Доступ к приложению#

Запуск приложения#

Доступ к компоненту осуществляется через CLI либо с помощью Jenkins.

При использовании CLI необходимо получить доступ к терминалу одного из серверов, доступ возможен как удаленный (с использованием преднастроенных методов удаленного подключения), так и прямой (непосредственно физический доступ к серверу).

При использовании Jenkins используется настроенная на данном экземпляре Jenkins модель авторизации и аутентификации.

Оператору необходимо самостоятельно определить методы защиты информации исходя из уровня ее конфиденциальности и рекомендаций информационной безопасности.

Вход и выход#

Не применимо.

Порядок доступа#

Не применимо.

Роли пользователей#

Таблица. Описание ролевой модели.

Наименование ролей	Описание ролей	Наименование привилегий	Описание привилегий
Producer	Роль для создания топика	Topic Create	Право create дается при назначении роли producer автоматически, при этом ограничение на конкретный топик и его предсоздание делает данное право вырожденным
Producer	Роль для получения метаданных топика	Describe	Для получения метаданных топика
Producer	Роль для записи	Write	Требуется для записи событий
Producer	Роль для идемпотентной записи в кластер	IdempotentWrite	Позволяет идемпотентную запись в кластер (т.е. на стороне поставщика происходит дедубликация записей)
Producer	Роль для права записи в `transactional.id`	Write	Право за запись в `transactional.id`. Добавление партиций в транзакцию. Инициализация Producer. Для завершения транзакции. Для смещения офсета в транзакции
Producer	Роль для поиска координатора транзакций	Describe	Поиск координатора транзакций
Consumer	Роль для получения метаданных топика	Describe	Для получения метаданных топика
Consumer	Роль для для чтения событий	Read	Требуется для чтения событий
Consumer	Роль для для организации групп потребителей и получения метаданных по группе для участия в балансировке	Read	Требуется для организации групп потребителей и получения метаданных по группе для участия в балансировке
Инженер мониторинга	Роль для просмотра списка групп	Describe	Требуется для просмотра списка групп
Инженер мониторинга	Роль для просмотра списка топиков, репрезентующих события	Describe	Требуется для просмотра списка топиков, репрезентующих события
Инженер мониторинга	Роль для получения конфигурация брокеров кластера без возможности изменения	DescribeConfigs	Позволяет получать конфигурацию брокеров кластера без возможности изменения
Система мониторинга	Роль для просмотра списка групп и отображении информации по ним в системах мониторинга	Describe	Требуется для просмотра списка групп и отображении информации по ним в системах мониторинга
Система мониторинга	Роль для просмотра списка топиков, репрезентующих события и отображении информации по ним в системах мониторинга	Describe	Требуется для просмотра списка топиков, репрезентующих события и отображении информации по ним в системах мониторинга
Система мониторинга	Роль для получения конфигурации брокеров кластера без возможности изменения	DescribeConfigs	Позволяет получать конфигурацию брокеров кластера без возможности изменения
Администратор доступа	Роль для создания топиков, репрезентующих события	Create	Требуется для создания топиков, репрезентующих события
Администратор доступа	Роль для просмотра списка топиков, репрезентующих события	Describe	Требуется для просмотра списка топиков, репрезентующих события
Администратор доступа	Роль для создания топиков, репрезентующих события	Create	Требуется для создания топиков, репрезентующих события
Администратор доступа	Роль для для просмотра записей в ACL	Describe	Требуется для просмотра записей в ACL
Администратор доступа	Роль для для создания и удаления записей в ACL	Alter	Требуется для создания и удаления записей в ACL
Инженер сопровождения	Роль для запрета модификации	Alter	Запрет модификации ACL
Инженер сопровождения	Роль для всех прав	All	Все права
Брокер	Роль для всех прав, кроме тех, что Deny	All	Все права, кроме тех, что Deny
Администратор безопасности	Роль для получения списка записей в ACL	Describe	Позволяет получать список записей в ACL
Администратор безопасности	Роль для модифицирования списка записей в ACL (добавлять и удалять записи, понятия «изменение существующей записи» в модели отсутствует)	Alter	Позволяет модифицировать список записей в ACL (добавлять и удалять записи, понятия «изменение существующей записи» в модели отсутствует)

Сущности ролевой модели доступа#

В модели доступа событийного сегмента представлены следующие роли пользователей с отличающимися правами:

Producer — поставщик события(ий). Осуществляет публикацию событий в один или несколько доменов событийного сегмента (ТУЗ).
Consumer — потребитель события(ий). Осуществляет чтение событий из одного или нескольких доменов событийного сегмента. Одна и та же АС может одновременно являться продюсером и консьюмером для различных событий (ТУЗ).
Support monitoring (Инженер мониторинга) — инженер сопровождения, осуществляющий мониторинг работы одного или нескольких доменов событийного сегмента (УЗ).
Monitoring System (Система мониторинга) — автоматизированная система, осуществляющая мониторинг работы одного или нескольких доменов событийного сегмента (ТУЗ).
Access manager (Администратор доступа) — инженер сопровождения, который может предоставлять или запрещать доступ для продюсера и консьюмера, а также создавать сущности шины событий для предоставления доступа. Данный набор прав также предоставляется администраторам информационной безопасности (УЗ).
Maintenance engineer (Инженер сопровождения) — инженер централизованной инфраструктуры, сопровождающий кластер. Имеет все права, за исключением модификации прав доступа (УЗ).
Broker (Брокер) — учетная запись брокера кластера. Имеет все права (ТУЗ).
InfoSec Admin (Администратор безопасности) — АИБ, возможность запрещать и разрешать доступ к ресурсам (УЗ).

Матрица несовместимости ролей#

-	Producer	Consumer	Инженер мониторинга	Система мониторинга	Администратор доступа	Инженер сопровождения	Брокер	Администратор безопасности
Producer	+	+	-	-	-	-	- -
Consumer	+	+	-	-	-	-	-	-
Инженер мониторинга	-	-	+	-	-	+	-	-
Система мониторинга	-	-	-	+	-	-	-	-
Администратор доступа	-	-	-	-	+	-	-	-
Инженер сопровождения	-	-	+	-	-	+	-	-
Брокер	-	-	-	-	-	-	+	-
Администратор безопасности	-	-	-	-	-	-	-