Kullanıcıların, yöneticilerin, mühendislerin ve makinelerin kimliğinin nasıl doğrulandığı ve her birinin nereye erişebildiği.
01Mentornity’ye giriş
- Çoklu oturum açma: kurumun kimlik sağlayıcısıyla SAML 2.0, ayrıca Google ile giriş ve Microsoft ile giriş.
- Parolalar yalnız bcrypt özeti olarak saklanır. Yeni parolalar en az 8 karakter olmalı; büyük harf, küçük harf, rakam ve özel karakter içermelidir.
- Kaba kuvvet koruması: tekrarlanan hatalı girişler, hesap başına ve ağ adresi başına yeni denemeleri geçici olarak kilitler.
- Hesap keşfi yok: yanlış e-posta ve yanlış parola aynı cevabı aynı sürede döndürür.
- Oturum iptali: parolayı değiştirmek ya da sıfırlamak veya “her yerden çıkış” seçmek, öncesinde verilmiş tüm token’ları her cihazda geçersiz kılar.
- İmzalı bağlantılar: davet ve e-posta eylem bağlantıları amacına bağlı bir HMAC imzası taşır; bir bağlantı başka bir hesap için yeniden kullanılamaz.
02Program içindeki roller
Program verilerine erişim her istekte sunucuda belirlenir. Katılımcılar kendi verilerini, eşleşmelerini ve programın onlara görünür kıldığını görür. Program yöneticileri yalnız kendi programlarını görür ve yönetir; program üyeliği her yönetim rotasında denetlenir, bu yüzden bir programın yöneticisi başka bir programın üyelerini, takvimlerini ya da cevaplarını okuyamaz.
03Üretime erişim
- Üretime erişim, Mentornity üst yönetimi ve platformu işleten mühendislerle sınırlıdır; birinin rolü değiştiğinde gözden geçirilir.
- Sunuculara yönetici erişimi anahtar tabanlıdır ve denetlenir; bulut hesabındaki her yönetici işlemi AWS CloudTrail’e kaydedilir. Sunuculara parolayla giriş kapalıdır.
- Bulut yetkileri dar kapsamlı rollere bölünmüştür; her rol yalnız görevinin gerektirdiği kaynaklar ve bölgeyle sınırlıdır.
- Veritabanı erişimi amaca göre ayrı, en az yetkili hesaplar kullanır; yükseltilmiş erişim yalnız gerektiğinde ve sınırlı bir süre için verilir.
- İç yönetim araçları çok faktörlü kimlik doğrulama ister.
04Makine kimlikleri
Sunucular bulut hizmetlerine saklanan anahtarlarla değil, kısa ömürlü rol kimlik bilgileriyle erişir. Herkese açık API istemcileri kurum başına API anahtarıyla kimlik doğrular; her anahtar tek bir kuruma bağlıdır ve hız sınırına tabidir.
05İletişim
Bu politikayla ilgili sorular, güvenlik anketleri ve Veri İşleme Sözleşmesi talepleri için: privacy@mentornity.com.