Привилегия
Простыми словами
Привилегия — отдельное разрешение выполнить действие над ресурсом: прочитать данные, изменить настройку, создать пользователя или остановить сервис. Роль объединяет привилегии, а учётная запись получает их напрямую или через назначенную роль.
Как применяется
Права декомпозируют до необходимых операций, выдают на ограниченный срок и регулярно пересматривают. Критические привилегии активируют по запросу через PAM или JIT, используют из отдельной административной сессии и подробно регистрируют.
Пример применения
Инженер получает на два часа право перезапустить конкретный сервис, но не изменять пользователей и сетевые правила. После окна доступ автоматически отзывается, команда и основание остаются в журнале.
Не путать с
- рольроль — набор разрешений для функции, а полномочие описывает допустимую область действий субъекта шире технической реализации.
Как это работает
- Определить операциюВладелец ресурса описывает, какое действие и над каким объектом действительно требуется.
- Проверить основаниеСистема учитывает роль, заявку, контекст, срок и несовместимые полномочия.
- Активировать правоПривилегия назначается либо временно активируется с минимальной областью.
- Зафиксировать и отозватьДействия журналируются, право прекращается по сроку или событию, назначения пересматриваются.
Продолжить изучение
- Класс PAM в каталоге СЗИРешения
Частые вопросы
Роль группирует одну или несколько привилегий; изменение роли влияет на всех её получателей.
Что такое least privilege?Субъект получает только права, необходимые для задачи, в нужной области и на минимальный срок.
Почему постоянный admin-доступ опасен?Компрометация или ошибка сразу даёт широкий ущерб; JIT и отдельная сессия уменьшают окно и улучшают контроль.