Аварийный доступ (break-glass)

Аварийный доступ — это заранее построенный путь к повышенным правам на случай чрезвычайной ситуации, задуманный так, чтобы им пользовались редко, шумно и недолго. Он существует потому, что у принципа наименьших привилегий есть краевой случай: инцидент, в котором человек, способный починить, не имеет прав чинить, а тот, кто выдаёт права, спит. Команды без описанного пути импровизируют под давлением, и обычно это означает постоянную административную учётку с общим паролем, которая затем переживает инцидент на годы. Правильная конструкция превращает аварию в контролируемое событие. Доступ выдаётся на фиксированное короткое окно и истекает сам, а не ждёт, пока кто-то вспомнит его отобрать. Вызов требует названной причины и поднимает оповещение, которое уходит не только тому, кто вызвал, — так исключение видно в реальном времени, а не обнаруживается на аудите. Всё сделанное под повышенной ролью пишется отдельно и разбирается потом в порядке рутины, а не подозрения. Где возможно, подтверждает второй человек, но с описанным путём на одного согласующего для случая, когда дозвониться не до кого: меру, которой нельзя воспользоваться в три часа ночи, не используют, а обходят. Работает она или нет, определяют две вещи. Её нужно проверять: аварийный путь, который никогда не прогоняли, отказывает ровно тогда, когда нужен, и именно ежеквартальная репетиция находит просроченный сертификат или исчезнувшую учётную запись. И частота обращений сама по себе сигнал: рутинное использование значит, что обычных прав не хватает для настоящей работы, и лечить надо расширением повседневной роли, а не превращением аварийного пути в обычный.