Bảo Mật & Xác Thực

​

Tại sao bảo mật quan trọng với nền tảng vận hành AI

• Đặc quyền tối thiểu theo mặc định: agent sử dụng thông tin xác thực chỉ đọc trừ khi quyền ghi được cấu hình và phê duyệt rõ ràng
• Không tồn lưu: không có hành động agent nào sửa đổi hạ tầng mà không qua quy trình phê duyệt
• Phòng thủ theo chiều sâu: MFA, SSO, RBAC, ghi nhật ký kiểm tra và cách ly sandbox kết hợp để bảo vệ chống cả tấn công bên ngoài lẫn lạm dụng nội bộ
• Minh bạch: mọi hành động agent đều được ghi lại kèm người dùng đã khởi tạo, chuỗi phê duyệt và lệnh chính xác được thực thi

​

Phương thức xác thực

​

Xác thực đa yếu tố (MFA)

​

Bật MFA

​

MFA khi đăng nhập

1. Nhập email và mật khẩu của bạn
2. Nhập mã 6 chữ số hiện tại từ ứng dụng xác thực
3. Được cấp quyền truy cập

​

Tùy chọn khôi phục

• Dùng mã dự phòng (dùng một lần)
• Liên hệ admin tổ chức để đặt lại MFA
• Liên hệ hỗ trợ với xác minh danh tính

​

Single sign-on (SSO)

• Xác minh domain — chứng minh quyền sở hữu domain email của bạn trước khi bật SSO
• SAML hoặc OIDC — chọn giao thức mà nhà cung cấp danh tính của bạn hỗ trợ
• Bắt buộc SSO — tùy chọn yêu cầu tất cả người dùng có domain đã xác minh phải xác thực qua SSO
• JIT provisioning — tự động tạo tài khoản người dùng khi đăng nhập SSO lần đầu
• Đồng bộ thư mục SCIM — tự động hóa cấp phép người dùng và nhóm từ IdP của bạn

​

Cấu hình SSO

​

Bắt buộc SSO

• Yêu cầu tất cả người dùng xác thực qua SSO
• Tắt đăng nhập bằng mật khẩu
• Tự động cấp phép người dùng khi đăng nhập SSO lần đầu
• Tự động hủy cấp phép khi bị xóa khỏi IdP

​

Kiểm soát truy cập dựa trên vai trò (RBAC)

​

Vai trò tổ chức

​

Vai trò workspace

​

Ma trận quyền

​

Xác thực API

​

Khóa API

1. Vào Profile > API Keys
2. Nhấp Create API Key
3. Đặt tên khóa và thời hạn hết hạn
4. Sao chép khóa (chỉ hiển thị một lần)
5. Dùng trong các yêu cầu API

# Ví dụ yêu cầu API
curl -H "Authorization: Bearer <api_key>" \
  https://api.cloudthinker.io/v1/workspaces

​

Quản lý khóa

• Xoay vòng: Thường xuyên xoay vòng khóa (khuyến nghị: mỗi 90 ngày)
• Giới hạn phạm vi: Giới hạn khóa cho các thao tác cụ thể khi có thể
• Giám sát: Xem xét sử dụng khóa trong nhật ký kiểm tra
• Thu hồi: Ngay lập tức thu hồi các khóa bị xâm phạm

​

Token OAuth

• Token được tự động làm mới
• Thu hồi quyền truy cập từ Settings > Connected Apps
• Giám sát sử dụng token trong nhật ký kiểm tra

​

Bảo mật dữ liệu

​

Mã hóa

​

Tự cung cấp khóa mã hóa (BYOK)

1. Cấu hình AWS KMS hoặc tương tự
2. Cung cấp ARN khóa cho CloudThinker
3. Khóa của bạn mã hóa dữ liệu nhạy cảm
4. Duy trì toàn quyền kiểm soát khóa

​

Lưu trú dữ liệu

• Chọn vùng dữ liệu khi tạo workspace
• Dữ liệu ở trong vùng đã chọn
• Tùy chọn đa vùng cho dự phòng

​

Ghi nhật ký kiểm tra

​

Sự kiện được ghi lại

• Xác thực người dùng (đăng nhập, đăng xuất, MFA)
• Truy cập và chỉnh sửa tài nguyên
• Hội thoại và hành động agent
• Thay đổi quản trị
• Truy cập API

​

Xem nhật ký kiểm tra

1. Điều hướng đến Admin Settings > Organization
2. Lọc theo:
   • Người dùng
   • Loại hành động
   • Tài nguyên
   • Khoảng thời gian
3. Xuất nhật ký để tuân thủ

​

Lưu giữ nhật ký

• Tiêu chuẩn: 90 ngày
• Professional: 1 năm
• Enterprise: Có thể cấu hình (lên đến 7 năm)

​

Thực tiễn bảo mật tốt nhất

​

Tuân thủ

• SOC 2 Type II: Bảo mật, tính khả dụng và bảo mật thông tin
• GDPR: Bảo vệ dữ liệu cho người dùng EU
• HIPAA: Xử lý dữ liệu y tế (Enterprise)
• ISO 27001: Quản lý bảo mật thông tin

​

Liên quan