Чӣ гуна дастрасии гурӯҳи таҳия ба таъминкунандагони…

Біз ең аз құқықтар принципін қолданамыз. Әрбір команда мүшесі немесе топ үшін жеке IAM пайдаланушыларын немесе рөлдерін құрып, тек олардың міндеттерін орындау үшін қажетті рұқсаттарды береміз.

Автоматтандырылған процестер үшін (CI/CD) шектеулі құқықтары бар IAM рөлдерін қолданамыз, олар қызметтерге (мысалы, EC2, Lambda) немесе субъектілерге (мысалы, GitHub Actions OIDC) тағайындалады.

Кіру деректерін (қол жеткізу кілттері немесе уақытша токендер) қауіпсіз сақтаймыз. Қолмен қолданылатын деректер үшін Федеративті Қол жеткізу немесе Azure AD / Google Identity Platform арқылы провайдердің консолін қолдануды ынталандырамыз. Автоматтандырылған процестер үшін құпия сөздерді басқару жүйелерімен (мысалы, HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, GCP Secret Manager) CI/CD құбырларымен интеграциялаймыз.

Барлық интерактивті пайдаланушылар үшін көп факторлы аутентификацияны (MFA) қолданамыз.

Пайдаланушылар әрекеттерін (жазу, мысалы, AWS CloudTrail, Azure Activity Logs, GCP Audit Logs) тіркеп, олардың күдікті әрекеттерін анықтау үшін талдаймыз.

Қауіпсіздік топтарын (AWS-те Security Groups, Azure-да Network Security Groups, GCP-де Firewall Rules) желілік қатынасты бақылау үшін қолданамыз.

Қажет болған жағдайда, сезімтал ресурстарға қатынау үшін VPN немесе Privileged Access Management (PAM) жүйелерін қолданамыз.

Құқықтарды кезең-кезеңімен қайта қарап, түзетеміз.

# AWS-те әзірлеуші пайдаланушы үшін IAM саясатының мысалы
Version: "2012-10-17"
Statement:
  - Effect: Allow # Қолжетімділікті рұқсат ету
    Action: # Рұқсат етілген әрекеттер тізімі
      - ec2:Describe* # EC2 туралы ақпаратты қарау
      - s3:ListBucket # S3 бакетінің мазмұнын қарау
      - s3:GetObject # S3-тан объектілерді оқу
    Resource: "*" # Бұл типтегі барлық ресурстарға қолданылады
  - Effect: Deny # Қолжетімділікті тыйым салу
    Action: # Тыйым салынған әрекеттер тізімі
      - ec2:TerminateInstances # EC2-ді тоқтату тыйым салу
      - s3:DeleteObject # S3 объектілерін жою тыйым салу
    Resource: "*"

# AWS CLI командасының мысалы, пайдаланушыны құру және саясатты тағайындау
aws iam create-user --user-name developer-user
aws iam attach-user-policy --user-name developer-user --policy-arn arn:aws:iam::aws:policy/ReadOnlyAccess # Құрастырылған саясаттың мысалы

Чӣ гуна дастрасии гурӯҳи таҳия ба таъминкунандагони абриро таъмин кардан мумкин аст?