Wie beschränke ich den Zugriff nach dem Prinzip der minimalen Berechtigung?
das heygrc team
Gewähren Sie nur die Zugriffe, die jede Rolle oder jeder Dienst benötigt, verweigern Sie standardmäßig den Zugriff und vermeiden Sie Wildcards. SOC 2 (CC6.1) prüft den logischen Zugriff, und das Prinzip der minimalen Berechtigung ist genau das, was ein Prüfer stichprobenartig überprüft: Kann jede Identität nur das tun, was für ihre Aufgabe erforderlich ist, und nichts darüber hinaus?
Berechtigungen auf die Aufgabe beschränken
Gewähren Sie einer Rolle oder einem Token die spezifischen Berechtigungen, die sie benötigt (die genauen Aktionen auf den genauen Ressourcen), und nicht eine breite Wildcard, die diese zufällig abdeckt. Die Wildcard ist jetzt praktisch und später ein Befund.
Standardmäßig verweigern
Beginnen Sie mit keinem Zugriff und fügen Sie nur hinzu, was erforderlich ist, sodass eine Lücke standardmäßig geschlossen bleibt. Eine Standarderlaubnis mit Ausnahmen neigt dazu, Zugriffe zu gewähren, die niemand beabsichtigt hat.
Zugriff bei Erweiterung überprüfen
Wenn eine Änderung eine Berechtigung erweitert, ist dies der Moment, um sie gegen das Prinzip der minimalen Berechtigung zu prüfen – genau dafür dient eine Überprüfung des Diffs.
statement {- actions = ["s3:*"]+ actions = ["s3:GetObject", "s3:PutObject"]}Die Berechtigung wird von allen S3-Aktionen auf die beiden Aktionen eingegrenzt, die der Dienst tatsächlich verwendet.