퀴즈: 계정과 권한 최소화

역할 A가 B를 상속하고 B가 다시 A를 상속하는 자료를 받았다. 유효 권한 계산기를 짤 때 가장 알맞은 처리는?

• 상속 깊이를 다섯 단계로 제한해 그 아래는 무시한다
• 이미 펴 본 역할을 기억하며 내려가 두 역할이 같은 권한 집합이 되는 것을 그대로 드러낸다
• 순환이 있으면 자료가 잘못된 것이므로 두 역할을 모두 계산에서 제외한다
• 상속 목록을 무시하고 역할에 직접 적힌 권한만 센다

휴면 계정을 판정하는 스크립트에서 기준일로 실행 시점의 오늘 날짜를 쓰면 생기는 가장 큰 문제는?

• 시간대가 다른 곳에서 돌리면 하루가 어긋난다
• 마지막 접속일이 미래인 계정에서 음수가 나온다
• 같은 자료로 다시 돌렸을 때 결과가 달라져 감사 자료로 쓸 수 없다
• 휴면 기준 일수를 정책 파일에서 읽을 수 없게 된다

관측 기간 석 달 동안 한 번도 쓰이지 않은 권한 목록을 뽑았다. 이 목록의 성격으로 가장 알맞은 것은?

• 곧바로 회수해도 되는 권한의 목록이다
• 권한 부여가 잘못됐다는 증거이므로 담당자에게 책임을 묻는 근거다
• 관측 기간을 한 해로 늘리면 반드시 비게 되는 목록이다
• 왜 필요한지 물어야 할 대상의 목록이고, 주기가 긴 권한은 여기 섞여 있다

계정에 이미 상위 역할이 있는데 그 하위 역할이 따로 하나 더 붙어 있다. 이 배정을 회수하려 할 때 가장 설득력 있는 근거는?

• 회수해도 그 계정의 유효 권한이 그대로라는 것을 계산해 보이는 것
• 하위 역할은 상위 역할보다 오래됐으므로 정리 대상이라는 것
• 배정 수가 줄면 감사에서 좋은 인상을 준다는 것
• 역할이 두 개면 로그인할 때마다 권한 계산이 느려진다는 것

권한을 부여할 수 있는 계정의 실제 도달 범위를 구할 때, 한 걸음만 따라가면 놓치는 것은?

• 부여받은 역할이 또 다른 역할을 부여할 수 있어 두 걸음 뒤에 열리는 권한
• 부여 기록이 감사 로그에 남는지 여부
• 부여한 역할을 되돌릴 수 있는지 여부
• 부여 대상 역할이 휴면 계정에도 붙어 있는지 여부

직무 분리 규칙을 코드에 상수로 박지 않고 정책 파일에서 읽어 돌리게 만드는 가장 큰 이유는?

• 정책 파일을 고치면 코드 검토 없이 판정이 바뀌어 감사가 빨라진다
• 규칙이 늘거나 바뀔 때 판정 코드를 건드리지 않아도 되고, 무엇을 판정했는지가 자료로 남는다
• 상수로 박으면 규칙 이름을 한글로 쓸 수 없다
• 정책 파일이 있어야 유효 권한 계산이 상속을 펼 수 있다