Zugriffsrechte nach dem Minimalprinzip vergeben

Worum es geht

Das Minimalprinzip (least privilege) verlangt, dass ein Konto oder Prozess genau die Rechte hat, die seine Aufgabe erfordert – nicht die, die bequem wären. Linux bietet dafür feinere Werkzeuge als «root oder nicht root»: Capabilities zerlegen die Rechte des Superusers in einzelne Fähigkeiten; CAP_NET_BIND_SERVICE etwa erlaubt allein das Binden an Ports unter 1024, ohne den Rest. In PostgreSQL vergibt GRANT Rechte pro Objekt und Aktion (etwa SELECT, INSERT, UPDATE, DELETE) an Rollen, und Rollen können Mitglied anderer Rollen sein, sodass Rechte gebündelt statt einzeln verteilt werden.

Warum es wichtig ist

Der Schaden eines Fehlers oder Einbruchs ist durch die Rechte der betroffenen Identität begrenzt. Ein Webdienst mit einer Rolle, die nur lesen und in zwei Tabellen schreiben darf, kann bei einer SQL-Injection nicht das Schema löschen. Ein Skript, das als normaler Nutzer läuft, kann bei einem Tippfehler nicht das Wurzelverzeichnis leeren. Für automatisierte Agenten gilt das doppelt: Sie führen Anweisungen aus, deren Herkunft sie nicht immer beurteilen können, und ihre Rechte sind die Obergrenze des möglichen Schadens.

So wird es angewendet

• Pro Dienst und Umgebung eine eigene Identität: eigene Datenbankrolle, eigener API-Schlüssel, eigener Systemnutzer; nie ein geteiltes «app»-Konto für alles.
• Rechte aus der Aufgabe ableiten und aufschreiben: Welche Tabellen, welche Aktionen, welche Verzeichnisse, welche Netzziele? Alles andere wird nicht vergeben. Migrationen laufen mit einer separaten Rolle in einem separaten Schritt.
• Prozesse ohne root starten; wo ein Root-Recht nötig ist, nur die einzelne Capability geben und die übrigen ablegen.
• Für Menschen: Standardkonto ohne Sonderrechte, Erhöhung nur auf Zeit und protokolliert, Administrationskonten getrennt vom Alltagskonto.
• Verweigerung als Standard: Neue Ressourcen sind für niemanden erreichbar, bis jemand ein Recht einträgt – nicht umgekehrt.
• Regelmässig entrümpeln: Rechte, die lange nicht genutzt wurden, entziehen; ausgeschiedene Personen und abgeschaltete Dienste am selben Tag entfernen.

Stolpersteine

Rechte wachsen: Jede Störungsbehebung fügt eines hinzu, niemand nimmt es zurück. Sammelrollen wie «developer» mit Produktionszugriff. Der Dienst hat wenig Rechte, aber sein Deployment-Token ist Administrator. Lesezugriff gilt als harmlos, obwohl er Personendaten und Geheimnisse offenlegt. Das Minimalprinzip begrenzt den Missbrauch fremder Rechte, nicht den Missbrauch der eigenen, legitimen; dafür braucht es Protokollierung und das Vier-Augen-Prinzip.