Domeniul ar trebui să fie suficient de îngust pentru sarcină și să nu dureze mai mult decât este necesar. Se aplică conturilor de zi cu zi, precum și administratorilor, aplicațiilor, automatizării și identităților de mașină.
Implementarea principiului necesită mai mult decât atribuirea rolurilor o singură dată. Organizațiile trebuie să înțeleagă funcțiile reale de muncă și de sistem, să separe activitatea privilegiată de cea de rutină, să elimine drepturile nefolosite, să revizuiască permisiunile moștenite și combinate și să creeze căi controlate pentru acces excepțional. Accesul ar trebui să se schimbe când responsabilitățile, sistemele sau riscurile se schimbă.
Puncte esențiale
Dimensiuni de domeniuCe resurse, acțiuni, date, medii, identități, locații și perioade de timp sunt autorizate.
Controale practiceRoluri granulare, conturi de administrator separate, aprobare pentru elevare, revizuiri de acces, proprietate asupra conturilor de serviciu și eliminare promptă a permisiunilor învechite.
VerificareTestați permisiunile efective, în loc să vă bazați doar pe numele rolurilor sau intenția politicii, și monitorizați cum sunt folosite efectiv capabilitățile privilegiate.
Limitare importantăUn rol cu nume îngust poate fi totuși supraputernic prin moștenire, imbricarea grupurilor, combinații de permisiuni sau controale slabe aval. Privilegiile minime sunt o stare continuă de verificat.