Beheerdersrechten die vanzelf verlopen, en een ondertekende review van wie ze heeft.
Een auditor of een klant vraagt wanneer bevoorrechte toegang voor het laatst is beoordeeld, en wat eruit kwam. Hier worden beheerdersrechten voor een venster toegekend, eindigen ze zonder dat iemand eraan denkt, en worden ze beoordeeld volgens een schema dat u instelt, met het resultaat ondertekend. CyFun telt bewijs van de uitvoering mee in de score, en PR.AA-05.4 is een sleutelmaatregel.
Twee uur prod, daarna sluit de toegang vanzelf.
Beheerdersrechten zijn een toekenning met een reden, een goedkeurder en een eindtijd. Elke verbinding onder de toekenning staat in de lijst met haar server en haar run, dus het antwoord op wie vorige dinsdag root had op prod is een opzoeking.
Access record /grant #a91c on prod
- Requested
- Alex Moreau @alex at 13:58:12, for patch nginx across prod
- Approved
- Dana Okafor @dana at 14:02:40
- Window
- 14:05:00 to 16:05:00, 2h
- Ended
- Expired on its own
| Time | Server | Through | Certificate |
|---|---|---|---|
| 14:32:11 | web-01 | run #4f2a | 5 min |
| 14:32:11 | web-02 | run #4f2a | 5 min |
| 14:32:12 | web-03 | run #4f2a | 5 min |
Vier regels die beheerderstoegang klein houden.
- Rollen per omgeving
- Iemand kan operator zijn in staging en kijker in prod, en twee uur prod krijgen wanneer het ticket dat zegt. De omgeving komt uit de hosts waar een plan op mikt, dus waarden voor prod draaien nooit per ongeluk tegen staging.
- Toekenningen die verlopen
- Een toekenning heeft een begin en een einde. Als ze eindigt, eindigt de toegang, en de toekenning blijft in de vastlegging staan met hoe ze eindigde.
- De goedkeurder heeft toegang
- Wie een run in een beschermde omgeving goedkeurt, moet zelf toegang hebben tot die omgeving.
- Niets te vervangen als iemand vertrekt
- Toegang verloopt vanzelf, dus wie vertrekt wordt verwijderd, in plaats van dat elke sleutel wordt vervangen.
Haal de toegang van een persoon overal weg, in één stap, met bewijs per host.
Vertrekt iemand, leg dan de uitdiensttreding vast. De toegang van die persoon verdwijnt in één stap uit elke omgeving en elke toekenning, en de vastlegging toont het host voor host.
- Eén stap, overal
- De persoon wordt uit elke omgeving verwijderd en elke toekenning die hij nog heeft, eindigt, zodat niemand hoeft te onthouden bij welke servers hij kon.
- Bewijs per host
- Voor elke host waar de persoon bij kon, toont de vastlegging dat de toegang weg is en wanneer ze eindigde, zodat het antwoord op de vraag of een vertrekker nog toegang heeft een opzoeking is.
Beoordeel wie toegang heeft, behoud of verwijder elke persoon, en onderteken.
De ondertekende review is de tweede vastlegging op de bewijspagina. Ze beslaat toegang die via Opafra loopt.
Access review /prod, 1 July to 30 September 2026
| Person | Access | Decision |
|---|---|---|
| Ada LovelaceOwner | Owner role | Kept |
| Bo ChenAdmin | No grant on prod | Kept, no access |
| Alex MoreauOperator | Grants, 2 hours at a time | Kept |
| Dana OkaforOperator | Standing grant, approver | Kept |
| Eli NovakViewer | View on staging | Removed, left the team |
Ada Lovelace, Owner, 2026-10-05 10:14. 1 change made.
Sleutelmaatregel: de review hoort bij PR.AA-05.4 (geen beheerdersrechten voor routinetaken). Tijdelijke toekenningen met een einddatum in plaats van vaste rechten ondersteunen dat. Hieronder staat de maatregel PR.AA-05.
De eis waarop dit antwoordtCyFun 2025, PR.AA-05
Toegangsrechten en autorisaties liggen vast in beleid, worden beheerd, gehandhaafd en beoordeeld, met minimale rechten en functiescheiding. Niemand heeft beheerdersrechten voor dagelijkse taken.
De review bewijst de beoordeling van toegang die via Opafra loopt. Accounts die op de servers zelf bestaan, beoordeelt u waar ze staan. Voor Uitvoeringsverordening (EU) 2024/2690 vraagt punt 11.3.3 een review van bevoorrechte accounts met regelmatige tussenpozen, waarvan de uitkomst wordt vastgelegd.
Drie dingen waar een auditor om vraagt.
- Iedereen met toegang, opgesomd
- Op het interval dat u instelt ziet de beoordelaar elke persoon met toegang tot een omgeving, zijn rol en zijn toekenningen.
- Een beslissing per persoon
- De beoordelaar behoudt of verwijdert elke persoon, en de beslissing wordt naast de persoon vastgelegd.
- Ondertekend, met de datum
- De vastlegging bewaart wie beoordeelde, wanneer, en wat er veranderde, zodat de review een document is en geen herinnering.
Beoordeel toegang één keer en onderteken.
Vertel ons welke omgevingen beheerdersrechten dragen en wie ze heeft. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.