Sex beslut att skriva in i ett åtkomstavtal från molnet till backend

Ta en rapporteringstjänst i ett molnkonto som behöver godkända sammanfattningar från ett kunds internt system. En VPN eller en autentiserad applikationsanslutning skyddar vägen och avgör ingenting annat. Den avgör inte om rapporteringsarbetslasten får läsa orelaterade poster, ändra backend eller behålla det den hämtade. Skriv åtkomstavtalet i termer av operationer och data innan du väljer anslutningen, eftersom anslutningen är den billigaste delen att ändra senare och den lättaste att göra fel först.

Besluta operationerna före anslutningen

Det första beslutet är vad arbetslasten får göra, benämnt som operationer och inte som ett nätverksområde. I rapporteringsfallet kan ett smalt rapporterings-API täcka behovet utan att ge databasadministration till en molnarbetslast.

Skilj de data rapporten behöver från data som bara råkar vara nåbara. Skriv de tillåtna operationerna som slutpunkter och verb i samma dokument som identitetsbeslutet. Den skillnaden är skillnaden mellan en integration som klarar en revision och en som måste förklaras om varje år, och den avgör diskussioner senare utan ännu ett möte.

Besluta arbetslastens identitet, och ge den en ägare

Oövervakade jobb kan inte svara på en uppmaning, därför griper team efter en persons breda konto och glömmer sedan bort det. Använd ett tjänstekonto eller en maskinuppgift som backend faktiskt accepterar, och registrera vem som äger den, var den lagras och hur den roteras.

Tre villkor bör vända beslutet mot en dedikerad identitet: jobbet körs utan en närvarande människa, uppgiften överlever en enda utrullning, och mer än en person behöver veta att den finns. Om alla tre stämmer är ett delat mänskligt konto ingen genväg, det är ett permanent undantag som ingen kan återkalla rent.

Föredra en uppgift som plattformen kan utfärda och rotera för arbetslasten, till exempel en arbetslastidentitetstoken som backend validerar, framför en statisk hemlighet inklistrad i konfigurationen. Statiska hemligheter i applikationsinställningar är orsaken till att rotationer blir avbrott.

Besluta nätverksomfånget, med vetskap om att det inte är behörighet

Ange vilken sida som initierar anslutningen, det transport som stöds och de slutpunkter som ingår. Håll peer-identitetskontroller på, och låt orelaterade backend-mål vara oåtkomliga i stället för bara icke annonserade.

En smal tunnelväg är ett användbart omfång, men den kan inte ersätta auktorisering på operationsnivå. Backend måste upprätthålla avtalet genom sina egna kontroller, eftersom nätverket gärna bär varje begäran som når en nåbar port. Kontrollera backendens egna roller och beviljanden, inte rutttabellen. En väg som når servern lämnar fortfarande beslutet hos servern, och det är där avtalet antingen upprätthålls eller ignoreras.

Spegelbilden är också sann: en giltig tjänsteuppgift berättigar inte att publicera en lyssnare till varje källa. Båda kontrollerna behövs, och ingen ersätter den andra.

Besluta datahanteringen och ansvarsfördelningen

Registrera vad som lämnar kundens miljö, var applikationen behandlar det, och de faktiska arrangemangen för lagring, säkerhetskopiering, åtkomst och gallring. Gallring är den del som upptäcks sent, vanligtvis när någon frågar om kopian från förra kvartalet fortfarande finns i en bucket som ingen dokumenterat.

Håll parterna åtskilda. Applikationsoperatören, programvaruleverantören och infrastrukturvärden kan bära olika ansvar, och servicemodellen avgör vem som är vem. Läs det faktiska avtalet i stället för att anta att alla tre har identisk åtkomst, eller ingen alls.

Besluta fel, borttagning och hur du accepterar det

Tilldela ansvar för felfallen innan de inträffar. När anslutningen går sönder eller en identitet misstänks vara komprometterad bör svaret inte vara ett improviserat obegränsat nätverksundantag som överlever incidenten.

Borttagning förtjänar samma precision som uppsättningen. Definiera hur auktorisering återkallas, hur aktiv åtkomst slutar inom produktens stödda beteende, och vad som händer med bevarade kopior när relationen upphör.

Acceptera integrationen med representativa tillåtna operationer och de avslag avtalet kräver, allt under den avsedda arbetslastidentiteten. Bekräfta begärans väg och de data som faktiskt levereras, och öva sedan utbyte av uppgifter och borttagning på riktigt. En ansluten tunnel bevisar att en väg finns; avtalet är det som ger den vägen en gräns.