تبدأ هندسة الأمن بتحديد الجهات المخولة بالتعامل مع مورد ما، والمسارات التي يمكن من خلالها الوصول إليه، والأدلة التي توثق النتائج. وتتمثل أصغر حدودنا في “حاوية تخزين” (bucket) ضمن خدمة Cloud Storage في مشروع واحد على Google Cloud، حيث يتم الوصول إليها بواسطة خدمة Cloud Run. وستعمل هذه الدورة التدريبية على توسيع نطاق هذه الحدود لتشمل ضوابط تتعلق بالهوية، والشبكة، والتشفير، والكشف عن التهديدات، والتحقق.
تُتيح خدمة إدارة الهوية والوصول (IAM) لكيان ما (principal) تنفيذ إجراء مسموح به على مورد معين. ويمكن لسياسات السماح في IAM أن تنتقل بالوراثة من مستوى المؤسسة أو المجلد أو المشروع وصولاً إلى حاوية التخزين. ويُعد “حساب الخدمة” (service account) هوية مخصصة لحمل العمل (workload)، وليس حساباً لمسؤول بشري؛ لذا فإن منح إذن الوصول إلى الحاوية لحساب خدمة وقت التشغيل (runtime service account) فقط يحد من نطاق الطلبات على مستوى “مستوى البيانات” (data plane).
تتحكم ضوابط الشبكة في مسارات حركة البيانات (traffic paths) بدلاً من التحكم في أذونات الموارد. فعلى سبيل المثال، تُقيّم قواعد جدار حماية VPC حركة البيانات الخاصة بواجهات شبكة Compute Engine. وتتولى خدمة إدارة مفاتيح السحابة (Cloud KMS) إدارة مفاتيح التشفير التي يتحكم فيها العميل للموارد المدعومة، بينما تقوم خدمة مركز قيادة الأمن (Security Command Center) بجمع معلومات حول الوضع الأمني ونتائج الكشف عن التهديدات. ونظراً لأن كل ضابط أمني يجيب عن سؤال مختلف، فلا يمكن لأي منها أن يحل محل آلية التفويض في IAM.
لنستعرض كيف تتلاقى ضوابط المؤسسة والمشروع والمورد عند حدود حمل عمل واحد.
لنفترض أن المشروع example-payments-project يستضيف خدمة Cloud Run في المنطقة us-central1. يقوم حساب الخدمة الخاص بوقت التشغيل (runtime service account) بكتابة الإيصالات المعتمدة في الحاوية example-receipts-bucket. وتتولى مجموعة من المسؤولين مراجعة الإعدادات، بينما يقوم حساب خدمة منفصل مخصص للتكامل والتسليم المستمرين (CI/CD) بنشر التحديثات. ويحول فصل هذه الهويات دون تحول بيانات اعتماد النشر تلقائياً إلى بيانات اعتماد تتيح الوصول إلى البيانات.
يتضمن نموذج التهديدات سيناريوهات مثل اختراق بيانات اعتماد المطور، وتعيين دور واسع النطاق للغاية لوقت التشغيل، وتصدير البيانات بشكل غير مقصود. لا تحتاج خدمة Cloud Run إلا إلى الصلاحيات اللازمة للتعامل مع الحاوية (bucket) المحددة، وتحتاج مجموعة المسؤولين إلى وصول إداري خاضع للرقابة، بينما تحتاج هوية النشر إلى أذونات للنشر فقط، وليس صلاحيات إدارية تشغيلية واسعة. وهذا يرسخ مبدأ “الحد الأدنى من الامتيازات” (least privilege) كمتطلب قابل للاختبار والتحقق، بدلاً من كونه مجرد نية عامة.
لنستعرض تصوراً للهويات والمنطقة الجغرافية ومورد البيانات التي تحدد النطاق الأمني لعبء العمل هذا.