Привилегия
§§IBT7§§¶@definition¶Привилегия — разрешение на действие, выходящее за пределы обычных пользовательских полномочий.¶@plain¶Привилегия — отдельное разрешение выполнить действие над ресурсом: прочитать данные, изменить настройку, создать пользователя или остановить сервис. Роль объединяет привилегии, а учётная запись получает их напрямую или через назначенную роль.¶@use¶Права декомпозируют до необходимых операций, выдают на ограниченный срок и регулярно пересматривают. Критические привилегии активируют по запросу через PAM или JIT, используют из отдельной административной сессии и подробно регистрируют.¶@example¶Инженер получает на два часа право перезапустить конкретный сервис, но не изменять пользователей и сетевые правила. После окна доступ автоматически отзывается, команда и основание остаются в журнале.¶@compare¶роль¦¦роль — набор разрешений для функции, а полномочие описывает допустимую область действий субъекта шире технической реализации.¶@steps¶Определить операцию¦Владелец ресурса описывает, какое действие и над каким объектом действительно требуется.¤Проверить основание¦Система учитывает роль, заявку, контекст, срок и несовместимые полномочия.¤Активировать право¦Привилегия назначается либо временно активируется с минимальной областью.¤Зафиксировать и отозвать¦Действия журналируются, право прекращается по сроку или событию, назначения пересматриваются.¶@resources¶Класс PAM в каталоге СЗИ¦https://ibcourses.ru/katalog-ib-resheniy?class=PAM¦Решения¶@related¶¶@faq¶Чем привилегия отличается от роли?¦Роль группирует одну или несколько привилегий; изменение роли влияет на всех её получателей.¤Что такое least privilege?¦Субъект получает только права, необходимые для задачи, в нужной области и на минимальный срок.¤Почему постоянный admin-доступ опасен?¦Компрометация или ошибка сразу даёт широкий ущерб; JIT и отдельная сессия уменьшают окно и улучшают контроль.