En tildeling er ikke hele billedet
En adgangsliste viser ofte de roller eller grants, der er tildelt et objekt direkte. Men en person kan også få adgang gennem gruppemedlemskab, indlejrede grupper eller rettigheder, som nedarves fra et overordnet scope.
Effektiv adgang beskriver de handlinger, en identitet kan udføre på en ressource, når de relevante regler og relationer er taget med. Det er et mere krævende spørgsmål end blot at finde personens navn på en rettighedsliste.
Følg kæden fra identitet til ressource
Forestil jer en bruger, der er medlem af en projektgruppe. Gruppen er tilknyttet en platformrolle, som gælder et bestemt scope. For at forklare brugerens adgang skal man kende hvert led og kunne vise, hvor oplysningerne kommer fra.
Identitet → gruppemedlemskab → rolle eller grant → scope → ressource
Dette er en analysemodel, ikke en garanti for, at alle platforme opfører sig ens. Directory roles, Azure RBAC og Unity Catalog-grants har forskellige regler, som skal behandles efter den enkelte platforms semantik.
Vigtige begrænsninger
En Reader-rolle på et Azure-abonnement dokumenterer eksempelvis adgang til at læse management-plane-oplysninger. Rollen dokumenterer ikke i sig selv, at brugeren kan læse filindhold i alle storagekonti. Data-plane-rettigheder, netværksbegrænsninger og andre kontroller kan ændre billedet.
Tilsvarende kan et Databricks-grant ikke stå alene som bevis for, at enhver handling kan gennemføres. De nødvendige overordnede privilegier, workspacekontekst og øvrige begrænsninger skal også vurderes.
Fire spørgsmål til en adgangsgennemgang
- Hvilken identitet og hvilket stabilt ID undersøger vi?
- Er adgangen direkte, gruppebaseret eller nedarvet?
- Hvilket scope og hvilke ressourcer er dokumenteret?
- Hvilke kontroller eller datakilder er ikke med i vurderingen?
En brugbar analyse gør kæden synlig og siger tydeligt, når et led ikke er dokumenteret. Det er bedre beslutningsstøtte end en sikker konklusion på et ufuldstændigt grundlag.
Til videnscenteret