Доступ без вечного admin: MFA, PAM и audit trail

Цифровая идентичность представляет субъекта в системе. Установление личности связывает реального человека с учётной записью, а аутентификация позже проверяет привязанное средство аутентификации.

Фактор — это знание, владение или биометрическое свойство. MFA требует разных факторов, но одноразовый пароль всё ещё можно передать через фишинговую страницу.

Устойчивый к фишингу протокол связывает ответ с настоящим проверяющим. Passkey делает это через открытый ключевой идентификатор, ограниченный RP; синхронизируемый и привязанный к устройству варианты имеют разные модели восстановления.

В федерации IdP выдаёт утверждение, а RP его проверяет. SSO описывает удобный вход в несколько приложений, но не весь протокол доверия федерации.

Авторизация определяет точный ресурс и действие. RBAC выдаёт разрешения через роли, но широкая роль всё равно нарушает принцип минимальных привилегий.

Привилегированная учётная запись имеет большой радиус поражения. PAM должен управлять выдачей, областью действия, длительностью и доказательствами, а не только хранить пароль.

JIT ограничивает время активной роли, JEA — доступные команды. Для узкого административного пути нужны обе границы.

Разделение обязанностей разводит конфликтующие этапы по разным идентичностям. Запись сеанса сохраняет команды, но сама не блокирует опасную операцию.

Сервисная учётная запись — отдельная нечеловеческая идентичность с владельцем и узкими разрешениями. Общая человеческая учётная запись не становится сервисной только из-за имени.

Идентичность рабочей нагрузки связывает выполняемую нагрузку с проверяемым документом и может получать краткоживущие учётные данные без встроенного начального секрета.

Секрет — конфиденциальная возможность, а менеджер секретов хранит или генерирует материал и применяет политику. Само наличие хранилища не обеспечивает работающую ротацию.

Ротация обновляет хранилище, цель и клиентов. Срок жизни ограничивает окно, а отзыв досрочно аннулирует учётные данные — эти действия проверяют раздельно.

Аварийная учётная запись нужна при отказе федерации, MFA или штатного административного пути. Её отдельно защищают, контролируют и регулярно проверяют.

Проверка доступа периодически подтверждает членство и назначения; авторизацию во время выполнения она не заменяет, а удаления нужно действительно применить.

Журнал аудита — не один файл, а жизненный цикл формирования, передачи, хранения, анализа и срока хранения с достаточным контекстом событий.

Целостность аудита защищает записи и инструменты от несанкционированного изменения и удаления. Срок хранения не заменяет защиту от подмены, а неизменяемость не создаёт пропущенные события.