Illimita l-awtorità ta' aġent

Iddeskrivi l-kompitu qabel tagħti aċċess

Aġent li jaqra kodiċi jeħtieġ awtorità differenti minn aġent li jagħmel deployment ta’ servizz. Tagħtix iż-żewġ settijiet ta’ permessi għax l-istess prodott jappoġġa ż-żewġ azzjonijiet.

Uża tliet partijiet biex tiddefinixxi l-awtorità: azzjoni, riżorsa u kundizzjoni. Għal korrezzjoni fittizja ta’ rapport, l-aġent jista’ jikteb fuq feature branch wieħed waqt li l-kompitu jkun attiv. Jista’ jaqra fajls approvati tar-repożitorju. Ma jistax ibiddel id-data tal-produzzjoni jew ir-regoli tal-protezzjoni tar-repożitorju.

L-infurzar eżatt jiddependi fuq l-għodda. Jekk token ma jistax jesprimi restrizzjoni għal branch, uża kontrolli addizzjonali tar-repożitorju jew servizz ta’ eżekuzzjoni. Iddokumenta b’mod onest l-awtorità li tibqa’.

Infurza l-limitu barra mill-mudell

Prompt mhuwiex sistema ta’ kontroll tal-aċċess. Il-komponent tal-eżekuzzjoni jrid jiċċekkja l-azzjoni mitluba u l-mira skont il-permessi attwali. Ma għandux jaċċetta stqarrija tal-mudell li diġà teżisti approvazzjoni.

AWS jirrakkomanda permessi limitati u kredenzjali temporanji għal workloads xierqa. OWASP japplika raġunament simili ta’ privileġġ minimu għall-aġenti u l-għodod tagħhom. Dawn il-prinċipji jeħtieġu implimentazzjoni fis-sistemi reali tal-identità u tal-eżekuzzjoni. Gwida ta’ AWS IAM, gwida ta’ OWASP għall-aġenti.

Uża kredenzjali b’ħajja qasira fejn dan ikun appoġġjat. Żomm sigrieti mhux relatati barra mill-ambjent. Kompitu ta’ qari biss f’repożitorju ma għandux jiret password tad-database tal-produzzjoni mis-shell tal-iżviluppatur.

Orbot l-approvazzjoni mal-azzjoni reali

Approvazzjoni biex titħejja bidla ma timplikax approvazzjoni għad-deployment tagħha. Deċiżjoni ta’ deployment għandha tidentifika l-artifact, l-ambjent fil-mira u l-kundizzjonijiet rilevanti. Jekk dawn jinbidlu, id-deċiżjoni preċedenti tista’ ma tibqax tapplika.

Ikkunsidra aġent li jipproponi qari sigur minn database, imbagħad jeżegwixxi query differenti wara li jirċievi approvazzjoni. Mekkaniżmu utli ta’ approvazzjoni jiċċekkja l-operazzjoni li fil-fatt titħaddem. Messaġġ ġeneriku ‘kompli’ mingħajr mira definita jista’ jaħbi din id-differenza.

Issepara wkoll l-identità mill-kapaċità. Irreġistra liema persuna jew workload beda l-eżekuzzjoni. Ivverifika li l-identità li bdietha għad għandha permess meta sseħħ l-azzjoni. It-tneħħija tal-aċċess ta’ persuna għandha jkollha effett espliċitu fuq ix-xogħol fil-kju.

Ittestja ċaħda u interruzzjoni

Ivverifika aktar mir-rotta li tirnexxi. F’ambjent tat-test iżolat, ipprova azzjoni barra mir-riżorsa permessa. Ikkonferma li s-sistema tal-eżekuzzjoni tirrifjutaha. Spezzjona l-avveniment tal-awditjar mingħajr ma tirreġistra kredenzjali.

Imbagħad ittestja l-kanċellazzjoni jew l-iskadenza tal-kredenzjali. Iddetermina liema xogħol jieqaf immedjatament u liema operazzjoni tista’ titlesta. Buttuna biex twaqqaf mhux neċessarjament treġġa’ lura azzjoni li diġà laħqet sistema oħra.

Żomm rekord żgħir tal-permessi mal-kompitu. Inkludi l-persuna responsabbli, l-ambitu approvat, il-kontrolli reali, it-test taċ-ċaħda u l-iskadenza. Dan jagħmel reviżjoni sussegwenti speċifika biżżejjed biex ittejjeb il-fluss tax-xogħol.