Eine Zuweisung ist nicht das ganze Bild
Eine Zugriffsliste zeigt oft die Rollen oder Grants, die einem Objekt direkt zugewiesen sind. Eine Person kann Zugriff aber auch über Gruppenmitgliedschaft, verschachtelte Gruppen oder Berechtigungen erhalten, die von einem übergeordneten Scope vererbt werden.
Effektiver Zugriff beschreibt die Handlungen, die eine Identität auf einer Ressource ausführen kann, wenn die geltenden Regeln und Beziehungen einbezogen sind. Das ist eine anspruchsvollere Frage, als den Namen einer Person auf einer Berechtigungsliste zu finden.
Der Kette von der Identität zur Ressource folgen
Stellen Sie sich eine Person vor, die Mitglied einer Projektgruppe ist. Die Gruppe ist mit einer Plattformrolle verknüpft, die für einen bestimmten Scope gilt. Um ihren Zugriff zu erklären, muss man jedes Glied kennen und zeigen können, woher die Angaben stammen.
Identität → Gruppenmitgliedschaft → Rolle oder Grant → Scope → Ressource
Dies ist ein Analysemodell und keine Garantie dafür, dass sich alle Plattformen gleich verhalten. Directory Roles, Azure RBAC und Unity-Catalog-Grants folgen unterschiedlichen Regeln, die nach der Semantik der jeweiligen Plattform zu behandeln sind.
Wichtige Einschränkungen
Eine Reader-Rolle auf einem Azure-Abonnement belegt zum Beispiel den Zugriff auf Angaben der Management-Plane. Sie belegt für sich genommen nicht, dass sich Dateiinhalte in allen Storage-Konten lesen lassen. Data-Plane-Berechtigungen, Netzwerkgrenzen und weitere Kontrollen können das Bild verändern.
Ebenso kann ein Databricks-Grant nicht allein belegen, dass jede Handlung durchführbar ist. Die notwendigen übergeordneten Privilegien, der Workspace-Kontext und weitere Einschränkungen sind ebenfalls zu bewerten.
Vier Fragen für eine Zugriffsprüfung
- Welche Identität und welche stabile ID untersuchen wir?
- Ist der Zugriff direkt, gruppenbasiert oder vererbt?
- Welcher Scope und welche Ressourcen sind belegt?
- Welche Kontrollen oder Datenquellen sind in der Bewertung nicht enthalten?
Eine brauchbare Analyse macht die Kette sichtbar und sagt deutlich, wenn ein Glied nicht belegt ist. Das stützt eine Entscheidung besser als eine sichere Schlussfolgerung auf unvollständiger Grundlage.
Zum Wissensbereich