Șase decizii de scris într-un contract de acces din cloud către backend

Luați un serviciu de raportare într-un cont cloud care are nevoie de rezumate aprobate dintr-un sistem intern al unui client. Un VPN sau o conexiune de aplicație autentificată protejează calea și nu decide nimic altceva. Nu decide dacă volumul de lucru de raportare poate citi înregistrări fără legătură, poate modifica backendul sau poate păstra ce a adus. Scrieți acordul de acces în termeni de operațiuni și date înainte de a alege conectorul, pentru că conectorul este partea cea mai ieftină de schimbat mai târziu și cea mai ușor de greșit prima.

Decideți operațiunile înainte de conector

Prima decizie este ce are voie să facă volumul de lucru, numit ca operațiuni și nu ca interval de rețea. În cazul raportării, un API de raportare îngust poate satisface nevoia fără a acorda administrare de bază de date unui volum de lucru din cloud.

Separați datele de care are nevoie raportul de datele care doar se întâmplă să fie accesibile. Scrieți operațiunile permise ca puncte finale și verbe în același document cu decizia de identitate. Această distincție este diferența dintre o integrare care trece un audit și una care trebuie explicată din nou în fiecare an, și rezolvă discuțiile mai târziu fără încă o ședință.

Decideți identitatea volumului de lucru și dați-i un proprietar

Sarcinile nesupravegheate nu pot răspunde la o solicitare, de aceea echipele recurg la contul larg al unei persoane și apoi îl uită. Folosiți un cont de serviciu sau o acreditare de mașină pe care backendul o acceptă cu adevărat, și notați cine o deține, unde este stocată și cum este rotită.

Trei condiții ar trebui să încline decizia către o identitate dedicată: sarcina rulează fără o persoană prezentă, acreditarea supraviețuiește unei singure implementări, și mai mult de o persoană trebuie să știe că există. Dacă toate trei sunt adevărate, un cont uman partajat nu este o scurtătură, ci o excepție permanentă pe care nimeni nu o poate revoca curat.

Preferați o acreditare pe care platforma o poate emite și roti pentru volumul de lucru, cum ar fi un token de identitate al volumului de lucru validat de backend, în locul unui secret static lipit în configurație. Secretele statice din setările aplicației sunt motivul pentru care rotațiile devin întreruperi.

Decideți aria de rețea, știind că nu este permisiune

Precizați care parte inițiază conexiunea, transportul acceptat și punctele finale implicate. Păstrați verificările de identitate ale partenerului active și lăsați destinațiile backend fără legătură inaccesibile, nu doar neanunțate.

O rută îngustă de tunel este o arie utilă, dar nu poate înlocui autorizarea la nivel de operațiune. Backendul trebuie să aplice contractul prin propriile controale, pentru că rețeaua va transporta bucuroasă orice cerere care ajunge la un port accesibil. Verificați rolurile și permisiunile backendului însuși, nu tabelul de rute. O rută care ajunge la server lasă totuși decizia la server, și acolo contractul este fie aplicat, fie ignorat.

Și invers este adevărat: o acreditare de serviciu validă nu justifică publicarea unui ascultător către fiecare sursă. Ambele controale sunt necesare și niciunul nu îl înlocuiește pe celălalt.

Decideți tratarea datelor și împărțirea responsabilităților

Notați ce părăsește mediul clientului, unde îl procesează aplicația, și aranjamentele reale de stocare, copie de siguranță, acces și retenție. Retenția este partea descoperită târziu, de obicei când cineva întreabă dacă copia din trimestrul trecut mai există într-un bucket pe care nimeni nu l-a documentat.

Țineți părțile distincte. Operatorul aplicației, furnizorul de software și gazda infrastructurii pot purta responsabilități diferite, iar modelul de serviciu stabilește cine este cine. Citiți acordul real în loc să presupuneți că toate trei au acces identic, sau niciunul.

Decideți eșecul, eliminarea și cum îl veți accepta

Atribuiți responsabilitatea pentru cazurile de eșec înainte de a se întâmpla. Când conectorul se strică sau se suspectează compromiterea unei identități, răspunsul nu ar trebui să fie o excepție de rețea nelimitată improvizată care supraviețuiește incidentului.

Eliminarea merită aceeași precizie ca instalarea. Definiți cum este revocată autorizarea, cum se termină accesul activ în comportamentul acceptat al produsului, și ce se întâmplă cu copiile reținute când relația se încheie.

Acceptați integrarea cu operațiuni permise reprezentative și respingerile pe care contractul le cere, totul sub identitatea de volum de lucru prevăzută. Confirmați calea cererii și datele livrate efectiv, apoi exersați cu adevărat înlocuirea acreditării și eliminarea. Un tunel conectat dovedește că există o cale; contractul este ceea ce dă acelei căi o limită.