Защитили наш подход к мультирегиональности: новый патент на систему управления доступом в облаке
Команда безопасности Yandex Cloud запатентовала технологию объединения облаков, развёрнутых в разных регионах. В отличие от подхода, характерного для многих зарубежных облачных платформ, где используется глобальный сервис Identity and Access Management (IAM), в платформе Yandex Cloud применяется подход с изолированными облачными регионами. Это позволяет соблюдать региональные законы, требования к хранению пользовательских данных и минимизировать риски инцидентов.

Система IAM — важная составляющая публичного облака, она определяет модель безопасности, авторизации и управления ресурсами. Поэтому при проектировании архитектуры мультирегионального облака инженерам было необходимо принять несколько решений:
будет ли сам IAM глобальным или региональным,
как классифицировать ресурсы и пользователей,
как будут работать процессы аутентификации и авторизации,
должны ли токены и куки работать между регионами.
Это позволило создать технологию, в основе которой лежат ключевые архитектурные требования:
Отсутствие общих точек отказа между регионами — если один регион испытывает трудности, другие регионы не должны страдать.
Объём ущерба инцидентов должен быть ограничен пределами одного региона.
Важно соответствовать требованиям комплаенса и локального законодательства.
Необходимо создать условия, при которых клиент чувствует, что пользуется единым сервисом, а не набором разнородных изолированных облаков.
Последнее условие соблюдается благодаря продуманному UX: регионы остаются независимыми, но пользователи могут «бесшовно» переключаться между ними. Это достигается через организацию — псевдоглобальный объект, выступающий административным доменом. Доступ к ресурсам могут получать только пользователи, входящие в организацию.
Доверие между регионами реализовано через механизм Workload Identity Federation: аккаунт одного региона может имперсонироваться в аккаунт‑представитель в другом регионе. При этом права таких аккаунтов строго ограничены, а синхронизация выполняется односторонне — только из домашнего региона. Поэтому даже если в другом регионе произойдёт компрометация, это не затронет домашний регион.










