سياسات الوصول (RBAC + ABAC)
طبقتا التحكم في الوصول في Cockpit v2 — الإدارة القائمة على الأدوار وسياسات وصول ABAC التي تحمي المفاتيح وتطبيقات Oracle TDE وخدمات DKE.
يمتلك Cockpit v2 طبقتين متمايزتين للتحكم في الوصول. الفصل بينهما مهم:
| الطبقة | تحكم في | أين تُطبَّق |
|---|---|---|
| RBAC (الأدوار والصلاحيات) | من يمكنه إدارة Cockpit | واجهة الإدارة (مثل نشر تطبيق Oracle TDE، أو تدوير مفتاح DKE) |
| سياسات الوصول ABAC | من، ومن أين، ومتى يمكنه تنفيذ عملية تشفير وقت التشغيل | مرتبطة بالمفاتيح والتطبيقات (بما فيها Oracle TDE) وخدمات DKE؛ تُقيَّم عند فك التشفير / الوصول إلى المفتاح |
سيُضاف هنا فيديو توضيحي موجز لإنشاء سياسة وصول ومشاهدة فرضها.
RBAC — صلاحيات الإدارة
تحكم الإجراءات الإدارية (إدارة المفاتيح، والتطبيقات، وخدمات DKE، وسياسات الوصول) بواسطة التحكم في الوصول القائم على الأدوار. تُسنَد الأدوار للمستخدمين؛ يمنح كل دور مجموعة من الصلاحيات ويمكن حصره بوحدة تنظيمية (OU). يجتاز المسؤولون جميع الفحوصات.
ABAC — سياسات الوصول
سياسة الوصول هي سجل محدد النطاق بالمستأجر يُقيَّم كلما استُخدِم مفتاح محمي (على سبيل المثال، فك تشفير DKE أو عملية على مفتاح Oracle TDE الرئيسي). تعكس نموذج سياسة الوصول في Cockpit القديم، مُعاد تنفيذه على محرك سياسات.
شكل السياسة
تمتلك السياسة اسماً ووصفاً، وإجراءً عاماً (سماح، أو حظر، أو تجاوز)، ونوع تطبيق مستهدَف (مثل DKE 365، أو Oracle TDE، أو تطبيق عام)، ونطاق وحدة تنظيمية اختيارياً (وإلا فعلى مستوى المستأجر بأكمله)، وعلامة تفعيل، وكتل قواعد لكل بُعد من أبعاد الوصول الخمسة أدناه.
أبعاد الوصول الخمسة
كل بُعد هو قائمة من المدخلات؛ يحمل كل مدخل وضع تطابق (قائمة سماح، أو قائمة حظر، أو إلزام) وعند الاقتضاء عامل تطابق.
| البُعد | يطابق حسب |
|---|---|
| المستخدم | UPN / الاسم المعروض / البريد الإلكتروني (يدعم regex) |
| عنوان IP | عنوان محدد، أو نطاق CIDR، أو نطاق بداية-نهاية (IPv4/IPv6) |
| الموقع | رموز دول ISO-3166 |
| الوقت | يوم الأسبوع + نطاق الدقيقة من اليوم |
| المجموعة | عضوية مجموعة مزوّد الهوية |
لا يدعم كل نوع تطبيق كل بُعد. يعرض Cockpit v2 مصفوفة قدرات تحدد أي من الفئات الخمس يمكن لكل نوع تطبيق احترامها، وتُعطِّل واجهة المستخدم علامات تبويب القواعد غير المنطبقة. يدعم DKE 365 جميع الأبعاد الخمسة؛ بينما تدعم عدة أنواع تطبيقات عامة أبعاد IP / الموقع / الوقت فقط.
ربط سياسة
| الهدف | كيفية الربط |
|---|---|
| خدمة DKE | access_policy_id على الخدمة — تُفرَض على كل عملية فك تشفير |
| تطبيقات عامة (بما فيها Oracle TDE) | access_policy_id على التطبيق — تُفرَض على عمليات التشفير الخاصة بالتطبيق |
| AWS XKS | access_policy_id لكل نقطة نهاية، تُفرَض في مسار فك تشفير XKS |
كيف يعمل الفرض
البحث عن السياسة المرتبطة
عند تشغيل عملية محمية، يبحث Cockpit عن السياسة المرتبطة. إذا لم تكن أي سياسة مرتبطة، أو كانت السياسة معطَّلة، تُسمَح العملية بالسماح — لا سياسة تعني عدم وجود قيد.
بناء سياق الوصول
يبني Cockpit سياق وصول من هوية المتصل والنقل: المستخدم (من JWT)، وعنوان IP، والدولة، والوقت الحالي، وعضوية المجموعة. JWT هو المرجع الموثوق؛ تُستخدَم رؤوس التوجيه / CDN (عنوان IP للعميل، الدولة) فقط كاحتياط وتحقق مزدوج، ولا تُوثَق إلا عندما تصل من عناوين مصدر ضمن قائمة CIDR الخاصة بالوكيل الموثوق المُهيَّأة.
تقييم كل بُعد
يُقيَّم كل بُعد بواسطة محرك السياسات.
تطبيق أسبقية القرار
أسبقية القرار: Bypass > Block > Allow > رفض افتراضي.
الإغلاق الآمن عند الفشل
السياسة المُفعَّلة بلا قواعد ترفض (لا تسمح بصمت). إذا تعذر كتابة سجل تدقيق أمني لقرار allow في بيئة الإنتاج، تُرفَض العملية.
تسجيل القرار
يُكتَب كل قرار في سجل تدقيق سياسة وصول جنائي، يظهر في سجلات النشاط.
إدارة السياسات
تُنشَأ السياسات وتُدار من Cockpit، الذي يعرض أيضاً مصفوفة القدرات لكل نوع تطبيق، والمجموعات المتاحة لقواعد المجموعة، ومسار تدقيق الفرض.
أمثلة على القواعد
تُركِّب سياسات الوصول الأبعاد الخمسة بدلالات بسيطة من نوع قائمة سماح / قائمة حظر / إلزام. من القواعد النموذجية: حظر أي دولة خاضعة للعقوبات مع السماح لدولك المؤسسية (الموقع)؛ السماح لمستخدمين محددين بالاسم فقط أو استثناء نمط معيّن (المستخدم)؛ التقييد بنطاق IP وبساعات العمل (IP + الوقت)؛ أو إلزام عضوية مجموعة محددة لدى مزوّد الهوية.
تطبيق سياسة وصول على تطبيق Oracle TDE
إنشاء السياسة
أنشئ سياسة وصول تستهدف نوع تطبيق Oracle TDE بالقواعد المطلوبة — على سبيل المثال، السماح بعمليات المفتاح الرئيسي فقط من الشبكة الفرعية لقاعدة البيانات (بُعد IP) خلال ساعات العمل (بُعد الوقت).
ربطها بالتطبيق
اربطها بتطبيق Oracle TDE بضبط access_policy_id الخاص بالتطبيق.
الفرض والتدقيق
تُقيَّم كل عملية إدارة للمفتاح الرئيسي على ذلك التطبيق بعدها مقابل السياسة، ويُسجَّل كل قرار في مسار تدقيق سياسة الوصول.
تجمع سياسة Oracle TDE النموذجية بين قاعدة IP (فقط مضيفو قاعدة البيانات / الشبكة الفرعية) وقاعدة وقت (نوافذ الصيانة لتدوير المفاتيح)، تاركة رمز الحامل access_guid للمصادقة والسياسة للتفويض.