权限、组和最小特权原则
假设我有以下设置
- 两个团队：
TeamAlice和TeamBob - 需要管理员访问的命令：
admin_command - 两台计算机：
TeamAlice_Computers和TeamBob_Computers
只有TeamAlice才能登录到TeamAlice_Computers，只有TeamBob可以登录到TeamBob_Computers。
将TeamAlice和TeamBob放入允许admin_command的安全组中是否可以接受？或者我应该创建2x安全组，显式列出团队/计算机？每个人都有优缺点吗？
我的直觉是，拥有一个单独的安全组会使权限变得不那么杂乱，更容易理解，但不知怎么的，它违背了最小特权的原则。我是不是想过头了？
回答 2
Security用户
发布于 2022-09-22 08:03:00
我将用另一个原则来回答你的问题:如果一个人被破坏了，我会使用多条防线。
如果您能够确保您的登录保护是100%安全的，那么这两种方法都是完全等价的:只有来自TeamAlice的用户可以从TeamAlice_Computers访问计算机，只有那些拥有管理权限的用户才能在那里使用admin_command。
如果admin_command非常敏感，我将使用两个安全组。其基本原理是，登录系统中允许来自TeamAlice的用户访问TeamAlice_Computers中的机器的弱点不会授予他们管理权限。这是不可能的，但我们都知道很多软件都有安全漏洞.
Security用户
发布于 2022-09-21 21:46:24
那得看情况。在这种情况下，每种方法都有各自的优缺点。
您没有描述登录权限是如何授予的。
一种方法可以是定义两个组：
- "AliceAdmins"：这个组将包含权限"AliceLogin“和"admin_command”
- "BobAdmins"：这个组将包含权限"BobLogin“和"admin_command”
因此，您可以在彼此上独立地配置这些组。例如，您可以轻松地将一些"admin_command_2“添加到一个组，而不是添加到另一个组。或者，您可以轻松地将"admin_command“从一个组中删除，但将其保留在另一个组中。
https://security.stackexchange.com/questions/264983
复制相似问题
腾讯云开发者
