В пятницу вечером дежурному приходит алерт. PagerDuty работает, но облачная консоль возвращает отказ при входе: Conditional Access не пропускает подключение из новой страны. В этот момент бесполезно выяснять, почему уведомление доставлено — нужно понять, кто сможет открыть дашборд вместо primary. Это пример возможного сбоя, а не история из моей практики.
Я собрал технический чек-лист по документации Microsoft Entra и типовым задачам IAM/SRE. Проверим модельный сценарий: инженер с иностранным работодателем переезжает из Тбилиси в Барселону и продолжает пользоваться Entra ID, корпоративным VPN, GitHub, облачной консолью и PagerDuty. Таблицу ниже можно скопировать в задачу на подготовку переезда и заполнить вместе с владельцами систем.
Начать с матрицы проверок
За неделю до выезда стоит собрать инженера, владельца IAM и представителя security на короткую встречу. Цель — зафиксировать конкретные системы, способ проверки и человека, который сможет исправить блокировку.
Система | Что может сломаться | Как проверить до выезда | Владелец |
|---|---|---|---|
Entra ID / SSO | Блокировка по стране, устройству или риску входа | Просмотреть применимые Conditional Access policies, запустить What If, проверить report-only и sign-in logs | IAM |
GitHub / облачная консоль | IP allowlist, ограничения поставщика или организации | Сверить allowlist и условия доступа по стране; проверить тестовой учёткой с разрешения владельца | Platform / Security |
Корпоративный VPN | Геоблокировка шлюза, проблемы DNS и маршрутов | Проверить политику gateway и поддерживаемые регионы; после приезда — DNS, TCP/UDP и задержку | Network |
MFA и восстановление | Недоступен SMS/голосовой фактор, потерян телефон | Проверить резервный метод и процедуру восстановления без реального отключения рабочего аккаунта | IAM / Helpdesk |
PagerDuty и on-call | Алерт приходит, но доступ к системе диагностики закрыт | Тестовое уведомление, подтверждение эскалации, проверка доступа резервного дежурного | SRE |
Рабочий ноутбук | Устройство не соответствует политике или хранит запрещённые локальные данные | Проверить compliance, инвентаризировать дампы, логи и ключи; согласовать правила поездки | Endpoint / Security |
Отдельная строка в таблице нужна для каждого SaaS, который ограничивает обслуживание по стране. Если регион в чёрном списке поставщика, тест VPN ничего не исправит: решение должно принять владелец сервиса вместе с юридической и security-командами. Иногда ответ — смена инструмента или отказ от работы из выбранной страны.
Conditional Access: политики и журнал входов
Я бы начал с What If: это самый быстрый способ понять, какие политики затронут конкретного пользователя при входе в нужное приложение из Испании. Если проверка показывает блокировку, сначала разбираю условия политики вместе с IAM. Если всё выглядит нормально, перехожу к журналам реальных входов: там могут обнаружиться детали, которых модельный тест не учёл.
Для Entra ID нужны список Conditional Access policies, инструмент What If и журналы sign-in logs. В What If администратор задаёт пользователя, приложение и условия входа и видит, какие политики должны сработать. Report-only помогает оценить эффект новых политик по событиям входа без блокировки пользователей. Затем IAM смотрит реальные sign-in logs: там видны результаты и детали применённых политик.
Если у команды есть доступ к Log Analytics с экспортом логов Entra, пример запроса для разбора входов конкретного пользователя выглядит так:
SigninLogs
| where TimeGenerated > ago(14d)
| where UserPrincipalName == "engineer@example.com"
| project TimeGenerated, AppDisplayName, IPAddress,
Location, ConditionalAccessStatus, ResultType,
ResultDescription
| order by TimeGenerated desc
Запрос показывает географию и результат уже совершённых входов. Детали Conditional Access удобнее разбирать в карточке конкретного события в Entra. Для запроса нужна таблица SigninLogs в Log Analytics; она появляется после настройки экспорта.
Почему VPN-exit в Испании не даёт надёжного ответа? Адрес коммерческого VPN часто принадлежит датацентру и может иметь другую репутацию, чем домашний интернет. Геобаза тоже ошибается. Он пригодится для диагностики маршрута или отдельного сервиса, но корпоративный вход с домашнего подключения в Барселоне может повести себя иначе. Тесты с изменением точки выхода согласовывают с security. Практичнее заранее пройти What If, report-only и проверку тестовой учёткой, а после приезда повторить вход с реального подключения.
С MFA тоже важно разделить механизмы. Number matching в Microsoft Authenticator работает через приложение; замена SIM сама по себе его не отключает. А вот SMS и голосовые вызовы действительно зависят от доступности номера и роуминга. Резервный фактор и порядок восстановления доступа проверяют заранее.
On-call: доступ нужен не только основному дежурному
Переезд из Тбилиси в Барселону меняет рабочее время относительно прежней команды: в зависимости от сезона разница составляет два или три часа. Проверьте расписание дежурств и окна передачи смены. Второй вопрос — кто получит доступ к диагностике, если primary заблокирован.
Для проверки недостаточно отправить тестовое уведомление PagerDuty. Попросите secondary принять эскалацию, открыть нужный дашборд и выполнить безопасное тестовое действие по runbook. Запишите результат и время подтверждения.
Отдельно стоит проверить emergency access — так называемые break-glass учётные записи. Их хранение, исключения из политик, мониторинг и порядок применения определяет IAM. Тест процедуры проводят с ответственными за аварийный доступ.
Ноутбук и данные: что уезжает вместе с инженером
MDM сообщает о состоянии управляемого устройства и применяет настроенные политики. Перед поездкой полезно открыть отчёт compliance и убедиться, что устройство не потеряет доступ при изменении условий подключения.
Более приземлённый риск — локальные артефакты: дамп production-базы, фрагменты логов с персональными данными, SSH-ключи, токены в файлах конфигурации. До поездки полезно проверить рабочие каталоги, кеши инструментов и правила хранения секретов. Для части задач подойдут удалённые среды разработки, если они одобрены компанией и не создают новых проблем с доступом.
Перед пересечением границы запросите у security правила поездки с корпоративным устройством. Отдельно выясните, какие рабочие данные допустимо хранить локально. Вопросы GDPR и договорных ограничений на доступ к данным передайте ответственным за compliance.
Юридическая часть — параллельная задача
Разрешённый вход в корпоративные системы сам по себе не даёт права жить и работать из Испании. Основание пребывания, условия удалённой работы и налоговые вопросы стоит согласовать отдельно и заранее. Дальше рассматриваем только технические проверки.
Что проверить за семь дней
За 7 дней: убедиться, что согласование работы из Испании уже получено; перечислить рабочие системы, ограничения по странам и владельцев из матрицы.
За 5 дней: с IAM пройти What If, report-only и существующие sign-in logs; согласовать разрешённые тесты.
За 3 дня: проверить MFA recovery, резервного on-call и аварийные процедуры.
За 1 день: убрать ненужные локальные дампы и секреты по корпоративной процедуре; проверить ноутбук и план связи с helpdesk.
После прибытия: с обычного разрешённого подключения проверить SSO, VPN, DNS, рабочие SaaS и тестовую эскалацию. Записать результат в ту же матрицу.
Если страна запрещена политикой компании или поставщика, отмечайте проверку как blocked и назначайте владельца решения. Подмена IP здесь ничего не решает.
Комментарии 0