Kā nodrošināt izstrādes komandas piekļuvi…

Mēs izmantojam minimālo privilēģiju principu. Katram komandas loceklim vai grupai izveidojam atsevišķus IAM lietotājus vai lomas, piešķirot tikai tās atļaujas, kas nepieciešamas viņu uzdevumu veikšanai.

Automatizētiem procesiem (CI/CD) izmantojam ierobežotas tiesības IAM lomām, kas tiek piešķirtas pakalpojumiem (piemēram, EC2, Lambda) vai subjektiem (piemēram, GitHub Actions OIDC).

Droši glabājam piekļuves datus (gan piekļuves atslēgas, gan pagaidu žetonus). Rūpīgi pārvaldām manuāli lietojamos datus, izmantojot Federated Access vai Azure AD / Google Identity Platform konsoli. Automatizētiem procesiem integrējam slepeno datu pārvaldības sistēmas (piemēram, HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, GCP Secret Manager) ar CI/CD cauruļvadiem.

Visiem interaktīvajiem lietotājiem piemērojam daudzfaktoru autentifikāciju (MFA).

Veicam lietotāju darbību auditu (piemēram, AWS CloudTrail, Azure Activity Logs, GCP Audit Logs) un analizējam tos, lai atklātu aizdomīgu aktivitāti.

Izmantojam drošības grupas (Security Groups AWS, Network Security Groups Azure, Firewall Rules GCP) tīkla piekļuves kontrolei.

Ja nepieciešams, izmantojam VPN vai Privileged Access Management (PAM) sistēmas piekļuvei jutīgiem resursiem.

Regulāri pārskatām un koriģējam piekļuves tiesības.

# IAM politika AWS, piemērs izstrādātāja lietotājam
Version: "2012-10-17"
Statement:
  - Effect: Allow # Atļauja piekļuvei
    Action: # Atļautās darbības saraksts
      - ec2:Describe* # EC2 informācijas skatīšana
      - s3:ListBucket # S3 krātuves satura skatīšana
      - s3:GetObject # Objektu lasīšana no S3
    Resource: "*" # Attiecas uz visiem šāda veida resursiem
  - Effect: Deny # Piekļuves aizliegums
    Action: # Aizliegtās darbības saraksts
      - ec2:TerminateInstances # EC2 izbeigšanas aizliegums
      - s3:DeleteObject # S3 objektu dzēšanas aizliegums
    Resource: "*"

# AWS CLI komandas piemērs, lietotāja izveidei un politikas piešķiršanai
aws iam create-user --user-name developer-user
aws iam attach-user-policy --user-name developer-user --policy-arn arn:aws:iam::aws:policy/ReadOnlyAccess # Iekšējās politikas piemērs

Kā nodrošināt izstrādes komandas piekļuvi mākoņpakalpojumu sniedzējiem?