Бүртгэлийн аюулгүй байдал
Серверийн аюулгүй байдал нь сайтуудыг хамгаалдаг. Бүртгэлийн аюулгүй байдал нь тэдгээр рүү нэрэх түлхүүрүүдийг хамгаалдаг. Zinn Digital®-ийн нэвтрэлт бүр стандарт дээр суурилсан нэг таних систем дээр ажилладаг — passkeys болон WebAuthn, TOTP хоёр хүчин зүйлийн баталгаажуулалт, шидэт холбоосоор нэвтрэх, байгууллага болон агентлагийн багуудад зориулсан SAML SSO — үүний цаана нарийн тохируулсан эрхүүд, байгууллага тус бүрийн API түлхүүрүүд болон зөвхөн нэмэх боломжтой аудит лог ажилладаг.
Ихэнх хостингийн бүртгэлүүд бол хяналтын самбарт бэхлэгдсэн, өгөгдлийн сан дахь нууц үг байдаг. Манайх бол хэрэглэгчийн хяналтын самбар, ажилтнуудын админ консол, энэхүү нийтийн сайт болон мэдлэгийн сан, мөн таны тусламжийн тасалбар зэрэг бүх зүйлийн өмнө байрладаг, OIDC болон SAML протоколоор ажилладаг зориулалтын таних системийн шийдэл болох Keycloak юм. Нэг удаа нэвтэрсний дараа та эдгээр бүх хэсэгт автоматаар нэвтэрсэн байх болно.
Энэ нь өмчлөлийн нэвтрэлт биш нээлттэй стандарт дээр суурилсан учраас платформын бусад бүх бүрэлдэхүүн хэсгүүдийн адил таних давхарга нь сольж болохуйц байдаг. Таны хандалтын загварын ямар ч хэсэг нийлүүлэгчийн бүтээгдэхүүнд түгжигдээгүй бөгөөд танай багийн баталгаажуулалтын аль ч хэсэг нь бид нэг нийлүүлэгчийг авч үлдэхээс хамаарахгүй. Энэ бол бидний CDN бүртгэл, DNS болон төлбөр тооцооны үйлчилгээ үзүүлэгчдэд хэрэгжүүлдэг түгжигдэхгүй байх зарчим юм.
Нэвтрэх хэсэг нь нутагшсан бөгөөд сайт дээрээс нэвтрэх дэлгэц рүү шилжихэд таны хэл дагаж явах тул улс орноор тархсан баг зөвхөн англи хэл дээрх нэвтрэлт хийхэд албагүй болно.
Дөрвөн аргын аль нь ч нэгдүгээр зэрэглэлийн бөгөөд хүн бүрийн хувьд тохируулах боломжтой. Хэн нэгнийг ганцхан санал болгож буй хамгийн сул хувилбарыг сонгохоос аргагүйд шахдаггүй.
И-мэйлээ оруулад, холбоос дээр дарж нэвтэрнэ үү. Хуурамч холбоосоор хууртах, нууц үгээ дахин ашиглах эсвэл мэдээлэл алдагдсан үед алдагдах нууц үг байхгүй. Энэ бол шинэ бүртгэлд зориулсан үндсэн арга бөгөөд ихэнх хүмүүст өөр ямар ч арга хэрэггүй байдаг.
Touch ID, Face ID, Windows Hello, эсвэл YubiKey шиг техник хангамжийн түлхүүр зэрэг passkey бүртгүүлж, нууц үггүйгээр нэвтэрнэ үү. Passkeys нь хаягт холбогдсон байдаг тул дуураймал нэвтрэх хуудас үүнийг хулгайлах боломжгүй. Энэхүү платформ нь ES256 болон RS256 баталгаажуулагчийг хүлээн авдаг ба хэрэглэгчийн баталгаажуулалтыг илүүд үздэг.
Google Workspace дээрх таны удирдлага хяналтыг бүрэн өвлөн авахын тулд Google-ээр нэвтрэх стандарт үнэмлэх олгогч холболтыг ашиглана уу. Бусад үйлчилгээ үзүүлэгч нар мөн ижил аргаар холбогдох ба энд ямар нэгэн зориулалтын тусгай интеграцчилал байхгүй болно.
Хэрэглэгчдэд болон скриптүүдэд зориулж хадгалсан бөгөөд бодит бодлого баримталдаг: хамгийн багадаа арван хоёр тэмдэгт, хэрэглэгчийн нэр эсвэл имэйл хаягаа бүү ашигла, сүүлийн гурван нууц үгээ дахин бүү ашигла, Argon2-оор хашигласан. Имэйл хаяг нь бүртгэл ашиглагдахаас өмнө баталгаажсан байна.
Хоёрдогч хүчин зүйлүүд нь таны өөрийн сайт дээр суулгадаг нэмэлт өргөтгөл эсвэл худалдаж авдаг нэмэлт хэрэгсэл бус, харин танилтын системийн нэг хэсэг юм.
Хэрэв танай байгууллага Okta, Entra ID, Google Workspace эсвэл SAML дэмждэг өөр бусад танилт баталгаажуулагч үйлчилгээ ашигладаг бол түүнийг холбож, ажилтнууд тань Zinn Digital® системд өөрсдийн албан ёсны эрхээр нэвтрэх боломжтой болно. Ингэснээр танай багийнханд хоёр дахь нууц үгээ санаж явгах шаардлагагүй бөгөөд ажилтныг ажлаас гаргах үед мартчихдаг нэмэлт жагсаалттай ажиллах шаардлагагүй болно.
Энэ нь ажилтнуудын солигдолт нь жинхэнэ аюулгүй байдлын үйл явдал болдог агентлаг болон эрх борлуулагчдын түвшинд хамгийн чухал юм. Хэн нэгэн ажилгүй болж, та түүнийг лавлахаасаа хассан бол тэдний таны хостинг руу орох замийг бас хаасан гэсэн үг юм. Нэвтрэх эрх нь арван хэдэн SaaS хэрэгслээр хөөцөлдөх бус, төвлөрсөн байдлаар ажлын байртай шууд уялдаж явагддаг.
SAML нь бусад бүх зүйлийг орлохын оронд тэдгээртэй зэрэгцэн ажилладаг: гэрээт ажилчдад тусгайлсан эрхийн хүрээнд шидэт холбоосын (magic-link) бүртгэл өгөх боломжтой хэвээр байх ба үндсэн ажилчид SSO-оор нэвтэрнэ. Нэг байгууллага, нэг хандалтын эрхийн загвар, хоёр үүд хаалга.
Хндах эрх нь борлуулагч, үйлчлүүлэгч, сайт гэсэн байгууллагын модны бүтцээр хязгаарлагддаг ба зөвхөн аппликейшн түвшинд буюу өгөгдлийн сангийн түвшинд мөрний түвшний аюулгүй байдлаар хэрэгждэг. Түрээслэгч хоорондын хандалт бол хүмүүсийн дагах ёстой бодлого биш, харин мөр буцаах боломжгүй асуулга юм. Хэрэглэгчийн дөрвөн үүрэг нь ажлын бодит хуваарилалтыг бүрэн хамардаг.
Байгууллага болон түүний дэд дансуудыг бүрэн хянах: хүү байгууллага үүсгэх, гишүүдийг урих болон хасах, үүрэг хуваарилах, бүх сайтыг удирдах, тооцоо болон нэхэмжлэх үүсгэх, API түлхүүр удирдах, аудитын лог унших.
Нэхэмжлэх, захиалга, төлбөрийн хэрэгсэл болон каталогийн багцууд — өөр юу ч байхгүй. Таны санхүүгийн ажилтан эсвэл нягтлан бодогч ажиллаж байгаа веб сайтыг өөрчлөх, зогсоох эсвэл устгах эрхгүйгээр нэхэмжлэхийн төлбөрийг барагдуулах боломжтой.
Төлбөрийн хяналтгүйгээр сайтууд болон API хандалт: сайт үүсгэх болон үзэх, үйлчилгээг дахин эхлүүлэх, кэш цэвэрлэх, API түлхүүр удирдах, тасалбартай ажиллах. Төлбөрийн хэрэгсэл, нэхэмжлэл болон багц солих эрхгүйгээр зориудаар хязгаарласан болно.
Байгууллага даяар зөвхөн харах эрхтэй — сайт, төлбөр тооцоо, төлөвлөгөө, тасалбар, орчуулгын төлөв болон аудитын бүртгэл. Аудитор, харагдах байдлыг шаардах үйлчлүүлэгч эсвэл ажлынхаа эхний долоо хоногт байгаа шинэ ажилтанд тохирох эрх.
Хяналтын самбар нь нэрэх нэг арга мөн. API, CLI, Terraform үйлчилгээ үзүүлэгч болон MCP сервер нь бусад арга замууд бөгөөд тэдгээр нь ижил хандалтын загварт захирагддаг, учир нь хамрах хүрээгүй түлхүүр нь таны дөнгөж сая тохируулсан бүх үүргийг тойрч гарах болно.
API түлхүүр нь хувь хүнд бус харин байгууллагад олгогддог бөгөөд өөрийн гэсэн хамрах хүрээтэй байдаг. Үүнийг хуваалцсан итгэмжлэлийн материал гэж үзэж, зорилгоор нь нэрлэж, ажиллах хамгийн нарийн хамрах хүрээг өгч, үүсгэсэн хүн нь өөр тийш шилжихэд үүнийг шинэчилж байгаарай.
Үндсэн түлхүүрийг зөвхөн үүсгэх үед л танд харуулна. Бидний хадгалж үлдэж буй зүйл бол SHA-256 хэш болон хайлт хийхэд зориулсан богино угтвар юм. Бид түлхүүрийг танд дахин харуулах боломжгүй бөгөөд мэдээллийн сан эвдэрсэн ч халдагч ажиллаж буй итгэмжлэлүүдийг олж авч чадахгүй.
Түлхүүр бүр нь ролуудын ашигладагтай ижил эрхийн каталогтой холбогдсон нарийвчилсан хамрах хүрээг агуулж, хамгийн сүүлд хэзээ ашиглагдсаныг тэмдэглэдэг ба сэжигтэй санагдсан даруйд нь шууд хүчингүй болгох боломжтой. Тусдаа туршилтын (sandbox) түлхүүрүүд нь бодит тооцоо болон үйлчилгээ үзүүлэлтгүйгээр API-г туршиж үзэх боломжийг олгоно.
MCP сервер нь ямар ч MCP чадвартай агентэд таны хостингийг удирдах боломжийг олгох ба энэ нь таны байгууллага болон түүний RBAC зөвшөөрлүүдээр хязгаарлагдсан OAuth 2.1-ээр дамжуулан баталгаажиж, хэрэгсэл тус бүрээр хүчингүй болгох боломжтой токенууд, хор хөнөөлтэй үйлдлүүд дээрх баталгаажуулалт, зарцуулалтын хязгаар болон бүтэн аудитын бүртгэлээр хангагдсан байдаг. Хиймэл оюун ухааны туслах холбосноор бүх зүйлийн түлхүүрийг түүнд шууд өгч байна гэсэн үг биш юм.
Эрх бүхий үйлдвелол бүр зөвхөн нэмж бичих боломжтой тэмдэглэгээг үүсгэдэг бөгөөд үүнд хэн үйлдлийг хийсэн, юу хийсэн, ямар зүйлд хандсан, холбогдох нотолгоо, эх сурвалжийн IP хаяг болон цаг хугацааны тэмдэглэгээ багтана. Энэ нь зүгээр нэг алдаа олж засварлах хэрэгсэл биш, харин нотлох баримтын мөр юм.
Үгүй — мөн бид таныг ингэхгүй байхыг хүсч байна. Мэйл дэх шидэт холбоосоор нэвтрэх нь анхдагч бөгөөд та passkey бүртгүүлж (Touch ID, Face ID, Windows Hello эсвэл техник хангамжийн түлхүүр) ямар ч нууц үг тохируулалгүйгээр нэвтрэх боломжтой. Имэйл болон нууц үг нь нөөц сонголт хэлбэрээр үлдэх бөгөөд хамгийн багадаа арван хоёр тэмдэгттэй байх, сүүлийн гурван нууц үгээ дахин ашиглахгүй байх, Argon2 хэшлэл ашиглах шаардлагатай.
TOTP хоёр шаттай баталгаажуулалт нь таних тэмдгийн давхаргад суурилуулсан байдаг бөгөөд гишүүн бүрийн сонголтод найдахын оронд бодлогоор дамжуулан байгууллага даяар албадан хэрэгжүүлэх боломжтой. Нэвтрэх түлхүүр нь халдагчдын фишинг хийх нууц үгийг арилгадаг тул танай багийн төхөөрөмжүүд үүнийг дэмжиж байгаа тохиолдолд илүү найдвартай сонголт болдог.
Тийм ээ. Төлбөр хариуцагч (Billing Manager) үүрэг нь нэхэмжлэх, захиалга, төлбөрийн хэрэгсэл болон төлөвлөгөөний каталогийг удирдах эрхтэй ба үүнээс өөр ямар нэгэн сайт үзэх, үүсгэх, дахин эхлүүлэх, түдгэлзүүлэх, устгах эрх байхгүй. Мөн үүний эсрэгээр: Хөгжүүлэгч (Developer) үүрэг нь ямар ч төлбөр тооцооны хяналтгүйгээр сайтууд болон API хандалтыг удирдана. Үүргүүдийг байгууллага тус бүрээр оноодог тул нэг байгууллага дахь үүрэг нь өөр, хамааралгүй байгууллагад хандах эрх олгохгүй — гэхдээ эцэг байгууллага (parent organisation) дахь үүрэг нь түүний доор байрлах дэд байгууллагуудад мөн үйлчилнэ.
Үүнийг хяналтын самбараас цуцалбал тэр даруй ажиллахаа больно. Эвдрэлийн цар хүрээ нь уг түлхүүрийн анх хийж чадах зүйлээр хязгаарлагддаг бөгөөд тийм ч учраас түлхүүрүүд нь нарийн хүрээтэй байж, хамгийн сүүлд ашигласан цаг тэмдэглэгээг хадгалдаг. Тодорхой хүрээ, харагдах ашиглалтын түүх нь мэдээллийн алдагдлыг бүтэн бүртгэл алдагдахаас сэргийлж, хяналтад байх нэг хэрэг явдал болгон хувиргадаг юм. Түлхүүрийг хувь хүнд бус харин байгууллагад олгодог тул тэдгээрийг хуваалцсан эрх гэж үзэж, хүмүүс ажил сольж явах үед нь сольж байх хэрэгтэйг анхаарна уу. Манай талд түлхүүрийн зөвхөн хэш утга хадгалагддаг тул манай өгөгдлийн сан алдагдсан ч ажиллах боломжтой эрх үүсэхгүй.
Тийм ээ. Эрх бүхий аливаа үйлдлийг үйлдлийг гүйцэтгэгч, үйлдэл, бай, холбогдох нотолгоо, үүсгэвэр IP хаяг, цаг хугацааны тэмдэглэгээний хамт зөвхөн нэмж бичих боломжтой аудит логод бүртгэдэг. Эзэмшигч болон зөвхөн унших эрхтэй хэрэглэгчид үүнийг шууд унших боломжтой. Таны бүртгэл дэх ажилтнуудын үйлдлүүд мөн адил энэ логод бүртгэгдэх бөгөөд ажилтны зүгээс хийх эмзэг эсвэл устгах шинжтэй үйлдлүүдэд эхлээд нэмэлт баталгаажуулалт эсвэл хоёр хүний зөвшөөрөл шаардаж болно.
Тийм ээ — байгууллага болон агентлагийн эрхлэлтүүдэд SAML SSO-г дэмждэг бөгөөд ингэснээр танай хүмүүс одоо байгаа байгууллагынхаа нэвтрэх үнэмлэхээр нэвтэрч, таны лавлах дахь бүртгэлээс хасах үед эндхийн эрх нь мөн адил устах болно. Та арга барилуудыг хослуулан ашиглаж болно: байнгын ажилтнуудад зориулсан SSO, гэрээт ажилчдад зориулсан хязгаарлагдмал шидэт холбоосын бүртгэлүүдийг бүгдийг нь ижил зөвшөөрлийн загварын хүрээнд ашиглаарай.
Үгүй — нууц үгсийг зориудаар шилжүүлдэггүй. Таны бүртгэл нууц үггүйгээр импортлогдох ба анх удаа нэвтрэхдээ шидэт холбоос (magic-link) ашиглах эсвэл одоогийн бодлогын дагуу шинэ нууц үг тохируулна. Хуучин нууц үгийн хэшийг зөөвөрлөх нь хуучин сул талуудыг шинэ систем рүү авч орох тул бид үүнийг хийдэггүй.
Footprint-Free туршилтын хугацаа 14 хоног, карт шаардахгүй бөгөөд таван хүртэлх сайтыг хамруулна. Та туршилтын хугацаанд бүтэн таних тэмдгийн давхаргыг авах болно — нэвтрэх түлхүүр, хоёр шаттай баталгаажуулалт, үүрэг, API түлхүүр болон аудитын бүртгэл нь төлбөртэй төлөвлөгөөний цаана хаалттай байхгүй.
Passkey бүртгүүлж, багийн гишүүдээ зохих үүрэгт нь урьж, хязгаарлагдмал хүрээтэй API түлхүүр үүсгээрэй — карт шаардахгүй, картын мэдээлэл өгөхгүйгээр 14 хоног үнэгүй туршаарай.
Үнэгүй эхлэх