במוצר שלנו מנגנון ההרשאות נראה אחרת מהמקובל. במקום לאפשר למשתמשים לתת הרשאה לכל אובייקט במערכת אנו מנהלים הרשאות ברמה אחת בלבד - רמת הכספות. בתוך כל כספת ניתן לבנות עץ תיקיות שלם עם מגוון קבצים, כולם יקבלו את אותן ההרשאות היורשות מההרשאות ברמת הכספת. בהרבה מאוד מקרים, כאשר אני מציג מבנה זה ללקוחות או לקוחות פוטנציאליים אני נשאל האם יש לנו או תהיה לנו תמיכה בהרשאות ברמת האובייקט הבודד. ממבט ראשון זה באמת נראה כאילו שמנגנון ההרשאות שלנו חסר, אך בפועל לא רק שהוא לא חסר, אלא שהמבנה המוגבל שלו מאפשר לארגונים לנהל הרשאות ברמה אפקטיבית יותר. רוב הלקוחות המבקשים הרשאות ברמת האובייקט הבודד עושים זאת כיוון שאפשרות זו קיימת ברוב המערכות. הם לא עושים בה שימוש, אך עצם קיומה משרה ביטחון שניתן לעשות בה שימוש. בפועל, היכולת לתת הרשאות ברמת כל אובייקט מאפשרת לארגון לבחור שלא לקבוע מדיניות הרשאות סדורה (כיוון שמנגנון ההרשאות מאוד גמיש) וכתוצאה מכך הארגון מנהל מנגנון הרשאות גמיש מאוד (שזו דרך מנומסת לומר שיש לו בלגאן בהרשאות). דווקא המבנה של חדר הכספות, עם היכולת לתת הרשאות רק בנקודה אחת, יוצר מצב בו כל כספת מוגדרת בצורה מדויקת ובמבט חטוף ניתן לדעת מי המורשים לה ואף לנהל הרשאות אלה. ברוב המקרים התשובה שלי לשאלה אם תהיה תמיכה בהרשאות ברמת האובייקט (יש, יש) היא שלמרות שיש אני ממליץ לא לנהל כך את ההרשאות, כי זו אשליה לחשוב שניתן לנהל הרשאות ברמת אובייקט או תיקייה כאשר יש לך אלפי תיקיות (להבדיל מכמה עשרות או מאות כספות).
בהרבה מוצרי אבטחה כמות האפשרויות הופכת להיות אחד הקריטריונים לבחירה. אלא שברוב המקרים (לא בכולם) הלקוחות לא יודעים מה לעשות עם האפשרויות האלה ולאורך זמן אינם עושים שימוש באפשרויות או עושים בהן שימוש שגוי ובפועל מייצבים את רמת האבטחה על רמה נמוכה יותר מזו שהייתה מתקבלת אם היצרן היה בוחר לבד כיצד תיראה תצורת האבטחה ומכתיב זאת ללקוח. זה נכון שבעולם אידיאלי אפשרויות מרובות וגמישות אינסופית בהטמעה עדיפים. אבל זה לא עולם אידיאלי.
בבלוג זה
בכל הבלוגים
