Kanıtlarla cevaplanabilecek sorular sorun
Kurumsal kimlik doğrulama anketi, iş gereksinimlerini desteklenen davranışa, işletim sorumluluğuna ve kabul kanıtlarına bağlamalıdır. Evet veya hayır özellik sorularından oluşan uzun bir liste, önemli sınırlamaları gizleyebilir: Bir tedarikçi, alıcının ihtiyaç duyduğu belirli kiracıyı, yaşam döngüsünü veya dağıtım davranışını desteklemese de geniş bir kategoriyi destekleyebilir. Bu nedenle ankette neyin desteklendiği, hangi konfigürasyon altında desteklendiği, onu kimin çalıştırdığı ve cevabın nasıl doğrulanabileceği sorulmalıdır.
Bu makale bir anket yapısı önermektedir ve EmailAuth listelenen herhangi bir özelliği uyguladığını belirtmemektedir. Hiçbir tedarikçiyle iletişime geçilmedi ve anket yanıtı alınmadı. Microsoft'un paylaşılan sorumluluk kılavuzu Ve Azure'un çok kiracılı kimlik kılavuzu Önemli ayrımların resmi örneklerini sunarlar ancak değerlendirilen üründen elde edilen mevcut kanıtların yerini tutamazlar.
Kapsam ve karar sahipliğiyle başlayın
Önerilen müşteri popülasyonunu, etki alanlarını, gönderme iş akışlarını, dağıtım seçeneğini, gerekli entegrasyonları ve amaçlanan yöneticileri kaydedin. Hangi gereksinimlerin zorunlu olduğunu, hangilerinin tercih olduğunu ve hangilerinin nitelikli bir hukuk, güvenlik veya ticari inceleme uzmanına ihtiyaç duyduğunu belirleyin. Tanımlanmış bir kapsamı olmayan bir anket, farklı bir sürüm veya ortam için teknik olarak doğru yanıtlar üretebilir. Ürün sürümünü koruyun ve her yanıtın yanında referans sunun.
Tedarikçiden uygulanan desteği, konfigürasyona bağlı desteği, planlı çalışmayı ve desteklenmeyen gereksinimleri ayırt etmesini isteyin. Bir yol haritası tarihini mevcut yeteneğe dönüştürmeyin. Yanıtın başka bir hizmete bağlı olması durumunda bu bağımlılığı ve sorumlu tarafı tanımlayın. Alıcı ayrıca kendi yükümlülüklerini de belgelendirmelidir; gerekli müşteri DNS , kimlik veya erişim kararları tanımsız kalırsa tedarikçi tam bir iş akışı sergileyemez.
Kimliği, rolleri ve kiracı sınırlarını kapsar
Kullanıcıların nasıl kimlik doğruladığını, kimliklerin kiracılara nasıl bağlandığını ve etki alanlarına, raporlara, dışa aktarmalara ve yönetim işlemlerine izinlerin nasıl atandığını sorun. Azure'un kimlik kılavuzu, kimlik doğrulamayı rol tabanlı veya kaynak tabanlı yetkilendirme ve ticari yetkilendirmelerden ayırır. Bu ayrımları ayrı sorulara yansıtın. SSO'nun desteklendiğine dair bir bildirim, müşteri izolasyonunu veya mevcut bir oturumda rol azaltmanın etkisini oluşturmaz.
Hizmet kimlikleri, kullanıcı yaşam döngüsü, tedarikçi desteği erişimi ve denetim kanıtlarıyla ilgili soruları ekleyin. Bir sağlama entegrasyonunun her erişim yolunu ele aldığını varsaymak yerine, devre dışı bırakma ve iptal etme davranışının güncel bir açıklamasını zorunlu kılın. Bir kiracının başka bir kiracının kaynaklarını okuyamadığını, aktaramadığını veya değiştiremediğini gösteren yetkili sentetik negatif testler isteyin. Bir ürün ekran görüntüsü veya rol listesi tek başına bu kanıtı sağlamaz.
Kimlik doğrulama gözlemlerinin nasıl elde edildiğini sorun
Platformun hangi kaynakları aldığını, bunların kapsamının nasıl tanımlandığını ve desteklenmeyen veya eksik gözlemlerin nasıl temsil edildiğini belgeleyin. RFC 9990 tanımlar DMARC Kendi rapor keşfetme ve teslim etme sürecine sahip olan toplu raporlama. Bir platformun raporları ayrıştırma yeteneği, her alıcının bu raporları göndereceğini veya her meşru gönderenin bir dönemde temsil edildiğini garanti etmez.
Ürünün orijinal raporun kaynağını nasıl koruduğunu, kopyaları nasıl ele aldığını ve yorumlama sınırlarını nasıl açıkladığını sorun. Sağlayıcı teslim olaylarını kimlik doğrulama raporlarıyla birleştiriyorsa, hangi tanımlayıcıların bağlantıya izin verdiğini ve sonuçların mesaj düzeyinde mi yoksa akış düzeyinde mi olduğunu sorun. Kimlik doğrulama verilerinden evrensel teslimat garantisi talep etmeyin. Anket, tam kapsama ilişkin desteklenmeyen iddiaları teşvik etmek yerine, ürünün gözlem sınırlarını görünür hale getirmelidir.
Dağıtım ve operasyonel sorumlulukları netleştirin
Şu anda hangi dağıtım seçeneklerinin desteklendiğini ve her birinin neler içerdiğini sorun. Altyapıya kimin yama uygulayacağını, uygulamayı kimin güncelleyeceğini, kimlikleri kimin yöneteceğini, alımı izleyeceğini, kurtarmayı gerçekleştireceğini ve olayları kimin ele alacağını tanımlayın. Microsoft'un paylaşılan sorumluluk çerçevesi, yükümlülüklerin neden hizmet modeline göre değiştiğini ancak gerçek tedarikçinin kendi desteklenen tahsisini sağlaması gerektiğini göstermektedir. Paylaşıldı olarak işaretlenen bir yanıt, yalnızca onay kutusunu iki taraf arasında bölmek yerine, devretme ve doğrulama sahibini tanımlamalıdır.
Özel veya özel seçenekler için ağ yolları, veri işleme, destek erişimi ve dış bağımlılıklar hakkında ayrı ayrı bilgi alın. Bir mimari etiketinden yalıtım sonucunu çıkarmayın. Boyutlandırma için ilgili sınır ve şeffaf iş yükü varsayımlarına ilişkin kanıt isteyin. Anketin kendisi bir dağıtıma, güvenlik duvarı değişikliğine veya veri aktarımına izin vermemelidir; bu eylemler ayrı bir onaylı uygulama çalışması gerektirir.
Veri işleme ve denetim gerekliliklerini dahil edin
Hangi verilerin saklandığını, desteklenen yapılandırmaların bu verileri nereye yerleştirdiğini, bu verilere kimlerin erişebileceğini ve saklama, silme ve dışa aktarma işlemlerinin nasıl çalıştığını sorun. Birincil verileri, günlükleri, yedeklemeleri ve destek yapılarını ayırt edin. Bu makale, yasal uyumluluk tespiti yapmamakta veya satıcının ikamet davranışını ileri sürmemektedir. Uygun nitelikli mal sahibi, mevcut kanıtları kullanarak sözleşme ve düzenleyici gereklilikleri incelemelidir.
Denetlenebilirlik için hangi eylemlerin kaydedildiğini, reddedilen girişimlerin dahil edilip edilmediğini, aktör ve kiracı bağlamının nasıl temsil edildiğini ve saklama ayarlarını kimin dışa aktarabileceğini veya değiştirebileceğini sorun. Microsoft Entra denetim günlüğü belgeleri resmi bir etkinlik günlüğü açıklamasının bir örneğidir, başka bir ürünün kapsamının kanıtı değildir. Kelime denetimi kelimesini eksiksiz bir cevap olarak kabul etmek yerine, ürüne özel örnekler ve sınırlar isteyin.
İş yükünü ve ticari varsayımları şeffaf hale getirin
Onaylanmış kurumsal girdileri kullanarak beklenen etki alanlarını, kiracıları, kullanıcıları, rapor hacmini, elde tutma ve entegrasyon temposunu belirtin. Tahminleri ve bilinmeyenleri açıkça işaretleyin. Kısmi bir aylık gözlemler, kesin bir yıllık iş yükü tahminini desteklemeyebilir. Tedarikçiye, teklifi hangi değişkenlerin etkilediğini ve değişikliklerin nasıl sayıldığını sorun, ancak teknik belgelerden fiyatlar veya paket içerikleri hakkında çıkarımlarda bulunmayın.
Ticari katılımı teknik kabulden ayrı tutun. Bir özellik bir teklife dahil edilebilir ancak yine de yapılandırma ve kanıt gerektirebilir; gösterilen bir özellik önerilen paketin dışında olabilir. Teklif geçerliliğini, kapsamını ve istisnaları yalnızca onaylanmış bir teklif mevcut olduğunda kaydedin. Bu yazıda herhangi bir fiyat, indirim, maliyet modeli veya satın alma önerisi üretilmemektedir.
Gereksinim ve kanıt çalışma sayfası
Gereksinim, iş nedeni, öncelik, desteklenen yapılandırma, tedarikçi yanıtı, kanıt kaynağı, inceleyen, kabul testi, sınırlama ve karar için sütunlar oluşturun. Giriş, kaynak, tarih, güven ve yanlışsa etkiyi içeren bir varsayım kaydı ekleyin. Her zorunlu gereksinimi geniş bir pazarlama sayfası yerine somut bir kanıt öğesine bağlayın. Sessizliği destek olarak yorumlamak yerine cevaplanmamış soruları boşluk olarak saklayın.
Test edilebilir kontroller için onaylı fikstürü ve beklenen sonucu açıklayın. Sözleşmeye dayalı taahhütler için ilgili onaylanmış sözleşmeyi tanımlayın. Operasyonel sorumluluklar için, adı geçen sahibi belirleyin ve devredin. Bu kanıt türleri birbirini tamamlayabilir ancak ayrım gözetmeksizin ikame edilmemelidir. Bir sözleşme, teknik bir test göstermeden sorumluluğu dağıtabilir; Başarılı bir test, bir destek taahhüdü oluşturmadan davranışı gösterebilir.
Kurgusal teşhis: eksiksiz görünümlü bir anket
Kurgusal bir alıcı, SSO, dışa aktarmalar, özel dağıtım ve denetim günlükleri için olumlu yanıtlar alır. İnceleme başlangıçta anketin tamamlandığını işaretler. İkinci bir incelemeci, hangi sürümün bu özellikleri desteklediğini, dışa aktarmaların kiracı sınırlarını koruyup korumadığını ve devre dışı bırakıldıktan sonra etkin oturuma ne olacağını sorar. Orijinal cevaplar bu soruları çözmüyor çünkü sonuçlardan ziyade kategorileri tanımlıyorlar.
Önerilen yanıt, kapsamlı kanıt talep etmek ve etkilenen gereksinimleri gözden geçirilene kadar açık bırakmaktır. Alıcının tedarikçiyi yanlış beyanda bulunmakla suçlamasına gerek yoktur; anket çok belirsiz olabilir. Bu senaryo kurgusaldır ve herhangi bir gerçek tedarikçi tepkisini veya ürün açığını tanımlamaz. Hiçbir harici iletişim veya test gerçekleştirilmedi.
Boşlukları öneriyle birlikte yayınlayın
Yararlı bir değerlendirme, kararı değiştirebilecek desteklenen gereksinimleri, kabul edilen sınırlamaları, çözülmemiş kanıtları ve iş yükü varsayımlarını tanımlar. Hem teknik hem de işletme sahiplerinin farklı sorumluluklarını daraltmadan okunabilir olmalıdır. Yöntemi ve sınırlamaları açıkça onaylanmadığı sürece, kanıtların ötesinde kesinlik ifade eden sayısal bir puandan kaçının.
Katalog, bir gereksinim ve kanıt matrisi ile şeffaf iş yükü veya maliyet varsayımlarını gerektirir. Bu orijinal eserler açık kalıyor. Gerçek kişi tarafından yapılan uzman incelemesi, kaynağın uygulanabilirliği, üretim yolları, erişilebilirlik ve sahibinin serbest bırakılması da açık kalacaktır. Bu taslak, bir çerçeve ve kurgusal bir alıştırma sağlar; henüz tamamlanmamış satıcı durum tespitini veya EmailAuth yeteneklerine ilişkin bir beyanı sağlar.