조직 내에서 특정 데이터에 누가 액세스하는지 제어하는 것은 보안, 규정 준수 및 데이터 거버넌스에 필수적입니다. 뉴렐릭의 역할 기반 액세스 제어는 사용자가 액세스할 수 있는 기능을 관리하는 반면, data access control (는) 사용자가 볼 수 있는 특정 데이터를 관리합니다.
현재 로그 데이터에 대한 데이터 액세스 제어를 사용할 수 있어 특정 로그 파티션 에 대한 사용자 액세스를 제한할 수 있습니다.
작동 원리
대규모 조직에서는 다양한 팀, 서비스, 환경에 걸쳐 엄청난 양의 로그를 생성합니다. 보안팀은 개인 식별 정보(PII)를 포함할 수 있는 중요한 보안 로그를 모니터링해야 하는 반면, 개발팀은 해당 마이크로서비스와 관련된 로그만 확인하면 됩니다. Data access control 사용하면 각 팀이 액세스할 수 있는 로그 파티션을 정확하게 정의하는 정책을 만들 수 있습니다.
특정 로그 파티션에 대한 액세스를 제한하는 데이터 액세스 정책을 만들고 액세스 권한을 부여하여 사용자 그룹에 할당합니다. 할당된 정책이 있는 그룹의 사용자는 해당 정책에서 허용한 로그 파티션에만 액세스할 수 있습니다.
모든 접근을 거부하는 방식으로 시작한 다음, 필요한 파티션에만 접근 권한을 부여하는 허용 정책을 추가하는 것이 좋습니다. 이는 최소 권한 원칙을 따르며 사용자가 필요한 데이터에만 액세스할 수 있도록 보장합니다.
주요 개념:
- 데이터 액세스 정책: 허용 목록이나 거부 목록을 사용하여 사용자가 액세스할 수 있는 로그 파티션을 정의합니다.
- 정책 할당: 정책은 Access Management* UI를 통해 그룹에 할당됩니다.
- 와일드카드 매칭:
%와일드카드로 사용하여 여러 파티션을 매칭합니다(예:log_prod%은 "log_prod"로 시작하는 모든 파티션과 매칭됩니다). - 여러 정책: 사용자가 서로 다른 정책을 가진 여러 그룹에 속해 있는 경우 가장 허용적인 액세스 권한이 적용됩니다.
중요
액세스가 제한된 사용자는 기록 내보내기, 공지 공지 또는 Insights API 통해 제한된 로그 파티션의 정보를 계속 볼 수 있습니다. 자세한 내용과 완화책을 알아보려면 잠재적인 데이터 노출 위험을 참조하세요.
요구 사항
데이터 액세스 정책을 만들고 관리하려면 다음이 필요합니다.
데이터 액세스 정책 생성 및 할당
UI 또는 NerdGraph API를 통해 데이터 액세스 정책을 만들고 할당할 수 있습니다. UI를 통해 정책을 만들려면 다음 단계를 참조하세요.
정책 만들기
one.newrelic.com > Administration > Access Management > Data access policies 으)로 이동합니다.
Create a policy 클릭합니다(기존 정책이 있는 경우 Add a policy 클릭합니다).
정책 이름을 입력하세요.
조건을 선택하세요:
- Deny selected: 선택한 로그 파티션에 대한 액세스를 차단합니다.
- Allow selected: 선택된 로그 파티션에만 액세스를 허용합니다.
Filter partitions by account 드롭다운 메뉴에서 계정을 선택하여 로그인 파티션 목록을 선택하세요.
정책에 포함할 로그 파티션을 선택하세요.
- 드롭다운 메뉴에서 파티션을 선택하거나
- 파티션 이름이나 와일드카드(예: 여러 파티션을 일치시키려면
log_go%)를 쉼표로 구분하여 입력합니다.
Review policy 클릭하여 설정을 확인하세요.
Create policy 을(를) 클릭합니다.
정책은 Data access policies 탭에 나타납니다. 이를 보거나 편집하거나 삭제하려면 다음을 클릭하세요. 메뉴.
그룹에 정책 할당
Administration > Access Management > Grants 으)로 이동합니다.
정책을 할당할 권한을 찾은 다음 클릭하세요. 옆에 메뉴가 있습니다.
Add data access policy 선택합니다.
Policies 드롭다운 메뉴에서 정책을 선택하세요.
Save 을(를) 클릭합니다.
Policy name 열에는 할당된 정책이 표시됩니다. 제거하거나 변경하려면 다음을 사용하세요. 메뉴.
다중 정책 및 액세스 해결
사용자가 서로 다른 데이터 액세스 정책을 가진 여러 그룹에 속하는 경우:
- 정책 결합 허용: 사용자는 그룹 전체에서 허용된 모든 파티션에 액세스할 수 있습니다. 예를 들어, 그룹 A가
log_frontend%허용하고 그룹 B가log_backend%허용하는 경우 사용자는 둘 다에 액세스할 수 있습니다. - 거부 정책이 허용 정책보다 우선합니다. 거부 정책은 허용 정책보다 우선합니다. 예를 들어, 그룹 A가
log_%허용하지만 그룹 B가log_sensitive거부하는 경우 사용자는log_sensitive제외한 모든 파티션에 액세스할 수 있습니다.
사용자에게 적용되는 정책을 보려면 Administration > Access Management > Grants 로 이동하여 해당 그룹의 Policy name 열을 확인하세요.
잠재적인 데이터 노출 위험
데이터 액세스 제어는 대부분의 블루렐릭 기능에서 로그 데이터 액세스를 제한하지만 사용자에게 제한된 데이터가 계속 표시될 수 있는 시나리오가 있습니다.