Access control
Tailscale Grants: pääsypäätös luettavaksi, testattavaksi ja omistettavaksi.
Grant yhdistää lähteen, mahdollisen posture‑ehdon, kohteen sekä ip- ja/tai app-kyvykkyyden. Tuotantokelpoinen malli vaatii lisäksi ryhmien ja tagien omistajuuden, koko politiikan allow/deny‑testit sekä hyväksytyn muutospolun.
Periaate
Salli vain politiikassa nimetty pääsy.
Grants‑sääntömalli on deny‑by‑default: pääsy sallitaan vain, jos se vastaa koko julkaistua politiikkaa. Uuden tailnetin valmiiksi luotu oletuspolitiikka sallii kuitenkin aluksi laajan laitteiden välisen liikenteen, joten se pitää korvata ja testata ennen kuin toteutus vastaa vähimmän oikeuden periaatetta. Grants on suositeltu malli uusille politiikoille, vaikka ACL‑syntaksi on edelleen tuettu.
{
"src": ["group:ops"],
"srcPosture": ["posture:managed"],
"dst": ["tag:prod-web"],
"ip": ["tcp:22"]
}Neljä kysymystä
- Kuka tai mikä toimii lähteenä?
- Mitä lähdelaitteen ehtoja vaaditaan?
- Mihin resurssiin pääsee?
- Mikä verkko- tai sovelluskyvykkyys sallitaan?
app-kyvykkyys on Tailscalelle läpinäkymätöntä JSON‑dataa. Kohdesovelluksen pitää lukea ja toimeenpanna se; sovelluksen muu valtuutus säilyy erillisenä kontrollina.
Tuotantokelpoisuus
Politiikan syntaksi ei yksin riitä.
Jokaisella ryhmällä, tagilla, resurssilla ja poikkeamalla pitää olla nimetty omistaja ja poistotapa. Grants‑säännöt ovat additiivisia: tarkka sääntö ei kumoa muualla annettua laajempaa pääsyä.
Mallinna
- ryhmät, tagit ja etuoikeutettu
tagOwners - resurssikohtaiset kohteet
- posture‑ehdot sekä
ip/app-kyvykkyydet
Testaa koko politiikka
- oikea yhteys sallitaan
- väärä käyttäjä tai laite estyy
- väärä kohde ja portti estyvät
Hallitse
- Git‑versionhallinta ja katselmointi
- perustelu ja hyväksyjä muutokselle
- hallittu palautus validoituun politiikkaversioon
AIM‑malli
Miten Defense First käyttää Grantsia.
Advice suunnittelee ryhmä-, tag-, posture- ja omistajuusmallin. Integrate toteuttaa politiikan, testit ja GitOps‑validoinnin. Manage katselmoi ja muuttaa politiikkaa sovitulla PR- ja testausmallilla.
