Yandex Cloud нашел подход к безопасности мультирегионального облака.

Yandex Cloud нашел подход к безопасности мультирегионального облака.

Наша редакция обнаружила патент «Способы и системы управления доступом к облачной платформе» от Яндекса. В авторах видим директора по ИБ Евгения Сидорова, архитектора функций безопасности IAM Антона Дедова, руководителя подразделения IAM&Resource Management Аркадия Вязникова и архитектора Владислава Архипова.

Патент описывает способ безопасного управления доступом пользователей к ресурсам, которые физически или логически разделены в облачной платформе на разные изолированные группы. Например, дата-центры в разных странах.

В чем суть изобретения? Обычно в крупных облаках есть системы идентификации и доступа – в IAM, которые контролируют, кто и к чему имеет доступ. Проблема в том, что если ресурсы распределены по разным независимым группам, нужно как-то связывать учетные записи и раздавать права, не нарушая изоляцию. Коллеги из Яндекса придумали решение, позволяющее создать в одной группе ресурсов («основном тенанте») учетную запись, а в другой группе («связанном тенанте») – ее копию. При этом доступ к основному тенанту из другого региона обеспечивается через специальный токен безопасности, который выдает сама первичная система.

Полный текст есть по ссылке, но если кратко, то система включает первую группу ресурсов с собственной подсистемой IAM и вторую группу ресурсов (с другим рабочим параметром, например, в другом географическом регионе) тоже с собственной IAM. Они не сливаются в одну, а работают по собственным правилам.

Механизм связанных тенантов: в первой зоне создается «основной тенант» через первую служебную учетную запись, а во второй зоне создается «связанный тенант» через связанную служебную учетную запись.

Доступ к основному тенанту из второй группы ресурсов предоставляется только на основании токена, который был сгенерирован первой подсистемой IAM. То есть первая зона сама выпускает пропуск, который затем принимает от второй зоны для авторизации действий.

Подписывайтесь на Телекоммуналку