مورّدان، أثر واحد مفقود
يُعد Agentic Identity Hub 3.0 من Descope وAI Passport من ServiceNow استجابتين منطقيتين لمشكلة حقيقية: المتصلون من غير البشر يتكاثرون أسرع مما صُمم نظام الهوية لاستيعابه. يتبنى المنتجان موقفًا معماريًا مشابهًا. يحصل الوكيل على اعتماد، ويُقدَّم هذا الاعتماد إلى بوابة أو واجهة برمجة تطبيقات، وتقرر الخدمة المستقبِلة ما إذا كانت ستحترم الاستدعاء. تُصوّر التغطية الصحفية حول كلا الإعلانين هذا الأمر كاختراق في مجال الهوية (تغطية Descope، تغطية ServiceNow.
كلاهما يفترض شيئًا لا يوفره أي منهما. كل جواز سفر ومركز وصيغة اعتماد تفترض وجود كيان رئيسي قابل للحل على جانب المؤسسة: معرّف مستقر للوكيل، ومالك مُسمّى (بشري أو نظام)، ونطاق محدد، ودورة حياة. في معظم المؤسسات، لا يوجد هذا السجل بأي شكل موثوق. تعيش الكيانات الرئيسية للوكلاء في حالة Terraform، ومساحة أسماء حساب خدمة Kubernetes، ووحدة تحكم مورّد، وجدول بيانات يحتفظ به من كان آخر من تم تصعيد المشكلة إليه.
الوكلاء الظلّيون هم العَرَض المرئي. السبب هو دليل كيانات رئيسية غير مكتمل. عندما لا يوجد مكان قانوني لتسجيل وكيل، تسجله الفرق حيث يحدث العمل، وتكون الجرد الناتج عبارة عن مجموعة من العروض الجزئية التي لا تستطيع أي عملية حوكمة التوفيق بينها. الاعتماد الصادر ضد كيان رئيسي غامض لا يصلح هذا؛ بل يضيف توقيعًا تشفيريًا إلى سؤال غير محسوم.
ما لا يستطيع جواز السفر إثباته
يُثبت الاعتماد من يتصل. لكنه لا يُثبت ما كان المتصل مخوّلًا بفعله في تلك اللحظة، ولا يُثبت أن التخويل لا يزال ساريًا. تلك أسئلة دليل، وتُجاب عنها ببيانات لا تحملها صيغة الاعتماد.
تأمل سلسلة تفويض. يُخوّل مشغّل بشري وكيل تنسيق، الذي يولّد وكيلًا فرعيًا، الذي يستدعي أداة. قد تصدر كل قفزة رمزًا مشتقًا. تكون السلسلة سليمة فقط إذا كان لها حالة نهائية: عندما يُلغى تخويل الشخص، يجب أن يصبح كل رمز مشتق في المصب غير قابل للاستخدام. بدون هذه الخاصية، يكون الإلغاء استشاريًا. يستمر الوكيل الفرعي في العمل لأن رمزه وُقّع عندما كانت السلسلة صالحة ولا يحمل أي شيء في الرمز مؤشرًا يعود إلى إدخال الدليل الذي يمكن أن يبطله.
هذه مشكلة حساب الخدمة طويل الأجل بمفردات جديدة. حساب خدمة بسر ثابت وبدون انتهاء صلاحية خطير لأنه لا شيء يفرض مراجعة. جواز سفر وكيل بدون ارتباط بدورة حياة له نفس الشكل: يُثبت الهوية عند الإصدار ولا يقول شيئًا عن ما إذا كان الكيان الرئيسي وراءه لا يزال موجودًا، أو لا يزال له نفس المالك، أو لا يزال يحمل نفس النطاقات.
إحدى الآليات الملموسة التي تعالج هذا هي جعل الاعتماد قصير الأجل وربط كل رمز بمراجعة سجل. يحمل الرمز معرّف كيان رئيسي وطابع إصدار سجل. لا تثق البوابة بالتوقيع وحده؛ بل تحل الكيان الرئيسي مقابل السجل في وقت الطلب وترفض الاستدعاء إذا تجاوزت مراجعة السجل طابع الرمز بطريقة تغيّر النطاق أو الملكية. يصبح الإلغاء عندئذ كتابة في السجل، ويعتمد الانتشار على مدى سرعة تحديث البوابات لعرضها للسجل بدلًا من عدد الرموز الصادرة.
المقايضة الصادقة هي زمن الاستجابة والاقتران. كل طلب يتضمن الآن بحثًا في الدليل أو عرضًا مخبأً بزمن حياة قصير. هذا البحث تبعية: إذا كان السجل غير متاح وانتهت صلاحية الذاكرة المؤقتة، فإن الوضع الافتراضي fail-closed يرفض حركة المرور المشروعة. الفرق التي تختار fail-open لحماية التوافر قد أعادت المشكلة الأصلية، لأن ذاكرة مؤقتة قديمة وكيانًا رئيسيًا ملغى يبدوان متطابقين من منظور البوابة. قرار التصميم ليس ما إذا كان يجب إضافة هذه التبعية بل أين توضع وكيف يُحدّ نطاق التأثير عند فشلها.
تسلسل يبدأ بالسجل
الترتيب العملي هو السجل، ثم النطاقات، ثم صيغة الاعتماد. اختيار منتج جواز سفر قبل وجود دليل الكيانات الرئيسية يعني أن المنتج سيُهيأ وفقًا لأي جرد متاح، وهو الجرد الجزئي الذي تسبب في المشكلة.
ابدأ بتعداد الكيانات الرئيسية للوكلاء. لكل واحد، سجّل:
- معرّفًا مستقرًا ليس اسم وقت التشغيل الحالي، لأن أسماء وقت التشغيل تُغيَّر
- مالكًا، يُعبَّر عنه ككائن دليل بدلًا من اسم فريق في تذكرة
- النطاقات التي يجوز للوكيل ممارستها، كأزواج صريحة من المورد والإجراء
- تاريخ انتهاء أو مراجعة، بحيث لا يكون أي كيان رئيسي صالحًا إلى أجل غير مسمى افتراضيًا
- سلسلة التفويض التي يشارك فيها، بما في ذلك الكيانات الرئيسية التي يجوز لها توليده
هذا عمل غير جذاب وهو العمل الذي يحدد ما إذا كان أي شيء في المصب سيصمد. التعداد الذي ينتج قائمة بأسماء وكلاء بدون مالكين ونطاقات ليس سجلًا؛ بل هو جرد، ولن يدعم الإلغاء.
يجب أن تكون تغييرات النطاق أحداثًا خاضعة لضبط التغيير مع مُعتمِد مسجّل. الآلية أقل أهمية من الخاصية: عندما تتغير مجموعة نطاقات وكيل، يوجد سجل بمن وافق على التغيير ومتى، وينتج التغيير مراجعة سجل جديدة. تلك المراجعة هي ما تقرأه البوابات والبيئات المعزولة. البيئة المعزولة التي تهيئ بيئة وكيل يجب أن تقرأ النطاقات من السجل بدلًا من بيان مُلتزم إلى جانب كود الوكيل، لأن البيان ينحرف والسجل هو مصدر الحقيقة.
يجب أن يدعم نفس السجل مُصدر الاعتماد. عندما يُصدر المُصدر رمزًا، يقرأ الكيان الرئيسي ومجموعة النطاقات من السجل ويطبع المراجعة. عندما يتغير مالك، يتغير السجل ويعكس الإصدار التالي ذلك. عندما يُحال كيان رئيسي إلى التقاعد، يضع السجل علامة التقاعد وترفض البوابات الرموز التي تحمل ذلك المعرّف بغض النظر عن صلاحية التوقيع.
أين يجب أن تذهب ميزانية الحوكمة
الغريزة لشراء صيغة اعتماد أولًا مفهومة. جوازات السفر والمراكز قابلة للعرض، وتتوافق مع بند شراء، وتنتج أثرًا مرئيًا. السجل ينتج جدول بيانات ومجموعة من الجدالات حول الملكية، وهو أصعب في العرض وأصعب في التمويل.
لكن الاعتماد يأتي في المصب من الدليل. جواز سفر صادر ضد كيان رئيسي غير قابل للحل هو تأكيد موقّع لا يمكن التحقق منه مقابل أي شيء موثوق، ومركز يوجّه على مثل هذه التأكيدات هو مسار مجهّز جيدًا لنفس الوكلاء الظلّيين الذين كان يُفترض أن يكشفهم. السجل هو الأثر الذي يجعل الاعتماد ذا معنى، وهو الذي يجب أن يوجد أولًا. موّل التعداد ونموذج الملكية ومسار الإلغاء، ثم اختر الصيغة التي تقرأ منها.
الأسئلة الشائعة
لماذا لا يكفي الاعتماد وحده؟ يُثبت الاعتماد الهوية عند الإصدار. لا يحمل النطاق الحالي أو الملكية أو حالة دورة الحياة، لذا لا يمكنه الإجابة عما إذا كان المتصل لا يزال مخوّلًا في لحظة الاستدعاء.
ما الذي يجعل سلسلة التفويض قابلة للإلغاء؟ حالة نهائية في الدليل. عندما يُلغى تخويل الشخص المُصدر، يجب أن تصبح الرموز المشتقة غير قابلة للاستخدام، وهذا يتطلب من البوابات حل الرموز مقابل مراجعة سجل بدلًا من الثقة بالتوقيع وحده.
ما هو الحد الأدنى القابل للتطبيق لسجل الوكلاء؟ معرّف كيان رئيسي مستقر، ومالك مدعوم بالدليل، ونطاقات صريحة من المورد والإجراء، وتاريخ مراجعة أو انتهاء، وعلاقات التفويض التي يشارك فيها الكيان الرئيسي.
ما هي التكلفة الرئيسية لهوية تبدأ بالسجل؟ كل طلب يعتمد على بحث في الدليل أو ذاكرة مؤقتة قصيرة الأجل. يحمي fail-closed الصحة على حساب التوافر أثناء انقطاع السجل؛ ويحمي fail-open التوافر على حساب ضمانات الإلغاء.