Policy

Policy — tizimda qaysi subyekt qaysi resursga qanday shartlarda amal bajarishi mumkinligini yoki konfiguratsiya qaysi qoidalarga mos bo‘lishi kerakligini ifodalovchi formal qoidadir. Security, secret management, cloud, Kubernetes va CI/CD muhitlarida policy qarorni koddan tashqarida izchil boshqarishga xizmat qiladi.

Access policy

Access control policy subject, action va resursni bog‘laydi. RBAC foydalanuvchi yoki service accountga role orqali ruxsat beradi. ABAC esa atribut, masalan department, environment, vaqt yoki resource label asosida qaror qiladi. Deny va allow ustuvorligi platformaga bog‘liq.

Least privilege uchun faqat zarur operation va path beriladi. Wildcard qulay, ammo yangi resurs keyin shu pattern ostiga kirib, kutilmagan ruxsat olishi mumkin. Policy review real access log va vazifa bilan solishtiriladi.

Policy as Code

Policy matnli deklaratsiya sifatida version controlga qo‘yiladi, review va testdan o‘tadi. OPA/Rego, Sentinel yoki cloud policy tili request va konfiguratsiyani baholashi mumkin. CI image privileged emasligi, storage public ochilmagani yoki region ruxsat etilganini deploymentdan oldin tekshiradi.

Policy code bo‘lgani uchun unit test, fixture va semantic version talab qiladi. Noto‘g‘ri qoida barcha deploymentni to‘xtatishi yoki aksincha zaif konfiguratsiyani o‘tkazishi mumkin. Avval report-only rejimida signal sifati kuzatilishi mumkin.

Qaror modeli

Policy engine input sifatida identity, action, resource va context oladi, allow/deny hamda sabab qaytaradi. Application enforcement point qarorni amalda qo‘llaydi. Engine “deny” desa-yu application baribir amalni bajarsa policy foydasiz.

Default deny noma’lum holatni rad etadi. Fail-open external policy engine outage paytida xizmatni davom ettiradi, lekin nazoratni chetlab o‘tadi. Fail-closed xavfsizlikni saqlaydi, ammo availabilityga ta’sir qiladi. Riskga qarab cache va emergency policy belgilanadi.

Secret tizimidagi policy

Vaultga o‘xshash tizimda path va capabilitylar create, read, update, delete, list kabi amallarni cheklaydi. Application faqat o‘z secret pathini o‘qiydi, operator esa policy boshqarishi mumkin, ammo qiymatni o‘qish huquqiga ega bo‘lmasligi mumkin.

Token policy issuance paytida bog‘lanadi. Keyin policy matni o‘zgarsa mavjud token xatti-harakati platforma modeliga ko‘ra yangilanishi mumkin. Periodic token, child token va namespace chegaralari umumiy ruxsat hisobiga ta’sir qiladi.

Audit va boshqaruv

Policy o‘zgarishi muallif, approver, sabab va diff bilan audit qilinadi. Qaror logi qaysi qoida accessni rad etganini ko‘rsatadi, ammo maxfiy inputni oshkor qilmaydi. Shadow evaluation yangi policy eski trafikda qanday qaror berishini side effectsiz solishtiradi.

Exception owner va expiryga ega bo‘ladi. “Vaqtinchalik” bypass muddatsiz qolsa asosiy policy amalda ishlamaydi. Davriy access review ishlatilmaydigan role va eskirgan istisnolarni olib tashlaydi.

Qarorni tushuntirish

Policy engine faqat allow yoki deny qaytarsa operatsion diagnostika qiyinlashadi. Qaror bilan policy versiyasi, mos kelgan qoida, asosiy atributlar va correlation ID auditga yoziladi; maxfiy tokenning o‘zi loglanmaydi. Dry-run yoki audit rejimi yangi qoidaning amaldagi trafikda kimga ta’sir qilishini bloklamasdan ko‘rsatadi. Keyin enforcement bosqichma-bosqich yoqiladi. Default deny xavfsiz boshlang‘ich holat beradi, ammo zarur break-glass yo‘li qisqa muddat, kuchli tasdiq va keyingi ko‘rib chiqish bilan cheklanadi.

Bog‘liq tushunchalar

Policy as Code, RBAC, ABAC, Least privilege, OPA, Access control, Audit log