Haberlerdeki örüntü
Son kullanma pencereleri, çalışma ortasında oluşabilecek hataları önlemek için cömertçe ayarlanır. Ara sıra kırk dakika süren bir göreve yirmi dört saat geçerli bir kimlik bilgisi verilir. Çalışma normal şekilde sona erdiğinde yetkiyi hiçbir şey iptal etmez, çünkü normal sonlanma bir güvenlik olayı olarak görülmez. Sonuç, kimsenin risk yüzeyi olarak izlemediği bir atıl yetki birikimidir. Erişim incelemelerinde görünmez çünkü hiçbir zaman bir yetki olarak tahsis edilmemiştir; loglarda teknik olarak hâlâ canlı olan bir iş yükü kimliğinden gelen başarılı bir kimlik doğrulama olarak görünür.
Hata, agent'ın kötü niyetli olması değildir. Hata, yaşam döngüsünün terminal bir durumu olmamasıdır. Bir görev için verilen ve görevden sonra hiç iptal edilmeyen bir kimlik bilgisi geçici bir kimlik bilgisi değildir. Yanıltıcı bir ada sahip kalıcı bir yetkidir.
Son kullanma süresi neden tek başına çözmez
Yeterince uzun bir çalışma her zaman bir yenileme yoluna ihtiyaç duyar. Çok adımlı iş yapan her agent — veri çekme, araç çağırma, insan onayı bekleme, kararsız bir bağımlılığı yeniden deneme — sonunda kısa bir son kullanma süresini aşacaktır. Yenileme yolu, yetkilerin sessizce kalıcı hale geldiği yerdir. Yenileme otomatik ve kimliğe bağlıysa, agent kendi erişimini süresiz olarak yeniler ve son kullanma süresi bir kontrol değil, log gürültüsü üreten bir formalite haline gelir.
Zamana dayalı son kullanma süresi aynı zamanda görev tamamlanmasıyla ilişkisizdir. Tehlikeli pencere başarıdan sonraki dönemdir, öncesi değil. Bir saat içinde sona eren bir kimlik bilgisi, çalışma beş dakikada biterse ve yetki tamamlanmada iptal edilirse güvenlidir. Çalışma beş dakikada biterse ve yetki elli beş dakika daha yaşarsa güvensizdir. Son kullanma süresini kısaltmak pencereyi daraltır ama kapatmaz ve yeni bir hata modu getirir: kimlik bilgisi sona erdiği için görev ortasında başarısız olan çalışmalar, bu da operatörleri pencereyi tekrar uzatmaya iter. Kontrol, yanlış şeyi ölçtüğü için aşırı izin verici ile aşırı kırılgan arasında salınır.
Somut bir mekanizma bu boşluğu görünür kılar. Öznesi agent:researcher-07 ve kapsamı read:customer_records olan imzalı bir token olarak verilen bir yetkiyi düşünün. Token'ın exp değeri yirmi dört saattir. Ona ihtiyaç duyan çalışma sekiz dakikada tamamlandı. Kalan yirmi üç saat elli iki dakika boyunca, o token'ı sunabilen herhangi bir süreç — agent'ın kendisi, ele geçirilmiş bir araç, bir logdan yeniden oynatma — orijinal çalışmayla aynı erişime sahiptir. Token'ın öznesi çalışma değil agent'tır, dolayısıyla kimlik bilgisi otoritesinin işin bittiğini belirlemek için kullanabileceği bir iddia yoktur. İptal, token'ları agent kimliğine göre numaralandırmayı ve hangilerinin eskimiş olduğunu tahmin etmeyi gerektirir. Bu bir sözleşme değil, operasyonel bir tahmindir.
Her yetki için bir terminal durum
Çözüm, daha kısa bir son kullanma süresi değil, bir yaşam döngüsü sözleşmesidir. Her kimlik bilgisi bir çalışma tanımlayıcısına karşı verilir ve zorunlu bir terminal geçişi taşır: tamamlandı, başarısız oldu veya terk edildi. Yetkinin öznesi agent kimliği değil, çalışma tanımlayıcısıdır. Agent kimliği bir öznitelik olarak görünebilir, ancak yetkinin bağlandığı şey o değildir.
Terminal olayı orkestratör yayar. Çalışmaları başlatan ve durduran bileşen olduğu için bir çalışmanın ne zaman bittiğini zaten bilir. Çalışma terminal bir duruma ulaştığında, orkestratör kimlik bilgisi otoritesine bir olay yayar — run.completed, run.failed, run.abandoned. Kimlik bilgisi otoritesi olayı tüketir ve o çalışma tanımlayıcısına karşı verilen her yetkiyi iptal eder. İptal, agent'ın sorumluluğu değildir. Çöken, döngüye giren veya öldürülen bir agent'ın kendi ardını temizlemesine güvenilemez ve agent işbirliğine dayanan bir tasarım bir kontrol değildir.
Yenileme, yeni bir tanımlayıcı ve açık bir gerekçeyle yeni bir yetkidir. Bir çalışmanın daha fazla zamana ihtiyacı varsa, orkestratör aynı çalışma tanımlayıcısına karşı yeni bir kimlik bilgisi talep eder ve kimlik bilgisi otoritesi talebi bir gerekçeyle kaydeder: continuation: awaiting human approval. Denetim izi o zaman uzatma yerine devam göstermektedir. Geçmişi inceleyen bir operatör, sessizce yenilenen tek bir yetki yerine her biri başlangıcı ve sonu olan bir yetki dizisi görür. Ayrım önemlidir çünkü uzatma, geçici bir yetkinin kalıcı hale geldiği anı gizler; devam ise o anı açık ve incelenebilir kılar.
Ödünleşim gerçektir. Bir terminal durum sözleşmesi, orkestratörün çalışma yaşam döngüsünün yetkili kaynağı olmasını ve çalışma sona erdiğinde kimlik bilgisi otoritesine ulaşılabilmesini gerektirir. Orkestratör terminal bir olay yaymadan ölürse, yetki bir uzlaştırma süreci onu yakalayana kadar kalır. Bu uzlaştırma, aktif yetkileri aktif çalışmalarla karşılaştıran ve farkı iptal eden bir taramadır. Olay güdümlü iptalden daha yavaştır ve bir yetkinin çalışmasını aştığı bir pencere getirir. Sözleşme pencereyi ortadan kaldırmaz; onu sınırlar ve gözlemlenebilir kılar. Sınırlı bir pencereye bile tahammül edemeyen bir sistem farklı bir mimariye ihtiyaç duyar — orkestratörün tek sahibi olduğu, adım başına verilen kısa ömürlü token'lar — ancak bu mimarinin gecikme ve karmaşıklık açısından kendi maliyeti vardır. Terminal durum sözleşmesi pragmatik ortadır: net, denetlenebilir bir yaşam döngüs
Operasyonel kontroller
Agent kimliklerinin elinde tuttuğu kalıcı yetkileri numaralandırın ve bunları aktif çalışmalarla karşılaştırın. Fark, maruziyettir. Bu, çoğu ekibin zaten sahip olduğu iki veri kümesi arasında bir birleştirmedir: kimlik bilgisi otoritesinin verilen yetkiler listesi ve orkestratörün çalışan görevler listesi. Sorgu egzotik değildir, ancak nadiren çalıştırılır çünkü agent kimlik bilgileri genellikle yetki olarak değil altyapı olarak görülür.
Çalışmasını tanımlı bir marjdan fazla aşan yetkiler için uyarı verin. Marj teknik bir sabit değil, bir politika kararıdır. Birkaç dakikalık bir marj uzlaştırma gecikmesini karşılar; saatler süren bir marj terminal olayın yayılmadığını veya tüketilmediğini gösterir. Uyarı agent üzerinde değil yetki üzerinde tetiklenmelidir çünkü risk birimi agent değildir. Yetkidir.
Sahipsiz yetkileri, insan yetkileriyle aynı sıklıkta bir erişim incelemesi maddesi olarak ele alın. Bir insan çalışanın erişimi üç ayda bir inceleniyorsa, bir agent'ın kalıcı yetkileri de aynı takvimde ve aynı kanıt gereksinimleriyle incelenmelidir. İnceleme belirli bir soru sormalıdır: bu yetkiler hangi çalışmalarla ilişkili ve o çalışmalar hâlâ aktif mi? Aktif bir çalışmayla ilişkilendirilemeyen bir yetki yanlış pozitif değil, bir bulgudur.
Daha derin nokta şudur: agent kimlik bilgileri özel bir durum değildir. Onlar yaşam döngüsü olan yetkilerdir ve yaşam döngüsünün bir terminal duruma ihtiyacı vardır. Son kullanma süresi bir kimlik bilgisinin özelliğidir; sonlandırma bir yetkinin özelliğidir. İkisini karıştırmak, tamamlanmış bir çalışmayı kalıcı bir yetkiye dönüştüren şeydir. Çözüm daha kısa bir saat değildir. Çözüm şunu söyleyen bir sözleşmedir: iş bittiğinde erişim de biter.
Önce neyi enstrümante etmeli
Çalışma tanımlayıcısıyla başlayın. Yetkiler bir çalışmaya bağlanamıyorsa hiçbir yaşam döngüsü sözleşmesi mümkün değildir. Ardından, kimlik bilgisi otoritesi henüz tüketmiyor olsa bile orkestratörden terminal olayı yayın, böylece olay akışı var olur ve yeniden oynatılabilir. Sonra uzlaştırma taramasını kurun çünkü olay yolunun kapsamadığı her hata modu için bu bir arka korumadır. Sıra önemlidir: önce kimlik, ikinci olaylar, üçüncü uzlaştırma. İlk adımı atlamak, harekete geçirilemeyen uyarılar üretir; üçüncüyü atlamak, yalnızca diğer her şey doğru olduğunda doğru olan bir sistem üretir.