NetaRol tabanlı yetkilendirme, kullanıcıların yapabileceği işlemleri tek tek kişiye dağıtmak yerine belirlenmiş roller üzerinden yönetme yöntemidir. Yönetici, temsilci ve özel roller farklı izin kümelerine sahip olabilir.
Bir rolün adının “yönetici” olması tek başına güvenlik sağlamaz. Uygulamanın her sunucu işleminde kullanıcı yetkisini ve şirket kapsamını ayrıca kontrol etmesi gerekir.
Rol, izin ve kapsam arasındaki fark
Rol bir izinler kümesidir; izin belirli eylemi, kapsam ise eylemin hangi şirket, takım ya da kanal üzerinde yapılabileceğini tanımlar. Üç kavram birlikte değerlendirilmelidir.
Örneğin bir temsilcinin konuşma yanıtlayabilmesi, tüm şirket ayarlarını veya diğer takımların özel görüşmelerini görebileceği anlamına gelmez.
En az yetki ilkesi
Kullanıcıya görevi için gerekli erişimi vermek, gereksiz veri görünürlüğünü azaltır. Ekip değiştiren personelin rolü ve kanal erişimi güncellenmelidir.
Arayüzde bir düğmeyi gizlemek güvenlik kontrolü değildir. Sunucu, doğrudan yapılan istekte de erişimi sınırlandırmalıdır.
NetaSocial ile kullanım
NetaSocial’da özel roller, ayrıntılı yetkiler, firma ve ekip bazlı erişim ile kişiye özel gelen kutusu bulunur. Bu bileşenler konuşmaların işletme içi görünürlüğünü düzenlemeye yöneliktir.
İki faktörlü doğrulama kullanıcı kimliğini güçlendirir; yetkilendirme ise doğrulanan kullanıcının hangi kaynaklara erişebileceğini belirler. İkisi birlikte düşünülmelidir.
Örnek yetki matrisi
Küçük bir şirkette temsilci rolüne kendisine atanmış konuşmaları yanıtlama ve müşteri notu ekleme izni verilebilir. Takım sorumlusu kendi ekibindeki görüşmeleri dağıtabilir. Hesap yöneticisi kullanıcı daveti, kanal bağlama ve abonelik işlemlerini yönetebilir. Bunlar evrensel zorunlu rol isimleri değil, olası bir iş bölümü örneğidir.
Bir yöneticinin bütün verileri görmesi gerekmeyebilir. Farklı müşterilere hizmet veren kuruluşlarda firma ayrımı, takım görünürlüğünden de ayrı korunmalıdır. Özel gelen kutusunda hangi rollerin erişebileceği tek başına menü görünürlüğüyle belirlenemez.
Bir kullanıcı yeni göreve geçtiğinde eski yetkilerinin sürmesi gereksiz erişim yaratabilir. İzin matrisi değişikliklerini denetim kayıtlarıyla birlikte izlemek, sonradan “bu işlem neden yapılabildi?” sorusuna yanıt verir.
Yetki kontrolünde sık yapılan hatalar
Sadece istemci tarafındaki düğmeyi gizleyip API isteğini kontrol etmemek, rol adı değiştiğinde bütün izinleri otomatik vermek ve şirket kimliğini yalnız gönderilen form alanından almak güvenli bir model oluşturmaz.
Tüm hassas işlemlerde yetkiyi sunucuda denetleyin; oturum kapatma ve MFA gibi kimlik güvenliği kontrollerini rol sistemiyle karıştırmayın. Kullanıcının hangi iş verisini görmesi gerektiğini asgari erişim ilkesiyle belirleyin.
Sık sorulan sorular
Rol ile takım aynı şey mi?
Hayır. Rol izinleri, takım ise işin örgütsel paylaşımını ifade eder.
Sadece arayüzden erişimi gizlemek yeterli mi?
Hayır. Asıl izin denetimi sunucu tarafında yapılmalıdır.
NetaSocial ile çalışma biçimini görün
Kanal, yorum ve ekip akışlarını 14 günlük ücretsiz denemede kendi hesaplarınızla inceleyin.
Ücretsiz Deneyin →