https://doc.ruscomtech.ru/index.php?action=history&feed=atom&title=%D0%91%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D1%8C_%D1%80%D0%B0%D1%81%D1%88%D0%B8%D1%80%D0%B5%D0%BD%D0%B8%D1%8FБезопасность расширения - История изменений2026-09-16T15:20:29ZИстория изменений этой страницы в викиMediaWiki 1.43.9https://doc.ruscomtech.ru/index.php?title=%D0%91%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D1%8C_%D1%80%D0%B0%D1%81%D1%88%D0%B8%D1%80%D0%B5%D0%BD%D0%B8%D1%8F&diff=5321&oldid=prevIKuznetsov: Новая страница: «Ключ-АСТРОМ применяет безопасные средства управления разработкой в своем жизненном...»2025-06-17T14:24:42Z<p>Новая страница: «Ключ-АСТРОМ применяет безопасные средства управления разработкой в своем жизненном...»</p>
<p><b>Новая страница</b></p><div>Ключ-АСТРОМ применяет безопасные средства управления разработкой в своем жизненном цикле разработки безопасности ('''SDL''').<br />
<br />
Фреймворк '''Расширения 2.0''' безопасен, но безопасность ваших расширений также зависит от того, как вы их разрабатываете и управляете ими в среде Ключ-АСТРОМ.<br />
<br />
Следуйте этим рекомендациям, чтобы сделать ваши расширения максимально безопасными.<br />
<br />
== Управление сертификатами ==<br />
Фреймворк '''Расширения 2.0''' использует механизм подписи расширений для обеспечения целостности расширений, распространяемых в вашей среде. Загружая корневой сертификат на хост, на котором запущено расширение, вы подтверждаете свой доступ на запись к хосту. Однако вы также несете ответственность за обеспечение безопасности сертификатов.<br />
<br />
=== Используйте различные сертификаты ===<br />
Сгруппируйте ваши расширения по категориям и используйте разные сертификаты подписи для разных типов расширений. Например:<br />
<br />
* Для максимальной безопасности каждое расширение может быть подписано с использованием специального сертификата.<br />
* Подпишите расширения, отслеживающие конфиденциальные данные, с помощью специальных сертификатов.<br />
* Корневые сертификаты и сертификаты разработчика должны управляться разными организациями.<br />
<br />
=== Замените истекшие сертификаты ===<br />
Если ваши сертификаты истекут<br />
<br />
# Удалить расширения, подписанные с использованием истёкшего сертификата.<br />
# Удалите истекший сертификат из хранилища учетных данных Ключ-АСТРОМ.<br />
# Удалите истекший сертификат со всех хостов.<br />
# Выпустите новый сертификат и снова подпишите свои расширения.<br />
<br />
== Код расширения ==<br />
Код, добавленный в ваш файл расширения '''YAML''' (например, запросы '''SQL'''), несет риск компрометации системы, если злоумышленник получит доступ к среде Ключ-АСТРОМ. Следующие рекомендации помогут вам сохранить код расширения в безопасности.<br />
<br />
=== Обеспечьте целостность кода ===<br />
Источники данных Ключ-АСТРОМ '''Расширения 2.0''' защищены, но вы несете ответственность за то, чтобы код, добавляемый вами в файл расширения '''YAML''', также был защищен.<br />
<br />
Вы несете ответственность за целостность и подлинность неподписанного кода расширения, который вы получаете или загружаете из '''Интернета'''. Когда вы подписываете код, полученный от третьей стороны, проверьте код на наличие потенциально вредоносного поведения или уязвимостей.<br />
<br />
=== Ограничьте права пользователя ===<br />
Создайте выделенных пользователей для ваших расширений (например, пользователей базы данных) и предоставьте им ограниченные разрешения. Пользователь расширения должен иметь доступ только к тем данным, которые требуются для вашего расширения. Избегайте использования администраторов или суперпривилегированных пользователей для доступа к источникам данных для ваших расширений.<br />
<br />
== Контроль доступа ==<br />
Пользователи с доступом на запись могут получить доступ, присутствующий в конфигурации расширения, даже если он замаскирован в веб-интерфейсе или '''REST API''', изменив определенные части конфигурации мониторинга.<br />
<br />
Чтобы защититься от несанкционированного доступа, реализуйте политики управления доступом с наименьшими привилегиями для конфигураций расширений:<br />
<br />
* Позвольте своим пользователям полагаться на персональные токены при управлении жизненным циклом расширения с помощью '''API''', а не на токены с глобальными разрешениями на запись расширений.<br />
* Создавайте политики безопасности с разрешениями на запись конфигурации расширения и привязывайте их к группам с ограниченным числом доверенных пользователей.<br />
* Служба '''Extensions IAM''' предоставляет вам условия, которые могут ограничить доступ к записи конфигурации для выбранных областей, таких как расширение, менеджмент-зоны или группы хостов и АктивныхШлюзов. Используйте их для создания детальных политик безопасности.<br />
<br />
Более подробную информацию см. в разделе [[Концепции расширений 2.0|Контроль доступа]].<br />
<br />
== Конфиденциальные источники данных ==<br />
Некоторые источники данных заставляют расширение выполнять действия, которые могут считаться конфиденциальными (например, выполнение '''SQL'''-запросов). Это может раскрыть конфиденциальные данные из контролируемой системы. Проверьте свое расширение, чтобы убедиться, что оно не извлекает никакую конфиденциальную информацию.</div>IKuznetsov