Verhoging en intrekking

Het gewone werk vraagt geen verhoging. Teams hebben blijvende rechten op hun eigen naamruimten bij ontwikkelen en beproeven; in reguliere en bedrijfskritische productie lopen wijzigingen via versiebeheer, en het platform rolt uit met zijn eigen identiteit. Geen persoon heeft schrijfrechten in productienaamruimten buiten een verhoging.

Rechten kennen zes niveaus: lezen, schrijven in de eigen naamruimten bij ontwikkelen en beproeven, wijzigen in productie via versiebeheer, verhoging binnen de eigen dienst, platformbrede verhoging en de noodroute. Alleen de eerste drie zijn blijvend en zonder aanvraag.

Bevoorrechte rollen worden alleen gebruikt na een tijdelijke verhoging (just-in-time) of via een gecontroleerd noodproces (break glass).

Een verhoging is een tijdgebonden lidmaatschap van een groep in het identiteitsbeheer, dat na goedkeuring ingaat. Clusters en diensten koppelen die groep aan de extra rechten, en de toegangsvoorziening geeft het lidmaatschap mee bij de volgende aanmelding of vernieuwing van het toegangsbewijs. Op de einddatum, of eerder bij intrekking, verwijdert het identiteitsbeheer het lidmaatschap en beëindigt een draaiboek de lopende toegangsbewijzen en sessies met de rol op alle clusters van de cel.

Een verhoging duurt ten hoogste 4 uur en is eenmaal te verlengen, met een nieuwe goedkeuring. Zij vraagt een reden en een verwijzing naar een incident of wijziging, en een ander dan de aanvrager keurt haar goed: binnen de eigen dienst een ander teamlid, platformbreed binnen 15 minuten een tweede persoon van platformbeheer, buiten kantoortijd de dienstdoende platformbeheerder.

De verhoging voor de eigen dienst is de rol ‘<team>-verhoogd’ in midPoint, met verplichte reden en verwijzing, goedgekeurd door een tweede persoon en met een validTo van ten hoogste 4 uur; de teameigenaar krijgt een melding. In de clusters geeft de groep admin plus pods/exec en pods/portforward in de productienaamruimten van het team. Keycloak geeft de groepsclaim alleen via de aanmeldroute van de teampool, waar iedere sessie wordt opgenomen.

Platformbreed kent midPoint de rol ‘platformbeheer-verhoogd’ tijdgebonden toe, ten hoogste 4 uur, na goedkeuring door een tweede persoon en alleen vanaf de beheerwerkplek; de toekenning wordt aan het SOC gemeld. De groep geeft in de clusters clusterbeheerrechten. Bij verlopen of intrekking verwijdert midPoint het lidmaatschap en beëindigt het intrekkingsdraaiboek de toegangsbewijzen en sessies op alle clusters.

Voor doelsystemen zonder groepen geeft het geheimenbeheer een kort geldig bewijs uit met dezelfde einddatum als de verhoging, zoals tijdelijke beheerinloggegevens voor een database of het opslagcluster. Bij intrekking vóór de einddatum trekt het draaiboek ook deze bewijzen in, waar het doelsysteem dat toelaat; een bewijs dat niet tussentijds kan worden ingetrokken, is niet langer geldig dan de norm voor intrekking toelaat.

Het aantal verhogingen per team en per maand, de wachttijd van aanvraag tot werkzaam recht en de tijd tot intrekking per doelsysteem worden gemeten. Het aantal hoort te dalen, en geen verhoging is zonder verwijzing. Veel verhogingen kunnen wijzen op een gewoon pad dat tekortschiet, maar ook op storingen of misbruik; daarom wordt ook de oorzaak beoordeeld.

Een ingetrokken toegang werkt binnen 1 uur nergens meer op het platform, ook niet in lopende sessies, toegangsbewijzen, clustergroepen en gatewayverbindingen. Bij onmiddellijk vertrek of een beveiligingsincident gaat dat via de noodprocedure binnen 15 minuten. Toegangsbewijzen van OpenShift en eigen sessies van diensten gelden ten hoogste 1 uur.

Een intrekking start direct een synchronisatie naar de doelsystemen en een draaiboek dat bestaande toegangsbewijzen en sessies beëindigt, ook de clustergroepen en de verbindingen van de gateway. De synchronisatie ten minste ieder uur is het vangnet. Zo is de norm per doelsysteem meetbaar.