervangen van credentials en verwijdering in het echt. Een verbonden tunnel bewijst dat er een pad is; het contract is wat dat pad een grens geeft.