为什么日志平台要做访问控制
日志平台集中了全网设备的事件、会话与管理操作记录，情报价值极高。访问控制的目标是让不同角色只看到该看的内容：平台管理员负责系统维护，安全分析员做查询与研判，审计员独立查看审计记录，只读用户仅浏览授权范围。此外，含个人信息或原始载荷的字段要单独控制，不做全局可读。
基本信息
| 角色划分 | 平台管理员、安全分析员、审计员、只读用户 |
|---|---|
| 敏感数据 | 含个人信息或原始载荷的字段与索引单独授权 |
| 留痕 | 平台自身的登录与操作记录同样纳入审计 |
| 复核 | 账号与权限定期复核，人员变动后立即清理 |
典型使用场景
- 平台上线规划：先定义角色与权限模型，再创建账号
- 对外提供查询：给业务或稽核人员开通只读账号并限定索引范围
- 敏感字段管控：把含个人信息或载荷明细的字段单独授权
- 人员变动：离职或转岗后回收账号与权限
- 审计独立性：审计职能账号与运维账号分离，避免自查自证
权限设计要点
权限设计要点
# 1. 按最小权限分配：默认只给所需索引与字段的读权限
# 2. 敏感索引或字段单独授权，不做全局可读
# 3. 导出与批量查询操作需要审批并记录
# 4. 平台管理账号与查询账号分离，不共用
# 5. 账号与权限定期复核，人员变动后立即回收角色与权限
| 角色 | 典型权限 | 注意 |
|---|---|---|
| 平台管理员 | 集群、索引、账号管理 | 不用于日常查询，操作全程留痕 |
| 安全分析员 | 授权范围内的查询与研判 | 不授予索引删除权限 |
| 审计员 | 查看审计与操作记录 | 独立于运维角色，避免利益冲突 |
| 只读用户 | 浏览指定仪表盘 | 禁止导出敏感字段 |
日志平台账号泄露相当于把内部拓扑、业务访问关系与安全事件一并交出去，因此认证强度不应低于它所收集日志的设备。