Арендованный VDS кажется своим сервером, но доступ к нему обычно есть не только у вас. Провайдер, подрядчик, бывший администратор, веб-студия, сотрудники — у каждого свой уровень входа. Разберём, как это устроено, что из этого нормально, что стоит закрепить в договоре и как забрать доступы, если отношения закончились.
Коротко
- Провайдер технически имеет доступ к оборудованию, на котором работает ваш сервер. Защищают от злоупотреблений договор, репутация провайдера и шифрование ваших данных.
- Самый сильный доступ — личный кабинет провайдера: из него можно удалить сервер вместе с копиями. Он должен быть оформлен на компанию.
- Подрядчик и администратор получают права администратора внутри сервера. Это нормально, но доступы нужно записывать и забирать по окончании работ.
- Сотрудникам — отдельные учётные записи с минимальными правами, без общих паролей.
- Раз в полгода полезно провести «инвентаризацию доступов» по таблице из этой статьи.
Уровни доступа к VDS: от самого сильного к слабому
Удобно представлять доступы как ключи от разных дверей одного здания. У кого-то ключ от всего здания, у кого-то от одного кабинета.
| Уровень | Что даёт | У кого обычно есть |
|---|---|---|
| Оборудование и система виртуализации | Физический доступ к серверу провайдера, на котором работает ваш VDS, и к его дискам | Сотрудники провайдера |
| Личный кабинет провайдера | Перезагрузка, консоль, переустановка, удаление сервера, управление копиями и оплатой | Тот, на кого зарегистрирован аккаунт, и те, кому дали пароль |
| Администратор сервера | Полные права внутри системы: установка программ, все файлы, все пользователи | Администратор, подрядчик, иногда веб-студия |
| Доступ к отдельным службам | Панель управления сайтом, база данных, почтовый ящик | Разработчики, маркетологи, отдельные сотрудники |
| Обычный пользователь | Работа в своих программах и папках | Сотрудники |
Рядом с сервером есть ещё два доступа, о которых часто забывают: регистратор домена и управление DNS (через них можно перенаправить сайт и почту на чужой сервер) и хранилище резервных копий (через него можно забрать или удалить все данные).
Провайдер: что он может и что его ограничивает
VDS работает на физическом сервере провайдера. Программа виртуализации, которая делит этот сервер между клиентами, находится под полным контролем провайдера. Технически его инженеры могут остановить ваш сервер, подключиться к его консоли, скопировать диск. Это не злой умысел, а устройство услуги: так же у хозяина дома есть доступ к подвалу, где стоят счётчики.
Что ограничивает провайдера:
- Договор и оферта. Посмотрите, что в них сказано о доступе к данным клиента, конфиденциальности и случаях, когда провайдер вправе вмешаться в работу сервера.
- Законы. Провайдер обязан выполнять законные запросы государственных органов в стране, где он работает. Это стоит учитывать при выборе страны размещения.
- Шифрование. Если важные данные на сервере зашифрованы и ключ не хранится рядом с ними, копия диска сама по себе их не раскроет. Насколько это применимо к вашим задачам, решает администратор.
Полностью исключить доступ провайдера к арендованному серверу нельзя. Если это требование, вопрос решается иначе: свой сервер в своём помещении или в дата-центре, где у вас своё оборудование.
Подрядчик и администратор
Тому, кто обслуживает сервер, нужны права администратора, иначе он не сможет ставить обновления и чинить проблемы. Риск не в самих правах, а в том, что о них забывают. Типичные ситуации:
- сервер заказан на личный аккаунт подрядчика, и компания не может даже продлить его сама;
- подрядчик сменился, а у прежнего остались пароль администратора и ключ входа;
- веб-студия получила доступ «на неделю» для доработки сайта, и он работает третий год;
- пароль администратора знает только один человек, и он перестал отвечать на звонки.
Что зафиксировать в договоре с подрядчиком
- Аккаунт у провайдера, домен и все сервисы оформляются на компанию-заказчика, а не на подрядчика.
- Подрядчик ведёт и передаёт заказчику актуальный список доступов: что, где, какой логин. Пароли — через менеджер паролей или в закрытом виде.
- Подрядчик обязуется не разглашать данные, к которым получил доступ, и не использовать их в своих целях.
- При окончании договора подрядчик в оговорённый срок передаёт все доступы и документацию и подтверждает, что удалил свои копии данных и ключи.
- Изменения на сервере — создание учётных записей, открытие доступа третьим лицам — согласуются с заказчиком.
Формулировки лучше согласовать с юристом. Важно, чтобы эти пункты вообще были: в типовых договорах на ИТ-обслуживание их часто нет.
Сотрудники
Для сотрудников работает простое правило минимальных прав: каждый получает только то, что нужно для работы. Бухгалтеру — доступ к 1С и папке бухгалтерии, менеджеру — к своей папке и CRM. Права администратора у обычных пользователей быть не должно, даже у руководителя: ему нужен доступ к информации, а не к настройкам системы.
Общие логины вида «office» или «buh» удобны, но из-за них невозможно понять, кто что сделал, и невозможно отключить одного человека. Один сотрудник — одна учётная запись.
Как забрать доступы: порядок действий
Ситуация: подрядчик или администратор уходит, а доступы нужно вернуть под контроль компании. Порядок важен — начинайте с того, что даёт больше всего власти.
- Личный кабинет провайдера. Если он оформлен на компанию — смените пароль, почту для восстановления и второй фактор. Если на подрядчика — узнайте в поддержке провайдера, как перевести услугу на компанию и какие документы для этого нужны.
- Домен и DNS. Проверьте, на кого оформлен домен у регистратора, смените пароль и контактную почту.
- Свежая резервная копия. Сделайте её сразу после того, как получили контроль над кабинетом, и сохраните отдельно.
- Администратор сервера. Смените пароли администраторских учётных записей, удалите ключи входа уходящего человека, проверьте список пользователей на лишние записи.
- Службы. Смените пароли к базам данных, панели сайта, почте, хранилищу копий, внешним сервисам, к которым подключён сервер.
- Документирование. Обновите таблицу доступов: что сменено, когда, у кого теперь доступ.
Если подозреваете, что уходящий человек может навредить, не предупреждайте его о смене доступов заранее. Сначала заберите кабинет провайдера и сделайте копию, потом обсуждайте передачу дел.
Инвентаризация доступов: чек-лист
- Аккаунт у провайдера оформлен на компанию, почта восстановления — корпоративная.
- На вход в кабинет провайдера включён второй фактор.
- Домен оформлен на компанию, доступ к регистратору есть у руководителя.
- Есть актуальный список всех, у кого есть права администратора.
- Все в этом списке сейчас работают с компанией.
- У сотрудников — личные учётные записи без прав администратора.
- Пароли хранятся в менеджере паролей, доступ к нему есть минимум у двух доверенных людей.
- В договоре с подрядчиком есть пункт о передаче доступов при расторжении.
Частые вопросы
Может ли провайдер прочитать мои файлы на VDS
Технически у провайдера есть доступ к оборудованию, поэтому теоретически может. На практике от этого защищают договор, внутренние правила провайдера и шифрование данных. Если для вас это критично, уточните у провайдера его правила доступа к данным клиентов.
Сервер оформлен на нашего бывшего админа. Что делать
Попросите его передать услугу на компанию через поддержку провайдера. Если он не идёт навстречу, обратитесь к провайдеру с документами, подтверждающими, что услуга оплачивалась компанией. Параллельно подготовьте новый сервер и перенос данных на случай, если вопрос затянется.
Нужно ли давать веб-студии доступ администратора ко всему серверу
Обычно нет. Для доработки сайта хватает доступа к файлам сайта, его базе и панели управления. Права на весь сервер стоит давать только тому, кто за этот сервер отвечает.
Как часто проверять список доступов
Минимум раз в полгода и обязательно при каждой смене подрядчика, администратора или ухода сотрудника, у которого был доступ к серверу.