Bölüm 11: Access Management¶

Access Management Yaklaşımı¶

Access Management, Arceris'in "kim neyi hangi kapsamda kullanabilir" sorusuna verdiği merkezi cevaptır. Bu ekran, güvenlik kurallarını (PII, prompt koruması, model erişimi, DLP vb.) hedeflere bağlayarak canlı politika oluşturmayı sağlar.

Sayfa iki ana bölümden oluşur: solda hedef listesi, sağda seçilen hedefin atamalarını gösteren detay paneli. Üstte dört eylem bulunur: Create Assignment (atama oluştur), Rule Library (kural kütüphanesi), Add LDAP User (LDAP'den içeri aktarma) ve Yeni Yerel Grup (bkz. aşağıda).

Hedef Türleri¶

Atamalar dört hedef türüne bağlanır; sol panel filtreleri (Kullanıcılar / Roller / Gruplar / IP-CIDR, Gruplar altında Yerel Gruplar ve LDAP Grupları) bunlar arasında daraltma yapar:

User (Kullanıcı): Bireysel kullanıcıya özel atama. İstisna yönetimi ve bireysel özel durumlar için kullanılır.
Role (Rol): Arceris rolüne (TenantAdmin, SecurityAuditor vb.) atama.
Group (Grup): LDAP grubu DN'si veya yerel grup. Kalıcı ve ölçeklenebilir politika yönetimi için önerilen yaklaşımdır.
IP / CIDR: IP adresi veya aralığı hedefli atama. Explicit proxy TLS-bump tünelleri artık gerçek istemci IP'sini taşıdığı için bu hedefler kodlama-ajan trafiğine de uygulanır (v1.3.0 davranış değişikliği).

İyi bir yönetişim modeli, kullanıcı düzeyindeki istisnaları mümkün olduğunca azaltıp grup temelli yönetimi öne çıkarır.

Kural Türleri¶

Atanabilir kural türleri ve ayrıntılı anlatımlarının bulunduğu bölümler:

Kural Türü	Bölüm
PII / PII Grubu	Bölüm 14
Prompt Koruması	Bölüm 15
Model Erişimi	Bölüm 16
System Prompt (panelde "Sistem Komutları")	Bölüm 16
Path Filtresi	Bölüm 17
MIME Filtresi	Bölüm 18
Dosya Meta Verisi	Bölüm 18
OCR Filtresi	Bölüm 19
DLP	Bölüm 20
Kurumsal Veri Denetçisi (LLM Judge)	Bölüm 20
İçerik Moderasyonu	Bölüm 15 (ayrı kural sayfası: İçerik Moderasyonu)
Maliyet Limiti	Bölüm 26
Repo / API Erişimi	rol bazlı — bu bölüm

Kapsam (Scope) ve Erişim Kapsamı (Coverage)¶

Kural bazlı atamalarda kapsam üç değer alır:

Tümü (*) — hem API hem tarayıcı (transparent proxy) trafiğine uygulanır.
API — yalnızca doğrudan API çağrılarına uygulanır.
Tarayıcı Proxy — yalnızca transparent proxy üzerinden gelen tarayıcı trafiğine uygulanır.

Hiçbir trafikle eşleşmeyen geçersiz kapsamlar artık reddedilir ve panelde "Invalid scope (matches no traffic)" etiketiyle görünür.

Motor bazlı kurallar (DLP, içerik moderasyonu, Kurumsal Veri Denetçisi, OCR, MIME, dosya meta verisi, path filtresi) saklı bir kapsam taşımaz; atama satırı bunun yerine kuralın motorunun gerçekten hangi kanallarda uygulandığını gösteren kapsam rozeti taşır: "Tüm trafik" (her ingress), "Tarayıcı + ajanlar" (transparent + explicit) veya kanal kısa adları (Tarayıcı, Ajanlar, Unified, /local/). Rozetin üzerinde beklenen tüm kanalların uzun adları görünür.

Yerel Gruplar (Yerel Grup, v1.3.0+)¶

Yerel grup, Arceris içinde tanımlanan ve üyeliği bir VE / VEYA ifadesi ile belirlenen gruptur. İfade şu koşul türlerini birleştirebilir (alt koşullarla iç içe de):

Kullanıcı — belirli kullanıcılar
LDAP grubu — içeri aktarılmış dizin grupları
IP/CIDR — adres aralıkları
Yerel grup — diğer yerel gruplar

Hariç (Exclude) listesi, ifadeyi sağlayan üyeler arasından belirli kullanıcı/lanları çıkarır. Dikkat: hariç tutmak bir deny değildir — hariç tutulan kullanıcı yalnızca bu grup üzerinden kuralları almayı bırakır; aynı kural başka bir atamayla (doğrudan, başka grup, kural seti) kendisine ulaşmaya devam eder.

Yerel grup üyeliği istek başına, her ingress'te (transparent, explicit, unified gateway, /local/, editor hook'u, ajan politika paketi) değerlendirilir — oturuma yazılmaz, bu yüzden IP tabanlı üyelik de anlık değişir. Editör, canlı üye önizlemesi gösterir; IP tabanlı üyelik "istek başına değerlendirilir" diye işaretlenir.

Kullanımdaki bir yerel grup silinemez; ya önce atamaları kaldırılır ya da "atamalarıyla birlikte sil" seçeneği tüm atama ve kural seti bağlarını tek audit'li adımda kaldırır.

Önemli semantik: Yerel grup da bir grup hedefidir — grupta tek kişi olsa bile group:* hedefli kurallar bu gruba sahip herkese uygulanır. local: öneki rezervedir; LDAP/OIDC/FortiGate FSSO'dan local: ile gelen grup değerleri soyulur ve loglanır.

Create Assignment (Atama Oluşturma)¶

Modal üç adımdan oluşur:

1. Hedef ve Kural Türü Seçimi: Hedef türü ve hedef seçilir (kullanıcı/grup aranamazsa "Search in LDAP" ile anlık içeri aktarılır), ardından kural türü seçilir.

2. Atama Modu: - Existing Rule: Kural kütüphanesinden hazır bir kural seçilir. - New Rule: Yeni kural doğrudan bu modal içinde oluşturulur ve kütüphaneye kaydedilir.

3. Atama Bağlamı (kural türüne göre değişir): - Model Erişimi / System Prompt: Effect (allow/deny), Scope ve Priority. - Prompt Koruması: Action (block/sanitize/detect_only) ve Priority. - PII: Scope ve kural bazlı action override (mask/block/log). - MIME / OCR / Dosya Meta Verisi: Effect (block/allow). - Path Filtresi: Permission (write/read/none). - Maliyet Limiti: token/prompt ve aylık maliyet sınırları.

Aynı isimli mevcut bir kural sessizce üzerine yazılmaz — API 409 döner. Öncelik 0 kabul edilmez (kural öncelikleri pozitiftir).

Rule Library (Kural Kütüphanesi)¶

Tüm kural türlerindeki kayıtlı kuralların merkezi görünümüdür; her kural türü ayrı sekmedir. Kural oluşturma, düzenleme ve silme buradan yapılır. Aynı kural birden fazla hedefe atanabilir; kuraldaki değişiklik bağlı tüm atamaları otomatik etkiler.

Add LDAP User (LDAP Kullanıcısı İçeri Aktarma)¶

Bir LDAP kullanıcısı henüz giriş yapmadan Arceris'e önceden tanımlanabilir (pre-provision). Kullanıcı adı girildiğinde Arceris LDAP dizininde arar ve hedef listesine ekler; böylece ilk girişten önce atama yapılabilir.

Etkin Politika ve "Bu kural nereden geliyor?"¶

Bir hedef seçildiğinde sağ panel, o hedef üzerinde o anda gerçekten hangi kuralların etkili olduğunu gösterir (tanımlı olanları değil). v1.3.0'dan itibaren etkili politika her kuralın kaynağını da listeler:

doğrudan atama, rol, LDAP grubu, yerel grup (iç içe zinciriyle), IP ve kural seti — hangi yoldan ulaştıysa
bir hariç tutmanın (Exclude) hedeften tuttuğu kurallar
IP tabanlı grupların değerlendirilebilmesi için önizleme bir kaynak IP ile çalıştırılır

Bu görünüm tüm kural ailelerini kapsar: Model Erişimi, path filtresi, prompt koruması, PII / PII Grubu bağları, System Prompt, DLP, OCR, MIME, içerik moderasyonu ve dosya meta verisi.

OR semantiği: Bir kural hedefe birden çok yoldan ulaşıyorsa hepsi üzerinden uygulanır; birini kaldırmak diğerlerini kaldırmaz. "Remove from set" onayından önce, silinen bağdan sonra da hedefe ulaşmaya devam edecek kuralları listeler.

Atama Davranışı Kuralları¶

PII, PII Grubu ve System Prompt bağlantıları asla model erişimi vermez. Modele erişimi yalnızca Model Erişimi (Model Access) kuralları belirler. Yalnızca bu tür bağlarla bir modele erişen hedefler v1.2.0'dan itibaren erişimi kaybeder; açılışta WarnCarrierOnlyGrants hepsini isimleriyle listeler.
Prompt koruması kuralları kullanıcı, rol ve grup hedefleyebilir; çakışmada kullanıcı > grup > rol > global önceliği geçerlidir.
Bir kullanıcının ataması düzenlenirken aynı kuralın diğer hedefleri etkilenmez.
Dosya meta verisi ve Kurumsal Veri Denetçisi atamalarında bilgi kutuları, kuralın neyi incelediğini atama sırasında açıklar.
Kural seti tablolarında uzun değerler kırpılır (ilk 4 + +N); tam değer üzerinde gelinerek görülür.

Kullanım İpuçları¶

Kalıcı politika değişiklikleri için grup (tercihen yerel grup) hedefleri kullanın; kullanıcı hedefleri yalnızca istisnalar için.
Yeni kural oluşturmadan önce Rule Library'de benzer kural olup olmadığını kontrol edin.
Kural türü değiştirildiğinde seçili kural ve bağlam alanları sıfırlanır; önce kural türünü seçin.
Karmaşık üyeliklerde (LDAP grubu ∩ IP aralığı, hariç tutulan ekipler) yerel grup ifadeleri, kural başına hedef tekrarını önler.
"Bu kural nereden geliyor?" görünümünü, beklenmedik bir erişim/engelleme çözümlemesinde ilk adım olarak kullanın.