Əsas fikir
JIT giriş hüququnu öz-özünə təhlükəsiz etmir. Hər sorğunu təsdiqlənmiş kimlik, konkret iş, minimum səlahiyyət, bitmə vaxtı və sonrakı yoxlama ilə əlaqələndirin.
İşi, resursu və giriş müddətini müəyyən edin
JIT (Just-in-Time) girişi imtiyazı yalnız tələb olunan iş üçün və məhdud müddətə verir. Məsələn, administratora müəyyən serverdə nasazlığı araşdırmaq üçün müvəqqəti rol verilə bilər; bütün sistemlərdə daimi administrator hüququ lazım deyil. Sorğuda insanın və ya tətbiqin kimliyini, hədəf resursu, əməliyyatı, səbəbi və bitmə vaxtını qeyd edin. İnsan hesablarında kimliyi çoxfaktorlu autentifikasiya (MFA) və cihaz yoxlaması ilə təsdiqləyin. Avtomatlaşdırma insanın MFA sorğusunu cavablandıra bilməz: tətbiq üçün ayrıca kimlik, məhdud səlahiyyət və dəstəkləndikdə qısaömürlü etimadnamə seçin. JIT müddəti, minimum səlahiyyət isə icazənin əhatəsini məhdudlaşdırır; hər ikisi lazımdır.
Təsdiqi və girişin avtomatik ləğvini qurun
Təsdiq qaydasını riskə görə müəyyən edin: aşağı təsirli, əvvəlcədən təsdiqlənmiş iş üçün avtomatik qərar mümkün ola bilər; işlək mühitə, məlumatlara və ya geniş sistem əhatəsinə təsir edən giriş ayrıca səlahiyyətli təsdiq tələb edə bilər. Qısa standart müddət seçin, uzadılmanı yeni əsaslandırılmış sorğuya bağlayın və iş bitəndə və ya müddət dolanda girişi avtomatik ləğv edin. Təcili giriş üçün normal giriş yolu işləmədikdə istifadə edilən ayrıca fövqəladə giriş prosesi, bildiriş və sonrakı yoxlama nəzərdə tutun.
Sessiyanı qeydə alın və hüquqları yenidən yoxlayın
Sorğu, qərar, verilən rol, sessiya vaxtı və görülən əməliyyatlar araşdırıla bilən jurnalda saxlanılsın. Həssas sistemlərdə sessiya qeydi və ya əmr auditi üçün hüquqi və daxili qaydaları nəzərə alın. Dövri olaraq istifadə olunmayan rolları, uzadılmış girişləri və avtomatlaşdırma hesablarını yoxlayın. JIT olmayan texniki sistemdə minimum daimi hüquq, insan hesabları üçün MFA, nəzarət və müntəzəm əl ilə ləğv prosedurunu tətbiq edin. Sınaqda müddət bitdikdən sonra rolun və açıq sessiya və ya tokenlərin hansı vaxtda qüvvədən düşdüyünü yoxlayın; rolun ləğvi bütün tətbiqlərdə sessiyanı dərhal bağlamaya bilər.