Um serviço MSP pode apresentar muitos clientes em um console e ainda precisar de uma separação estrita de seus dados e autoridade. O isolamento do locatário significa que cada solicitação e artefato derivado permanece dentro do escopo do locatário que o principal atual tem permissão para acessar. Um cliente seletor em um navegador não é um limite de segurança.
Mapeie os limites
Liste registros de relatórios, inventário de domínios, propostas de configuração, exportações, eventos de auditoria e trabalhos agendados. Identifique como cada objeto transporta o contexto do locatário e onde o acesso é imposto. Orientação multilocatário da OWASP trata o contexto do locatário como uma preocupação de segurança nas camadas de aplicativos e de dados; suas orientações de autorização recomendam a negação padrão e a verificação de cada solicitação.
Derive o escopo do locatário do contexto autenticado confiável e da associação aprovada. Trate um ID de locatário fornecido em uma URL ou carga útil como entrada não confiável para validação, e não como autoridade suficiente. Quando um trabalho em segundo plano for executado, preserve o locatário inicial e verifique novamente as permissões necessárias para sua ação. Os analistas de MSP entre clientes precisam de concessões explícitas para vários locatários, e não de um desvio inferido de seu cargo.
Teste recursos e operações de forma independente
Use dois clientes fictícios com relatórios e objetos de domínio distintos. Tente uma leitura permitida e troque apenas o ID do recurso. Repita para download de exportação, gravação DNS proposta e alteração no gerenciamento de usuários. Teste solicitações diretas de API porque um botão invisível não impede uma solicitação elaborada. A confirmação da negação não revela o conteúdo do relatório ou detalhes do objeto desnecessários para a resposta.
Teste resultados armazenados em cache, índices de pesquisa e exportações geradas, bem como consultas de banco de dados. Uma consulta com escopo correto ainda pode vazar dados por meio de uma chave de cache que omite a identidade do locatário. O armazenamento de exportação e a autorização de download precisam de seus próprios testes negativos. Incluir mudanças de função, contas suspensas e membros removidos; uma sessão obsoleta não deve preservar privilégios retirados indefinidamente.
Acompanhar um relatório em seu artefato exportado
Suponha que a API de relatório do locatário A negue corretamente o locatário B, mas uma exportação gerada anteriormente pode ser baixada alterando apenas seu identificador de objeto. O teste da API foi aprovado em seu escopo, mas o isolamento da exportação falhou. Preserve as evidências de solicitação e artefato sem coletar dados desnecessários do cliente, restrinja o acesso afetado por meio do processo de incidente autorizado e investigue a exposição antes de expandir o piloto.
Em outro caso, um analista sai da conta após agendar uma exportação. O consumidor do trabalho deve restabelecer o contexto do locatário confiável e verificar a autorização atual ao executar o trabalho; um envio de fila histórica não é uma concessão duradoura. Estes são cenários hipotéticos de falha e não resultados de um produto real. Teste um download com escopo válido e solicitações proibidas na API real, nos limites de trabalho e de armazenamento, mantendo a identidade, o locatário, a operação, o objeto e o resultado observado sem segredos.
Definir recuperação e evidência
Mantenha as falhas de isolamento distinguíveis dos erros comuns de recursos ausentes em logs operacionais restritos, evitando divulgações desnecessárias aos chamadores. Registre o escopo do incidente, os artefatos afetados, os resultados da contenção e do novo teste. Não exclua silenciosamente as evidências para tornar o teste limpo.
A aceitação requer caminhos permitidos com sucesso e caminhos proibidos com falha em todas as operações relevantes. Uma única matriz passada não prova que todo o código do aplicativo está isolado. Execute novamente os testes após alterações no modelo de permissão, armazenamento, cache, exportação ou sistema de trabalho. Avalie explicitamente a infraestrutura compartilhada e o acesso privilegiado ao suporte, com subsídios com prazo determinado e revisão de auditoria quando necessário.