Как да осигурим достъп на екипа за разработка до…

Използваме принципа на минималните привилегии. Създаваме отделни IAM потребители или роли за всеки член на екипа или група, като предоставяме само необходимите разрешения за изпълнение на техните задачи.

За автоматизирани процеси (CI/CD) използваме IAM роли с ограничени права, които се назначават на услуги (например EC2, Lambda) или субекти (например GitHub Actions OIDC).

Сигурно съхраняваме данните за вход (дали ключове за достъп или временни токени). За ръчно използваните данни за вход насърчаваме използването на конзолата на доставчика чрез Federated Access или Azure AD / Google Identity Platform. За автоматизирани процеси интегрираме системи за управление на тайните (например HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, GCP Secret Manager) с CI/CD пайплайни.

Прилагаме многофакторна автентикация (MFA) за всички интерактивни потребители.

Настройваме одит на действията на потребителите (например логиране, AWS CloudTrail, Azure Activity Logs, GCP Audit Logs) и ги анализираме за откриване на подозрителна активност.

Използваме групи за сигурност (Security Groups в AWS, Network Security Groups в Azure, Firewall Rules в GCP) за контрол на мрежовия достъп до ресурсите.

При необходимост използваме VPN или системи за Privileged Access Management (PAM) за достъп до чувствителни ресурси.

Редовно преглеждаме и коригираме правата за достъп.

# Пример за IAM политика в AWS за потребител разработчик
Version: "2012-10-17"
Statement:
  - Effect: Allow # Позволяваме достъп
    Action: # Списък с разрешени действия
      - ec2:Describe* # Преглед на информация за EC2
      - s3:ListBucket # Преглед на съдържанието на S3 кофа
      - s3:GetObject # Четене на обекти от S3
    Resource: "*" # Влиза за всички ресурси от този тип
  - Effect: Deny # Забраняваме достъпа
    Action: # Списък с забранени действия
      - ec2:TerminateInstances # Забрана за прекратяване на EC2
      - s3:DeleteObject # Забрана за изтриване на обекти в S3
    Resource: "*"

# Примерна команда AWS CLI за създаване на потребител и прикачване на политика
aws iam create-user --user-name developer-user
aws iam attach-user-policy --user-name developer-user --policy-arn arn:aws:iam::aws:policy/ReadOnlyAccess # Вградена примерна политика

Как да осигурим достъп на екипа за разработка до облачните доставчици?