مشكلة الأذونات التي تعيش في الكود
أطر عمل الوكلاء جيدة في التنسيق. لكنها ليست أنظمة هوية، ونماذج الأذونات التي تعرضها ليست ضوابط حوكمة. قائمة الأدوات المسموح بها في إطار العمل هي قائمة في كود التطبيق. تُدار بنسخها مع الوكيل، وتُنشر مع الوكيل، ويقرأها وقت التشغيل الذي ينفذ الوكيل. وهي غير مرئية لفريق الهوية، ولا تظهر في مراجعة الوصول، ولا يمكن مطابقتها مع عملية الانضمام-النقل-المغادرة التي تعمل على كائنات الدليل.
هذه الفجوة تُختبر الآن على نطاق واسع. يُعد توسيع جامعة فاندربيلت لحوكمة الهوية ليشمل وكلاء الذكاء الاصطناعي نقطة مرجعية مفيدة لأنه يعامل الوكلاء كخاضعين لنفس آليات الحوكمة التي يخضع لها البشر، بدلاً من اعتبارهم منتجات برمجية بملفات تهيئة (SiliconAngle). الدرس بنيوي، وليس مؤسسيًا: إذا كان بإمكان فاعل قراءة البيانات، أو استدعاء واجهات برمجة التطبيقات، أو التصرف نيابة عن شخص ما، فإنه يحتاج إلى هوية يستطيع الدليل إصدارها وتحديد نطاقها ومراجعتها وإلغائها.
لماذا لا تصمد أذونات إطار العمل أمام التدقيق
تتكرر ثلاثة أنماط فشل.
أولاً، عدم الرؤية. تعيش قوائم الأدوات المسموح بها وسلاسل النطاقات داخل تهيئة الوكيل نفسه. يرى مراجع الوصول الذي ينظر إلى مزود الهوية حساب خدمة بمنحة واسعة، أو لا يرى شيئًا على الإطلاق إذا كان الوكيل يصادق عبر بيانات اعتماد مشتركة. لا يستطيع المراجع رؤية أن الوكيل يمكنه استدعاء واجهة برمجة تطبيقات الدفع، ونظام التذاكر، ومخزن المستندات، لأن هذه التفاصيل موجودة في مستودع لا يقرأه المراجع.
ثانيًا، البقاء بعد الإيقاف. عند إيقاف تشغيل الوكيل، غالبًا ما تبقى بيانات اعتماده في متغيرات البيئة، أو مخازن الأسرار، أو ملف تهيئة لا يزال نظام آخر يحمّله. لا شيء في دورة حياة إطار العمل يفرض الإزالة، لأن إطار العمل لا يعرف أن للوكيل مالكًا غادر، أو أن الميزة التي كان يدعمها قد أُلغيت. تعيش بيانات الاعتماد أطول من الغرض منها.
ثالثًا، تضخم الاستحقاقات. يراكم الوكلاء النطاقات مع إطلاق الميزات. تضيف تكاملات جديدة نطاقًا؛ ويضيف إعادة الهيكلة نطاقًا آخر. نادرًا ما تُزال النطاقات، لأن الإزالة تتطلب معرفة أي نطاق يرتبط بأي ميزة، وهذا الربط غير مُصان. والنتيجة وكيل لديه وصول أكثر مما تتطلبه أي مهمة واحدة، ويُحتفظ به إلى أجل غير مسمى.
كيف تبدو هوية الوكيل الأصلية في الدليل
هوية الوكيل الأصلية في الدليل هي كائن من الدرجة الأولى في نفس الدليل الذي يحتفظ بحسابات البشر. ولها سمات تجعل الحوكمة ممكنة:
- المالك والراعي. المالك هو الفريق المسؤول عن سلوك الوكيل. الراعي هو الأصل البشري الذي أذن بوجوده. كلاهما مرجعان في الدليل، وليسا حقول نص حر.
- الانتهاء. للهوية فترة صلاحية. لا تعيش إلى الأبد افتراضيًا.
- الاستحقاقات. تُمنح النطاقات كاستحقاقات دليل، وتُرفق بكائن الوكيل، وتظهر في نفس دورة المراجعة الخاصة بوصول البشر.
- رابط التفويض. يتصرف الوكيل نيابة عن أصل مسمى. يُخزَّن هذا الرابط ويمكن الاستعلام عنه، بحيث يستطيع المدقق السؤال عن السلطة البشرية التي تسند إجراءً معينًا.
هذا ليس تغييرًا شكليًا. إنه ينقل السؤال من "ماذا يمكن لهذا الكود أن يفعل؟" إلى "ما الذي يحق لهذا الفاعل فعله، ومن أذن به، ومتى تنتهي هذه السلطة؟"
عمليات دورة الحياة التي لا تستطيع أطر العمل التعبير عنها
بمجرد أن يصبح الوكيل كائن دليل، تصبح عمليات دورة الحياة ممكنة بطريقة لا تكون ممكنة داخل إطار العمل.
التدوير والإلغاء وفق جدول زمني. تُدوَّر بيانات الاعتماد وفق تقويم، لا وفق عملية نشر. الإلغاء عملية دليل تسري في كل نظام يثق بالدليل، بدلاً من تغيير كود يجب شحنه إلى كل تكامل.
التعليق التلقائي. إذا حُلَّ الفريق المالك أو غادر الراعي الدليل، يمكن تعليق هوية الوكيل تلقائيًا. لا يملك إطار العمل مفهوم مغادرة الراعي، لأنه لا يمثل التوظيف أو عضوية الفريق.
التصديق. تأكيد بشري دوري يؤكد أن الوكيل لا يزال بحاجة إلى كل نطاق يحمله. التصديق بدائية حوكمة: يفرض قرارًا بشأن كل استحقاق، وينتج سجلاً بمن اتخذ ذلك القرار.
لا يمكن التعبير عن أي من هذه كأذونات إطار عمل، لأنها تعتمد على حالة الدليل التي لا يملكها إطار العمل.
آلية ملموسة: ربط الاستحقاقات مع قياس النطاقات المستخدمة
الطريقة العملية لتنفيذ ذلك هي اعتبار الدليل مصدر الحقيقة للاستحقاقات بينما يبقى إطار العمل نقطة الإنفاذ، على الأقل في البداية.
عند الإصدار، يصدر الدليل هوية الوكيل ويمنح مجموعة من الاستحقاقات. يتلقى إطار العمل رمزًا أو بيانات اعتماد تشفر تلك الاستحقاقات. في وقت التشغيل، يسجل إطار العمل الاستحقاقات التي استُخدمت فعليًا. تُكتب هذه القياسات مرة أخرى إلى الدليل كسمة على كائن الوكيل.
ثم يعرض الدليل رؤيتين: النطاقات الممنوحة والنطاقات المستخدمة. النسبة بينهما هي مقياس النظافة الأساسي. الوكيل الذي يحمل اثني عشر نطاقًا ويستخدم ثلاثة هو مرشح للتقليص. لا تتطلب الآلية أن يفهم إطار العمل الحوكمة؛ بل تتطلب
هذا تصميم ممل عن قصد. يستخدم الدليل لما يجيده الدليل، وإطار العمل لما يجيده إطار العمل. الجزء الصعب ليس السباكة؛ بل انتظام مراجعة النسبة والتصرف بناءً عليها.
الترحيل دون يوم تحول كامل
من الأخطاء الشائعة محاولة الانتقال النظيف: نقل الإصدار والإنفاذ إلى الدليل في وقت واحد. هذا يعطل الأنظمة قيد التشغيل، لأن نقاط الإنفاذ التي لم تُحدَّث سترفض تنسيق بيانات الاعتماد الجديد، والإصدار الذي انتقل لن ينتج التنسيق القديم.
التسلسل الأكثر أمانًا له ثلاث مراحل.
- المطابقة. اقرأ النطاقات على مستوى إطار العمل وأنشئ استحقاقات دليل مقابلة. لا شيء يُنفَّذ بعد. الغرض هو إعطاء مراجعات الوصول شيئًا تفحصه.
- الإصدار من الدليل. انقل إصدار بيانات الاعتماد إلى الدليل بينما لا يزال إطار العمل ينفذ قائمة السماح الخاصة به. يجب أن يتفق الاثنان؛ تُسجَّل حالات عدم التطابق وتُسوَّى.
- الإنفاذ من الدليل. بمجرد أن يصبح الإصدار مستقرًا والمطابقة دقيقة، انقل الإنفاذ إلى الاستحقاقات الصادرة من الدليل. تصبح قائمة السماح في إطار العمل فحصًا زائدًا يمكن إزالته.
هذا الترتيب مهم. الإصدار أولاً، الإنفاذ ثانيًا. عكسه يعني أن الدليل ينفذ استحقاقات لم تُصدر لأي نظام، مما ينتج انقطاعات تبدو كإخفاقات هوية لكنها في الواقع إخفاقات تسلسل.
المقايضة الصادقة
تضيف هوية الوكيل الأصلية في الدليل زمن استجابة واقترانًا. كل إجراء وكيل يعتمد على استحقاق صادر من الدليل يرث توافر الدليل. قائمة السماح المحلية في إطار العمل لا تعتمد على ذلك؛ إنها قائمة في الذاكرة. نقل الحوكمة إلى الدليل يعني قبول أن الدليل على المسار الحرج لعمليات الوكيل، وأن انقطاع الدليل هو انقطاع الوكيل.
هذه المقايضة تستحق عادةً، لأن البديل هو سطح وصول لا يستطيع أحد مراجعته. لكن يجب اتخاذها صراحةً، لا اكتشافها أثناء حادث. التخفيف هو التخزين المؤقت والرموز قصيرة العمر بدلالات إلغاء واضحة، وليس التخلي عن الدليل كمصدر للحقيقة.
ما يجب قياسه
المقياس الأساسي هو نسبة الاستحقاقات الممنوحة إلى المستخدمة، لكل وكيل، وتُراجع وفق جدول زمني. تشمل المقاييس الثانوية الوقت من مغادرة الراعي إلى تعليق الوكيل، ونسبة الوكلاء الذين لديهم تاريخ انتهاء محدد. هذه استعلامات دليل، وليست سجلات إطار عمل، وهذا هو المقصود: يجب أن تكون أسئلة الحوكمة قابلة للإجابة من نظام السجلات، لا إعادة بنائها من قياسات التطبيق.
حوكمة هوية الوكيل ليست ميزة في إطار عمل الوكيل. إنها خاصية في الدليل، ولا تعمل إلا عندما يصدر الدليل الهويات التي يستخدمها الوكلاء ويحدد نطاقها ويراجعها ويلغيها.