У каждого сотрудника будет агент.
Вы готовы?

Проблема

Одно общее хранилище компании. Одно личное хранилище для каждого сотрудника.

Общее хранилище компании содержит общие учётные данные — ключи API, учётные записи служб, пароли баз данных. Ограничено по командам. Личное хранилище каждого сотрудника принадлежит ему — его логины, его поля идентификации, зашифрованные его собственным аппаратным ключом.

Общее хранилище компании не содержит полей идентификации. Здесь нет ничего личного. Личные хранилища конфиденциальны — компания не может получить к ним доступ. По замыслу. По математике.

Ограничение с первого дня

Откройте веб-интерфейс, создайте агента или пригласите члена команды, назначьте область действия. Каждый субъект — человек или агент — видит только записи в своей области действия. Хранилище проверяет каждый запрос, обслуживает или отклоняет. Без состояния. Менее чем за миллисекунду.

Агент развёртывания не может читать учётные данные разработчиков. Бот поддержки не может читать ключи развёртывания. Финансовая команда видит Stripe, но не GitHub. Ваш сотрудник отдела маркетинга видит логины в социальных сетях, но не базу данных продакшена. Каждый токен кодирует, к каким именно записям он может получить доступ, — и ничего сверх этого, ничего скрытого.

Области действия работают одинаково для людей и агентов. Новый сотрудник получает область действия в общем хранилище компании, соответствующую его роли — инженерия, финансы, операции. Он видит то, что требуется его роли. Когда его роль меняется, меняется и область действия. Учётные данные остаются прежними.

Люди приходят и уходят. Учётные данные — нет.

no Вы-address to reader.

no Вы-address.

no Вы-address.

Каждый доступ атрибутирован

Каждый доступ к учётным данным регистрируется — какой агент, какой человек, какие учётные данные, когда и откуда. Когда в ходе проверки безопасности спрашивают «кто последний раз обращался к базе данных продакшена в прошлый четверг», у Вас есть ответ за секунды. Не «кто-то с общим паролем» — имя, область действия, временная метка.

no Вы-address.

Это работает всегда, во всех хранилищах. Без настройки. Без подключения. Журнал аудита — Ваше доказательство соответствия требованиям и инструмент реагирования на инциденты.

Три уровня шифрования

Общее хранилище компании содержит только поля уровня учётных данных. Никаких данных идентификации, никакой личной информации, никаких карт или паспортов. Личное хранилище каждого сотрудника принадлежит только ему — зашифровано его собственным аппаратным ключом, невидимо для администратора компании. По замыслу. По математике.