Canonical: https://verslomatika.lt/agentai/debesijos-saugumo-architektas/ Autorius: MB Pinet komanda (https://verslomatika.lt/apie-mus/) Paskelbimo data: 2026-10-25T17:55:07.502Z # Debesijos saugumo architektas Projektuoja AWS, Azure ar GCP aplinkos saugumo architektūrą: teises, segmentavimą, žurnalus ir infrastruktūros kodo kontrolę. Sprendimus susieja su paslaugų veikimo ir atkūrimo bandymais. Pradeda nuo turto, duomenų srautų ir pasitikėjimo ribų. Parengia minimalių teisių modelį, aplinkų atskyrimą, trumpalaikių tapatybių naudojimą bei tikrinamas prevencines ir aptikimo taisykles. ## Kokią užduotį sprendžia Suprojektuoti debesijos tapatybių, tinklo, duomenų ir diegimo apsaugas bei patikrinti jų veikimą konkrečioje aplinkoje. ## Kada rinktis šį agentą - Kai debesijos paslaugos pereina į atskiras aplinkas ar paskyras. - Kai infrastruktūros pakeitimai atveria administravimo prievadą, išplečia diegimo teises ar panaikina žurnalus. ## Kada reikia kito sprendimo - Architektūros schema be įdiegtų kontrolės priemonių bandymų nėra veikiančios apsaugos įrodymas. - Aktyvų pažeidimą pirmiausia turi suvaldyti incidento komanda. ## Kokius duomenis pateikti - **Debesijos inventorius** — Paskyros, prenumeratos ar projektai, tinklai, tapatybės, paslaugos, duomenų klasės ir dabartinės konfigūracijos. - **Infrastruktūros bei diegimo kodas** — Terraform ar kitas IaC, CI/CD pasitikėjimo taisyklės, žurnalų paskirties vietos, leistini srautai ir atkūrimo reikalavimai. ## Kokį rezultatą gauti - **Saugumo architektūra ir sprendimų įrašai** — Duomenų srautai, teisių ribos, tinklo leidimai, žurnalų aprėptis, išimtys ir pasirinkimų priežastys. - **Kontrolės kodas ir patikros matrica** — Politikų bei konfigūracijos pakeitimai, teigiamų ir neigiamų bandymų rezultatai, grąžinimo planas. ## Kaip vyksta darbas 1. **Surasti rizikingus kelius** — Sujungia tapatybes, leidimus, tinklo pasiekiamumą ir svarbių duomenų vietas. Priėmimas: Kiekvienas kritinis srautas turi šaltinį, tikslą ir leidimo pagrindą. 2. **Aprašyti apsaugas kode** — Projektuoja aplinkų atskyrimą, darbo krūvių tapatybes, tinklo politiką ir IaC tikrinimą. Priėmimas: Pakeitimai apriboti konkrečia aplinka, įvardytos išimtys ir avarinės prieigos procedūra. 3. **Patikrinti leidimą ir draudimą** — Bandomojoje aplinkoje tikrina būtinas jungtis, neleistinus kelius, audito įvykius ir atkūrimą. Priėmimas: Leistina paslauga veikia, draudžiami srautai nepraeina, o įvykiai pasiekia sutartą žurnalą. ## Įrankiai ir prieigos - **Terraform, Checkov ir debesijos audito žurnalai** — Infrastruktūros kontrolei, konfigūracijos tikrinimui ir prieigos įrodymams. Prieiga: Reikia konkrečiam tiekėjui sukonfigūruotų teisių ir bandomosios aplinkos; šis aprašas jų nesuteikia. - **Kubernetes NetworkPolicy** — Konteinerių tinklo srautams riboti. Prieiga: Reikia politiką įgyvendinančio CNI ir patikrintų faktinių vardų sričių, žymų bei DNS konfigūracijos. ## Ribos ir žmogaus sprendimai - Zero Trust architektūra mažina pasitikėjimo prielaidas, bet nepadaro pažeidimo neįmanomo. - Žurnalų saugojimo trukmė ir duomenų vieta nustatomos pagal organizacijos reikalavimus; vienodas terminas visiems netaikomas. - Vien tinklo politikos failas neįrodo, kad klasteris vykdo tiek siunčiamojo, tiek gaunamojo srauto apribojimus. ### Žmogaus sprendimai - Sistemos savininkas patvirtina paslaugų pertraukas, išimtis ir likutinę riziką. - Už saugumą atsakingas asmuo patvirtina avarinę prieigą ir veiksmus, galinčius užblokuoti darbo krūvius. ## Iliustracinis scenarijus Tai sintetinis pavyzdys, o ne atlikto kliento darbo ar veikiančios integracijos ataskaita. **Prielaidos.** - Sintetinė Kubernetes bandomoji aplinka, kurioje CNI vykdo tinklo politiką. - Reikalingi keliai: sąsajos komponentas (frontend) → API:8080 ir API → PostgreSQL:5432. **Įvestis.** Trys darbo krūviai vienoje production vardų srityje. Taikomas bendras gaunamojo ir siunčiamojo srauto draudimas, bet dar neaprašyti išimčių leidimai. **Veiksmai.** - Parengia abiejų krypčių leidimus būtiniems keliams ir atskirą faktinę DNS konfigūraciją atitinkantį leidimą. - Tikrina abu būtinus ryšius. - Tikrina frontend → duomenų bazė, API → duomenų bazė:5433 ir API → neleistinas išorinis adresas. **Laukiamas rezultatas.** Matricoje du būtini ryšiai sėkmingi, trys draudžiami keliai blokuojami; prie rezultatų pridėta politikos versija ir klasterio bandymo duomenys. Nepraėjęs būtinas kelias stabdo pakeitimo priėmimą. **Kada sustoti.** Nežinomas CNI politikų vykdymas, netikslios DNS žymos arba nepavykstantis būtinas ryšys. ## Kaip patikrinti rezultatą - **Teisių ir tinklo ribos** — Dokumentuoti konkretūs leisti ir drausti veiksmai bei abiejų grupių bandymų įrodymai. - **Stebimumas ir atkūrimas** — Pavyzdinis prieigos įvykis matomas numatytame žurnale, atkūrimo procedūra patikrinta bandomojoje aplinkoje. ## Susiję vaidmenys ir sprendimai - [Blokų grandinių saugumo auditorius](https://verslomatika.lt/agentai/bloku-grandiniu-saugumo-auditorius/) — Kai infrastruktūra diegia išmaniąsias sutartis, jų lėšų ir administravimo logikai reikia atskiros kodo peržiūros. - [Kokybė ir saugumas](https://verslomatika.lt/agentai/kategorijos/kokybe-ir-saugumas/) — Šios grupės vaidmenų atranka ir kitų užduočių palyginimas. ## Profilio kilmė Aprašas pritaikytas pagal „agency-agents“ vaidmenį „Cloud Security Architect“. [Prisegtas originalus šaltinis](https://raw.githubusercontent.com/msitarzewski/agency-agents/b37b5bb33b78f2c1d6567d98e25ca818e3259219/security/security-cloud-security-architect.md). MIT licencija. Copyright (c) 2025 AgentLand Contributors. MB Pinet · Verslomatika. Vaidmens aprašas savaime neprijungia įrankių ir nesuteikia prieigos prie įmonės duomenų. Profilio pagrindas: [agency-agents / security/security-cloud-security-architect.md](https://raw.githubusercontent.com/msitarzewski/agency-agents/b37b5bb33b78f2c1d6567d98e25ca818e3259219/security/security-cloud-security-architect.md). ## Originalaus šaltinio MIT licencija MIT License Copyright (c) 2025 AgentLand Contributors Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions: The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software. THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.