Kuidas tagada arendusmeeskonna juurdepääs…

Meeskonna arendajatele saab juurdepääsu pilveteenuse pakkujatele tagada mitmel peamisel viisil:

Kasuta eraldatud IAM rolle (Identity and Access Management): Loo spetsiifilised rollid minimaalsete vajalike õigustega iga ülesande või meeskonnaliikme jaoks. See on minimaalsete privileegide põhimõte.
Integreeri ettevõtte kasutajate kataloogiga: Ühenda pilveteenuse pakkujad Active Directory, LDAP või muu SSO lahendusega (Single Sign-On) kasutajakontode ja juurdepääsu keskseks haldamiseks.
Kasuta ajutisi sisselogimisandmeid: Kasuta AWS STS (Security Token Service), Azure AD B2B või sarnaseid mehhanisme, et väljastada lühiajalisi, piiratud juurdepääsuga õigusi.
Kasuta teenusekontosid: Spetsiaalsed kontod rakendustele ja teenustele, mitte inimestele, kindlate õigustega pilveressurssidega suhtlemiseks.
Identiteedi federatsiooni kasutuselevõtt: Kasuta ühtset sisselogimisandmete komplekti erinevatele pilve- ja kohalikest ressurssidest juurdepääsuks.
Automatiseeri juurdepääsu andmine: Kasuta Infrastructure as Code (IaC) tööriistu, nagu Terraform või CloudFormation, IAM ressursside programmeeritavaks loomise ja haldamise jaoks.
Juhtimise kontroll ressursside tasandil: Seadista turvapoliitikad S3 ämbritele, virtuaalmasinatele, andmebaasidele ja teistele ressurssidele.
Kasuta Bastion-host'e või VPN-i: Turvaline juurdepääs sisemistele ressurssidele või serveritele, mis asuvad privaatvõrkudes.

Näide: minimaalsete õigustega IAM rolli loomine:

{
  "Version": "2012-10-17", // poliitika versioon
  "Statement": [
    {
      "Effect": "Allow", // luba
      "Action": [
        "s3:GetObject", // luba lugeda objekte S3-st
        "s3:ListBucket" // luba S3 ämbrite nimekirja
      ],
      "Resource": [
        "arn:aws:s3:::my-dev-bucket/*", // rakendada konkreetsele ämbrile ja selle sisule
        "arn:aws:s3:::my-dev-bucket" // rakendada ämbrile
      ]
    }
  ]
}

Peamised aspektid on minimaalsete privileegide põhimõte, kontohalduse tsentraliseerimine ja automatiseerimine.

Kuidas tagada arendusmeeskonna juurdepääs pilvepakkujatele?