![\"Dwie](\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/diagrams\/hand-adspasskey-pl.png\")
\n2. Nale\u017cy spisa\u0107, kto co autoryzuje<\/h2>\n\n\n\n
Punktem wyj\u015bcia jest artefakt, kt\u00f3rego prawie nikt nie posiada: spisana macierz w\u0142asnych dost\u0119p\u00f3w. Plik YAML w repozytorium to pocz\u0105tek, ale niewielka tabela SQLite sprawdzi si\u0119 lepiej, poniewa\u017c pr\u0119dzej czy p\u00f3\u017aniej pojawi si\u0119 potrzeba jej odpytywania. Znaczenie maj\u0105 te kolumny, kt\u00f3rych za p\u00f3\u0142 roku nie da si\u0119 odtworzy\u0107 z pami\u0119ci.<\/p>\n\n\n\n
create table ads_authorization (\n integration text primary key,\n auth_type text not null check (auth_type in ('user_account','service_account')),\n google_account text,\n config_path text,\n token_store text,\n owner text not null,\n deputy text,\n customer_ids text,\n last_verified date\n);\n\ninsert into ads_authorization values\n ('nightly-cost-load','user_account','ads-bot@example.com','\/srv\/etl\/conf\/ads.yaml',\n 'vault:kv\/ads\/refresh','l.wojcik','m.kowalski','123-456-7890,222-333-4444','2026-08-08'),\n ('bi-connector','service_account',null,'\/srv\/bi\/sa.json',\n 'gcp-secret-manager','platform-team',null,'123-456-7890','2026-08-08');<\/code><\/pre>\n\n\n\n\n- auth_type:<\/strong> dzieli ca\u0142e \u015brodowisko na obj\u0119te i nieobj\u0119te wymogiem jedn\u0105 klauzul\u0105
where<\/code>.<\/li>\n- deputy:<\/strong> pole, o kt\u00f3re w tym wymogu naprawd\u0119 chodzi. Je\u017celi osoba wpisana w
owner<\/code> jest nieobecna przez trzy tygodnie, kto si\u0119 zaloguje?<\/li>\n- token_store:<\/strong> prywatny katalog domowy nie jest tutaj warto\u015bci\u0105, lecz znaleziskiem audytowym.<\/li>\n<\/ul>\n\n\n\n
3. Odnalezienie autoryzacji, o kt\u00f3rych wszyscy zapomnieli<\/h2>\n\n\n\n
Inwentaryzacja jest warta tyle, ile jej pokrycie, a najbardziej bol\u0105 w\u0142a\u015bnie te wpisy, o kt\u00f3rych si\u0119 zapomnia\u0142o. Trzeba przeczesa\u0107 drzewa konfiguracji, a nast\u0119pnie zestawi\u0107 wynik z tym, co zosta\u0142o spisane.<\/p>\n\n\n\n
grep -rIls -e refresh_token --include='*.y*ml' --include='*.json' --include='*.env' \\\n \/etc \/srv \/opt \/home<\/code><\/pre>\n\n\n\n#!\/usr\/bin\/env python3\n\"\"\"Klasyfikuje lokalne konfiguracje OAuth i zestawia je z inwentaryzacj\u0105 dost\u0119p\u00f3w.\"\"\"\nimport pathlib, re, sqlite3, sys\n\nroot = pathlib.Path(sys.argv[1])\npatterns = (\"*.yaml\", \"*.yml\", \"*.json\", \"*.env\", \"*.ini\")\nhas_refresh = re.compile(r\"refresh_token\\s*[:=]\\s*\\S\")\nis_service = re.compile(r\"service_account|private_key_id\")\n\ndb = sqlite3.connect(\"access.db\")\nknown = {row[0] for row in db.execute(\"select config_path from ads_authorization\")}\n\nfor pattern in patterns:\n for path in sorted(root.rglob(pattern)):\n text = path.read_text(errors=\"ignore\")\n if not (has_refresh.search(text) or is_service.search(text)):\n continue\n kind = \"service_account\" if is_service.search(text) else \"user_account\"\n flag = \"\" if str(path) in known else \" UNTRACKED\"\n print(f\"{kind:16}{path}{flag}\")<\/code><\/pre>\n\n\n\nSkrypt nale\u017cy uruchomi\u0107 na ka\u017cdym ho\u015bcie, kt\u00f3ry komunikuje si\u0119 z API, \u0142\u0105cznie z laptopem analityka, o kt\u00f3rym nikt nie chce wspomina\u0107. Ka\u017cdy wiersz UNTRACKED<\/code> to albo pozycja brakuj\u0105ca w inwentaryzacji, albo po\u015bwiadczenie do uniewa\u017cnienia jeszcze dzisiaj. Ka\u017cdy wiersz user_account<\/code> to osoba, kt\u00f3r\u0105 trzeba teraz wskaza\u0107 z imienia i nazwiska.<\/p>\n\n\n\n4. \u015acie\u017cka awaryjna dla dost\u0119p\u00f3w wsp\u00f3\u0142dzielonych i agencyjnych<\/h2>\n\n\n\n
Teraz cz\u0119\u015b\u0107 operacyjna. Dla ka\u017cdego wiersza user_account<\/code> trzeba z g\u00f3ry ustali\u0107, co si\u0119 dzieje, gdy dana osoba jest niedost\u0119pna, poniewa\u017c logowanie wymagaj\u0105ce passkey wymaga te\u017c cz\u0142owieka, kt\u00f3ry ten passkey posiada.<\/p>\n\n\n\n\n- Nale\u017cy wskaza\u0107 zast\u0119pc\u0119 z dost\u0119pem do tego samego konta Google, zgodnie z wewn\u0119trzn\u0105 polityk\u0105, i odnotowa\u0107 go w macierzy.<\/li>\n
- Refresh token trzeba przenie\u015b\u0107 z prywatnych plik\u00f3w do firmowego magazynu sekret\u00f3w, tak aby ponowne uwierzytelnienie pozosta\u0142o jedynym krokiem wymagaj\u0105cym udzia\u0142u cz\u0142owieka.<\/li>\n
- Dla ka\u017cdej integracji warto odnotowa\u0107, kt\u00f3re customer IDs przestan\u0105 raportowa\u0107, je\u017celi dana autoryzacja przestanie dzia\u0142a\u0107. To jest promie\u0144 ra\u017cenia i to on wyznacza kolejno\u015b\u0107 prac.<\/li>\n
- W uk\u0142adach agencyjnych trzeba ustali\u0107 na pi\u015bmie, kt\u00f3ra strona trzyma autoryzacj\u0119 i do kogo dzwoni si\u0119 w pi\u0105tkowy wiecz\u00f3r. Nast\u0119pnie nale\u017cy sprawdzi\u0107, czy da si\u0119 tam zastosowa\u0107 service account, poniewa\u017c takie wiersze wychodz\u0105 ca\u0142kowicie poza zakres wymogu.<\/li>\n<\/ol>\n\n\n\n
select integration, google_account, owner, customer_ids\nfrom ads_authorization\nwhere auth_type = 'user_account'\n and (deputy is null or last_verified < date('now','-90 day'))\norder by owner;<\/code><\/pre>\n\n\n\nTo zapytanie warto umie\u015bci\u0107 w kwartalnym zadaniu cron i wysy\u0142a\u0107 jego wynik na w\u0142asny adres e-mail. Pusty zbi\u00f3r wynik\u00f3w to ca\u0142y przegl\u0105d.<\/p>\n\n\n\n
5. Podsumowanie<\/h2>\n\n\n\n
Powsta\u0142y trzy niewielkie rzeczy: tabela zapisuj\u0105ca, kt\u00f3ra integracja jest autoryzowana przez kt\u00f3re konto, przemiatanie konfiguracji odnajduj\u0105ce to, czego nikt nie spisa\u0142, oraz zapytanie wypisuj\u0105ce ka\u017cdy pojedynczy punkt awarii pozbawiony zast\u0119pcy. Nic z tego nie jest specyficzne dla Google. Odpowiada to na pytanie, kt\u00f3re pr\u0119dzej czy p\u00f3\u017aniej zada ka\u017cde API z cz\u0142owiekiem w \u0142a\u0144cuchu autoryzacji.<\/p>\n\n\n\n