EverC 迁移至安全的即时访问后实现效率提升

挑战：高效配置对敏感客户数据的安全访问权限

EverC 的客户将敏感的电商数据托付给这家 SaaS 服务商，因此确保其在 Amazon RDS 中的数据库安全是公司的首要任务。EverC 信息技术与安全总监 Gal Bayer 表示：“客户对自身安全有严格要求。安全能力帮助我们赢得交易，并让客户持续与我们合作。”然而，随着平台团队快速扩张，如果要通过人工流程为 20 个不同的敏感数据库配置访问权限并匹配适当的权限集，效率极低。为此，Gal 转向 1Password，希望简化按需配置恰当权限的流程并降低风险。

解决方案：借助捆绑方案，轻松部署并推广使用

在选择即时访问权限配置解决方案时，EverC 云基础设施负责人 Tomer Cohen 表示，选择 1Password 时的决定性因素包括：

• 与其在 Amazon RDS 中的 MySQL 数据库集成的便捷性和速度

• 其数据库内权限管理的粒度

• 支持其身份提供商 (IdP) JumpCloud

作为一款云原生工具，1Password 很容易与我们的 AWS 环境集成。该平台能够利用 AWS 原生标签自动发现我们的资源，因此我们得以快速、全面地完成设置，让团队迅速投入使用。

Tomer Cohen
Head of Cloud Infrastructure at EverC

Gal 和 Tomer 通过在 RDS 中为仍使用本地应用程序用户账户的用户部署 1Password Privileged Access，赢得了用户的信任。他们在撤销本地访问权限之前，给用户时间适应 JIT 并提交首次访问请求，从而在不影响工作效率的情况下赢得了用户的支持。他们以这次成功的推广为基础，迅速扩大实施范围，在开发环境中部署 JIT，包括存储最敏感数据的核心关键资源。

“虽然 Access Flows 具有动态性，我们的 BI 团队还是提出了一个有意思的挑战，” Gal 说，并解释说，他们需要更广泛的访问权限，以便在大量数据库上运行脚本。

“我们在这里找到的解决方案是能够创建一个捆绑包，通过单次申请授予对多个资源的访问权限，”Gal 说道。他指的是将多个资源的策略结合在一起的访问流程整合分组，从而简化管理员对访问流程的管理。“这样他们就无需逐一申请每项资源，从而节省了时间，确保他们可以一次性获得所需的一切。”

不过，对于读/写访问权限等更敏感的权限，他们创建了一项 Access Flow 策略，要求获得直属经理的批准。

“我们实施了一套手动访问流程：如果你申请管理员权限，就需要直属经理和生产经理两人批准，”Bayer解释说。如果用户拥有数据库的管理员访问权限，那么此人可能会意外（或故意）停止与其自身工作无关的其他作业。“这里可能造成的损害非常大，”Gal说，“但确保不仅由你自己的经理批准，还让生产经理参与其中后，我们已经避免了许多灾难的发生。”

成果：安全、顺畅的访问为所有人节省时间

据 Tomer 介绍，迁移到 1Password Privileged Access 后，他的团队每周在管理数据库的入职、调动与离职（Joiner-Mover-Leaver）生命周期访问权限方面至少节省 10 个小时。EverC 的最终用户也从中受益：他们借助带自动审批的 1Password Privileged Access 中的 Access Flows 访问许多资源，从而能够安全地全天候访问这些资源。Gal 表示：“1Password Privileged Access 让我们能够集中并优化流程，同时提升安全性，而且不会给用户增加额外负担”。对 Gal 的团队而言，通过 1Password Privileged Access 集中管理所有访问权限还带来一个额外好处：每一次访问请求和使用情况都会被细致审计。这简化了他向合规团队提交报告的工作，也让面向 ISO 27001、SOC 2 及其他法规要求以及客户要求的审计更加顺畅高效。

从我所在开发团队的角度来看，用户体验好得多；对我来说，确保合规也容易得多。

Tomer Cohen
Head of Cloud Infrastructure at EverC

下一步

在成功保护对核心关键资源的访问后，Gal 说：“我的下一步是将同样严格的管理规范扩展到我们的 Kubernetes 集群，确保我们在其中的所有访问都在授权范围内并受到管控。”