Verbind één keer, niet per agent

De eerste agent is het makkelijke deel. Je geeft hem toegang tot het datawarehouse, hij beantwoordt een vraag in gewone taal, en even lijkt het opgelost. Dan komen de vragen. Met welke identiteit is die agent binnengekomen. Was het een gedeeld serviceaccount, en dat is het bijna altijd, dan kun je niet meer zien namens welke persoon hij handelde, en ook niet beperken wat die persoon mocht zien. De agent werkte. De controle over je data overleefde de introductie niet.

Dat is het echte probleem bij het aansluiten van agents op een dataplatform, en het komt boven zodra je verder kijkt dan de demo.

Je dataplatform gaat ervan uit dat een mens iets vraagt

Een dataplatform staat niet open. Het wordt beschermd door vier dingen, en alle vier zijn ontworpen rond mensen.

Identiteit bepaalt wie je bent, meestal via single sign-on. Netwerk houdt het platform achter een private grens, alleen bereikbaar van binnenuit. Credentials bewijzen een recht om te verbinden. Governance bepaalt, zodra je binnen bent, welke rijen, kolommen en tabellen je mag zien, en legt vast wat je hebt gedaan.

Een mens past daar netjes in. Hij logt in, zijn rol bepaalt zijn toegang, en in het logboek staat zijn naam. Een agent past in geen van de vier. Hij is geen persoon, dus wiens toegang krijgt hij. Hij draait meestal buiten je netwerk, in de cloud van een leverancier, dus de private grens zit hem in de weg. Hij heeft een eigen credential nodig, en die moet ergens wonen. En wat hij leest moet nog steeds de governance respecteren die voor de persoon achter de vraag zou hebben gegolden.

Identiteit, netwerk, credentials en governance gaan er alle vier van uit dat een mens iets vraagt.

Elk daarvan is een klein probleem bij één agent. Ze zijn niet klein meer zodra je er meerdere hebt.

De valkuil is elke agent apart aansluiten

De voor de hand liggende route is elke agent rechtstreeks op de data aansluiten, en dat is precies de route die later pijn doet.

Elk raamwerk dat je erbij neemt vraagt eigen credentials, dus kopieën van geheimen verspreiden zich over clouds en configuratie, elk daarvan iets om te roteren en iets om te lekken. Om een agent van buiten bij een privaat platform te laten komen, zet iemand het netwerk een stukje open, en zo schuiven gesloten grenzen uitzondering na uitzondering verder open. Om de complexiteit per gebruiker te vermijden krijgt de agent één gedeeld serviceaccount met ruime rechten, en op dat moment verlies je precies de twee dingen die je wilde houden: welke echte persoon achter de vraag zat, en de grens van wat die persoon mocht zien.

Je hebt een agent aangesloten en tegelijk het antwoord weggegeven op de vraag wie er iets vroeg.

Dat is de blootstelling. De beheerlast zit er direct achter.

En dan moet je het ook nog onderhouden

Aansluiten is het kleine deel. Het draaiend houden is het deel dat blijft.

Elke koppeling die apart is aangelegd, is apart te bedienen. Elk daarvan moet worden gemonitord, verlengd en in de pas gehouden met alles eromheen. Verander je identity provider, roteer een sleutel, scherp een netwerkregel aan, en die wijziging gebeurt niet één keer. Hij gebeurt op elke plek waar een agent met de hand is ingeprikt, en elke plek is een kans om er één te missen: een werkproces dat stilvalt of een deur die open blijft staan.

Audit is hetzelfde verhaal, andersom. Als security vraagt wie waarbij is geweest, of een incident een tijdlijn nodig heeft, moet het antwoord worden samengesteld uit de logboeken van elke agent, in het formaat van elke agent, voor zover die logboeken bestaan. Traceerbaarheid die verspreid ligt, is geen traceerbaarheid.

Op dag één bijt niets. Het bijt bij het tweede raamwerk, de eerste sleutelrotatie en de eerste securityreview.

En het groeit. De tweede agent voegt werk toe. De tiende voegt negen koppelingen toe om te bewaken, te wijzigen en te verantwoorden. Wat begon als een taak wordt stil een rol, en daarna een team, met als opdracht het leidingwerk tussen agents en data overeind houden. Dat is niet de capaciteit die je wilde inkopen.

Los de verbinding één keer op, centraal

Het alternatief is de gestuurde verbinding één keer inrichten, binnen je eigen omgeving, en elke goedgekeurde agent daar gebruik van laten maken.

Datahub legt die verbinding aan via de mechanismen die het platform al respecteert: je identity provider, private netwerken, en een broker die het geheim op één plek houdt zodat geen enkele agent het ooit in handen krijgt. Agents authenticeren niet bij het dataplatform. Ze vragen via de gestuurde verbinding. Die verbinding toetst of de aanvrager mag, past je governancebeleid toe, en legt vast wie het vroeg. Wat de agent terugkrijgt, is alleen wat de persoon of het proces erachter mocht zien.

Identiteit wordt bij de deur gezet en nooit ingeruild voor een gedeeld account.

Omdat de verbinding op één plek is gedefinieerd, geldt dat ook voor het werk om hem draaiend te houden. Je wijzigt een identiteitsregel, een netwerkroute of een credential één keer, en elke agent die de verbinding gebruikt, verandert mee. Het overzicht van wie waarbij is geweest staat op één plek, in één formaat, klaar voor een audit in plaats van na een audit samengesteld. De tiende agent toevoegen is toegang geven, geen tiende koppeling bouwen. En de moeilijke vragen blijven te beantwoorden: wie vroeg het, mocht die dat, en wat heeft die gezien.

Hetzelfde aantal agents, een compleet ander onderhoudsprofiel.

Een fundering neemt werk weg, ze verplaatst het niet

Er is een versie van agents invoeren die op voortgang lijkt en het niet is.

Elke agent brengt zijn eigen portaal, zijn eigen credentials en zijn eigen onderhoud mee, en de organisatie houdt een nieuwe klasse handwerk over om te bezetten. Mensen stappen van het ene beheerkarwei op het andere. De bezetting die het oude ding beheerde, beheert nu het nieuwe ding. Het gereedschap veranderde en het bedrijf schoot niet op.

Een fundering hoort het herhaalde werk op te nemen, niet te verhuizen.

Zo hoort het andersom te werken. Capaciteit toevoegen voegt dan geen operationele last toe, en de mensen die je hebt consumeren intelligentie in plaats van de leidingen te onderhouden die haar vervoeren. Dat is het verschil tussen klaar zijn voor de volgende fase en de huidige fase een nieuw label geven. Opschalen betekent dat de volgende agent bijna gratis is om aan te sluiten, niet nog een regel op iemands runbook.

Daar mikt Datahub op. Niet op één agent aan je data knopen, maar op een verbinding die je één keer legt en waarop je verder bouwt, zodat meer agents meer capaciteit betekenen in plaats van meer beheer.

Dit is de muur direct na de eerste agent

Het is eerlijk om iets over timing te zeggen. De meeste organisaties hebben dit nog niet gevoeld. Ze krijgen een eerste agent aan het werk, en op dag één bijt niets ervan.

Het bijt als het aantal groeit. Bij het tweede raamwerk, de eerste sleutelrotatie over meerdere agents, de securityreview die vraagt wie dat gedeelde account vertegenwoordigt, de audit die een naam wil en een serviceaccount vindt. Het werk om één gestuurde verbinding in te richten is echt, en het is eenmalig. Alles daarna is toegang geven, geen volgende bouw.

Verbind één keer. Wijzig op één plek, audit op één plek, en voeg agents toe zonder koppelingen toe te voegen. Het alternatief is niet alleen een zwakkere beveiliging. Het is een vaste baan die je voor jezelf hebt gemaakt, en die meegroeit met elke agent die je draait.