Ein MSP-Dienst kann viele Kunden in einer Konsole präsentieren und dennoch eine strikte Trennung ihrer Daten und Berechtigungen erfordern. Mandantenisolation bedeutet, dass jede Anfrage und jedes abgeleitete Artefakt innerhalb des Mandantenbereichs bleibt, auf den der aktuelle Prinzipal zugreifen darf. Ein Kunde Wähler in einem Browser ist keine Sicherheitsgrenze.
Kartieren Sie die Grenzen
Listen Sie Berichtsdatensätze, Domäneninventar, Konfigurationsvorschläge, Exporte, Prüfereignisse und geplante Jobs auf. Identifizieren Sie, wie jedes Objekt den Mandantenkontext überträgt und wo der Zugriff erzwungen wird. OWASPs Multi-Tenant-Anleitung behandelt den Mandantenkontext als Sicherheitsbedenken über die Anwendungs- und Datenebene hinweg; Die Autorisierungsrichtlinien empfehlen die standardmäßige Ablehnung und die Überprüfung jeder Anfrage.
Leiten Sie den Mandantenbereich aus vertrauenswürdigem, authentifiziertem Kontext und genehmigter Mitgliedschaft ab. Behandeln Sie eine in einer URL oder Nutzlast bereitgestellte Mandanten-ID als nicht vertrauenswürdige Eingabe zur Validierung und nicht als ausreichende Autorität. Wenn ein Hintergrundjob ausgeführt wird, behalten Sie den initiierenden Mandanten bei und überprüfen Sie erneut die für seine Aktion erforderlichen Berechtigungen. Kundenübergreifende MSP-Analysten benötigen explizite Multi-Tenant-Zuschüsse und keine Umgehung, die sich aus ihrer Berufsbezeichnung ableiten lässt.
Testen Sie Ressourcen und Abläufe unabhängig voneinander
Verwenden Sie zwei fiktive Kunden mit unterschiedlichen Berichten und Domänenobjekten. Versuchen Sie einen zulässigen Lesevorgang und tauschen Sie dann nur die Ressourcen-ID aus. Wiederholen Sie diesen Vorgang für den Export-Download, den vorgeschlagenen DNS Schreibvorgang und die Änderung der Benutzerverwaltung. Testen Sie direkte API-Anfragen, da eine unsichtbare Schaltfläche eine manipulierte Anfrage nicht verhindert. Durch die Bestätigung der Ablehnung werden keine Berichtsinhalte oder Objektdetails offengelegt, die für die Antwort unnötig sind.
Testen Sie zwischengespeicherte Ergebnisse, Suchindizes und generierte Exporte sowie Datenbankabfragen. Eine Abfrage mit korrektem Gültigkeitsbereich kann immer noch Daten über einen Cache-Schlüssel verlieren, der die Mandantenidentität auslässt. Für den Exportspeicher und die Downloadberechtigung sind eigene Negativtests erforderlich. Beziehen Sie Rollenänderungen, gesperrte Konten und entfernte Mitgliedschaften ein; Eine veraltete Sitzung darf entzogene Privilegien nicht auf unbestimmte Zeit aufrechterhalten.
Verfolgen Sie einen Bericht in sein exportiertes Artefakt
Angenommen, die Berichts-API von Mandant A lehnt Mandant B korrekt ab, aber ein zuvor generierter Export kann heruntergeladen werden, indem nur seine Objektkennung geändert wird. Der API-Test wurde innerhalb seines Umfangs bestanden, die Exportisolation ist jedoch fehlgeschlagen. Bewahren Sie die Anforderungs- und Artefaktbeweise auf, ohne unnötige Kundendaten zu sammeln, beschränken Sie den betroffenen Zugriff durch den autorisierten Vorfallprozess und untersuchen Sie die Gefährdung, bevor Sie das Pilotprojekt erweitern.
In einem anderen Fall verlässt ein Analyst das Konto, nachdem er einen Export geplant hat. Der Jobkonsument muss den vertrauenswürdigen Mandantenkontext wiederherstellen und die aktuelle Autorisierung überprüfen, wenn er die Arbeit ausführt. Eine historische Warteschlangeneinreichung ist keine dauerhafte Gewährung. Hierbei handelt es sich um hypothetische Fehlerszenarien, nicht um Ergebnisse eines tatsächlichen Produkts. Testen Sie sowohl einen gültigen, bereichsbezogenen Download als auch verbotene Anfragen an der realen API, an Job- und Speichergrenzen und behalten Sie dabei Identität, Mandant, Betrieb, Objekt und beobachtetes Ergebnis ohne Geheimnisse bei.
Definieren Sie Wiederherstellung und Beweise
Halten Sie Isolationsfehler in eingeschränkten Betriebsprotokollen von gewöhnlichen Fehlern aufgrund fehlender Ressourcen unterscheidbar und vermeiden Sie gleichzeitig unnötige Offenlegungen gegenüber Anrufern. Notieren Sie den Umfang des Vorfalls, die betroffenen Artefakte, die Eindämmung und die Ergebnisse der erneuten Tests. Löschen Sie Beweise nicht stillschweigend, um den Test sauber zu machen.
Die Akzeptanz erfordert erfolgreiche zulässige Pfade und fehlgeschlagene verbotene Pfade für alle relevanten Vorgänge. Eine einzelne übergebene Matrix beweist nicht, dass der gesamte Anwendungscode isoliert ist. Führen Sie Tests nach Änderungen an Berechtigungsmodell, Speicher, Cache, Export oder Jobsystem erneut aus. Bewerten Sie die gemeinsame Infrastruktur und den privilegierten Support-Zugriff explizit, mit zeitlich begrenzten Zuschüssen und Audit-Überprüfungen, wo nötig.