Roter integrasjonstilgang uten å miste løpende leveranser
Planlegg nøkkelbytte som en leveranseovergang med prøving, frist og dokumentert tilbakekalling.
Integrasjonstilgang kan måtte byttes på grunn av rutine, leverandørendring eller mistanke om eksponering. Et uplanlagt bytte kan stanse uthenting eller etterlate to aktive tilganger uten eierskap. Rotasjon er ferdig først når ny tilgang fungerer og gammel tilgang er avklart.
Syntetisk overgangsplan
Et testmiljø bruker tilgang A før byttet og tilgang B etterpå. Bokstavene er lokale betegnelser; tabellen inneholder ingen hemmelige verdier.
| Tidspunkt | Tilgang | Kontroll |
|---|---|---|
| Før overgang | A | Pågående jobb fullfører avtalt del |
| Prøve | B | Riktig selskap og rettigheter bekreftes |
| Etter overgang | B | Neste leveranse avstemmes |
| Avslutning | A | Tilbakekalles og prøves avvist |
Hvis en leveranse inneholder 75 poster og 50 er godkjent før byttet, skal de resterende 25 behandles etter samme kontrollregel. Rotasjon er ingen grunn til å starte alle 75 som nye skriveoperasjoner.
Undersøk leverandørens mekanisme
Avklar om flere nøkler kan være aktive samtidig, om nøkkelen er knyttet til en person, og hvordan tilbakekalling virker. Noen systemer bruker kortlivede tokens og fornyelse; andre bruker statiske integrasjonsnøkler. RFC 9700 beskriver sikkerhetsanbefalinger for OAuth, men en statisk API-nøkkel må vurderes etter sin egen dokumenterte modell.
Begrens en eventuell overlapp til et avtalt tidsrom. Bruk den nye tilgangen i en leseprøve eller en isolert syntetisk skriveprøve før produksjonsjobben flyttes. Unngå at begge tilganger driver samme jobb samtidig uten koordinering.
Driftslogg og konfigurasjon bør referere til en nøkkelidentitet eller versjon, ikke hemmeligheten selv. Da kan dere finne hvilke kjøringer som brukte gammel tilgang uten å kopiere sensitive verdier til loggen.
Avslutningskriterier
- Bekreft nødvendig tilgang for B med en negativ rettighetsprøve.
- Kontroller at jobbkø og vannmerke er bevart.
- Avstem første komplette levering etter byttet.
- Tilbakekall A og bekreft dokumentert virkning.
- Oppdater eier, neste vurderingsdato og reserveprosedyre.
Ved mistanke om kompromittering kan umiddelbar tilbakekalling være viktigere enn en rolig overlapp. Den operative planen må da beskrive hvordan avbrutte leveranser avklares etterpå. En reservekopi av den gamle hemmeligheten skal ikke bli en varig omgåelse av tilbakekallingen.
Avtal hvem som får varsel hvis tilbakekalling mislykkes. At ny tilgang fungerer, beviser ikke at den gamle er fjernet. Den gamle nøkkelens avslutningsstatus må derfor være en egen oppgave med dokumentert resultat og ansvarlig eier.
Velg overgangstidspunkt ut fra leveransefrister og avstemmingsmulighet. En nøkkeltest med vellykket innlogging er utilstrekkelig dersom det senere viser seg at tilgangen gjelder feil selskap. Se selskapsavgrensning og gjenopptakelse.