خمس سياسات للبنية التحتية تحمي سحابتك من حرق الأموال والأمان

يحتاج مطور إلى الوصول عبر SSH إلى خادم إنتاج لجلسة تصحيح سريعة. يفتح المنفذ 22 على 0.0.0.0/0 ليتمكن من الاتصال من عنوان IP المنزلي الخاص به. ينتهي التصحيح، ويُغلق التذكرة، وتبقى قاعدة مجموعة الأمان هذه مفتوحة لمدة ثلاثة أشهر. لا أحد يلاحظ حتى تصل فاتورة السحابة بمفاجأة: شخص ما قام بتشغيل مثيل m5.24xlarge في حساب التطوير، يعمل 24/7، بدون وسوم، باسم test123.

هذا ليس سيناريو افتراضيًا. هذا النمط يتكرر عبر الفرق كل ربع سنة. الحل ليس المزيد من المراجعة اليدوية أو التحكم الصارم في الوصول. الحل هو سياسة مكتوبة كرمز، يتم فحصها تلقائيًا قبل إنشاء أي مورد.

تنقسم سياسات البنية التحتية إلى خمس فئات. كل منها يحل فئة معينة من المشاكل. فهمها يساعدك في تحديد أي منها يجب أن تكون له الأولوية في خط أنابيبك.

الأمان: الأساس غير القابل للتفاوض

سياسات الأمان هي الأكثر أهمية لأن الانتهاكات لها عواقب فورية وواضحة. المثال الكلاسيكي هو حظر قواعد مجموعة الأمان التي تفتح منافذ SSH أو قواعد البيانات على 0.0.0.0/0. غالبًا ما يفتح المطورون هذه المنافذ للوصول المؤقت وينسون إغلاقها. السياسة التي ترفض مثل هذه القواعد في وقت خط الأنابيب تمنع تعرض موارد الإنتاج للإنترنت عن طريق الخطأ.

تشمل سياسات الأمان الشائعة الأخرى:

  • طلب التشفير عند الراحة لحاويات S3 وأحجام EBS
  • حظر إصدارات TLS القديمة على موازنات التحميل
  • فرض حركة مرور HTTPS فقط على جميع نقاط النهاية العامة
  • طلب سجلات تدفق VPC لبيئات الإنتاج
  • إلزام استخدام أدوار IAM بدلاً من مفاتيح الوصول طويلة العمر

عادةً ما يكون لسياسات الأمان سلوك فشل صارم: إذا فشل الفحص، يتوقف خط الأنابيب ولا يتم إنشاء المورد. لا يوجد وضع تحذير لمنفذ مفتوح للإنترنت بأكمله.

التكلفة: منع كسور البنك العرضية

موارد السحابة باهظة الثمن عندما تُترك دون رقابة. يمكن لمطور واحد أن يقوم عن طريق الخطأ بتوفير نوع مثيل يكلف بقدر راتب شهري لأحد أعضاء الفريق. تضع سياسات التكلفة حواجز حول الإنفاق دون الحاجة إلى موافقة يدوية على كل مورد.

تشمل سياسات التكلفة النموذجية:

  • حظر أنواع المثيلات باهظة الثمن (مثل m5.24xlarge أو r5.metal) في البيئات غير الإنتاجية
  • الحد من عدد أحجام EBS أو وحدات معالجة الرسومات لكل حساب
  • طلب مثيلات Spot لأحمال العمل المتسامحة مع الأخطاء
  • تعيين الحد الأقصى لأحجام التخزين لقواعد البيانات
  • فرض جداول إيقاف تلقائي لبيئات التطوير

تساعد سياسات التكلفة الفرق على البقاء مدركة للميزانية، خاصة عندما يكون لدى العديد من المطورين وصول إلى السحابة. بدونها، يمكن أن تتحول راحة شخص واحد إلى فاتورة مفاجئة للفريق.

الوسم (Tagging): البيانات الوصفية التي تبقي العمليات قيد التشغيل

يبدو الوسم مملًا حتى تحتاج إلى معرفة من يملك موردًا كان قيد التشغيل لمدة ستة أشهر. الوسوم مثل owner و environment و cost-center و project ضرورية لتتبع التكاليف، وأتمتة التنظيف، وتصحيح الأخطاء.

تفرض سياسات الوسم أن كل مورد لديه الوسوم المطلوبة في وقت الإنشاء. على سبيل المثال:

  • يجب أن يحتوي كل مورد على وسم owner مع عنوان بريد إلكتروني صالح
  • يجب أن يحتوي كل مورد على وسم environment: dev أو staging أو production
  • يجب أن يحتوي كل مورد على وسم cost-center مطابق لرمز ميزانية الفريق

عندما يفشل أحد الموارد في سياسة الوسم، يمكن لخط الأنابيب إما رفضه أو إنشاؤه مع تحذير وجدولة تنظيف. المهم هو أن الموارد غير الموسومة لا تتراكم بصمت. تمنع سياسات الوسم مشكلة "المورد اليتيم" حيث تجد فرق الفوترة موارد غامضة تعمل لأشهر بدون مالك واضح.

التسمية: الاتساق للبشر والأتمتة

أسماء الموارد أهم مما تدرك معظم الفرق. اسم حاوية test123 وآخر اسمه data-barang يصعب البحث عنهما، ويصعب أتمتة العمل عليهما، ويصعب استكشاف أخطائهما. تفرض سياسات التسمية أنماطًا متسقة حتى تتمكن فرق العمليات وأدوات الأتمتة من العثور على الموارد بسرعة.

تشمل سياسات التسمية الشائعة:

  • يجب أن تبدأ جميع حاويات S3 باسم المشروع
  • يجب أن تحتوي جميع مجموعات الأمان على بادئة تشير إلى البيئة
  • يجب أن تتبع جميع مثيلات RDS النمط {project}-{env}-{function}
  • يجب أن تتضمن جميع أدوار IAM اسم الخدمة ومستوى الصلاحية

غالبًا ما يتم الجمع بين سياسات التسمية وسياسات الوسم. معًا، يضمنان أن كل مورد قابل للتحديد والبحث والإدارة على نطاق واسع. بدونها، ينتهي بك الأمر بحساب سحابي يبدو مثل درج مهملات.

الامتثال: ترجمة القواعد الخارجية إلى كود

تتعامل سياسات الامتثال مع متطلبات من لوائح خارجية مثل PCI DSS أو HIPAA أو SOC 2 أو GDPR. هذه ليست اختيارية. إنها تترجم المتطلبات القانونية والتنظيمية إلى فحوصات آلية يتم تشغيلها قبل نشر أي مورد.

أمثلة على سياسات الامتثال:

  • يجب أن تستخدم جميع قواعد بيانات الإنتاج التشفير عند الراحة
  • يجب تسجيل جميع عمليات الوصول إلى موارد الإنتاج في مسار تدقيق مركزي
  • يجب تخزين جميع البيانات في مناطق جغرافية معتمدة
  • يجب تشفير جميع النسخ الاحتياطية وتخزينها في حساب منفصل
  • يجب أن يستخدم جميع الوصول إلى API المصادقة متعددة العوامل

غالبًا ما تكون سياسات الامتثال الأصعب في التفاوض لأنها تأتي من خارج فريق الهندسة. لكن ترميزها ككود يجعلها متسقة وقابلة للتدقيق وأسهل بكثير في التنفيذ من قوائم المراجعة اليدوية.

كيف تتفاعل هذه السياسات

هذه الفئات الخمس لا تعمل بمعزل عن غيرها. يتم فحص مثيل EC2 واحد مقابل عدة سياسات في وقت واحد: قواعد مجموعة الأمان، نوع المثيل، الوسوم، نمط التسمية، ومتطلبات الامتثال. يقوم خط الأنابيب الجيد بتشغيل كل هذه الفحوصات قبل إنشاء المورد، وليس بعده.

يوضح الرسم البياني التالي كيفية ارتباط فئات السياسات الخمس ببعضها البعض وبخط أنابيب النشر:

flowchart TD A[مشغل خط الأنابيب] --> B{الأمان والامتثال} B -->|نجاح| C{التكلفة} B -->|فشل| D[رفض المورد] C -->|نجاح| E{الوسم} C -->|فشل| D E -->|نجاح| F{التسمية} E -->|فشل| G[تحذير أو رفض] F -->|نجاح| H[إنشاء المورد] F -->|فشل| G D --> I[تنبيه الفريق] G --> I

الترتيب مهم أيضًا. يجب أن تعمل فحوصات الأمان والامتثال أولاً لأن الانتهاكات في هذه الفئات غير قابلة للتفاوض. يمكن أن تتبع فحوصات التكلفة والوسم. عادةً ما تكون فحوصات التسمية الأقل أهمية ولكنها لا تزال تستحق التنفيذ من أجل السلامة التشغيلية.

قائمة ممارسة عملية للبدء

إذا كنت جديدًا في سياسات البنية التحتية، ابدأ صغيرًا. اختر فئة واحدة وقم بأتمتة فحص واحد. إليك تسلسل يعمل مع معظم الفرق:

  • الأسبوع الأول: أضف سياسة أمان تمنع الوصول العام عبر SSH. اجعل خط الأنابيب يفشل بشدة.
  • الأسبوع الثاني: أضف سياسة وسم تتطلب وسوم owner و environment. ابدأ بتحذير، ثم انتقل إلى الفشل الصارم بعد أسبوعين.
  • الأسبوع الثالث: أضف سياسة تكلفة تمنع أنواع المثيلات باهظة الثمن في حسابات التطوير. حذر عند المخالفة، ثم صعد إلى قائد الفريق.
  • الأسبوع الرابع: أضف اتفاقيات تسمية لأنواع الموارد الأكثر شيوعًا في حسابك.
  • الشهر الثاني: راجع متطلبات الامتثال وقم بترميز أهم ثلاثة كفحوصات آلية.

الهدف ليس كتابة كل سياسة مرة واحدة. الهدف هو بناء الزخم من خلال حل المشكلات الأكثر إيلامًا أولاً.

ما هو الأكثر أهمية

سياسات الأمان والامتثال تحميك من التهديدات الخارجية والتعرض القانوني. سياسات التكلفة تحمي ميزانيتك. سياسات الوسم والتسمية تحمي سلامتك التشغيلية. تعمل جميع الفئات الخمس معًا لتحويل إدارة البنية التحتية من عملية يدوية وعرضة للأخطاء إلى عملية آلية ومتسقة.

ابدأ بالسياسة التي تؤلم أكثر اليوم. بالنسبة لمعظم الفرق، هذا هو إما مجموعة الأمان المفتوحة على مصراعيها للإنترنت أو المورد الغامض الذي يرفع الفاتورة. قم بأتمتة هذا الفحص، ثم انتقل إلى التالي. بمرور الوقت، يصبح خط الأنابيب الخاص بك شبكة أمان تلتقط الأخطاء قبل أن تتحول إلى حوادث.