Recomendaciones para el aislamiento de los inquilinos y la privacidad de los datos

En la sección anterior, se proporcionaron varios enfoques para usar datos externos con los permisos verificados de OPA y Amazon para ayudar a tomar decisiones de autorización. Siempre que sea posible, le recomendamos que utilice el enfoque de entrada por sobrecarga para pasar los datos de contexto de SaaS a la OPA para tomar decisiones de autorización en lugar de almacenar los datos en la memoria de la OPA. Este caso de uso no se aplica a AWS Cloud Map, ya que no admite el almacenamiento de datos externos en el servicio.

En los modelos híbridos de control de acceso basado en roles (RBAC) o RBAC y control de acceso basado en atributos (ABAC), los datos proporcionados únicamente por una solicitud o consulta de autorización pueden ser insuficientes, ya que es necesario hacer referencia a los roles y permisos para tomar decisiones de autorización. Para mantener el aislamiento de los inquilinos y la privacidad de la asignación de funciones, estos datos no deben residir en la OPA. Los datos del RBAC deben residir en una fuente de datos externa, como una base de datos, o deben transmitirse como parte de las reclamaciones en un JWT desde un IdP. En los permisos verificados, los datos del RBAC se pueden mantener como parte de las políticas y el esquema del modelo de almacén de políticas por arrendatario, ya que cada arrendatario tiene su propio almacén de políticas separado de forma lógica. Sin embargo, en el modelo de almacén de políticas compartido con varios inquilinos, los datos de asignación de funciones no deben residir en los permisos verificados para mantener el aislamiento de los inquilinos.

Además, la OPA y los permisos verificados no deben usarse para asignar funciones predefinidas a permisos específicos, ya que esto dificulta que los inquilinos definan sus propias funciones y permisos. También hace que la lógica de autorización sea rígida y necesite una actualización constante. La excepción a esta directriz es el modelo de almacén de políticas por inquilino de Verified Permissions, ya que este modelo permite que cada arrendatario tenga sus propias políticas que se pueden evaluar de forma independiente por arrendatario.

Amazon Verified Permissions

El único lugar donde los permisos verificados pueden almacenar datos RBAC potencialmente privados es en el esquema. Esto es aceptable en el modelo de almacén de políticas por arrendatario, ya que cada arrendatario tiene su propio almacén de políticas separado de forma lógica. Sin embargo, podría comprometer el aislamiento de los inquilinos en el modelo de almacén de políticas compartido con varios inquilinos. En los casos en que estos datos sean necesarios para tomar una decisión de autorización, deben recuperarse de una fuente externa, como DynamoDB o Amazon RDS, e incorporarse a la solicitud de autorización de permisos verificados.

OPA

Los enfoques seguros de la OPA para mantener la privacidad y el aislamiento de los datos del RBAC incluyen el uso de la recuperación o replicación dinámica de datos para obtener datos externos. Esto se debe a que puede usar el servicio de autorización ilustrado en el diagrama anterior para proporcionar solo datos externos específicos del inquilino o del usuario para tomar una decisión de autorización. Por ejemplo, puede usar un replicador para proporcionar datos RBAC o una matriz de permisos a la caché de la OPA cuando un usuario inicia sesión y hacer que se haga referencia a los datos en función del usuario proporcionado en los datos de entrada. Puede utilizar un enfoque similar con datos extraídos de forma dinámica para recuperar solo los datos relevantes para tomar decisiones de autorización. Además, en el enfoque de recuperación dinámica de datos, estos datos no tienen que estar en caché en OPA. El enfoque de agrupamiento no es tan eficaz como el enfoque de recuperación dinámica para mantener el aislamiento de los inquilinos, ya que actualiza todo lo que hay en la memoria caché de la OPA y no puede procesar actualizaciones precisas. El modelo de agrupamiento sigue siendo un buen enfoque para actualizar las políticas de la OPA y los datos no relacionados con el RBAC.