4. 权限变更风险分类：横向越权、纵向越权、临时权限滥用、权限残留

在 SOPS 多租户隔离与制品签名链路中，权限变更并非单一维度的操作。每一次角色变更、策略调整或临时授权，都可能引入四类典型风险。理解这四类风险的定义、触发场景与检测方法，是进行策略评审与权限治理的基础。

4.1 四类风险定义与对比

4.2 风险链路全景图

下图展示了四类风险在 SOPS 多租户隔离与制品签名链路中的分布位置与攻击路径。每个风险节点都对应一个具体的策略评审检查点。

4.3 横向越权与纵向越权：边界突破的两种模式

横向越权与纵向越权虽然都涉及“超越权限边界”，但它们的攻击向量与防御策略截然不同。

4.3.1 横向越权（Horizontal Privilege Escalation）

• 触发条件： 权限模型依赖租户 ID、项目 ID 或命名空间作为访问控制标识，但后端未校验该标识是否属于当前用户。
• SOPS 典型场景： 用户 A 通过修改 API 请求中的 tenant_id 参数，获取租户 B 的签名密钥公钥或制品列表。
• 策略评审要点：
  • 检查所有涉及租户/项目隔离的 API 是否强制校验 subject 与 resource 的归属关系。
  • 确认 SOPS 策略中是否使用了 tenant 或 namespace 作为强制属性（Mandatory Attribute）。

4.3.2 纵向越权（Vertical Privilege Escalation）

• 触发条件： 角色继承关系存在漏洞，或 API 未校验用户角色层级。
• SOPS 典型场景： 拥有 signer 角色的用户，通过直接调用 admin 级别的策略修改接口，绕过审批流程。
• 策略评审要点：
  • 确认 RBAC 角色矩阵中是否存在隐式继承（Implicit Inheritance）导致权限膨胀。
  • 检查敏感操作（如策略修改、密钥轮换）是否强制要求 MFA 或二次审批。

4.4 临时权限滥用与权限残留：时间维度的失控

这两类风险的核心在于“权限生命周期管理”的缺失。临时权限滥用是窗口内行为失控，权限残留是窗口关闭失败。

4.4.1 临时权限滥用（Temporary Permission Abuse）

• 触发条件： JIT（Just-In-Time）授权机制只控制了“能否访问”，未控制“能做什么”。
• SOPS 典型场景： 运维人员通过紧急通道获得 30 分钟的签名密钥管理权限，在此期间批量导出了所有租户的私钥。
• 策略评审要点：
  • 临时授权必须绑定操作白名单（Allowed Actions），而非开放全部权限。
  • 所有临时授权操作必须记录审计日志，并触发实时告警。

4.4.2 权限残留（Permission Residue）

• 触发条件： 用户离职、转岗或 Service Account 废弃后，权限未被自动回收。
• SOPS 典型场景： 离职员工的个人访问令牌（PAT）仍可推送制品并触发签名流程，形成后门。
• 策略评审要点：
  • 确认 SOPS 是否与 IdP（身份提供商）实现了 SCIM 同步，自动禁用离职用户。
  • 检查 Service Account 是否设置了最大存活时间（TTL）和定期轮换策略。

4.5 风险检测矩阵：策略评审检查清单

以下表格总结了四类风险在 SOPS 策略评审中的具体检测项与对应的策略模板字段。

4.6 案例：一次完整的权限变更风险链

假设某 SOPS 实例发生以下事件序列，请判断涉及哪些风险类型：

1. 运维人员 A 通过 JIT 授权获得 1 小时的 admin 角色（临时权限授权）。
2. 在授权窗口内，A 修改了策略，将租户 B 的签名密钥访问权限开放给租户 C（横向越权）。
3. 租户 C 的只读用户 B 利用该漏洞，调用了本应属于 signer 角色的签名接口（纵向越权）。
4. 三个月后，运维人员 A 离职，但其 Service Account 仍保留在 SOPS 中（权限残留）。

该案例表明，四类风险往往串联出现。一次临时授权滥用可能成为横向越权和纵向越权的跳板，而权限残留则为后续攻击提供了持久化入口。