Delegowanie domeny jednostki biznesowej może zmniejszyć opóźnienia operacyjne, ale delegacja musi być węższa i jaśniejsza niż stwierdzenie, że subdomena jest własnością marketingu. Pełna strefa DNS , pojedyncza Selektor DKIM i konfiguracja aplikacji to różne granice uprawnień. Zdefiniuj, co lokalny zespół może zmienić, kto zatwierdza wykorzystanie biznesowe i co zespół centralny może jeszcze zaobserwować.
Zidentyfikuj delegowany obiekt
Zapisz nazwę właściciela DNS , typ rekordu, cel delegowania, konto usługi i operatora. Odróżnij delegację NS dla strefy podrzędnej od a CNAME używane w selektorze lub nazwie usługi. Operator strefy może publikować rekordy w obrębie delegowanej strefy, natomiast relacja selektora dotyczy określonej ścieżki wyszukiwania klucza. RFC 1034 wyjaśnia delegowanie stref, a RFC 6376 opisuje selektor DKIM i wyszukiwanie kluczy. Delegacja DNS; DKIM.
Nie wnioskuj o pozwoleniu biznesowym na podstawie możliwości technicznych. Dokumentuj dozwolone cele usług, domeny i klasy zmian, a także działania wymagające centralnego zatwierdzenia. Lokalny zespół może obsługiwać platformę kampanii bez uprawnień do tworzenia niepowiązanych nadawców lub osłabiania zasad. Zachowaj zgodność uprawnień dostępu z umową i przeglądaj rzeczywiste uprawnienia, zamiast polegać wyłącznie na zapisanych granicach.
Podziel pracę centralną i lokalną
Wykonalne rozwiązanie nakłada na właściciela lokalnego biznesu odpowiedzialność za zatwierdzone wykorzystanie usług i cykl życia dostawcy, lokalnego operatora za konfigurację o określonym zakresie, a na zespole centralnym odpowiedzialność za widoczność, ryzyko związane z domeną współdzieloną i eskalację. Dostosuj te przypisania do rzeczywistej kontroli. Wyznacz zastępców i drogę awaryjną, aby centralna zależność nie stała się cichym wąskim gardłem w przypadku awarii.
Utrzymuj historię usług zawierającą cel, właściciela, istotność, tożsamość, tożsamość koperty, domenę podpisu, selektor, ostatni test i zatwierdzenie. Wymagaj lokalnych zmian, aby uzyskać dokładną różnicę i artefakt weryfikacji. NIST AC-6 i CM-5 obsługują najniższe uprawnienia i ograniczony dostęp do zmian; podział ról centralnych i lokalnych jest tutaj proponowanym wzorcem zarządzania, a nie obowiązkowym projektem departamentu. Katalog NIST.
Testuj widoczność niezależnie od lokalnego podpisu
Załóżmy, że lokalny zespół zmienia dostawcę za pomocą jednego delegowanego selektora DKIM i uzyskuje autoryzowaną próbkę z ważnym podpisem. Centralny spis nadal wskazuje poprzedniego dostawcę i nie otrzymuje żadnych zapisów o zmianach. Lokalne dowody podpisu nie zapewniają centralnej świadomości, więc luka w widoczności pozostaje nawet w przypadku pomyślnego wysłania usługi.
Oddzielne delegowanie stref wymaga szerszego przeglądu: należy określić, które wiarygodne zapisy kontroluje lokalny operator, wszelkie dalsze delegowane elementy podrzędne oraz zespoły centralne usług zależnych muszą w dalszym ciągu obserwować. Nie kopiuj listy kontrolnej wąskiego selektora i załóż, że obejmuje ona całą strefę. Są to hipotetyczne przypadki zarządzania, a nie wykryte obiekty DNS lub wykonane testy.
W przypadku autoryzowanego ćwiczenia należy zachować dokładnie zmieniony obiekt, mapę usług, zgodę i dowód, że zespół centralny otrzymał i zrozumiał zmianę. Dostęp do monitorowania i dostęp do zapisu DNS to odrębne możliwości.
Zdefiniuj bezpieczne wyjście
Umowa o delegowaniu powinna wyjaśniać, w jaki sposób usługi są migrowane lub wycofywane, kto usuwa rekordy, w jaki sposób obsługiwane są klucze i dane uwierzytelniające oraz co dzieje się, gdy lokalny właściciel opuści firmę. Spis współzależnych zależności przed odwołaniem dostępu. Jeśli konieczne jest przywrócenie kontroli centralnej, zaplanuj przejście strefy lub usługi wyraźnie, zamiast usuwać delegację i mieć nadzieję, że wszystkie rekordy pojawią się gdzie indziej.
Przejrzyj umowę po reorganizacji, zmianie dostawcy i zmianach w korzystaniu z domeny. Rejestruj wyjątki z zakresem, właścicielem i datą przeglądu. Celem nie jest centralizacja każdej małej operacji; ma to na celu zapewnienie, że delegowane funkcje, autoryzacja biznesowa i monitorowanie pozostaną połączone. Udany projekt umożliwia lokalnemu zespołowi szybkie działanie, a jednocześnie umożliwia kontrolę granic uprawnień i ich odzyskanie.
Dopasuj zapisaną granicę do efektywnego dostępu
Porównaj uprawnienia nazwanego obiektu DNS i usługi z tym, co operator może faktycznie modyfikować. Umowa ograniczona do jednej kampanii nie jest egzekwowana, jeśli na koncie można zmieniać niepowiązane rekordy. Poproś o odpowiednią zmianę dostępu o określonym zakresie w ramach autoryzowanego procesu i zachowaj oddzielnie centralny wgląd.