В теории, хорошо спроектированный код может обеспечивать принцип наименьших привилегий, устанавливая чёткие ограничения доступа, используя проверку ролей и ограничивая разрешения до минимально необходимого уровня. Но на практике одного этого недостаточно – для поддержания согласованности и применения правил во всех распределённых системах, а также для выявления ошибок, которые код просто не может увидеть, необходима внешняя политика, например, политики IAM, сетевая сегментация и журналы аудита. Код – это первая линия защиты, а политика – это страховка.

И, знаешь, забор стоит лишь до тех пор, пока за ним кто-то присматривает. Код задаёт рамки, а политика и контроль не дают никому проскользнуть.

Именно. Код – это кирпичи, политика – правила игры, а логи – наблюдают за всем процессом. Три руки – и стена, через которую не перешагнешь.