Šesť rozhodnutí, ktoré treba zapísať do zmluvy o prístupe z cloudu do backendu

Vezmite si reportovaciu službu v cloudovom účte, ktorá potrebuje schválené zhrnutia z interného systému zákazníka. VPN alebo autentizované aplikačné spojenie chráni cestu a nič iné nerozhoduje. Nerozhoduje o tom, či reportovacia úloha smie čítať nesúvisiace záznamy, meniť backend alebo si ponechať to, čo stiahla. Napíšte dohodu o prístupe v pojmoch operácií a dát skôr, než vyberiete konektor, pretože konektor je najlacnejšia časť na neskoršiu zmenu a najľahšie sa dá pokaziť ako prvá.

Rozhodnite operácie pred konektorom

Prvé rozhodnutie je, čo úloha smie robiť, pomenované ako operácie, nie ako sieťový rozsah. V prípade reportingu môže úzke reportovacie API uspokojiť potrebu bez toho, aby cloudovej úlohe dalo správu databázy.

Oddeľte dáta, ktoré report potrebuje, od dát, ktoré sú len náhodou dostupné. Zapíšte povolené operácie ako koncové body a slovesá do toho istého dokumentu ako rozhodnutie o identite. Tento rozdiel je rozdiel medzi integráciou, ktorá prejde auditom, a takou, ktorú treba každý rok znovu vysvetľovať, a rieši spory neskôr bez ďalšej porady.

Rozhodnite identitu úlohy a dajte jej vlastníka

Úlohy bez dohľadu nemôžu odpovedať na výzvu, preto tímy siahnu po širokom účte človeka a potom naň zabudnú. Použite servisný účet alebo strojový credential, ktorý backend skutočne prijíma, a zaznamenajte, kto ho vlastní, kde je uložený a ako sa rotuje.

Tri podmienky by mali rozhodnutie obrátiť k vyhradenej identite: úloha beží bez prítomnosti človeka, credential prežije jedno nasadenie a o jeho existencii musí vedieť viac ako jeden človek. Ak platia všetky tri, zdieľaný ľudský účet nie je skratka, ale trvalá výnimka, ktorú nikto nedokáže čisto zrušiť.

Uprednostnite credential, ktorý platforma dokáže úlohe vydať a rotovať, napríklad token identity úlohy, ktorý backend overuje, pred statickým tajomstvom vloženým do konfigurácie. Statické tajomstvá v nastaveniach aplikácie sú dôvod, prečo sa rotácie menia na výpadky.

Rozhodnite sieťový rozsah s vedomím, že to nie je oprávnenie

Určte, ktorá strana začína spojenie, podporovaný transport a zúčastnené koncové body. Ponechajte kontroly identity partnera zapnuté a nesúvisiace ciele backendu nechajte nedosiahnuteľné, nie len neohlásené.

Úzka trasa tunela je užitočný rozsah, ale nemôže nahradiť autorizáciu na úrovni operácie. Backend musí zmluvu vynútiť vlastnými kontrolami, pretože sieť ochotne prenesie každú požiadavku, ktorá dorazí na dosiahnuteľný port. Kontrolujte vlastné roly a oprávnenia backendu, nie routovaciu tabuľku. Trasa, ktorá dorazí na server, stále necháva rozhodnutie na serveri, a práve tam sa zmluva buď vynucuje, alebo ignoruje.

Zrkadlovo to platí tiež: platný servisný credential neospravedlňuje publikovať poslucháča každému zdroju. Potrebné sú obe kontroly a žiadna nenahrádza druhú.

Rozhodnite o nakladaní s dátami a rozdelení zodpovednosti

Zaznamenajte, čo opúšťa prostredie zákazníka, kde to aplikácia spracúva, a skutočné usporiadanie úložiska, zálohovania, prístupu a retencie. Retencia je časť, ktorá sa objaví neskoro, zvyčajne keď sa niekto pýta, či kópia z minulého štvrťroka ešte existuje v buckete, ktorý nikto nezdokumentoval.

Držte strany oddelené. Prevádzkovateľ aplikácie, dodávateľ softvéru a hostiteľ infraštruktúry môžu niesť rôzne zodpovednosti a model služby určuje, kto je kto. Prečítajte si skutočnú dohodu, namiesto toho, aby ste predpokladali, že všetky tri majú rovnaký prístup, alebo žiadny.

Rozhodnite o zlyhaní, odstránení a o tom, ako to prijmete

Priraďte zodpovednosť za prípady zlyhania skôr, než nastanú. Keď sa konektor pokazí alebo je identita podozrivá z kompromitácie, reakciou by nemala byť improvizovaná neobmedzená sieťová výnimka, ktorá prežije incident.

Odstránenie si zaslúži rovnakú presnosť ako nastavenie. Definujte, ako sa autorizácia odvoláva, ako aktívny prístup končí v rámci podporovaného správania produktu a čo sa stane so zadanými kópiami, keď vzťah skončí.

Prijmite integráciu s reprezentatívnymi povolenými operáciami a odmietnutiami, ktoré zmluva vyžaduje, to všetko pod zamýšľanou identitou úlohy. Potvrďte cestu požiadavky a skutočne doručené dáta, potom naozaj vyskúšajte výmenu credentialu a odstránenie. Pripojený tunel dokazuje, že cesta existuje; zmluva je to, čo tejto ceste dáva hranicu.