コードとしてのポリシー

第3章. コードとしてのポリシーとアクセス・コントロール

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

第 2 章では、OPA がさまざまなニーズに合わせて複数の演算モードを提供することを発見した。 OPAポリシー言語であるRegoを探求し、構造化データの評価と推論にどのように使用できるかを学んだ。

オペレーティング・システム、サポートするアプリケーション、あるいは管理するデータにかかわらず、アクセス・コントロールは不可欠な要素である。実際、新しいソリューションを構築する際、アクセス・コントロールは後回しにすべきではない。アクセス・コントロールは、誰が、あるいは何が、あなたのシステムで演算子を実行できるか、どのような演算子を実行できるか、そしていつ、どのような状況で、あるいはどのようなコンテキストで、それらの演算子を実行できるかを決定する。

アクセス制御は、認証（AuthN）と認可（AuthZ）の2つの主要なプロセスに分けられる。AuthNは、ユーザまたはシステムが本人であると主張し、アイデンティティ・プリンシパ ルおよび属性という形で証拠を提供することを決定するために使用される。身元が確認されると、AuthZは、行為者がシステム内でどのような特権を持つかを決定するために使用される。

この章では、まず特権アクセス管理について、なぜ特権アクセス管理が存在するのか、 そして一般的に使われるPAMのタイプについて説明する。そして、ロールベースと属性ベースのアクセス制御モデルを紹介し、PaCをこれらのモデルと共に使用することで、よりダイナミックなAuthZサービスを提供する方法を紹介する。また、ポリシーエンジンと、ポリシーエンジンがAuthZの決定に使用する成果物を管理する際の運用負担を軽減するツールについても紹介する。

特権アクセス管理

適切に保護されたシステムはすべて、アクセス権を制御し、ユーザに異なるレベルのアクセス権を提供する。 特権アクセス管理 （Privileged Access Management ：PAM）とは、アクセス制御下にあるシステムで誰が何をできるかを制御するために設計、実装、統合されたテクノロジーとサイバーセキュリティ・アプローチの集合体である。 PAMの背後にある考え方は、誰が、何が、いつ、どのくらいの期間、特権アクセスを取得できるかを制御することである。PAMはまた、監査可能性のためにアクセス決定のロギングも含む。

最小権限の原則（PoLP）は、認証されたシステムプリンシパル（別名システムアクター） にアクセスを割り当てるための、よく知られたPAM標準である。PoLPの下では、システム・アクターは、そのアクターが必要とし、持つことが許可されているパーミッションだけを受け取り、システムとの相互作用のために必要な時間だけそのアクセスを得る。例えば、役割ベースのアクセス制御（RBAC）モデルの下では、システム・アクターに付与されるパーミッションは、アクターがセキュリティで保護されたシステム内で持つペルソナや役割に基づいている。 このコンテキストでは、パーミッションは、プリンシパルが実行できるアクションを定義するシステム内の規則である。 役割の仮定の一部として返される資格情報は、限られた期間のみ有効である。PoLP では、アクターにはロールが代入され、そのロールは有限時間のパーミッションの有限セットと関連付けられる。そしてアクターは、代入されたロールが許可する ...