Ролевая модель KeyStack

Ролевая модель платформы KeyStack определяет доступ ко всем компонентам платформы. Контроль доступа к сервисам основан на модели RBAC (role-based access control). Пользователи получают доступ к различным программным интерфейсам в зависимости от их роли в проекте, домене или контексте системы. Эти роли могут назначаться любому субъекту (пользователю или группе) для любых сущностей (контекст системы, домен, проект).

Принципы организации ролевой модели

Ролевая модель построена по принципу наименьших привилегий. При применении ролевой модели:

любой доступ, включая доступ к обрабатываемым на платформе данным, осуществляется на основании перечисленных ролей;
доступ предоставляется только в рамках роли, получаемой из централизованного сервиса управления доступом к информационным ресурсам по результатам аутентификации пользователя, локальные роли не используются;
использование локальных технологических учетных записей для исполнения задач пользователей и администраторов запрещено;
исключена возможность доступа администратора к паролям и другим конфиденциальным данным пользователей системы.

Описание ролевой модели

Ролевая модель платформы KeyStack состоит из пяти базовый ролей:

admin - администратор платформы. Эта роль дает максимальные привилегии доступа во всей платформе: развертывает и конфигурирует регионы, может проводить все day-2 операции через LCM, обладает всеми правами для работы с виртуальными элементами платформы.

operator - сотрудник эксплуатации региона. Эта роль дает права, необходимые для осуществления процесса эксплуатации региона.

security_auditor - специалист информационной безопасности. Обладает правами просмотра конфигураций компонентов, а также просмотра событий на SIEM.

reader - непривилегированный оператор платформы. Роль предоставляет доступ только на чтение для контекста системы, домена или проекта. Дает возможность просмотра конфигурации региона, компонентов региона, виртуальных элементов.

member - учетная запись пользователя платформы. Дает пользователю ограниченные права на использование ресурсов в рамках проекта (тенанта). Эта роль используется для доступа к ресурсам, принадлежащим проекту, с возможностью взаимодействия с ними, но без административных привилегий. Например, пользователи с ролью member в проекте могут просматривать, создавать и удалять ВМ.

Ролевая модель KeyStack реализуется в интеграции платформы с централизованным сервисом идентификации и аутентификации заказчика, например, Active Directory/LDAP. При этом возможно назначить роли KeyStack группам пользователей из централизованного каталога организации. Каждой роли KeyStack могут быть сопоставлены несколько групп LDAP.

Роли KeyStack получают различные привилегии в компонентах платформы. Например, роль operator KeyStack соответствует роли Developer в GitLab.