Roller ve İzinler
SecureCodingHub her kurum içinde iki rolle rol bazlı erişim kontrolü kullanır. Her rolün yönetici yüzeyleri ve öğrenci deneyimi boyunca tanımlanmış bir izin kümesi vardır.
Rol Genel Bakışı
Kurumunuzdaki her kullanıcıya iki rolden biri atanır. Dahili enum değerleri org_admin ve learner'dır; yönetici arayüzü onları aşağıdaki okunabilir adlarla gösterir.
| Rol | Açıklama |
|---|---|
| Kurum Yöneticisi | Kurum düzeyinde yönetici. Kullanıcıları, ekipleri, atamaları, özel kursları, SSO'yu, SCIM'i, SCORM'u, API anahtarlarını, webhook'ları, denetim günlüğünü, uyumluluk raporlarını ve kurum ayarlarını yönetir. Yönetici kontrol paneline erişimi vardır. |
| Öğrenci | Tüm geliştiriciler için standart kullanıcı rolü. Pratik sorularını ve öğrenme senaryolarını tamamlar, kişisel ilerlemeyi izler, XP kazanır ve kendi yığın tercihlerini yönetir. |
İzin Matrisi
Aşağıdaki tablo her role hangi izinlerin verildiğini gösterir:
| İzin | Kurum Yöneticisi | Öğrenci |
|---|---|---|
| Yönetici kontrol panelini görüntüle | ✓ | ✗ |
| Kullanıcıları yönet (ekle, düzenle, kaldır) | ✓ | ✗ |
| Ekipleri yönet | ✓ | ✗ |
| Atamaları oluştur ve yönet | ✓ | ✗ |
| Özel kursları oluştur ve yönet | ✓ | ✗ |
| SSO'yu yapılandır | ✓ | ✗ |
| SCIM provizyonunu yapılandır | ✓ | ✗ |
| SCORM paketleri oluştur | ✓ | ✗ |
| API anahtarlarını yönet | ✓ | ✗ |
| Webhook uç noktalarını yönet | ✓ | ✗ |
| Denetim günlüğünü görüntüle | ✓ | ✗ |
| Uyumluluk panolarını görüntüle | ✓ | ✗ |
| Uyumluluk / eğitim raporları oluştur | ✓ | ✗ |
| Kurum ayarlarını düzenle (liderlik tablosu, eşik) | ✓ | ✗ |
| Pratik sorularını tamamla | ✓ | ✓ |
| Öğrenme senaryolarını tamamla | ✓ | ✓ |
| Kendi ilerlemesini ve atamalarını görüntüle | ✓ | ✓ |
| Liderlik tablosunu görüntüle (kurum izin verdiğinde) | ✓ | ✓ |
Rolleri Değiştirme
Kurum Yöneticileri kendi kurumlarında bir öğrenciyi Kurum Yöneticisi rolüne yükseltebilir veya bir kurum yöneticisini tekrar Öğrenci rolüne düşürebilir. Rol değişiklikleri kullanıcının bir sonraki isteğinde hemen etkili olur. Her rol değişikliği aktör, hedef ve zaman damgası ile denetim günlüğüne yazılır.
En İyi Uygulamalar
Kurum Yöneticilerini Azaltın
Kurum başına Kurum Yöneticisi sayısını 2-3 ile sınırlandırın. Bu, kazara yanlış yapılandırmanın yüzey alanını sınırlar ve denetim izlerini temiz tutar.
Geliştiriciler için Öğrenci
Tüm geliştiriciler için Öğrenci rolünü kullanın. Yönetici yetenekleri olmadan eğitim içeriğine, ilerleme takibine ve yığın tercihlerine tam erişim elde ederler.
Kurumunuz için rol seçimi
Bir eğitim platformu içindeki rol tasarımı üretim sistemlerindeki rol tasarımından daha düşük riskli hissedilir ve tam da bu nedenle dikkatsizce yapılma eğilimindedir. Eğitim platformu kimin neyi bildiği, hangi ekiplerin hangi konularda en zayıf olduğu ve hangi mühendislerin zorunlu uyumluluk eğitimini tamamladığı hakkında veri tutar. Bu veri kendi başına hassastır — hem rekabetçi bilgi olarak hem de denetim konuşmalarında kanıt olarak — ve rol modeli bunu yansıtmalıdır.
Kurum Yöneticisi ve ekip liderlerine devretme
Büyüyen kurumlardaki cazibe, her mühendislik yöneticisini bilet açmadan kendi ekiplerini yönetebilmeleri için Kurum Yöneticisi yapmaktır. Bu örüntünün maliyeti daha sonra ortaya çıkar. Kurum Yöneticileri yalnızca kendilerininkini değil her ekibin verisini görüntüleyebilir, bu da bir yöneticinin bir akranının bilgisi olmadan o ekibin performansını görebileceği anlamına gelir. Ayrıca kullanıcıları ekipler arasında yeniden atayabilir, oluşturmadıkları atamalardaki son tarihleri değiştirebilir ve SSO yapılandırmasını değiştirebilirler. Çoğu kurum için iki veya üç Kurum Yöneticisi doğru tavandır — tipik olarak mühendislik veya AppSec başkanı artı bir veya iki belirlenmiş yönetici.
Günlük ekip düzeyinde operasyonlar için daha iyi örüntü, ekip liderlerini Öğrenci olarak tutmak ve onlara ekipleri için kontrol paneli filtresi vermektir. İhtiyaç duymadıkları yapılandırma gücü olmadan ihtiyaç duydukları görünürlüğü elde ederler. Bir ekip liderinin ekibi için bir atama oluşturması gerekiyorsa, Kurum Yöneticisi bunu birkaç dakikada yapabilir — gerekenden daha geniş bir gruba sürekli yönetici erişimi vermenin uzun vadeli maliyetinden çok daha ucuzdur.
En az ayrıcalık ve denetim günlüğü
En az ayrıcalık ilkesi başka her yerde olduğu gibi eğitim platformu içinde de geçerlidir. Her ek Kurum Yöneticisi, ele geçirilmesi bir saldırganın eğitim verinizi okumasına, SCIM yapılandırmanızı değiştirmesine veya kendi harici hesabına sessizce yönetici erişimi vermesine olanak tanıyan başka bir kimlik bilgisidir. Buradaki pratik en az ayrıcalık, yeni işe alımları varsayılan olarak Öğrenci yapmak, yalnızca operasyonel ihtiyaç netleştiğinde yükseltmek ve birisi rol değiştirdiğinde derhal düşürmek anlamına gelir.
Rol değişiklikleri ve önemli yönetici eylemleri, üretim sistemlerinin ayrıcalıklı eylemleri kaydetmesiyle aynı nedenle zaman damgaları ve aktör kimliğiyle kaydedilir. Bir şey ters gittiğinde — kaldırılmaması gereken bir kullanıcı kaldırıldığında, bir denetimden günler önce bir atama değiştirildiğinde, bir ekip yanlışlıkla silindiğinde — denetim günlüğü ne olduğunu yeniden kurmanıza olanak tanıyan belgedir. Yönetici hakları verirken bunu aklınızda tutun, çünkü denetim izi sonunda biri tarafından okunacaktır ve küçük bir yönetici kadrosu günlüğü okunabilir kılar. Bu rollerin içindeki insanları yönetmeye ilişkin ayrıntılar için Kullanıcı Yönetimi bölümüne bakın.