تصور کنید به هر کارمند در یک برج بزرگ، کلید اصلی تمام اتاق‌ها از جمله اتاق سرور و گاوصندوق مالی را بدهید، صرفاً به این دلیل که ساخت کلیدهای مجزا وقت‌گیر است. اکثر زیرساخت‌های ابری نیز پیش از پیاده‌سازی خودکارسازی هویت، دقیقاً به همین شکل خطرناک مدیریت می‌شوند. حوادث امنیتی معمولاً به این دلیل رخ نمی‌دهند که هکرها رمزنگاری‌های پیچیده را می‌شکند، بلکه به این خاطر اتفاق می‌افتند که یک حساب سرویس با دسترسی‌های بیش از حد یا یک حساب فراموش‌شده، راه نفوذ را باز گذاشته است. این فصل به یکی از چالش‌های بنیادین در امنیت ابری می‌پردازد: چگونه به سیستم‌ها و انسان‌ها به اندازه نیاز دسترسی بدهیم تا وظایف خود را به درستی انجام دهند، بدون اینکه کل معماری را در معرض ریسک فاجعه‌بار قرار دهیم. ما به بررسی گذر از مدیریت دستی دسترسی به سمت حاکمیت هویت خودکار (Automated Identity Governance) می‌پردازیم تا مطمئن شویم امنیت همگام با مقیاس‌پذیری زیرساخت رشد می‌کند. پایه و اساس این مسیر بر مبنای اصل حداقل دسترسی بنا شده است که تأکید می‌کند هر هویت انسانی یا ماشینی باید فقط و فقط به مجوزهای کاملاً ضروری برای انجام وظیفه فعلی‌اش دسترسی داشته باشد. بدون این اصل، یک آسیب‌پذیری کوچک در سرویس لاگ‌برداری می‌تواند به مهاجم اجازه دهد کنترل کامل کل محیط ابری را به دست بگیرد. این مفهوم را مانند جراحی در نظر بگیرید که فقط ابزار دقیق مورد نیاز برای یک عمل خاص را استریل می‌کند، نه کل اتاق عمل را؛ دقت بالا شعاع انفجار خسارت را در هنکام بروز خطا محدود می‌کند. فراتر از محدودیت‌های اولیه، تنظیم دقیق کنترل‌های دسترسی برای مدیریت واقعیت‌های عملیاتی محیط‌های ابری مدرن ضروری است. مدیریت دستی مجوزها برای صدها سرویس به سرعت به یک کابوس اداری تبدیل می‌شود و مهندسین را وادار می‌کند از روی خستگی، مجوزهای دسترسی همگانی صادر کنند. تنظیم دقیق با استفاده از تحلیل خودکار، مجوزهای استفاده‌نشده را حذف کرده و مرزهای محکمی بین هویت‌های انسانی و ماشینی ایجاد می‌کند. برای مدیریت‌پذیر کردن مجوزها در مقیاس وسیع، استفاده از سیستم برچسب‌گذاری برای گروه‌بندی منطقی منابع بسیار حیاتی است. بدون استراتژی برچسب‌گذاری (Tagging Strategy)، نوشتن سیاست‌های امنیتی برای منابع ابری پویا مانند این است که بخواهید نامه‌ای را به دست یک ماشین در حال حرکت برسانید. برچسب‌ها به عنوان فراداده عمل کرده و به سیاست‌های مدیریت دسترسی اجازه می‌دهند به صورت پویا و بر اساس مالکیت یا حساسیت داده‌ها تصمیم‌گیری کنند. مسئولیت‌پذیری زمانی که مالکیت نامشخص باشد به سرعت از بین می‌رود، به همین دلیل شفاف‌سازی مسئولیت‌های تیم از طریق جداسازی وظایف اهمیت پیدا می‌کند. وقتی برنامه‌نویسان قدرت نامحدودی برای نوشتن و تأیید سیاست‌های امنیتی خود داشته باشند، امنیت عملاً معنای خود را از دست می‌دهد. مرزهای مشخص تضمین می‌کنند که تیم‌های توسعه به ساخت قابلیت‌ها بپردازند در حالی که خطوط لوله امنیتی اختصاصی، درخواست‌های دسترسی را ارزیابی می‌کنند. امنیت نمی‌تواند فقط به بررسی‌های پس از حادثه متکی باشد؛ شما باید پیشگیری و تشخیص اشتباهات پیکربندی را به صورت مداوم در طول چرخه حیات توسعه انجام دهید. تشخیص، خطا را پس از قرار گرفتن در محیط پروداکشن به شما هشدار می‌دهد که اغلب بسیار دیر است، در حالی که پیشگیری مانع از خروج سیاست‌های ناامن از محیط توسعه محلی می‌شود. پیشگیری مانند گاردریل در جاده کوهستانی است که مانع سقوط می‌شود، در حالی که تشخیص حکم آمبولانس را در انتهای دره دارد. برای عملیاتی کردن این مفاهیم، شما خط لوله مدیریت دسترسی را پیاده‌سازی می‌کنید که به عنوان یک نگهبان خودکار برای تمام تغییرات مجوز عمل می‌کند. دقیقاً همان‌طور که کدها پیش از استقرار از آزمون‌های خودکار عبور می‌کنند، سیاست‌های دسترسی زیرساخت نیز باید با ابزارهای خودکار بررسی شوند. اگر سیاستی استانداردهای امنیتی را نقض کند، خط لوله بلافاصله متوقف می‌شود و پیش از رسیدن کد معیوب به ابر، بازخورد لازم را به مهندس ارائه می‌دهد. بررسی خودکارسازی امنیتی نشان‌دهنده یک تنش دائمی میان سرعت توسعه و کاهش ریسک است. خودکارسازی بیش از حد بدون زمینه مناسب می‌تواند کاربران مجاز را مسدود کند، در حالی که بررسی‌های دستی برای خطوط لوله تحویل پیوسته بسیار کند هستند. [ ] ممیزی هویت‌های انسانی و ماشینی موجود برای شناسایی و لغو حساب‌های دارای دسترسی بیش از حد. [ ] پیاده‌سازی استراتژی برچسب‌گذاری منابع برای پویاسازی سیاست‌های دسترسی و مقیاس‌پذیری مدیریت امنیت. [ ] جداسازی مسئولیت‌های تیمی به طوری که خالقان زیرساخت نتوانند سیاست‌های امنیتی خود را تأیید کنند. [ ] ساخت خط لوله خودکار با استفاده از ابزارهای اعتبارسنجی برای شناسایی اشتباهات پیکربندی پیش از استقرار. [ ] پیکربندی بررسی‌های خودکار برای مسدود کردن مجوزهای همگانی در فایل‌های زیرساخت به عنوان کد.