Microsoft Execution Containers'ta izin sınırını ajanın kendisi belirlemiyor
Politika tabanlı yaklaşım dosya, ağ ve arayüz erişimini ayrı tanımlıyor; bütün izolasyon seçenekleri aynı değil.
Model kararının dışında bir sınır
Microsoft'un 7 Ekim açıklamasına göre Execution Containers, ajan veya üretilmiş kodun kullanabileceği kaynakları dışarıdan tanımlanan politikayla sınırlıyor. Bir araca görev verilmesi, o aracın kendisine yeni izin ekleyebilmesi anlamına gelmiyor. Dosyaya yazma, bir konuma yalnız bakma ve belirli ağ hedeflerine ulaşma farklı haklar olarak ele alınıyor. Bu rehber ürünün yaklaşımını açıklıyor, mevcut güvenlik korumalarını kaldırmayı önermiyor.
İzolasyonun birden fazla biçimi var
Süreç tabanlı konteynerler, Windows'a özgü ayrı oturumlar ve Linux araçları için seçenekler farklı iş yüklerine hitap ediyor. Duyurudaki MicroVM seçeneği deneysel olarak etiketlenmiş; bunu genel kullanıma hazır bir standart gibi sunmuyoruz. Kullanıcı arayüzü ve pano gibi yüzeylerin ayrılması da yalnız klasör sınırlandırmasından farklı bir güvenlik katmanı oluşturuyor.
Onay ile uygulama birbirinden ayrı
Politikanın ajan dışında tutulması önemli bir tasarım ilkesi, ancak tek başına bütün uygulamaların güvenli yapılandırıldığını kanıtlamıyor. Kuruluşun ek kısıtları bulunabiliyor; entegrasyonun uygun izolasyon düzeyinde test edilmesi gerekiyor. BytePusula bu haber için konteyner kurmadı veya koruma mekanizmalarını aşmadı. Mevcut sınırlar içinde tamamlanamayan bir işte izin istemekle sessizce yetki genişletmek arasındaki fark, açıklamanın ana mesajı.