Sáu quyết định cần ghi vào hợp đồng truy cập từ đám mây đến backend

Hãy lấy một dịch vụ báo cáo trong tài khoản đám mây cần các bản tóm tắt đã được phê duyệt từ hệ thống nội bộ của khách hàng. VPN hoặc kết nối ứng dụng có xác thực bảo vệ đường đi và không quyết định gì khác. Nó không quyết định liệu khối lượng công việc báo cáo có được đọc các bản ghi không liên quan, thay đổi backend hay giữ lại những gì đã lấy. Hãy viết thỏa thuận truy cập theo góc độ vận hành và dữ liệu trước khi chọn trình kết nối, vì trình kết nối là phần rẻ nhất để thay đổi sau này và dễ làm sai nhất ngay từ đầu.

Quyết định các thao tác trước trình kết nối

Quyết định đầu tiên là khối lượng công việc được phép làm gì, được gọi theo tên thao tác chứ không phải dải mạng. Trong trường hợp báo cáo, một API báo cáo hẹp có thể đáp ứng nhu cầu mà không cấp quyền quản trị cơ sở dữ liệu cho khối lượng công việc trên đám mây.

Tách dữ liệu mà báo cáo cần khỏi dữ liệu chỉ tình cờ truy cập được. Viết các thao tác được phép dưới dạng điểm cuối và động từ trong cùng tài liệu với quyết định về danh tính. Sự phân biệt đó là khác biệt giữa một tích hợp vượt qua kiểm toán và một tích hợp phải giải thích lại hằng năm, và nó giải quyết tranh luận về sau mà không cần thêm cuộc họp.

Quyết định danh tính của khối lượng công việc và giao cho nó một chủ sở hữu

Các công việc không có người giám sát không thể trả lời lời nhắc, vì vậy các nhóm với lấy tài khoản rộng của một người rồi quên nó đi. Hãy dùng tài khoản dịch vụ hoặc thông tin xác thực máy mà backend thực sự chấp nhận, và ghi lại ai sở hữu, lưu ở đâu và xoay vòng thế nào.

Ba điều kiện nên nghiêng quyết định về một danh tính riêng: công việc chạy mà không có người hiện diện, thông tin xác thực tồn tại lâu hơn một lần triển khai, và nhiều hơn một người cần biết nó tồn tại. Nếu cả ba đúng, tài khoản con người dùng chung không phải lối tắt mà là ngoại lệ vĩnh viễn mà không ai thu hồi được một cách sạch sẽ.

Ưu tiên thông tin xác thực mà nền tảng có thể cấp và xoay vòng cho khối lượng công việc, như mã thông báo danh tính khối lượng công việc mà backend xác thực, thay vì bí mật tĩnh dán vào cấu hình. Bí mật tĩnh trong cài đặt ứng dụng chính là lý do các lần xoay vòng trở thành gián đoạn.

Quyết định phạm vi mạng, biết rằng đó không phải quyền

Nêu rõ bên nào khởi tạo kết nối, phương thức truyền được hỗ trợ và các điểm cuối liên quan. Giữ các kiểm tra danh tính ngang hàng bật, và để các đích backend không liên quan không thể chạm tới thay vì chỉ không được công bố.

Một tuyến đường hầm hẹp là phạm vi hữu ích, nhưng nó không thể thay thế ủy quyền ở cấp thao tác. Backend phải thực thi hợp đồng bằng các kiểm soát của chính nó, vì mạng sẽ sẵn lòng mang bất kỳ yêu cầu nào chạm tới một cổng có thể tới. Hãy kiểm tra vai trò và quyền của chính backend, không phải bảng tuyến. Một tuyến tới được máy chủ vẫn để quyết định ở máy chủ, và đó là nơi hợp đồng hoặc được thực thi hoặc bị bỏ qua.

Điều ngược lại cũng đúng: thông tin xác thực dịch vụ hợp lệ không biện minh cho việc công bố trình lắng nghe cho mọi nguồn. Cần cả hai kiểm soát, và không cái nào thay thế cái kia.

Quyết định việc xử lý dữ liệu và phân chia trách nhiệm

Ghi lại những gì rời khỏi môi trường của khách hàng, nơi ứng dụng xử lý nó, và các thỏa thuận thực tế về lưu trữ, sao lưu, truy cập và lưu giữ. Lưu giữ là phần bị phát hiện muộn, thường là khi ai đó hỏi liệu bản sao của quý trước có còn trong một nhóm lưu trữ mà không ai ghi lại hay không.

Giữ các bên riêng biệt. Đơn vị vận hành ứng dụng, nhà cung cấp phần mềm và đơn vị lưu trữ hạ tầng có thể mang trách nhiệm khác nhau, và mô hình dịch vụ quyết định ai là ai. Hãy đọc thỏa thuận thực tế thay vì giả định cả ba có quyền truy cập giống nhau, hoặc không có gì cả.

Quyết định sự cố, việc gỡ bỏ và cách bạn chấp nhận nó

Phân công trách nhiệm cho các trường hợp sự cố trước khi chúng xảy ra. Khi trình kết nối hỏng hoặc nghi ngờ danh tính bị xâm phạm, phản ứng không nên là một ngoại lệ mạng không giới hạn ứng biến tồn tại lâu hơn sự cố.

Việc gỡ bỏ xứng đáng được chính xác như khi thiết lập. Xác định cách thu hồi ủy quyền, cách truy cập đang hoạt động kết thúc trong hành vi được hỗ trợ của sản phẩm, và điều gì xảy ra với các bản sao được giữ lại khi mối quan hệ kết thúc.

Chấp nhận tích hợp với các thao tác được phép đại diện và các từ chối mà hợp đồng yêu cầu, tất cả dưới danh tính khối lượng công việc dự định. Xác nhận đường đi của yêu cầu và dữ liệu thực sự được giao, sau đó thực sự tập thay thông tin xác thực và gỡ bỏ. Một đường hầm đã kết nối chứng minh có một đường đi; hợp đồng là thứ cho đường đi đó một giới hạn.