3.1الحسابات والحقوق والأذونات
الأساسي في 30 ثانية
- ثلاث لبنات: الحساب (الهوية)، المجموعة (الحاجة المشتركة) والإذن (الحق الممنوح على مورد عبر ACL).
- تُمنح الحقوق للمجموعات، لا للأشخاص فرداً فرداً: تُدار الالتحاقات والمغادرات بمجرّد العضوية.
- أقل صلاحية: لا يملك كل شخص إلا الضروري؛ حساب مسؤول زائد هو خطر، لا راحة.
حالة مصغّرة متسلسلة — سفيان يستقبل محاسبة في الجزائر
سفيان، تقني دعم أصبح مسؤول أنظمة في شركة توزيع صغيرة بالجزائر، يستقبل محاسبة جديدة. الإغراء سيكون تأشير عشر خانات وصول واحدة تلو الأخرى؛ لكنه يطبّق منطق القسم. ينشئ مجموعة «المحاسبة»، يمنحها الأذونات على المشاركة المحاسبية، ثم يضيف القادمة الجديدة إلى هذه المجموعة ببساطة: فترث دفعة واحدة كل الأذونات الصائبة. يتحقق من أن لا حساب يحمل حقوق مسؤول غير ضرورية ويسجّل العادة: الحقوق للمجموعات، ويُدار الأشخاص بالعضوية.
حالة مستقلة خاصة بهذا القسم: تعود في الدرس والمخطط والسكربت وتحدّي 48 ساعة في القسم 3.1.
1. الحسابات والمجموعات والأذونات — اللبنات الثلاث
ثلاث لبنات تنظّم إدارة الوصول: حساب المستخدم (هوية)، والمجموعة (مجموعة مستخدمين يتشاركون حاجة)، والإذن (ما يُسمح بفعله على مورد، عبر ACL). القاعدة الذهبية في جملة: تُمنح الحقوق للمجموعات، لا للأشخاص فرداً فرداً. يضع سفيان دوماً هذه اللبنات الثلاث قبل منح أي وصول.
2. لماذا المرور عبر المجموعات
منح وصول لـ«مريم»، ثم لـ«كريم»، ثم لـ«سنية» يصبح سريعاً غير قابل للإدارة. ننشئ مجموعة «المحاسبة»، نمنحها الحقوق على المشاركة المحاسبية، ونضيف أو نزيل الأشخاص من المجموعة. القادم الجديد يرث فوراً الأذونات الصائبة؛ والمغادرة تُحلّ بإجراء واحد، دون خطر نسيان حق متبقٍّ.
3. أقل صلاحية
مبدأ أقل صلاحية: لا يملك كل شخص إلا الحقوق اللازمة لعمله، لا أكثر. نتحاشى توزيع حقوق المسؤول «لنكون مطمئنين» — فحساب أقوى من اللازم خطر كبير إذا تسرّب كلمة مروره، أو أخطأ المستخدم، أو استولى عليه برمجية خبيثة. يحتفظ سفيان بهذه القاعدة كبوصلة عند كل طلب وصول.
🔎 مثال ملموس — 🔎 مثال ملموس — قادم جديد إلى المحاسبة
سنية تلتحق بمحاسبة الشركة. يقارن سفيان طريقتين:
X إضافة سنية يدوياً إلى كل مجلد/مشاركة/تطبيق
OK إضافة سنية إلى مجموعة "المحاسبة"
-> ترث فوراً كل الأذونات الصائبةالقراءة: المجموعة تحمل الحقوق؛ لا نلمس سوى عضوية سنية.
الدرس: عند مغادرتها، إزالتها من المجموعة تكفي — دون وصول منسيّ متبقٍّ.
مفردات القسم
- حساب المستخدم
- الهوية الرقمية لشخص، مع بيانات اعتماده.
مثال بسيط: ينشئ سفيان حساباً لكل قادم جديد.
ما ليس كذلك: مجموعة تجمع عدة هويات.
رد فعل: شخص → حساب.
- المجموعة
- مجموعة مستخدمين يتشاركون حاجة وصول واحدة؛ وهي التي تحمل الأذونات.
مثال بسيط: مجموعة «المحاسبة» تتلقى الحقوق على المشاركة المحاسبية.
ما ليس كذلك: حق موضوع لشخص مسمّى واحد.
رد فعل: حاجة مشتركة → مجموعة.
- الإذن (ACL)
- حق ممنوح على مورد (قراءة، كتابة…) عبر قائمة التحكم بالوصول.
مثال بسيط: يضع سفيان المجموعة في وضع قراءة/كتابة على مجلد الموارد البشرية.
ما ليس كذلك: النطاق الترددي المخصّص لجهاز.
رد فعل: حق على مورد → ACL.
- أقل صلاحية
- منح الحقوق الضرورية فقط لعمل كل شخص.
مثال بسيط: يرفض سفيان صلاحية المسؤول «لنكون مطمئنين».
ما ليس كذلك: منح حقوق المسؤول لكل المستخدمين.
رد فعل: الضروري فقط → أقل صلاحية.
- حساب المسؤول
- حساب بحقوق موسّعة، يجب حجزه وحمايته خصوصاً.
مثال بسيط: لا يستعمل سفيان صلاحية المسؤول إلا لمهام الإدارة.
ما ليس كذلك: حساب قياسي يُستعمل يومياً.
رد فعل: حقوق موسّعة → يجب حمايتها.
في التطبيق — عملياً — تصميم نموذج حقوق
- اسرد ثلاث مصالح (المحاسبة، الموارد البشرية، الإدارة) واحتياجات وصولها، كما يفعل سفيان.
- أنشئ مجموعة لكل حاجة وامنحها الأذونات على الموارد.
- ضع كل مستخدم في المجموعة أو المجموعات الصائبة، دون حق فردي.
- تحقق من أن لا حساب يملك حقوق مسؤول غير ضرورية.
سكربت خطوة بخطوة — وضع حقوق مصلحة كما يفعل سفيان (4 دقائق)
1) اسرد الموارد المطلوب فتحها (مشاركات، تطبيقات). 2) أنشئ مجموعة تحمل الحاجة (مثلاً «المحاسبة»). 3) امنح هذه المجموعة الأذونات على كل مورد، بالمستوى الصائب (قراءة أو قراءة/كتابة). 4) أضف الأشخاص إلى المجموعة، دون حق فردي. 5) تحقق من أن لا حساب يحتفظ بحق مسؤول غير ضروري.
احتفظ بهذا النموذج: تصبح الالتحاقات والمغادرات مجرّد عضوية تُعدَّل، دون مطاردة حقوق منسية.
نموذج نسخ-لصق — مصفوفة الحقوق الخاصة بي
المورد -> المجموعة -> المستوى (قراءة / كتابة)
مشاركة المحاسبة -> مجموعة "المحاسبة" -> قراءة/كتابة
مشاركة الموارد البشرية -> مجموعة "الموارد البشرية" -> قراءة فقط
كل الآخرين -> لا وصول
القاعدة: الحقوق للمجموعات؛ الأشخاص بالعضوية؛ أقل صلاحيةقادم جديد
يضيف سفيان الموظف الجديد إلى المجموعة الصائبة: يرث كل وصوله دفعة واحدة.
مغادرة
يزيل سفيان الشخص من المجموعة: لم يبقَ أي وصول منسيّ متبقٍّ.
طلب صلاحية مسؤول
مصلحة تطالب بحقوق المسؤول: يطبّق سفيان أقل صلاحية ويرفض الإفراط.
مجلد سري
يتحقق سفيان من أن أي حساب قياسي لا يمكنه الوصول إلى البيانات السرية لمصلحة الموارد البشرية.
✓ ممارسات جيدة
- امنح الحقوق للمجموعات، لا للأشخاص.
- طبّق أقل صلاحية عند كل طلب وصول.
- احجز واحمِ حسابات المسؤول.
✗ أخطاء شائعة
- إسناد وصول فردي في كل مكان (غير قابل للإدارة).
- توزيع صلاحية المسؤول «لنكون مطمئنين».
- نسيان سحب حقوق المغادر.
النقاط الأساسية
- الحساب (هوية)، المجموعة (حاجة مشتركة)، الإذن (حق على مورد).
- تُمنح الحقوق للمجموعات؛ ويُدار الأشخاص بالعضوية.
- أقل صلاحية: ما يلزم فقط، لا أكثر.
- حساب مسؤول زائد خطر، لا راحة.
تحدٍّ 48 ساعة — طبّقه غدًا
كما يفعل سفيان، ارسم مصفوفة الحقوق لمصلحة: مجموعة، والأذونات التي تحملها (قراءة أو قراءة/كتابة)، والأشخاص المرتبطين بالعضوية. تحقق من أن لا حساب يحمل صلاحية مسؤول غير ضرورية، واكتب في جملة واحدة لماذا تُمنح الحقوق للمجموعات بدل الأفراد.
- أستطيع شرح اللبنات الثلاث: الحساب، المجموعة، الإذن.
- أمنح الحقوق للمجموعات وأدير الأشخاص بالعضوية.
- أطبّق أقل صلاحية وأحمي حسابات المسؤول.
أسئلة شائعة
لماذا لا نمنح صلاحية المسؤول للجميع ببساطة؟
لأن حساب المسؤول يستطيع تعديل أو تدمير كل شيء: خطأ، أو برمجية خبيثة، أو كلمة مرور مسروقة تُحدِث أقصى الأضرار. أقل صلاحية تحدّ من الأضرار وتقلّل مساحة الهجوم.
ماذا يحدث إذا تكاثفت الأذونات عبر عدة مجموعات؟
تُجمع الحقوق، ويرجّح منعٌ صريح عادةً على السماح. من هنا فائدة نموذج بسيط: كثرة المجموعات المتراكبة تجعل الوصول غير متوقّع.
في الممارسة الجيدة، لمن تُنسب الأذونات على مورد؟