Избори ноември 2021: секциите в чужбина

Post Syndicated from original https://yurukov.net/blog/2021/nov21-sekcii/

След много неразбории и объркани решения на ЦИК, секциите в чужбина са ясни. Това вече се е превърнало в практика, макар този път умората и разочарованието на доброволци и организации от комуникацията с ЦИК да си каза думата. Атаките срещу доверието във вота ще се отразят несъмнено и на гласуващите зад граница.

За разлика от който и да е вот в последните 10 години обаче, по лични причини аз не успях да публикувам картата със секциите рано. Довърших я едва няколко дни преди вота и едва вчера разпратих мейл на 2815-те абонирали се за персонализирана информация за секциите до тях. След това още 32-ма се записаха и има прати мейл току-що.

Картата е все пак готова и всеки може да види къде е най-близката секция до тях. В изчистването на информацията ми помогнаха от Тук-Там, които имат прекрасен портал със съвети и карта в помощ на гласуващите зад граница.

Ето и картата на Glasuvam.org със секциите. Може да я отворите и на цял екран.

Ето най-важното, което трябва да знаете за вота утре:

  • Изборният ден започва в 7:00 сутринта местно време и свършва в 8:00 часа вечерта
  • Може да гласува всеки български гражданин независимо дали е подал заявление или не
  • Независимо от отбелязаната в заявлението Ви секция, може да гласувате където и да е в чужбина
  • В чужбина може да гласува всеки български гражданин независимо от обичайното му пребиваване. Това означава, че ако пътувате зад граница по работа или на почивка, може да упражните гласа си в близка до Вас секция. Отново, няма значение дали сте подавали заявление.
  • Ако все пак сте в България по време на изборите, може да гласувате само по постоянен адрес. Тогава попълвате приложение 32, че не сте гласували в чужбина и са длъжни да Ви отбележат. Присъствате в списъка и след името Ви е отбелязано МВнР
  • Ако гласувате в чужбина попълвате приложение 38, че не сте и няма да гласувате другаде. В секцията следва да има бланки за попълване на място, но имате право да я попълните вкъщи и да я донесете. Това ще Ви спести време. Ако комисията на секцията откаже да приеме предварително попълнено заявление, имате право да обжалвате и са длъжни да се свържат с ЦИК и да решат въпроса веднага без отлагане. Ако откажат или продължават да настояват, може да подадете сами сигнал до ЦИК на телефоните, които ще бъдат обявени на сайта или по мейл
  • Гласува се с валидна лична карта или паспорт или такава изтекла след 13 март 2020 г. Ако е изтекла преди това може да гласувате като покажете бележка от консулството, че сте заявили нов документ. Това беше потвърдено с решение на ЦИК.
  • В чужбина има възможност да гласувате само за партия/коалиция. Няма възможност за преференции, каквито има в страната. Така гласът Ви помага само на конкретната коалиция да влезе в парламента. Запознайте се и с бюлетините за президент и парламент.
  • В част от секциите в чужбина ще има възможност да се гласува с машини. Това ефективно изключва вероятността за невалидни гласове. Пример за електронната бюлетина ще намерите тук, а тук е видео показващо как се работи машините.

Както и на предишните избори може да натискате на адреса и да го отворите в Google. Тъй като изписването на адресите невинаги се намира в Google, съм добавил и възможност за отваряне по географски координати.

Също така, когато гласувате, ви призовавам да дадете обратна връзка колко време сте чакали. Това става чрез бутоните към въпросната секция. Повече информация за това и как ще помогне на другите да намерят близка секция може да прочетете тук.

The post Избори ноември 2021: секциите в чужбина first appeared on Блогът на Юруков.

Meet the latest AWS Heroes – November 2021

Post Syndicated from Ross Barich original https://aws.amazon.com/blogs/aws/meet-the-latest-aws-heroes-november-2021/

It is an exciting time of year, with AWS re:Invent right around the corner. As we reflect back on 2021, we continue to be impressed by the way AWS communities support one-another across intersecting journeys to expand technical skills. At the center of these communities are impactful leaders who go above and beyond to create educational content and facilitate peer-to-peer knowledge sharing across multiple channels. These passionate builders are called AWS Heroes, and we are humbled by the amazing activities they support on behalf of their communities. Today we are excited to introduce the latest cohort of AWS Heroes:

Juan Pan – Beijing, China

Data Hero Juan Pan (Trista) is the CTO and Co-Founder of SphereEx. She serves as an Apache ShardingSphere Project Management Committee member, as well as a mentor on various other Apache incubation projects. She was a recipient of the 2020 and 2021 “China OSCAR Open Source Pioneer” award, and frequently speaks at relevant conferences in the fields of databases & database architecture, including at AWS Summit Shanghai and AWS Dev Days. Juan loves to encourage more women to pursue careers in technology, and she regularly shares her empowering journey from open source contributor to CTO at events such as the AWS She Builds Summit.

Masanori Yamaguchi – Chiba, Japan

Community Hero Masanori Yamaguchi is a Solution Architect at KDDI Corporation. Yamaguchi joined the Japanese AWS User Group (JAWS-UG) in 2014 and has since managed 35 events including the reboot of Fin-JAWS (Financial-JAWS), and the JAWS-UG Chiba Chapter in 2019. Yamaguchi organized the 2021 JAWS-UG online event (JAWS DAYS 2021). This event was a new challenge in online events: not only delivering sessions, but also providing a place for attendees to communicate with each other and participate in AWS quizzes, games, and more. 4,000 participants from all over Japan attended the event. In recognition of these activities, he received the AWS Samurai 2020 Award.

Pamela Gotti – Milan, Italy

Community Hero Pamela Gotti is Chief Technology Officer at Credimi. She loves to design systems with clear boundaries through domain-driven design and event storming, and to bring them to life on Amazon EKS, with a mix of AWS Lambda, Amazon RDS, and Amazon S3. She has given talks about how Credimi uses AWS to implement new features, microservices communication approaches (from event-driven architecture to GraphQL), and about team organization. Since 2018 Pamela has led the tech team of SheTech, organizing events that help women build coding skills. The coding bootcamps focus on machine learning with Python, web development with JavaScript, and serverless.

Salah Elhossiny – Cairo, Egypt

Machine Learning Hero Salah Elhossiny works as an ML full stack developer, building backend and frontend solutions integrated with ML pipelines to provide intelligence for data labeling and analysis processes. Salah also builds serverless solutions on AWS integrated with ML models on Amazon SageMaker. A certified AWS ML specialist, Salah is an involved member of the AWS MENA Community, where he frequently writes summaries of AWS whitepapers to facilitate AWS certification exam preparation for fellow community members. He also enjoys writing about machine learning on Amazon SageMaker and serverless solutions.

Sheng Wu – Beijing, China

Container Hero Sheng Wu is a founding engineer at Tetrate. He serves on the world’s biggest open source foundation, The Apache Software Foundation, as a board director and mentor of the incubator. He is a regular speaker at conferences such as the AWS Summit, AWS Dev Day, QCon, KubeCon, and ApacheCon, typically sharing his expertise in observability for container-based and cloud-native environments. His articles and blogs on containers, cloud-native, and observability appear in media including The New Stack and the Apache SkyWalking Official Blog.

Takahiro Horike – Tokyo, Japan

Serverless Hero Takahiro Horike is CEO of Serverless Operations, Inc. While working in cloud computing, he participates in and contributes to the open source community, letting people know how fun and meaningful it is by speaking at AWS official events like AWS Dev Day. He also speaks at Japan AWS User Group (JAWS-UG) events. Horike has contributed to several open source projects on GitHub, including Serverless Step Functions. His nearly 40 presentations can be found on SlideShare and Speaker Deck.

Vanessa Santos – São Paulo, Brazil

Community Hero Vanessa Santos joined the AWS User Group São Paulo in 2017. Starting from a non-traditional technical background, she became recognized as an AWS Community Leader in 2019, achieving new learnings and practices through the AWS re:Invent We Power Tech Grant. Passionate about technology, Vanessa believes people can continuously learn and still be curious for more. She works with local and international AWS User Groups as an AWS UG São Paulo co-organizer, with female and black tech communities, as an MBA Lecturer, and as council volunteer for Brazilian health tech.

Vivek Raja P S – Madurai, India

Machine Learning Hero Vivek Raja works as Data Scientist at NexStem | CortexBCI Inc. He is an active speaker where he shares his learnings with AWS User Group India, at events such as AWS Community Day ANZ, and at various developer communities including the TensorFlow User Group, and Women in Data Science. He also supports AWS re:Skill with technical talks, podcasts, and open-source projects. Vivek regularly writes blogs where he shares about AWS Machine Learning and AWS DeepRacer. He is a DeepRacer enthusiast and uses it to help students learn Machine Learning by organizing regional AWS DeepRacer contests.

If you’d like to learn more about the new Heroes, or connect with a Hero near you, please visit the AWS Heroes website or browse the AWS Heroes Content Library.

Ross;

Кой каза „коалиция“

Post Syndicated from Емилия Милчева original https://toest.bg/koy-kaza-koalitisiya/

Шест партии в парламента, две ли остават извън властта? Пророчество 2.0, което този път – така ни казват – няма начин да не се сбъдне. Защото „старите“ спасители не искаха да управляват и се наложи да изчакат „новите“.

Стари, нови, все едно. „Продължаваме промяната“, БСП, „Има такъв народ“ и „Демократична България“ ще пробват да се спогодят и да съставят правителство. (Без БСП няма да излязат сметките, а шансът „Изправи се БГ! Ние идваме!“ да пробият 4-процентовата бариера не е голям.) Новото правителство ще трябва да подготви и защитава политики, на първо място, през закъснелия бюджет за 2022 г. Както е тръгнало, бюджетът за догодина може да бъде приет от 47-мия парламент през януари, след като поне до началото на декември ще се зида коалиция. Но пътят към нея съвсем няма да е гладък.

Разпределението на креслата

Традиционно подялбата на министерските постове е първият препъникамък в една wannabe коалиция. В съюз от четири политически сили, където приносът на първите две (ПП и БСП) е приблизително еднакъв според последните социологически проучвания преди 14 ноември, е важно кой ще вземе мандата. Това би гарантирало постовете на премиер, министър на финансите и на вътрешните работи.

Заявка за първите два дадоха публично Кирил Петков и Асен Василев от „Продължаваме промяната“. Петков неколкократно заяви, че ще е по-добър в изпълнителната власт, и показа готовност да е премиер.

Ние не държим всичко да е от нас, а най-добрите капацитети да са министри. Ние ще седнем на коалиционна маса, ако избирателите така ни подредят, и ще говорим кои са възможните кандидати и кой е с най-добрата квалификация. Аз бих поел тази отговорност да стана премиер, но не бих поставял условие към нашите партньори, защото може да има и по-добър кандидат. Време е да вкараме експертиза и знания и държавата да тръгне напред…

Кирил Петков пред „Нова телевизия“,
5 октомври 2021 г.

Василев отдавна е обявил, че се вижда като министър на финансите в бъдещ кабинет. Предвид изпълнението на Националния план за възстановяване и развитие, това ще е най-важната позиция в следващи правителства. От министъра на финансите зависи разплащането на проектите, които впоследствие ще бъдат одобрявани и от Европейската комисия, за да възстанови средствата.

Наскоро обаче заместник-председателят на „Има такъв народ“ Тошко Йорданов публично изрази позиция (лична), че няма да се съгласи Петков да е премиер:

Има морални императиви, които не трябва да се нарушават, лъжата е осъзнато решение, знаете решението на КС. Надявам се това да не е пречка пред съставянето на правителство и да има разум от всички страни. Но не би било добре да бъде предлаган. Говоря от свое име, а като се стигне до разговори, ще се правят всякакви компромиси. Етичният принцип обаче не трябва да се прескача. Там има директна лъжа и подписана декларация с невярно съдържание, независимо какви са му били мотивите.

Четири политически сили, двайсетина министерски кресла. Ако беше аритметична задача, е лесно: всяка ще има поне по четирима министри. В третото правителство на Бойко Борисов – коалиционно, съставено от две политически сили – имаше четирима вицепремиери; в тройната коалиция бяха трима.

Ако се справят успешно с предизвикателството за постовете, следват нови изпитания – работещ механизъм за съгласуване на решенията в коалицията. На ниво лидери или в по-широк формат, тепърва ще се решава. При тройната коалиция решаваше Съветът на коалицията, в действителност – Симеон Сакскобургготски и Ахмед Доган, чиито указания следваше премиерът и лидер на БСП Сергей Станишев. При Бойко Борисов решаваше… Бойко Борисов, коалиционният съвет беше само проформа, като отдушник на напрежение при едно или друго отхвърлено предложение на „Патриотите“.

Съвпадения и разминавания във възгледите

Съдейки по предишните два парламента, като че ли има единомислие за закриване на специализираното правосъдие. Като че ли, защото БСП хем декларираше подкрепа, хем проваляше кворума.

Различни са и възгледите по отношение на мощностите, които да заменят въглищните централи. „Продължаваме промяната“ например са изцяло за енергия, произведена от вятър, слънце и вода – никакви ядрени мощности, никаква газификация за тецовете. Също като тях, и ДБ не искат „мирния атом“ и предлагат повече ВЕИ мощности. Залагат на енергийния потенциал на Черно море, а ПП – на геотермалната енергия и проточен ВЕЦ на Дунав. БСП и ИТН имат съвпадения – харесват ядрената енергетика, само че социалистите все така държат на АЕЦ „Белене“, докато партията на Слави Трифонов държи на малки ядрени реактори. Освен това смятат, че газификация на тецовете е добра идея.

Нито една от четирите политически сили обаче няма ясен план как да трансформира въглищните райони в индустрии от нов тип, и всички се надяват на затваряне колкото може по-късно. Само че тепърва ще преговарят за дата с Европейската комисия, така че изходът е неясен.

Съдебната реформа ще е изпитание, ако правителството оцелее дотогава – или не се разпадне заради пореден „исторически компромис“, този път сервиран от БСП. Корнелия Нинова никога не е била убедителна и гласовита по отношение на оставката на Иван Гешев като главен прокурор и контрола върху главния прокурор изобщо. Като цяло, незаобиколимото участие на БСП винаги ще буди подозрения, защото старата любов (ДПС) ръжда не хваща. След толкова години извън властта социалистите за нищо на света няма да позволят сега да бъдат изтикани.

Новият парламент ще трябва да се заеме и с попълване с нови членове на стратегически важни регулатори – Комисията за енергийно и водно регулиране, Комисията за финансов надзор, БНБ. С изтекъл преди повече от година и половина мандат работи Инспекторатът към Висшия съдебен съвет. С толкова е пресрочен и мандатът на шефа на Комисията за защита на потребителите Димитър Маргаритов. Не изглежда особено важна позиция, но всъщност е – макар и не така здрава „бухалка“ като изброените.

В навечерието на слизането си от власт – през февруари т.г., ГЕРБ бетонира ръководството на Комисията за защита на конкуренцията, удължавайки с нови две години 5-годишния мандат на членовете, изтичащ през юни. При наличие на парламентарно мнозинство да се върне старото положение няма да е проблем, за да бъде подменен съставът начело с председателката – верния кадър на ГЕРБ Юлия Ненкова. В 46-тия парламент ИТН се разбързаха с процедурата за номинации на управител и подуправители на БНБ, но бяха парирани. Сега това решение, особено важно с оглед на бъдещото присъединяване към еврозоната, предстои.

За първи път от години се налага толкова мащабно кадрово обновление на регулаторите, превърнати в партийни робокопи. Кой от бъдещата коалиция каква квота ще получи – това ще е предмет не само на биографии и професионален опит, но и на сделки между политическите съюзници. Винаги е било така.

Северна Македония и деблокирането на българското вето (срещу какво, кога, как) също може да скара бъдещите партньори. „Продължаваме промяната“ например иска да се гарантират правата на българите там, но без да се променя македонската Конституция. Останалите са къде-къде по-твърди и неотстъпчиви, БСП води четата. Още при юлските преговори за правителство партията на Слави Трифонов и социалистите намериха пресечни точки в позициите си за Скопие – Северна Македония в ЕС, но да спазва Договора за добросъседство от 2017 г.

А през цялото това време, докато тези проблеми търсят своето разрешение, пандемията от COVID-19 и свързаните с нея цели за ваксинация, мерки за подпомагане на бизнеси и хора, оздравяване на изтощената до смърт здравна система не си отиват.

Възможен друг сюжет

Възможно ли е сюжетът с бъдещото правителство да се развие по друг начин? ГЕРБ, ДПС и… още някой да формират правителство, след като тази седмица в bTV лидерът на първата според социолозите партия Бойко Борисов даде да се разбере, че този път няма да бърза да връща мандат, ще го задържи седмица и ще направи всичко възможно да сглоби кабинет.

И няма да се кандидатира за премиер, ще предложи „един съвсем различен кандидат за премиер“: „Абсолютно отдалечен от ГЕРБ… Както Герджиков – ние го подкрепяме за президент, но той е 100% независим от ГЕРБ. Такъв премиер ще предложа и ще му възложа да преговаря с другите партии, ще гледам да е такъв, че да може да преговаря с всички.“ ГЕРБ може и са внесли нов „мат’рял“ за банката кадри, защото настоящите „калинки“ и „тежка артилерия“ като Цвета Караянчева, Десислава Атанасова, Лъчо с прякор Мозъка и др. могат да бъдат само лоялни. Лидерът неведнъж се е хвалил, че е добър кучкар.

Какво каза още Борисов? Без Радев не може, но и без Борисов не може – „поне за 6 месеца да оставим нашата омраза и да не пречим на хората“. Не е разбрал, че историческото му време свърши.

Заглавна снимка: Morning Brew / Unsplash

Източник

За да спрем да живеем в лъжа

Post Syndicated from Венелина Попова original https://toest.bg/za-da-sprem-da-zhiveem-v-luzha/

В България вече има поколения, които не са живели в тоталитарната държава, не са дишали въздуха ѝ и съзнанието им не е отровено от комунистическата идеология, заменила всички религии. Те не могат да говорят за бившия режим от първо лице, единствено число, защото нямат личен разказ за него.

Тях не са ги карали да рисуват вождовете на революцията, нито да маршируват под звуците на училищния духов оркестър или да скандират „Бе-ка-пе!“, докато манифестират на 9 септември пред трибуните, пълни с местни партийни величия. Те не са се клели да бъдат верни на Партията чавдарчета, пионери и комсомолци. Нито са ги поощрявали да доносничат: отначало за непослушните си другарчета в училище, после за съучениците си, които пушат цигари и разказват вицове за властта, по-късно – и за колегите си в университета, които слушат упадъчна музика или правят опити да уловят през заглушителите гласа на вражески радиостанции, а след това – и да сътрудничат, доброволно или принудително, на тайните служби на режима.

Те не знаят, че партийният билет е бил нещо като „зелен сертификат“ за кариера и за привилегии, които родените в семействата на висшата номенклатура са имали по право. Те не са треперили дали кварталният милиционер с килийно образование няма да ги спре да се запишат студенти само защото майките им са носили копринени чорапи и са отказвали да пеят революционни песни всеки петък в партийния клуб. Нито са били изправени пред дилемата дали да се откажат от свои близки родственици или да ги предадат, за да им бъдат отворени врати, затворени за бащите им. Такива драми те не са изживявали – и слава богу!

Всичко това моето поколение и поколението на родителите ми го преживяхме –

едни свикнаха, дори обикнаха своеобразното си робство, за да могат да го преживеят по-леко, други останаха вътрешни дисиденти, трети се противопоставяха директно на доктрината и практиката на режима, който не забравяше това никога. И наказваше непокорните. За подобна дързост в първите десетилетия след 9 септември 1944 г. са изпращали хората в лагери или са ги интернирали, за да ги „превъзпитат“. Към моето поколение мерките бяха „по-меки“, но перфидни – за да те смачкат, ако си по-лабилен. Затова след 10 ноември такива хора или ги обземаше ярост, или се усмихваха снизходително, когато чуваха репликата, че всички по време на режима на Тодор Живков сме искали да станем партийни членове.

В годините на „народовластие“ лъжата беше институционализирана и всички лъжеха без угризение. Партийните вождове ни обещаваха светло бъдеще, ама следващата петилетка. Но петилетките се изтъркулваха една след друга, а комунистическия рай, в който всеки щеше да получава според потребностите си и да дава според възможностите си, така и не го построихме. Обществото беше приело лъжата като норма и всички гледаха да я спазват, за да има спокойствие. Имаше и много вицове от онова време, посветени на нея. Понеже сме отново пред избори, ще разкажа един от тях. Радио „Ереван“ коментира ситуацията в България: „Не работят, а получават заплати; магазините им празни – масите им пълни; масите им пълни, а те недоволни; недоволни, а гласуват „за“.“

Трийсет и две години след вътрешнопартийния преврат на 10 ноември 1989 г. поколенията, живели в бившия режим, имат различен спомен за него, защото едни са опитали жилото, а други – меда му. Различно е отношението им и към безкръвния преход от тоталитаризъм към фасадна демокрация и от държавно-планова към пазарна икономика. Преходът бе планиран и режисиран от бившите комунистически елити, които запазиха властовите си позиции, а с ограбения национален капитал се превъплътиха без никакви идеологически и морални угризения в новите капиталисти.

Този период в най-новата ни история постави много въпроси, на които историците и анализаторите ще продължат да търсят отговори.

Между тях се откроява като по-важен този: как щеше да изглежда днес Преходът, ако не беше заченат в порочно съглашателство на Кръглата маса между БКП и създадения с мълчаливата ѝ благословия опозиционен Съюз на демократичните сили, в който тайните служби внедриха свои агенти, за да го разбият по-късно отвътре?

Или как щеше да се развие демокрацията у нас, ако досиетата на Държавна сигурност бяха иззети веднага след 10 ноември и бяха приети лустрационни закони, които нямаше да допуснат в законодателната, изпълнителната и съдебната власт лица от бившата комунистическа номенклатура и такива, свързани с репресивния ѝ апарат? И щеше ли да бъде възможно тогава създаването на задкулисието и на криминално-икономическия контингент?

А дали щеше Преходът ни да бъде толкова порочен, ако бившият режим десетилетия не беше провеждал политика за превръщане на народа в безлична маса и не беше поругавал религиозните чувства и правото на етническо самоопределяне на големи групи от населението? И ако идеолозите на БКП и тайните ѝ служби не бяха създали партия като ДПС, с внедрена агентура в ръководството ѝ? Щеше ли тогава Ахмед Доган да играе ролята на „човека, който държи ключа към етническия мир в България“ (мит, за който говори и Корман Исмаилов във филма на документалистката Малина Петрова „Държавни тайни“)?

Винаги когато журналисти задават въпроси на политици, излезли от средите на бившите комунисти, за ролята на ДС в Прехода и за несъстоялата се лустрация, те отговорят по един и същи начин –

че това е фиксация само за малка група хора и изобщо не занимава мнозинството българи.

Да, вярно е, че тази тема е непозната на няколко поколения. Тя отсъстваше в учебниците им по история и едва ли е била обсъждана в голяма част от семействата, за които основните цивилизационни ценности едва ли са били по-важни от грижата им за оцеляване. Темата не беше във фокуса на обществения дебат, а за създаването на институт за националната памет, какъвто съществува под различни форми във всички страни от бившия Източния блок, така и не беше постигнат политически консенсус.

Днес не само сме в навечерието на поредните президентски и предсрочни парламентарни избори, не. Ние сме в състояние на война. И тази с вируса все пак имаме шансове да я спечелим, макар и с много жертви. По-страшната е необявената война, която водим от години. Тя не е просто между протестните и системните партии, тя е война на хората, които не са се отчаяли и предали, срещу мафията и паралелната държава. Затова в неделя трябва да изберем на коя страна сме. Длъжни сме да участваме. Ако не искаме да продължим да живеем в лъжа. Това не е просто публицистичен патос, а преживяна опитност. Повярвайте.

Заглавна снимка: CHILEV / Wikimedia

Източник

Как протече тестването на децата? Трима родители разказват

Post Syndicated from Йоанна Елми original https://toest.bg/kak-proteche-testvaneto-na-detsata/

С класната на децата ми си говорихме как може родителите да се страхуват, че някой ще краде ДНК-то на децата ни. Тя, с прекрасно чувство за хумор, каза: „Не разбирам защо едно и също ДНК някой трябва да го краде два пъти в седмицата, месеци напред.“

Това споделя с мен художникът Правдолюб Иванов вечерта на 10 ноември, след първия учебен ден, в който децата от I до IV клас, чиито родители са дали съгласие те да бъдат тествани за COVID-19, се връщат на училище. Иванов е доброволствал около час и разказва, че всичко е преминало бързо и без спънки. Щадящите антигенни тестове се прилагат в училище от учители и доброволци, в зависимост от преценката на училището. Най-важните въпроси за процеса може да прочетете обобщени в статията на Елица Симеонова за „Свободна Европа“.

Подобно на ситуацията около Стратегията за детето, потребители онлайн изразиха различни притеснения – от такива, че тестовете биха могли да бъдат травмиращи за децата им, до съвсем необосновани конспирации, че тестовете всъщност служат за други цели. Отново както и през 2019 г. протестите на живо са значително по-малобройни от активността онлайн, а последни данни сочат, че около 60% от родителите са съгласни децата им да бъдат тествани в училище.

В първия ден от тестването социалните мрежи се напълниха с отзиви на родители доброволци, като преобладаващият тон е, че децата се тестват бързо и безпроблемно и се радват да се върнат на училище. Зададох пет въпроса на няколко родители, участвали в процеса. Жулиета Мандажиева има две деца в столичното 139-то основно училище. Теодора Г. е майка на второкласник в 51-во СУ „Елисавета Багряна“. Кристина Д. пък има третокласник и четвъртокласник в 73-то СУ „Владислав Граматик“.

Как протече тестването на децата?

Жулиета: Бързо, организирано и забавно, защото децата гледаха на процедурата като на една обикновена формалност. Приятна е тяхната компания и отстранеността им от целия излишен шум, който предхождаше така желаното от тях връщане към нормалния им ритъм.

Теодора: Тестването протече много спокойно и за моя изненада – доста бързо. У част от децата имаше някаква форма на тревога, но по-скоро от това, че е нещо ново, а не от самото тестване. Разбрахме се, че за всички ни е ново и безпокойството е съвсем нормално. Бяхме четирима родители доброволци, класната и 22 дечица. Държа да кажа, че бяха помислили за вариант, в който няма доброволци, и бяха осигурили двама души (до които ние не стигнахме). Оказа се, че има деца, които вече са правили теста, те не само се справиха, но и показваха на „колегите“ по чин. При нас тестовете са с пликче и това се оказа всъщност най-сложният момент… Просто трудно се отваря и се държи, за да се осъществи плюенето. Другите елементи от процеса са удобни. Деца от II клас нагоре ще се справят, но ще им трябва поне три-четири пъти помощ – дотолкова, че да запомнят последователността на действията.

Кристина: Ден преди началото на присъственото обучение класният ръководител ми се обади с молба да дойда в училището в 7:30 ч. за инструктаж. На всички родители доброволци и на учителите беше обяснена процедурата по тестване. Раздадоха материали на всеки класен ръководител (чували за боклук, тестове, ръкавици, шлемове, маски). Отидохме в класната стая в 07:50 ч., обяснихме процеса на децата. Помолихме ги да не стават от чиновете си и да не махат маските, докато тестването не приключи. Раздадохме на всяко дете найлончето, в което трябва да даде слюнкова проба. След това родителите и класният ръководител минахме през всяко дете и чрез апликатора нанесохме пробата върху теста. Записахме точния час, за да може да бъдат измерени точно 15 минути, преди да се отчете резултатът. След изтичането на необходимото време нямаше нито един положителен тест, така че прибрахме боклука в предназначените за това чували и оставихме децата да започнат учебния процес в 08:20 ч., както е по програма.

Какво е преобладаващото отношение на другите родители към процеса?

Жулиета: Преобладаващо положително, като към необходима стъпка. Най-важното е животът ни да продължи и да правим каквото трябва, отчитайки обстоятелствата, за да може всеки да се чувства на мястото си и във функцията си. Децата – сред приятелчета и съученици, образовайки се в подходяща за тях среда, ние – на работа. Извънредностите са ясни, но трябва да се адаптираме и да продължим въпреки тях, както са правили и нашите родители, баби и дядовци.

Теодора: От 26 деца в класа родителите на 23 бяха за тестване. Затова мисля, че отношението е повече от положително. Ако плюенето в пликче е цената за присъствено обучение – ние сме готови. В крайна сметка има поколения, които са преживявали войни… И не са спирали да учат (поне под някаква форма). Явно поколението на нашите деца ще живее в условията на пандемия. 

Кристина: Нямаше конфронтации, родителите бяха спокойни, с желание да помогнат и с предложения как процесът може да върви по-леко. В класовете на децата ми вече има организация за график, защото около десетина родители изявиха желание да помогнат. 

А какво е отношението на учителите?

Жулиета: Положително, като към необходимост, за да продължи пълноценният учебен процес, придружен от общуване и взаимодействие на децата със себеподобни. Съгласно Закона за предучилищното и училищното образование обучението е само елемент от образованието и това отговаря и на реалността. Другите два елемента от изключително значение за развитието на подрастващите са социализацията и възпитанието. Те няма как да се осъществят в изолация. Тя трябва да бъде само при конкретна доказана нужда и максимално кратка.

Теодора: Доколкото имам контакти с учители, различни от класната, в нашето училище са много положително настроени. Не съм чула реплики, че това не им е работа или че не са „лаборантки“. Но в обкръжението ми имаше и подобни случаи (става дума за преподаватели в началния курс).

Кристина: Първоначално имаха притеснения как ще протече процесът като организация, но смятам, че след първото тестване отношението е позитивно, защото процедурата е лесна и не е натоварваща за децата и за учебния процес.

Има ли ясни насоки какво се прави в случай на положителен тест?

Жулиета: Да. Той е същият като в Германия. Същият, както ако детето го заболи корем по време на час. Тестът се слага в отделна кутия, обаждат се на родителя, детето изчаква в медицинския кабинет или в друго помещение, където да е топло и удобно (аз бих му дала нещо да си разглежда или чете), и отива на втори тест в лаборатория. Ако тестът е отрицателен, детето се връща в училище, ако е положителен – стои си вкъщи като всички, докато премине съответният карантинен период, след което се връща обратно. Това не е първото инфекциозно заболяване в историята на човечеството. 

Теодора: В 51-во СУ има ясен протокол – ученикът се изолира в специална стая (в нея има телевизор – ако се наложи по-дълго да чака детето, му се пуска филм). Там изчаква родител. Прави се PCR и в зависимост от резултата класът се карантинира или не.

Кристина: Беше ни обяснено, че при наличие на положителен тест класният ръководител ще звънне на членове на ръководството (зам.-директор, педагогически съветник), които ще помогнат за внимателното извеждане на детето от час. Ръководството на училището изрично обясни, че при наличие на положителен тест ситуацията трябва да бъде обсъдена спокойно и без да се създава стрес за децата. Детето се извежда от час, на родителите се позвънява и те имат отговорността да отидат да тестват детето в лаборатория за потвърждаване на резултата, за да се види дали детето ще трябва да бъде поставено под карантина.

Какво според Вас липсва в процеса? Как може да бъде подобрен той?

Жулиета: Аз смятам, че след известно време на адаптиране бихме могли да преминем към тестове, които позволяват самотестване на децата, хайде, да речем, от трети клас. Щом немските деца могат, можем и ние

Теодора: Аз не мисля, че нещо липсва – има тестове, бяха осигурени ръкавици и дезинфектанти. Мисля, че трябва да сме търпеливи с децата и че в някакъв момент те ще се справят с тестването и сами.

Кристина: Може би ще е полезно да има повече информация какво се случва с класа, ако едно дете е с положителен тест, потвърден от лаборатория. Ако има някакви проблеми в сегашния процес, те идват от отказа на конкретни родители или учители да тестват. Поне първоначално ще е полезно МОН да осигурява помощ на локално ниво, в случай че в дадено училище има затруднения процесът да бъде организиран. Личното ми мнение е, че процесът протече спокойно и продуктивно и за първи път в рамките на пандемията се даде възможност на МОН, учителите, директорите, родителите и децата да работят заедно, което помага за усещането за сплотеност и засилва чувството за лична и обществена отговорност.

Заглавна снимка: Стопкадър от репортаж на БНТ за двата вида тестове за ковид при учениците

Източник

Дарителството за непопулярни каузи: три случая

Post Syndicated from Светла Енчева original https://toest.bg/daritelstvoto-za-nepopulyarni-kauzi-tri-sluchaya/

Даренията в България бележат ръст. Това е равносметката в доклада на Българския дарителски форум (БДФ) за 2020 г.

В сравнение с предишната година повече са дарявали и фирмите, и частните лица. Единствено при фондациите се наблюдава спад през последните две години. Даряващите компании са по-малко като брой, но пък отделяните от тях суми са по-големи. От БДФ смятат, че това се дължи на мобилизиращия ефект на кризите. Пандемията от ковид е по същество криза и заради това социалната солидарност нараства. Въпреки скандала с платформата „Хелп Карма“, който заплаши изгражданото дълго време и с много усилия доверие в дарителството у нас.

През изминалата година фирмите са били най-склонни да оказват финансова подкрепа за здравеопазване (43%), образование и наука (42%) и социална подкрепа (36%). Фондациите – за социална подкрепа (27%), образование и наука (25%) и култура и изкуство (21%), а отделните хора – за социална подкрепа (61%), здравеопазване (56%) и при бедствия и аварии (16%). Човешките права не се радват на особен интерес от дарителите – едва 3% от компаниите, 7% от фондациите и близо 6% от анкетираните частни лица са им оказали подкрепа.

Има детайли обаче, върху които анализът няма как да хвърли яснота.

Първо, по всяка вероятност размерът на даренията от частни лица, както и броят на индивидуалните дарители далеч надвишават установените стойности. Могат да се „уловят“ даренията, които са декларирани пред НАП или които са направени чрез обаждания, есемеси или създадените за целта платформи. Тук обаче не влизат преводите по банков път, чрез PayPal, Revolut и пр., ако не са чрез дарителска платформа или не са декларирани пред НАП. Нито даряването на вещи или доброволен труд. Немалко дарители не желаят данъчни облекчения, а действат според библейския принцип „едната ръка да не знае какво прави другата“.

Според Красимира Величкова, директорката на БДФ, в публичното пространство има например много кампании за лечение на хора, за които се предоставят лични средства, ала за тях „няма как да има точна статистика, няма как да се проследят отчетността и прозрачността им“. Дори тогава, когато кампаниите са стриктни и когато зад тях застават публични личности.

Освен това сферите на подкрепа са повече или по-малко условни.

Да вземем например човешките права. На пръв поглед те са недолюбвани от дарителите. Но нека се замислим – колко са строго правозащитните каузи (и съответно акции), които се финансират от дарения? Една от тях е „София прайд“. В отговор на въпрос на „Тоест“ Величкова слага в тази група кампанията на БХК „Подкрепи ПРАВАта си“, Фонда за артистични проекти на жени, създаден от Българския фонд за жените, и безплатната специализирана линия за пострадали от насилие на Алианса за защита от насилие.

В същото време обаче част от даренията за други сфери може да имат правозащитни мотиви. Ако отделяте пари за хора с увреждания например, вероятно го правите, защото смятате, че те имат право на достоен живот. Инвестирането в образованието на ромите е свързано с убеждението, че те имат право на равен достъп до образование. Хората, които не искат в страната им да има бежанци, не биха предоставяли хуманитарна помощ за тях. Валидно е и обратното – артистичните проекти на жени например имат отношение и към културната сфера. А подкрепата на пострадалите от насилие може да се възприема и като социална.

Някои дарителски каузи се радват на по-голяма популярност от други.

Типичен случай са кампаниите за събиране на средства за лечение на болни деца. Също и кампании, провеждани със съдействието на най-гледаните телевизии – като събирането на капачки с благотворителна цел например, също и дарителските акции по Коледа и Великден. Широко отразявани кризисни събития също пораждат вълна на съпричастност. Вече споменахме пандемията от COVID-19, но може да добавим и наводнения, пожари, свлачища и прочее.

От другата страна са кампаниите, свързани с трудни и непопулярни каузи. Често пъти върху тях има стигма. „Хайде сега, ще подкрепям наркозависим, гей, ненормален, престъпник?“, представя Величкова масовата обществена реакция.

„Когато говорим за трудни каузи, може да дефинираме трудността в няколко посоки – обобщава директорката на БДФ. – Трудни каузи са тези, които носят провокация и нямат обществен консенсус, но трудни са дори и такива, на пръв поглед „по-стандартни“ каузи, свързани с грижа за възрастни хора, с бездомни, с хора с психична болест или интелектуални увреждания, с интеграция на бивши затворници – те нямат приятно лице в повечето случаи, трудни са за понасяне, за обговаряне. Също непопулярни са и по-абстрактни каузи в периферията на общия интерес – свързани с демокрация, демократични ценности, с добро управление, участие в процеси на вземане на решения – дарителят трудно си представя резултата и е по-скептичен.“

Нека разгледаме три „непопулярни каузи“, които обаче имат успешни дарителски кампании. Най-скорошната от тях е

кампанията за възстановяването на общностния ЛГБТИ център Rainbow Hub.

На 30 октомври т.г. група от десетина неонацисти, предвождани от кандидат-президент, нахлуха в ЛГБТИ центъра и унищожиха почти цялото имущество. Организациите, стопанисващи Хъба, призоваха за събиране на средства за възстановяването му. Десетина дни по-късно събраните средства са около 50 000 лв., а сумата продължава да нараства.

„Ооо, не, абсурд! Досегашните ни кампании за подкрепа на ЛГБТИ хора в неравностойно положение не са събирали повече от 1000–2000 лв. Гледаме числата и все си мислим, че сигурно някъде има грешка. Ако не бяха стотиците съобщения, които идваха с даренията, щеше да е съвсем нереално“, отговаря Мануела Попова от Фондация „Билитис“, която е сред стопанисващите центъра, на въпроса дали са очаквали толкова силна вълна на съпричастност.

Частните дарители надхвърлят корпоративните стократно – около 400 от даренията са индивидуални срещу едва 4 фирмени. В същото време като стойност фирмената подкрепа е близо 30% от събраните средства. Това означава, че корпоративните дарения са средно по около 3750 лв., а индивидуалните – приблизително по 87,50 лв. Неформалната група „Феминистки мобилизации“ също допринася за кампанията, рисувайки тематични тениски и предоставяйки ги срещу дарения.

Отделно от това ЛГБТИ организациите имат обещана подкрепа от неправителствени организации, средствата от която ще отидат за психологическа подкрепа на работещите в Rainbow Hub. Защото „реално не са само материални щетите“, казва Попова през смях, макар да е ясно, че в психическите щети няма нищо смешно. Но активистите, присъствали на нападението, отказват да се възприемат като жертви, нито искат другите да ги смятат за такива.

Отзвукът от хомофобската акция в международните медии също допринася за събирането на средства. В деня след потрошаването на центъра например в него идва непознат хетеросексуален французин. Споделя, че иска да остави „малко пари“, защото е разбрал какво се е случило. След това идва на протеста и държи плакати заедно с активистите.

Въпреки неочаквано силната подкрепа от непознати и познати обаче, не всичко около Rainbow Hub е розово.

Активистите нямат сигурността, че в обозримо бъдеще ще продължават да обитават това място. Още от нанасянето на общностния център в частния апартамент в центъра на София, където се намира в момента, той е многократно вандализиран, основно чрез хомофобски лепенки по вратата. Част от съседите се настройват срещу Хъба – било защото те самите са с хомофобски нагласи, било защото се опасяват, че децата им или те самите може да станат косвени жертви на влизащите във входа националисти. Следват подписка, жалби в общината, проверки… Затова активистите са „на тръни“, че всеки момент може да им се наложи да се изнесат.

Социална кауза ли е възстановяването на Rainbow Hub, или правозащитна? От една страна, става дума за социална подкрепа – събиране на средства за възстановяването на общностно пространство на уязвима група. От друга страна обаче, вълната на съпричастност има силно антихомофобски характер. Тя не би била възможна, ако с нападението над центъра границата на търпимост към хомофобията не беше прекрачена.

Друга успешна кампания, свързана с недотам популярна кауза, е

събирането на средства за изгорялата къща на бежанско семейство преди почти година.

Впрочем спорно е дали каузата е точно непопулярна, защото семейството определено е популярно – става въпрос за иракчаните Линда Ауанис и Фреди Бениамин. Тя е председателка на Съвета на жените бежанки в България, а той е собственик на популярното ресторантче „Ашурбанипал“ в близост до Женския пазар. И все пак – на фона на многото болни деца, дарителски акции за справяне с пандемията и всички кампании, които традиционно се активизират по Коледа – това е семейство на възрастни бежанци.

В резултат на кампанията, инициирана от „Мулти култи колектив“ (МКК), към началото на април е събрана респектиращата сума от 128 500,79 лв., чек с която е връчена на семейството. И това са само парите, постъпили по сметката на организацията, без да се брои директната помощ от много хора от страната и чужбина, оказана на семейството, уточнява Бистра Иванова от МКК.

Желанието на Фреди е да не получава финансова подкрепа даром, а да си я изработи. Затова предлага желаещите да изпращат пари срещу ваучери за консумация в ресторанта му. Запазена е обаче и възможността за „чисти“ дарения. Равносметката е – чистите дарения са 54 818,26 лв., а ваучерите са за 73 682,53 лв., като върху тази сума фирмата на Фреди е внесла 9% ДДС, уточнява Иванова.

В дарителската кампания се включват над 1300 физически лица, фирми и неправителствени организации, като физическите лица са около 90%. Освен това „десетки хора предложиха и дариха на семейството дрехи, обувки, мебели, електротехника, посуда, козметика, играчки, още толкова предложиха временен подслон (стая в собствения им дом или втори дом за безвъзмездно ползване)“, разказва Иванова и добавя: „Също така десетки хора предложиха и доброволен труд – за разчистване на опожарената къща и двора, както и за изграждане на новата къща.“

Защо кампанията за подкрепа на Линда и Фреди се оказва толкова успешна?

Една от предпоставките за това е, че къщата им изгаря в периода преди Коледа, когато хората и без това са традиционно по-склонни да даряват. Факторът „Коледа“ се явява обаче „нож с две остриета“ – от една страна, дарителството се активизира, от друга, даряващите не могат да „огреят навсякъде“ и се налага да приоритизират каузите, които се предлагат.

Фактор е и че МКК има опит в благотворителни каузи и в представянето на чужденци и бежанци в позитивна светлина. И все пак Бистра Иванова признава, че като интеграционен експерт с десетгодишен опит е била изключително изненадана от мощната вълна на подкрепа.

Може би ключът за разбирането на успешността на кампанията са думите, с които са съпроводени част от даренията. Те са толкова много, че от МКК ги събират в книжка и ги връчват на Линда и Фреди заедно със сумата. В примерите, предоставени на „Тоест“, двамата са описани като „светли хора“, „прекрасни хора“, които „години наред помагат на мнозина“, „милите Линда и Фреди“. Фреди е описан като „невероятен човек“, „топъл и забавен“, чиято храна „стана известна далеч извън България“.

Така че вероятно кампанията не би била толкова успешна, ако ставаше дума просто за семейство бежанци, а не за това конкретно семейство, което е популярно и обичано.

Съвсем не такъв е обаче случаят с каузата на Розовата къща.

Хората, за които е предназначена Розовата къща, не са възприемани като светли, прекрасни, топли, забавни или помагащи. Напротив – мнозинството би извърнало поглед от тях на улицата. Публичните институции също са им обърнали гръб. Защото става дума за хора със зависимости, които са буквално изпаднали от обществото. Много от тях нямат не само работа, а и дом, няма къде да се изкъпят и какво да ядат. Някои са и неграмотни. За сметка на това пък по правило имат куп придружаващи заболявания.

И все пак Розовата къща успява да се издържа в огромна степен от дарения вече близо две години и половина. Със спасяването на единствения нископрагов център за хора със зависимости у нас се заема Центърът за хуманни политики в лицето на Юлия Георгиева, която има дългогодишен опит в работата с наркозависими.

Голямата част от даренията са от частни лица, а фирмите са активни най-вече по празници, разказва Георгиева пред „Тоест“. Най-големите еднократни корпоративни дарения са по около 1000 лв. „Частните дарения също скачат по празници“, допълва тя.

Георгиева не се ангажира да пресметне размера на получаваната помощ в пари, защото някои от аспектите ѝ са трудно измерими. Дарители доставят също така дрехи, обувки, хигиенни материали. Не може да се пресметне и стойността на топлата храна, която Розовата къща предоставя по два пъти на ден. Тя се готви от ресторанта CoKitchen, който върши това на доброволни начала. От Центъра за социални политики покриват само стойността на продуктите, които не са в състояние да осигурят. Ресторантът си плаща дори тока, необходим за приготвянето на храната.

На въпроса защо не слага и ресторанта в групата с корпоративните дарители, Юлия Георгиева отговаря през смях: „Има едни хора, които ти вече ги броиш като партньори, като хора, с които работиш, а не точно като дарители. И аз действително не мога да изчисля каква сума те даряват на практика. И те не са го изчислявали.“ Розовата къща е единственото място в България, което предоставя храна на нуждаещите се толкова редовно, подчертава тя. Другаде, където се предоставя храна, тя е достъпна веднъж или два пъти в седмицата.

Работещите в Розовата къща подкрепят изпадналите от обществото хора със зависимости в редица отношения.

Там те могат не само да се нахранят, изкъпят, изперат и стоплят, а и да получат правна помощ от адвокатката Наташа Добрева, която върши това безвъзмездно в малкото си свободно време. От началото на годината екипът е помогнал на поне 36 души, повечето от които без здравни осигуровки, да започнат лечение срещу хепатит С, а на някои е съдействал дори да тръгнат на работа. Центърът предоставя и помощ за започване на лечение срещу ХИВ, консултации за социални и психични проблеми, съдействие при издаването на лични карти…

И въпреки че даренията на средства, вещи и труд са устойчиви, Юлия Георгиева е убедена, че екипът всъщност върши работата на държавата, защото такава социална услуга следва да е отговорност на публичните институции. Проблемът, уточнява Георгиева, не е, че няма желание, а че след приемането на Закона за социалните услуги няма нормативна рамка. И Столичната община не е обявявала конкурси за социални услуги повече от година. Поради липсата на нормативна рамка, свързана със Закона за социалните услуги, той на практика не може да работи.

„Фактът, че две години и половина ние оцеляваме само от дарения, показва, че има хора, които са склонни да даряват за непопулярни каузи и са способни да приемат подобна услуга в общината си и в общността, в която живеят – подчертава Георгиева. – В нашата сфера това е прецедент, аз не съм имала толкова големи очаквания.“

Да се опитаме да обобщим. Как е възможно непопулярни каузи да станат успешни?

Кампанийните дарителски каузи, каквито са тези за Rainbow Hub и за Линда и Фреди, със сигурност са по-лесно изпълними от изискващите редовни постъпления като Розовата къща, която обаче също успява да се издържа от дарения. Периодът преди Коледа или Великден също помага, но не може да е основното обяснение.

Опожареният дом на Линда и Фреди и погромът върху Rainbow Hub са „примери за такъв тип кризисни, взривяващи пространството ситуации и това е своеобразен „спусък“ за дарителите да реагират“ – така смята Красимира Величкова, но допълва: „Има потенциал обаче, ако хората, дарили за подобни каузи, са видели смисъл и полза от дарението си, останали са удовлетворени от отчетността и прозрачността на кампанията, да станат постоянни дарители за тях.“ Според нея „популярността“ на една или друга кауза е нещо относително и се променя с времето: „Ако преди повече от пет години на Юлия от Розовата къща някой ѝ беше казал, че ще намира пари от дарители, тя нямаше да повярва.“

Директорката на БДФ призовава организациите и активистите да не се обезсърчават, че каузите им са непопулярни, а да се борят за тях: „Част от проблема е един друг аспект, отнесен към организациите и хората, които работят за такива „непопулярни“ или трудни каузи – те самите предпоставят, че за техните каузи и организации трудно се намират дарители. В общия случай са прави, това са по-трудно разпознаваеми каузи. Но те не бива да се отказват, нужно е да разказват за това, което правят, да апелират за подкрепа, да правят опити да набират съмишленици и средства.“

Със сигурност има каузи, които днес, тук и сега не могат да се увенчаят с успешна кампания. Но докато не се опита, няма как да се разбере дали „нашата“ кауза е от тях. А ако след неуспех не се повтаря опитът отново и отново, няма как да разберем дали обществото пораства.

Заглавна снимка: Nadir sYzYgY / Unsplash

Източник

Да надхитриш смъртта. Разговор с авторите на „Последният дар на човека“

Post Syndicated from Мартин Касабов original https://toest.bg/posledniyat-dar-na-choveka-interview-s-avtorite/

За съжаление, не можем да спасим всички. Но в някои случаи можем да победим смъртта, да я надхитрим. Когато починалият стане донор и в смъртта си дари живот на други хора. Това е последното добро нещо, което човек може да направи на тази земя. Няма по-възвишено и благородно нещо.

Когато реализираш донорска ситуация, осъзнаваш, че смъртта не е краят. Че и в нея може да има надежда и утеха. Надежда за реципиента, че ще живее нормален живот. Утеха за близките на донора, че там някъде част от него е все още жива.

Д-р Сибила Маринова,
координатор по донорство

Думите на д-р Маринова са включени в интерактивния разказ за донорството на органи в България „Последният дар на човека“. Проектът на Александър Николов и Димитър Панайотов обхваща над 100 срещи с лекари, пациенти и семейства на донори в повече от 15 населени места. В продължение на повече от шест години двамата снимат в осем болници, присъстват на три трансплантации и стават свидетели на една донорска ситуация. С младите документалисти разговаря Мартин Касабов.


За донорството често се говори с числа и данни. Вие сте избрали да разкажете за хората, които стоят зад тях. Безвъзмездно, чрез подхода на „бавната журналистика“. Това не се случва често у нас. Как се роди проектът и откъде взехте пример за оформянето му като интерактивен разказ?

Димитър: „Последният дар на човека“ се роди от само себе си – като естествено продължение на нашия професионален път. А темата, за огромно съжаление, ни откри сама.

Двамата се интересуваме от подобен тип журналистика още докато бяхме студенти: аз – в Софийския университет, а Александър следваше фотожурналистика в Лондон. През 2015 г., тъкмо когато и двамата завършихме бакалавърските си степени, се случи инцидент с брата на Сашо – Георги. Той почина на 21 години от мозъчен кръвоизлив и стана донор на органи. Месец по-късно двамата със Сашо записахме една и съща магистърска програма – „Е-Европа“ на проф. Нели Огнянова. Програмата е интердисциплинарна, но с важен акцент върху медиите. Именно там се зароди и идеята да създадем документален проект, посветен на Георги и на донорството на органи.

Всъщност „Последният дар на човека“ започна като чисто учебен и експериментален проект. По-късно и двамата защитихме магистърските си тези на негова основа. Така че може да се каже, че той първо беше реализиран на теория, и то много задълбочено, а едва след това – и на практика.

Вдъхновявахме се от пионерите в този тип дигитална и мултимедийна журналистика, а именно The New York Times, TIME, The Guardian, носители на награди като „Пулицър“ и World Press Photo. Жанрът е нов и дори си има рождена дата – 20 декември 2012 г., когато излиза Snow Fall на NYT. Поради своето естество този жанр изисква много ресурси и до ден днешен не се практикува у нас. „Последният дар на човека“ е може би първият подобен български проект в такива мащаби.

Трябва ли лично да се сблъскаме със загуба или някой близък да се нуждае от трансплантация, за да се поинтересуваме от проблема с донорството у нас? Пораснали ли сме достатъчно като общество, за да помислим за другия въпреки себе си?

Димитър: За съжаление, явно трябва. Както сме написали в самия проект – ние всички се правим, че този проблем не съществува, защото си мислим, че такова нещо никога няма да се случи на нас или на хората, които обичаме. Реалността обаче е различна. Хиляди хора в България, в пъти повече от официалния списък, се нуждаят от нов орган. Десетки хиляди не са го дочакали, а на още десетки хиляди тепърва ще им се наложи да чакат.

Всъщност има хора, които се интересуват от темата и са провели този разговор. Но те са малко. Срещали сме се с много нуждаещи се от нов орган, малцина от тях признават, че преди да им се наложи, са мислили по този въпрос. Животът изведнъж е превърнал донорството на органи – нещо, за което са чували с половин ухо по телевизията – във фундаментална тема в тяхното съществуване. Често обаче тогава е твърде късно.

По-голямата част от обществото остава сляпа и глуха за проблема с донорството в България. А от нас не се изисква много – да проведем кратък, макар и труден разговор с близките си. Разговор, който скоро ще бъде забравен и няма да окаже влияние на живота ни, но в правилния момент ще изникне в спомените на хората, от които зависи решението за донорство. Този разговор може да спаси живота на четирима души.

Александър, първата глава е посветена на брат ти Георги. Историята е силно емоционална, освен с всичко друго, и с думите на майка ви, която въпреки загубата разграничава своя син от тялото му. Силен характер, доверие в науката, съчувствие – какво трябва да притежава човек, за да отвори сърцето си и да дари?

Александър: Универсалното качество, което обединява всички, дарили органите на свой близък, е преди всичко добротата. Всички донорски семейства в България са добри хора и са го направили единствено на базата на своите разбирания и убеждения. До този извод стигнахме след разговорите ни с координатори по донорство от цялата страна. Често ги питахме за причините, поради които някой дарява или отказва да дари, опитвахме се да изградим профил на двата типа хора. Мислехме, че основно образованите са склонни да направят този жест, но сгрешихме напълно. Оказа се, че нито социалното положение, нито етническата принадлежност, нито вярата, нито интелектуалният капацитет имат значение, когато човек е добър.

Относно брат ми – всички осъзнаваме, че телата ни са нещо преходно, че всяка личност е малкото камъче, което гради или спъва развитието на обществото. Именно вярата във взаимната помощ бе една от причините, поради които го направихме. Направихме го и заради Георги. Много малко хора могат да спасят пряко човешки живот, и то само на 21 години.

… И така смъртта на Георги се превръща в живот. Същата вечер, на 20 септември 2015 г., е транспортиран със самолет в София, където се извършват четири трансплантации – на два бъбрека, на черен дроб и на сърце. Преждевременната смърт на едно 21-годишно момче и волята на неговите близки дават надежда не само на четири други човешки същества, но и на техните семейства.

Из „Последният дар на човека“

Какви са основните предразсъдъци? Един от лекарите споделя, че е чувал като аргумент „Ами какво ще кажат комшиите?“. Към това със сигурност можем да прибавим суеверията, религиозността и недоверието в науката, които са пуснали дълбок корен у нас и избуяват още повече сега, по време на пандемията.

Димитър: Най-големият предразсъдък е тоталното недоверие в съвременната медицина, наука и особено в българската система на здравеопазване. Оказва се, че фактори като религията са по-скоро с второстепенно значение. Хората масово си мислят „как ще ги прецакат“ или „какво ще си кажат другите“. Ако трябва да сме откровени – можем ли да ги виним? Цялата ситуация с българската трансплантология е еманация на обществото и здравеопазването ни като цяло. Тази тема неслучайно е толкова важна в западните държави. В нея има от всичко. Медицина. Емоция. Философия. Вяра. Емпатия и човешка добродетел. Политика и логистика. Всички сфери на живота се обединяват в едно. Затова един бърз поглед към нея е достатъчен, за да се постави диагноза по много наболели за обществото ни въпроси.

Истина е, че хората не вярват в здравната система и лекарите, но нима нямат право? Медиите непрекъснато тръбят за най-скандалните случаи на злоупотреби, корупция, отвратително отношение и условия по болниците, каквито със сигурност има много. Но не по-малко са и белите лястовици – лекари, които въпреки всичко се борят за живота ни, защото това е тяхното призвание.

Не искам да звучим цинично и самият факт, че създадохме този проект, показва, че все още вярваме в обществото ни и че намираме смисъл да говорим. Но истината е, че имаме много път да извървим, преди да осъзнаем, че най-доброто, което можем да направим за себе си, е да мислим за другия. Това е един вид благороден егоизъм – помисли за другия, за да помисли и той за теб. За съжаление, все още сме далеч от този етап. И дори сме поели по обратния път. Самият факт какво се случва в момента в България по време на най-голямата здравна криза в новата ни история показва това. Страната ни е на първите места по смъртност от ковид в света и всеки ден у нас умират стотици хора. Всеки вече познава някой починал от ковид. Но това не само че не ни трогва и обединява като общество, но и сякаш изкарва най-лошото от нас. А в такъв случай какво остава да говорим за донорство…

България изостава. През 2019 г. у нас са извършени едва 53 трансплантации. Ако запазим сегашното темпо, ще са необходими повече от 20 години, за да се помогне на всички чакащи към днешна дата. Това не е статистика, която може да бъде „излъгана“. Какво е отношението на властта към проблема с донорството у нас?

Димитър: Истината е, че най-големите проблеми на донорството у нас са именно политически и административни, а не медицински или социални. Макар много българи да отказват да дарят, не са малко и онези, които се съгласяват. Имаме достатъчно добри специалисти и лекари, които да извършват трансплантациите и да се погрижат за пациентите след това. В това отношение също има проблеми, но те са свързани с малкия брой трансплантации – колкото повече има, толкова по-рутинна ще става дейността за лекарите и толкова по-успешни ще бъдат операциите.

За съжаление, политическата мотивация за повишаване на трансплантациите у нас е нулева. И честно казано, тук не може да обвиним едно правителство или една политическа сила. Независимо кои са били на власт до момента, постигнатите резултати са сходни и се дължат единствено на ентусиазма на хора, които са в системата. По-скоро българската трансплантология, доколкото я има, се реализира не заради политиците, а въпреки тях.

Проблемите са много, но основният е липсата на адекватна подкрепа от страна на властите. Помощ в организацията, достойно заплащане и мотивиране на екипите, които извършват трансплантации и донорски ситуации, както и на тези в самите болници. Трансплантологията не е приоритет – тя е поредната брънка в една система на здравеопазване с много проблеми. Това е особено валидно в условията на глобална пандемия и национална катастрофа.

В третата глава разказвате за координацията и оперативната намеса при донорска ситуация, която е „10% медицина и 90% организация“. Разполагаме ли с бърза и адекватна система, на която да имаме доверие, че ефективно ще направи всичко възможно органите да спасят човешки живот?

Александър: Разполагаме, да, и самият факт, че се реализират донорски ситуации, макар и недостатъчно, показва ясно, че организацията работи. Въпросът е екипите да имат повече мотивация, за да реализират повече донорски ситуации.

В България така е направена системата, че решението на близките е определящо за това дали ще има донорство, или няма да има, а ние се съгласяваме изцяло с хората. Обикновено онези, които отказват, го правят, защото не са говорили с починалия. Понякога е опит за бягство от чувството за вина, което може да изпитват… но всичко това са догадки. В такъв момент не може да питаме защо отказват. Не може да се бъркаме в личните чувства на хората, не можем да направим статистика на причините за отказ. Когато взаимоотношенията в семейството са здрави, решението се взема много бързо и близките са абсолютно убедени, че това трябва да направят. 

Д-р Валентин Маринчев, координатор по донорство
Из „Последният дар на човека“

Запознати сте, вярвам, с донорските карти, за които се оказа, че нямат юридическа стойност. Гласът на човека се чува, но в крайна сметка роднините решават какво да стане с тялото му. Мислите ли, че има полза от картите в този им вид?

Александър: Донорските карти се появиха като част от кампанията на Министерството на здравеопазването „Да! За живот!“. Въпреки че те наистина нямат юридическа стойност, смятаме, че помагат или могат да помогнат по два начина. От една страна, да бъдат поводът, който да провокира разговор по темата в семейството, а от друга – ако волята на донора не е споделена с близките му, при инцидент самата карта може да насочи близките за мнението, отношението и желанието на пациента по темата.

От какво се нуждаем? От адекватна държавна политика и от емпатични сърца може би? Достатъчно ли ще е, ако повече хора имат самосъзнанието да дарят, или това е само началото?

Александър: Да започнем от самосъзнаването и склонността да даряваме – това би било прекрасно начало. Защото можем да обвиняваме властите, политиците и лекарите. Но промяната не се прави от масата или от гневни коментари в социалните мрежи. Промяната настъпва и зависи от самите нас.

Как можем да помогнем на „Последният дар на човека“?

Димитър: Най-вече ако споделите и разпространите историята. Нашата цел е за проекта и за донорството да се говори повече. Подобно на „Тоест“, ние също се опитваме да развием модела на гражданско финансиране за качествено медийно съдържание. Затова, който желае, би могъл да ни подкрепи с дарение в „Платформата“.

В деня, в който мама разписа документите и всички формалности, които бяха нужни, разбрахме, че сърцето е трансплантирано. Тогава нещо стана в мен… сякаш… той си е жив, но в някой друг. Това, което аз харесвам като мисъл, е, че винаги животът и смъртта са част от една и съща история. Двете взети заедно правят един нов живот…

Алена Терзиева
Из „Последният дар на човека“

Заглавна снимка: © Александър Николов

Източник

Седмицата в „Тоест“ (8–12 ноември)

Post Syndicated from Тоест original https://toest.bg/editorial-8-12-november-2021/

Венелина Попова

През седмицата се навършиха 32 години от 10 ноември 1989 г., когато България започна своя преход от тоталитаризъм към демокрация. Болежките на този опорочен преход търпим и до днес. Но понеже така се случва, че посрещаме годишнината на прага на поредните нови избори, според Венелина Попова е крайно време да използваме всяка възможност, за да спрем да живеем в лъжа.

В статията може да видите още един откъс от предстоящия документален филм „Държавни тайни“ на Малина Петрова. Филм, който разказва „за митовете и легендите, в които са обраснали миналото и настоящето ни, за истинските борци за права и свободи и за подставените лица, добре осребрили чужди биографии“, както пише самата режисьорка в своя блог.


Йоанна Елми

Десети ноември бе и първият присъствен учебен ден за малките ученици, след като беше възприета процедурата с т.нар. щадящи тестове. Поне за децата, чиито родители позволиха това. По този повод Йоанна Елми разговаря с родители, които са били доброволци при тестването на децата в училищата. За техните впечатления от първо лице прочетете в статията „Как протече тестването на децата. Трима родители разказват“.


Емилия Милчева

С каквито и впечатления да сме останали от последната предизборна кампания, тя вече е история. Предстои поредната развръзка, след като станат известни резултатите от гласуването в неделя. Но отсега е ясно, че бъдещо редовно правителство може да бъде съставено само ако се постигне съгласие за коалиционно управление. Политическият анализ на Емилия Милчева е посветен на съвпаденията и разминаванията във възгледите на заподозрените участници.


Светла Енчева

Според доклад на Българския дарителски форум, през 2020 г. дарителството у нас бележи ръст. Обоснованото предположение е, че това се дължи на мобилизиращия ефект на кризите, които преживяваме напоследък и в глобален, и в локален контекст. Новият материал на Светла Енчева тази седмица тръгва от същия информационен повод, но разглежда три случая на дарителство за непопулярни каузи.


Мартин Касабов

Темата за дарителството продължаваме и с интервюто на нашия най-нов колега Мартин Касабов с авторите на проекта „Последният дар на човека“. В продължение на повече от шест години Александър Николов и Димитър Панайотов снимат в осем болници, присъстват на три трансплантации и стават преки свидетели на една донорска ситуация. Видяното и чутото те оформят във впечатляващ интерактивен разказ за донорството на органи в България. Не пропускайте да прочетете разговора с младите документалисти, който озаглавихме „Да надхитриш смъртта“.


Тоест

И накрая не забравяйте да погледнете новите ни послания в кампанията #отнасзависи за популяризиране на ваксинирането срещу COVID-19. В последните две публикации отговаряме на някои от най-често повтаряните доводи срещу имунизацията: че ваксините са твърде нови и са направени твърде бързо, че са експериментални и никой не знае какви са последствията.


Радваме се да споделим също, че от днес в Читателски клуб „Тоест“ се включват и издателствата „Арс“ и Scribens. Ако сте наши редовни дарители, може да се регистрирате в клуба и да получавате постоянна 20% отстъпка от коричната цена на книгите, които купувате директно от издателствата в програмата.

Приятно четене! И гласувайте в неделя!

Източник

Fixing Recent Validation Vulnerabilities in OctoRPKI

Post Syndicated from David Haynes original https://blog.cloudflare.com/fixing-recent-validation-vulnerabilities-in-octorpki/

Fixing Recent Validation Vulnerabilities in OctoRPKI

A number of vulnerabilities in Resource Public Key Infrastructure (RPKI) validation software were disclosed in a recent NCSC advisory, discovered by researchers from the University of Twente. These attacks abuse a set of assumptions that are common across multiple RPKI implementations, and some of these issues were discovered within OctoRPKI. More details about the disclosed vulnerabilities can be found in this RIPE labs article written by one of the researchers. In response, we published a new release of OctoRPKI, v1.4.0, to address and remediate these vulnerabilities.

Cloudflare customers do not have to take any action to protect themselves from these newly discovered vulnerabilities, and no Cloudflare customer data was ever at risk.

We have not seen any attempted exploitation of these vulnerabilities described in the advisory. We use OctoRPKI to perform Border Gateway Protocol (BGP) route validation so that our routers know where to direct IP packets at Layer 3 of the TCP/IP stack. TLS provides additional security at the TCP layer to ensure the integrity and confidentiality of customer data going over the Internet in the event of BGP hijacking.

RPKI and the discovered vulnerabilities

Resource Public Key Infrastructure (RPKI) is a cryptographic method of signing records that associate a BGP route announcement with the correct originating Autonomous System (AS) number. In order to validate the records that contain that information we use an open source software called OctoRPKI that is part of the cfrpki toolkit.

Fixing Recent Validation Vulnerabilities in OctoRPKI
OctoRPKI and GoRTR ecosystem diagram

OctoRPKI traverses a set of trusted certificate repositories, downloads all the records and manifests that they contain, and performs a set of validation checks on them. If they are valid, OctoRPKI will add their contents into a JSON file that is made available for GoRTR instances to consume.

RFC6481 further defines the role of certificate repositories:

  To validate attestations made in the context of the Resource Public
   Key Infrastructure (RPKI) [RFC6480], relying parties (RPs) need
   access to all the X.509/PKIX Resource Certificates, Certificate
   Revocation Lists (CRLs), and signed objects that collectively define
   the RPKI.

   Each issuer of a certificate, CRL, or a signed object makes it
   available for download to RPs through the publication of the object
   in an RPKI repository.

   The repository system is a collection of all signed objects that MUST
   be globally accessible to all RPs.  When certificates, CRLs and
   signed objects are created, they are uploaded to a repository
   publication point, from whence they can be downloaded for use by RPs.

The main list of trusted repositories that OctoRPKI uses can be found here. In general, OctoRPKI will attempt to process any file that it downloads from a repository. However, this leaves validation software open to processing malicious input. For example, OctoRPKI could be instructed to download and cache a file which contains a path that performs directory traversal, or it could be provided with a classic GZIP bomb attack leading to a crash. The RFC does not necessarily define limits on content within files returned by a repository and thus, a large number of undefined behaviors can occur.

Compounding this issue is the fact that any single repository in the chain of trust could introduce undefined behavior. Imagine a scenario where a malicious entity is able to compromise a single repository (there can be hundreds) within a trusted organization, or is able to introduce a malicious Trust Anchor Locator (TAL) file onto the host machine that is running OctoRPKI. In both cases, bad actors can attempt to trigger undefined behavior on machines running OctoRPKI by leveraging the fact that OctoRPKI will attempt to process arbitrary input. Our mitigations were primarily to fail closed whenever these events occurred as there is no other guidance in the RFC.

Undefined Behavior

There were two classes of attacks disclosed in the NSCS advisory that affected OctoRPKI:

Arbitrary File Writes

  • CVE-2021-3907 – Arbitrary filepath traversal via URI injection

Impact

OctoRPKI does not escape a URI with a filename containing “..”, which allows a malicious repository to create a file, for example rsync://example.org/repo/../../etc/cron.daily/evil.roa, which would then be written to disk outside the base cache folder. This could allow for remote code execution on the host machine OctoRPKI is running on.

Mitigation

In v1.4.0 we now filter URIs and force them to remain in the cache folder by overriding any upwards directory traversal.

Crash or uncontrolled resource consumption

  • CVE-2021-3908 – Infinite certificate chain depth results in OctoRPKI running forever
  • CVE-2021-3909 – Infinite open connection causes OctoRPKI to hang forever
  • CVE-2021-3910 – NUL character in ROA causes OctoRPKI to crash
  • CVE-2021-3911 – Misconfigured IP address field in ROA leads to OctoRPKI crash
  • CVE-2021-3912 – OctoRPKI crashes when processing GZIP bomb returned via malicious repository

Impact

All of these trigger either a crash or infinite runtime by abusing the fact that OctoRPKI will process any file it ingests. For a production critical service it is imperative that undefined behavior is identified early, and either tossed away or caught and presented to the user as an error. Consistent crashes of OctoRPKI can lead to denial of service type attacks.

Mitigation

We implemented bounds checking across many components within OctoRPKI. These include adding instances of checking array length before attempting to index specific locations, or other cases where we utilized built in controls that Go provides when using an HTTP client. Repositories that attempt to abuse bounds checks are either skipped or included in an error message presented to the user.

On our commitment to RPKI security

We are ecstatic to see quality security research, like the vulnerabilities discovered by researchers from the University of Twente, being performed in the RPKI space. It is an incredible sign of progress in the deployment of RPKI, especially considering how recent widespread adoption has been. We are committed to ongoing support of RPKI and look forward to continuing to work with the security community to make the Internet safer and more secure for everyone.

Architecture Monthly Magazine: IoT for the Edge

Post Syndicated from Jane Scolieri original https://aws.amazon.com/blogs/architecture/architecture-monthly-magazine-iot-for-the-edge/

Internet of Things (IoT) for the Edge encompasses so many devices and industries, that we couldn’t
pick just one photo for our cover. We include IoT use cases from manufacturing, fitness, ocean research, and agriculture. And these represent only a fraction of what is possible. By moving certain workloads to the edge, your devices communicate with local compute resources and can respond more quickly to changes.

AWS edge services deliver data processing, analysis, and storage close to your endpoints, allowing you to deploy APIs and tools to locations outside AWS data centers. You can harness the data generated by your IoT edge devices and enable them to act intelligently with AWS IoT services.

We’d like to thank our experts, Olawale Oladehin, Head of Worldwide Solutions Architect – IoT, Maggie Tallman, Worldwide Go-To-Market Manager – IoT & Robotics, and Richard Elberger, IoT Principal Technologist, AWS. We are also pleased to have a contribution by one of our Customers, Jaime González, Chief Technology Officer, Pentasoft. Special thanks go to Ryan Burke, Sr. Application Architect, and Channa Samynathan, Specialist Solutions Architect – IoT, for their invaluable help shepherding this issue.

Please give us your feedback! Take our survey.

You can also include your comments on the Amazon Kindle page. View past issues and reach out to [email protected] anytime with your questions and comments.

In this month’s IoT for the Edge issue:

  • Ask an Expert: Maggie Tallman, Worldwide Go-To-Market Manager – IoT & Robotics, and Olawale Oladehin, Head of Worldwide Solutions Architect – IoT
  • Customer Conversations: Jaime González, Chief Technology Officer, Pentasoft
  • Ask an Expert, Hardware Security: Richard Elberger, IoT Principal Technologist, AWS
  • Whitepaper: Security at the Edge: Core Principles
  • Case Study: Seafloor Systems Saves 4 Hours of Labor per Robot Build Using AWS IoT Greengrass
  • Implementation Guide: Monitoring River Levels Using LoRaWAN
  • Blog: Run ML inference on AWS Snowball Edge with Amazon SageMaker Edge Manager and AWS IoT Greengrass
  • Reference Architecture: Using Computer Vision for Product Quality Analysis in Plants
  • Case Study: Coca-Cola İçecek Improves Operational Performance Using AWS IoT SiteWise
  • Quick Start: The Industrial Machine Connectivity (IMC) Quick Start
  • Blog: Automated Device Provisioning to AWS IoT Core Using 1NCE Global SIM
  • Solution: Machine to Cloud Connectivity Framework
  • Reference Architecture: Predictive Equipment Health for Utilities
  • Blog: Autonomous vehicle data collection with AWS Snowcone and AWS IoT Greengrass
  • Solution: AWS Connected Vehicle Solution
  • Videos:
    • 30MHz: Building A Smart Agriculture Solution For Indoor Farms And Greenhouses On
      AWS
    • Evolving at the Edge with the AWS Snow Family
    • Data Residency at the Edge: AWS Outposts Inside Out
    • Orangetheory Fitness: Taking a Data-Driven Approach to Improving Health and Wellness (Special)
    • Data Migration and Edge Computing with the AWS Snow Family
    • All in with James Gosling: Behind the Scenes with AWS IoT Greengrass V2

Download the Magazine

How to access the magazine

View and download past issues as PDFs on the AWS Architecture Monthly webpage.
Readers in the US, UK, Germany, and France can subscribe to the Kindle version of the magazine at Kindle Newsstand.
Visit Flipboard, a personalized mobile magazine app that you can also read on your computer.
We hope you’re enjoying Architecture Monthly, and we’d like to hear from you—leave us a star rating and comment on the Amazon Kindle Newsstand page or contact us anytime at [email protected].

Managing temporary elevated access to your AWS environment

Post Syndicated from James Greenwood original https://aws.amazon.com/blogs/security/managing-temporary-elevated-access-to-your-aws-environment/

In this post you’ll learn about temporary elevated access and how it can mitigate risks relating to human access to your AWS environment. You’ll also be able to download a minimal reference implementation and use it as a starting point to build a temporary elevated access solution tailored for your organization.

Introduction

While many modern cloud architectures aim to eliminate the need for human access, there often remain at least some cases where it is required. For example, unexpected issues might require human intervention to diagnose or fix, or you might deploy legacy technologies into your AWS environment that someone needs to configure manually.

AWS provides a rich set of tools and capabilities for managing access. Users can authenticate with multi-factor authentication (MFA), federate using an external identity provider, and obtain temporary credentials with limited permissions. AWS Identity and Access Management (IAM) provides fine-grained access control, and AWS Single Sign-On (AWS SSO) makes it easy to manage access across your entire organization using AWS Organizations.

For higher-risk human access scenarios, your organization can supplement your baseline access controls by implementing temporary elevated access.

What is temporary elevated access?

The goal of temporary elevated access is to ensure that each time a user invokes access, there is an appropriate business reason for doing so. For example, an appropriate business reason might be to fix a specific issue or deploy a planned change.

Traditional access control systems require users to be authenticated and authorized before they can access a protected resource. Becoming authorized is typically a one-time event, and a user’s authorization status is reviewed periodically—for example as part of an access recertification process.

With persistent access, also known as standing access, a user who is authenticated and authorized can invoke access at any time just by navigating to a protected resource. The process of invoking access does not consider the reason why they are invoking it on each occurrence. Today, persistent access is the model that AWS Single Sign-On supports, and is the most common model used for IAM users and federated users.

With temporary elevated access, also known as just-in-time access, users must be authenticated and authorized as before—but furthermore, each time a user invokes access an additional process takes place, whose purpose is to identify and record the business reason for invoking access on this specific occasion. The process might involve additional human actors or it might use automation. When the process completes, the user is only granted access if the business reason is appropriate, and the scope and duration of their access is aligned to the business reason.

Why use temporary elevated access?

You can use temporary elevated access to mitigate risks related to human access scenarios that your organization considers high risk. Access generally incurs risk when two elements come together: high levels of privilege, such as ability to change configuration, modify permissions, read data, or update data; and high-value resources, such as production environments, critical services, or sensitive data. You can use these factors to define a risk threshold, above which you enforce temporary elevated access, and below which you continue to allow persistent access.

Your motivation for implementing temporary elevated access might be internal, based on your organization’s risk appetite; or external, such as regulatory requirements applicable to your industry. If your organization has regulatory requirements, you are responsible for interpreting those requirements and determining whether a temporary elevated access solution is required, and how it should operate.

Regardless of the source of requirement, the overall goal is to reduce risk.

Important: While temporary elevated access can reduce risk, the preferred approach is always to automate your way out of needing human access in the first place. Aim to use temporary elevated access only for infrequent activities that cannot yet be automated. From a risk perspective, the best kind of human access is the kind that doesn’t happen at all.

The AWS Well-Architected Framework provides guidance on using automation to reduce the need for human user access:

How can temporary elevated access help reduce risk?

In scenarios that require human intervention, temporary elevated access can help manage the risks involved. It’s important to understand that temporary elevated access does not replace your standard access control and other security processes, such as access governance, strong authentication, session logging and monitoring, and anomaly detection and response. Temporary elevated access supplements the controls you already have in place.

The following are some of the ways that using temporary elevated access can help reduce risk:

1. Ensuring users only invoke elevated access when there is a valid business reason. Users are discouraged from invoking elevated access habitually, and service owners can avoid potentially disruptive operations during critical time periods.

2. Visibility of access to other people. With persistent access, user activity is logged—but no one is routinely informed when a user invokes access, unless their activity causes an incident or security alert. With temporary elevated access, every access invocation is typically visible to at least one other person. This can arise from their participation in approvals, notifications, or change and incident management processes which are multi-party by nature. With greater visibility to more people, inappropriate access by users is more likely to be noticed and acted upon.

3. A reminder to be vigilant. Temporary elevated access provides an overt reminder for users to be vigilant when they invoke high-risk access. This is analogous to the kind security measures you see in a physical security setting. Imagine entering a secure facility. You see barriers, fences, barbed wire, CCTV, lighting, guards, and signs saying “You are entering a restricted area.” Temporary elevated access has a similar effect. It reminds users there is a heightened level of control, their activity is being monitored, and they will be held accountable for any actions they perform.

4. Reporting, analytics, and continuous improvement. A temporary elevated access process records the reasons why users invoke access. This provides a rich source of data to analyze and derive insights. Management can see why users are invoking access, which systems need the most human access, and what kind of tasks they are performing. Your organization can use this data to decide where to invest in automation. You can measure the amount of human access and set targets to reduce it. The presence of temporary elevated access might also incentivize users to automate common tasks, or ask their engineering teams to do so.

Implementing temporary elevated access

Before you examine the reference implementation, first take a look at a logical architecture for temporary elevated access, so you can understand the process flow at a high level.

A typical temporary elevated access solution involves placing an additional component between your identity provider and the AWS environment that your users need to access. This is referred to as a temporary elevated access broker, shown in Figure 1.
 

Figure 1: A logical architecture for temporary elevated access

Figure 1: A logical architecture for temporary elevated access

When a user needs to perform a task requiring temporary elevated access to your AWS environment, they will use the broker to invoke access. The broker performs the following steps:

1. Authenticate the user and determine eligibility. The broker integrates with your organization’s existing identity provider to authenticate the user with multi-factor authentication (MFA), and determine whether they are eligible for temporary elevated access.

Note: Eligibility is a key concept in temporary elevated access. You can think of it as pre-authorization to invoke access that is contingent upon additional conditions being met, described in step 3. A user typically becomes eligible by becoming a trusted member of a team of admins or operators, and the scope of their eligibility is based on the tasks they’re expected to perform as part of their job function. Granting and revoking eligibility is generally based on your organization’s standard access governance processes. Eligibility can be expressed as group memberships (if using role-based access control, or RBAC) or user attributes (if using attribute-based access control, or ABAC). Unlike regular authorization, eligibility is not sufficient to grant access on its own.

2. Initiate the process for temporary elevated access. The broker provides a way to start the process for gaining temporary elevated access. In most cases a user will submit a request on their own behalf—but some broker designs allow access to be initiated in other ways, such as an operations user inviting an engineer to assist them. The scope of a user’s requested access must be a subset of their eligibility. The broker might capture additional information about the context of the request in order to perform the next step.

3. Establish a business reason for invoking access. The broker tries to establish whether there is a valid business reason for invoking access with a given scope on this specific occasion. Why does this user need this access right now? The process of establishing a valid business reason varies widely between organizations. It might be a simple approval workflow, a quorum-based authorization, or a fully automated process. It might integrate with existing change and incident management systems to infer the business reason for access. A broker will often provide a way to expedite access in a time-critical emergency, which is a form of break-glass access. A typical broker implementation allows you to customize this step.

4. Grant time-bound access. If the business reason is valid, the broker grants time-bound access to the AWS target environment. The scope of access that is granted to the user must be a subset of their eligibility. Further, the scope and duration of access granted should be necessary and sufficient to fulfill the business reason identified in the previous step, based on the principle of least privilege.

A minimal reference implementation for temporary elevated access

To get started with temporary elevated access, you can deploy a minimal reference implementation accompanying this blog post. Information about deploying, running and extending the reference implementation is available in the Git repo README page.

Note: You can use this reference implementation to complement the persistent access that you manage for IAM users, federated users, or manage through AWS Single Sign-On. For example, you can use the multi-account access model of AWS SSO for persistent access management, and create separate roles for temporary elevated access using this reference implementation.

To establish a valid business reason for invoking access, the reference implementation uses a single-step approval workflow. You can adapt the reference implementation and replace this with a workflow or business logic of your choice.

To grant time-bound access, the reference implementation uses the identity broker pattern. In this pattern, the broker itself acts as an intermediate identity provider which conditionally federates the user into the AWS target environment granting a time-bound session with limited scope.

Figure 2 shows the architecture of the reference implementation.
 

Figure 2: Architecture of the reference implementation

Figure 2: Architecture of the reference implementation

To illustrate how the reference implementation works, the following steps walk you through a user’s experience end-to-end, using the numbers highlighted in the architecture diagram.

Starting the process

Consider a scenario where a user needs to perform a task that requires privileged access to a critical service running in your AWS environment, for which your security team has configured temporary elevated access.

Loading the application

The user first needs to access the temporary elevated access broker so that they can request the AWS access they need to perform their task.

  1. The user navigates to the temporary elevated access broker in their browser.
  2. The user’s browser loads a web application using web static content from an Amazon CloudFront distribution whose target is an Amazon S3 bucket.

The broker uses a web application that runs in the browser, known as a Single Page Application (SPA).

Note: CloudFront and S3 are only used for serving web static content. If you prefer, you can modify the solution to serve static content from a web server in your private network.

Authenticating users

  1. The user is redirected to your organization’s identity provider to authenticate. The reference implementation uses the OpenID Connect Authorization Code flow with Proof Key for Code Exchange (PKCE).
  2. The user returns to the application as an authenticated user with an access token and ID token signed by the identity provider.

The access token grants delegated authority to the browser-based application to call server-side APIs on the user’s behalf. The ID token contains the user’s attributes and group memberships, and is used for authorization.

Calling protected APIs

  1. The application calls APIs hosted by Amazon API Gateway and passes the access token and ID token with each request.
  2. For each incoming request, API Gateway invokes a Lambda authorizer using AWS Lambda.

The Lambda authorizer checks whether the user’s access token and ID token are valid. It then uses the ID token to determine the user’s identity and their authorization based on their group memberships.

Displaying information

  1. The application calls one of the /get… API endpoints to fetch data about previous temporary elevated access requests.
  2. The /get… API endpoints invoke Lambda functions which fetch data from a table in Amazon DynamoDB.

The application displays information about previously-submitted temporary elevated access requests in a request dashboard, as shown in Figure 3.
 

Figure 3: The request dashboard

Figure 3: The request dashboard

Submitting requests

A user who is eligible for temporary elevated access can submit a new request in the request dashboard by choosing Create request. As shown in Figure 4, the application then displays a form with input fields for the IAM role name and AWS account ID the user wants to access, a justification for invoking access, and the duration of access required.
 

Figure 4: Submitting requests

Figure 4: Submitting requests

The user can only request an IAM role and AWS account combination for which they are eligible, based on their group memberships.

Note: The duration specified here determines a time window during which the user can invoke sessions to access the AWS target environment if their request is approved. It does not affect the duration of each session. Session duration can be configured independently.

  1. When a user submits a new request for temporary elevated access, the application calls the /create… API endpoint, which writes information about the new request to the DynamoDB table.

The user can submit multiple concurrent requests for different role and account combinations, as long as they are eligible.

Generating notifications

The broker generates notifications when temporary elevated access requests are created, approved, or rejected.

  1. When a request is created, approved, or rejected, a DynamoDB stream record is created for notifications.
  2. The stream record then invokes a Lambda function to handle notifications.
  3. The Lambda function reads data from the stream record, and generates a notification using Amazon Simple Notification Service (Amazon SNS).

By default, when a user submits a new request for temporary elevated access, an email notification is sent to all authorized reviewers. When a reviewer approves or rejects a request, an email notification is sent to the original requester.

Reviewing requests

A user who is authorized to review requests can approve or reject requests submitted by other users in a review dashboard, as shown in Figure 5. For each request awaiting their review, the application displays information about the request, including the business justification provided by the requester.
 

Figure 5: The review dashboard

Figure 5: The review dashboard

The reviewer can select a request, determine whether the request is appropriate, and choose either Approve or Reject.

  1. When a reviewer approves or rejects a request, the application calls the /approve… or /reject… API endpoint, which updates the status of the request in the DynamoDB table and initiates a notification.

Invoking sessions

After a requester is notified that their request has been approved, they can log back into the application and see their approved requests, as shown in Figure 6. For each approved request, they can invoke sessions. There are two ways they can invoke a session, by choosing either Access console or CLI.

Figure 6: Invoking sessions

Figure 6: Invoking sessions

Both options grant the user a session in which they assume the IAM role in the AWS account specified in their request.

When a user invokes a session, the broker performs the following steps.

  1. When the user chooses Access console or CLI, the application calls one of the /federate… API endpoints.
  2. The /federate… API endpoint invokes a Lambda function, which performs the following three checks before proceeding:
    1. Is the user authenticated? The Lambda function checks that the access and ID tokens are valid and uses the ID token to determine their identity.
    2. Is the user eligible? The Lambda function inspects the user’s group memberships in their ID token to confirm they are eligible for the AWS role and account combination they are seeking to invoke.
    3. Is the user elevated? The Lambda function confirms the user is in an elevated state by querying the DynamoDB table, and verifying whether there is an approved request for this user whose duration has not yet ended for the role and account combination they are seeking to invoke.
  3. If all three checks succeed, the Lambda function calls sts:AssumeRole to fetch temporary credentials on behalf of the user for the IAM role and AWS account specified in the request.
  4. The application returns the temporary credentials to the user.
  5. The user obtains a session with temporary credentials for the IAM role in the AWS account specified in their request, either in the AWS Management Console or AWS CLI.

Once the user obtains a session, they can complete the task they need to perform in the AWS target environment using either the AWS Management Console or AWS CLI.

The IAM roles that users assume when they invoke temporary elevated access should be dedicated for this purpose. They must have a trust policy that allows the broker to assume them. The trusted principal is the Lambda execution role used by the broker’s /federate… API endpoints. This ensures that the only way to assume those roles is through the broker.

In this way, when the necessary conditions are met, the broker assumes the requested role in your AWS target environment on behalf of the user, and passes the resulting temporary credentials back to them. By default, the temporary credentials last for one hour. For the duration of a user’s elevated access they can invoke multiple sessions through the broker, if required.

Session expiry

When a user’s session expires in the AWS Management Console or AWS CLI, they can return to the broker and invoke new sessions, as long as their elevated status is still active.

Ending elevated access

A user’s elevated access ends when the requested duration elapses following the time when the request was approved.
 

Figure 7: Ending elevated access

Figure 7: Ending elevated access

Once elevated access has ended for a particular request, the user can no longer invoke sessions for that request, as shown in Figure 7. If they need further access, they need to submit a new request.

Viewing historical activity

An audit dashboard, as shown in Figure 8, provides a read-only view of historical activity to authorized users.
 

Figure 8: The audit dashboard

Figure 8: The audit dashboard

Logging session activity

When a user invokes temporary elevated access, their session activity in the AWS control plane is logged to AWS CloudTrail. Each time they perform actions in the AWS control plane, the corresponding CloudTrail events contain the unique identifier of the user, which provides traceability back to the identity of the human user who performed the actions.

The following example shows the userIdentity element of a CloudTrail event for an action performed by user [email protected] using temporary elevated access.

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROACKCEVSQ6C2EXAMPLE:[email protected]-TempAccessRoleS3Admin",
    "arn": "arn:aws:sts::111122223333:assumed-role/TempAccessRoleS3Admin/[email protected]-TempAccessRoleS3Admin",
    "accountId": "111122223333",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROACKCEVSQ6C2EXAMPLE",
            "arn": "arn:aws:iam::111122223333:role/TempAccessRoleS3Admin",
            "accountId": "111122223333",
            "userName": "TempAccessRoleS3Admin"
        },
        "webIdFederationData": {},
        "attributes": {
            "mfaAuthenticated": "true",
            "creationDate": "2021-07-02T13:24:06Z"
        }
    }
}

Security considerations

The temporary elevated access broker controls access to your AWS environment, and must be treated with extreme care in order to prevent unauthorized access. It is also an inline dependency for accessing your AWS environment and must operate with sufficient resiliency.

The broker should be deployed in a dedicated AWS account with a minimum of dependencies on the AWS target environment for which you’ll manage access. It should use its own access control configuration following the principle of least privilege. Ideally the broker should be managed by a specialized team and use its own deployment pipeline, with a two-person rule for making changes—for example by requiring different users to check in code and approve deployments. Special care should be taken to protect the integrity of the broker’s code and configuration and the confidentiality of the temporary credentials it handles.

See the reference implementation README for further security considerations.

Extending the solution

You can extend the reference implementation to fit the requirements of your organization. Here are some ways you can extend the solution:

  • Customize the UI, for example to use your organization’s branding.
  • Keep network traffic within your private network, for example to comply with network security policies.
  • Change the process for initiating and evaluating temporary elevated access, for example to integrate with a change or incident management system.
  • Change the authorization model, for example to use groups with different scope, granularity, or meaning.
  • Use SAML 2.0, for example if your identity provider does not support OpenID Connect.

See the reference implementation README for further details on extending the solution.

Conclusion

In this blog post you learned about temporary elevated access and how it can help reduce risk relating to human user access. You learned that you should aim to eliminate the need to use high-risk human access through the use of automation, and only use temporary elevated access for infrequent activities that cannot yet be automated. Finally, you studied a minimal reference implementation for temporary elevated access which you can download and customize to fit your organization’s needs.

If you have feedback about this post, submit comments in the Comments section below. If you have questions about this post, start a new thread on the AWS IAM forum or contact AWS Support.

Want more AWS Security how-to content, news, and feature announcements? Follow us on Twitter.

Author

James Greenwood

James is a principal security solutions architect who helps helps AWS Financial Services customers meet their security and compliance objectives in the AWS cloud. James has a background in identity and access management, authentication, credential management, and data protection with more than 20 years experience in the financial services industry.

Author

Bikash Behera

Bikash is a principal solutions architect who provides transformation guidance to AWS Financial Services customers and develops solutions for high priority customer objectives. Bikash has been delivering transformation guidance and technology solutions to the financial services industry for the last 25 years.

Author

Kevin Higgins

Kevin is a principal cloud architect with AWS Professional Services. He helps customers with the architecture, design, and development of cloud-optimized infrastructure solutions. As a member of the Microsoft Global Specialty Practice, he collaborates with AWS field sales, training, support, and consultants to help drive AWS product feature roadmap and go-to-market strategies.

Design captivating Amazon QuickSight dashboards with new Table and Pivot Table features

Post Syndicated from Rushabh Vora original https://aws.amazon.com/blogs/big-data/design-captivating-amazon-quicksight-dashboards-with-new-table-and-pivot-table-features/

Amazon QuickSight is a fast and cloud-powered business intelligence (BI) service that makes it easy to create and deliver insights to everyone in your organization without any servers or infrastructure. QuickSight dashboards can also be embedded into applications and portals to deliver insights to external stakeholders. And QuickSight Q lets end-users simply ask questions in natural language to get machine learning (ML)-powered visual responses to their questions.

Within QuickSight, tables and pivot tables are among the most-used visuals and almost always present in dashboards. These visuals let data be presented in a clear and easy-to-read format with filtering, conditional formatting, and cross visual actions, while scaling to millions of rows of data. This can be either directly queried from a data warehouse, such as Amazon Redshift, Snowflake, or QuickSight’s SPICE data store. When used with QuickSight’s new Free form layout, this lets you present pixel-perfect views of your data to your stakeholders. We recently introduced eight new features that let tables and pivot tables in QuickSight be extensively customized to meet your presentation needs:

  1. Row height customization
  2. Vertical alignment in cells
  3. Text wrapping in cells
  4. Background and font colors
  5. Borders and gridline customization
  6. Images in table cells
  7. Hyperlinks in table cells
  8. Custom styling for totals and subtotals

In this post, we explore how, as authors of QuickSight dashboards, you can now supercharge your table and pivot tables using these new features.

Use styling options to present your data better

These new changes let you create tables that follow a distinct design pattern or apply a corporate identity to your tabular visuals. For example, you might want to create a table visual about a set of videos, with views and votes information for each, along with links to the video. It is important to follow the color pallete of the organization, choose an appropriate line height, use a specific grid style, and display thumbnail images of a specific size. Let’s see how you can achieve all of this using the newly launched table styling options. You can access these settings from the format visual panel of the visual.

To customize the background color, row-height, and text color on table headers:

  • In the Format visual pane, choose Headers.
  • For Background, choose the background color icon, and then choose a color. You can choose one of the provided colors, reset the header text color to the default color, or create a custom color.
  • For Row height, enter a number in pixels. You can enter a whole number between 8 and 500.
  • To change the font color, choose the Abc color icon, and then choose a color. You can choose one of the provided colors, reset the header text color to the default color, or create a custom color.

To customize the background color, row-height and text color, and wrap-text on table cells:

  • In the Format visual pane, choose Cells. The Cells section expands to show options for customizing cells.
  • For Row height, enter a number in pixels. You can enter a whole number between 8 and 500.
  • For Background, select alternate background colors between rows, and then choose a color for Odd rows and a color for Even rows by choosing the background color icon for each and selecting a color. You can choose one of the provided colors, reset the background color to the default color, or create a custom color.
  • For Text, to change the font color, choose the Abc color icon, and then choose a color.
  • To wrap text in cells, select Wrap text and increase the Row-height.

To show URLs as images:

  • In the Format visual menu, choose Field styling.
  • In the Field styling pane, choose the field you want to style from the dropdown menu.
  • In the Url options section of the Field styling menu, choose Show URLs as images.
  • After rendering images in a table, you can choose how to size the images in the Image sizing section of the Field style pane. You can fit images to their cell’s height or width, or you can choose not to scale the image. Images will fit to a cell’s height by default.

A table visual on QuickSight analyzing the views and votes information about a set of videos, with thumbnail images and link to the video

Steps to create a table visual with Hyperlinks and Images

Custom styling options for Totals and Sub-totals

In some use cases (most commonly with financial data), it might be important to style your totals and sub-totals independently. You can access these settings from the format visual panel of the visual.

Customizing the background color, font color, and borders for totals and subtotals:

  • In the Format visual pane, choose Total or Subtotal.
  • For Background, choose the background color icon, and then choose a color. You can choose one of the provided colors, reset the background color to the default color, or create a custom color. In pivot tables, you can also add background colors for column totals and subtotals. To do so, choose the background color icon for Background in the Columns section.
  • To change the font color, choose the Abc color icon, and then choose a color. You can choose one of the provided colors, reset the cell text color to the default color, or create a custom color.
  • For Borders, do one or more of the following:
    • To customize the type of border that you want, choose a border type icon. You can choose no borders, horizontal borders only, vertical borders only, or all borders.
    • To customize the border thickness, choose a border thickness.
    • To customize the border color, choose the border color icon, and then choose a color. You can choose one of the provided colors, reset the border color to the default color, or create a custom color.
  • To apply totals and subtotals styling to cells, choose Apply styling to cells.

Here is an example of a pivot table that has been formatted with some of the above techniques:

A pivot table visual in a form of financial report

Steps to create pivot table visual in a form of financial report by using custom styling for Totals and Subtotals

Sorting and custom actions

Combining the new formatting features with some of QuickSight’s existing capabilities lets you unlock a range of possibilities in your dashboards.

Custom sorting

Sometimes you must organize the fields beyond the conventional methods of ascending/descending by the dimension or a measure. For example, you cannot organize the days of the week or month names by sorting them alphabetically or by any measure. With the sort options on Table and Pivot table (launched in early 2021), you can now sort a field by any other field in your dataset or a calculated field. This is done regardless of whether it is being used in the visual or is off the visual. The following steps sort a field using an off-visual field:

  • Add the required fields.
  • Add a new calculated field using the rank function to rank days of the week in the required order.
  • Choose the field that has days of the week, and then choose Sort options:
    • For Sort by, choose the new calculated field from the drop-down list.
    • Since this field is based on rank function, it uses custom aggregation.
    • Select Ascending.
    • Click Apply.
  • You will see that now the days of the week are arranged as we wanted.
  • Note: It is not necessary to use a calculated field using rank function. You can also use one of the fields in your data-set that may be used for maintaining the rank. For example, I want to order the list of players on the team based on a specific display order that should not be visible on the visual.

 

Custom Actions

What if you don’t want your readers to go away from your dashboard to watch the training video? You can do this with help of Table, custom actions, and custom visual content. Let’s take a closer look.

Step 1: Add video link to the visual.

  • Add the field that has the Video URL to the Table (hide the field if you do not want to show that on the dashboard).

Step 2: Add the parameter for video URL.

  • Add a new parameter by choosing the add icon (+) near the top of the pane.
  • For Name, enter an alphanumeric value for the parameter.
  • For Data type, choose String.
  • For Values, choose Single value, as this parameter will contain only one value.

Step 3: Add custom action.

  • Set the action name.
  • For Activation, choose Select so that the action is activated when a specific row of the table is selected.
  • For Action type, choose Navigation Action.
  • For Target sheet, choose the same sheet where the Table visual is created.
  • For Parameters, select the Parameter created in Step 2.
  • Save your selections, and then create the custom action.

Steps 4 and 5: Add Custom visual content and Link the Video URL parameter.

  • In the Visual types pane, choose the custom visual content and then choose Customize visual.
  • Add the parameter to the custom visual content by by choosing the add icon (+) near the URL section of the format visual pane.

Below is the example of Video Player on the dashboard using the Table visual linked to custom visual content using the custom action:

Video Player on the dashboard using the Table visual linked to custom visual content using the custom action

Get started today!

We hope this blog has sparked new and creative ideas for your next Amazon QuickSight dashboard! Also, don’t forget to learn more about recent features in our what’s new.


About the Authors

Rushabh Vora is a Senior Technical Product Manager for Amazon QuickSight, Amazon Web Service’s cloud-native, fully managed BI service. He is passionate about Data Visualization. Prior to QuickSight, he was working with Amazon Business as a Product Manager.

Jose Kunnackal, is a principal product manager for Amazon QuickSight, AWS’ cloud-native, fully managed BI service. Jose started his career with Motorola, writing software for telecom and first responder systems. Later he was Director of Engineering at Trilibis Mobile, where he built a SaaS mobile web platform using AWS services. Jose is excited by the potential of cloud technologies and looks forward to helping customers with their transition to the cloud.

Въпрос по ЗДОИ на стойност €34 млн. Албански олигарх и ко.: Биволъ пита за добре облечените инвеститори на Кирил Петков в бг електромобили

Post Syndicated from Николай Марченко original https://bivol.bg/%D0%B0%D0%BB%D0%B1%D0%B0%D0%BD%D1%81%D0%BA%D0%B8-%D0%BE%D0%BB%D0%B8%D0%B3%D0%B0%D1%80%D1%85-%D0%B8-%D0%BA%D0%BE-%D0%B1%D0%B8%D0%B2%D0%BE%D0%BB%D1%8A-%D0%BF%D0%B8%D1%82%D0%B0-%D0%B7%D0%B0-%D0%B4.html

петък 12 ноември 2021


#Кой уреди сделката и кой наистина стои зад „топ инвестицията“ на Кирил Петков във фабрика за електромобили край Ловеч? Има ли потенциален конфликт на интереси при бившия служебен министър на…

Disaster Recovery with AWS Managed Services, Part I: Single Region

Post Syndicated from Dhruv Bakshi original https://aws.amazon.com/blogs/architecture/disaster-recovery-with-aws-managed-services-part-i-single-region/

This 3-part blog series discusses disaster recovery (DR) strategies that you can implement to ensure your data is safe and that your workload stays available during a disaster. In Part I, we’ll discuss the single AWS Region/multi-Availability Zone (AZ) DR strategy.

The strategy outlined in this blog post addresses how to integrate AWS managed services into a single-Region DR strategy. This will minimize maintenance and operational overhead, create fault-tolerant systems, ensure high availability, and protect your data with robust backup/recovery processes. This strategy replicates workloads across multiple AZs and continuously backs up your data to another Region with point-in-time recovery, so your application is safe even if all AZs within your source Region fail.

Implementing the single Region/multi-AZ strategy

The following sections list the components of the example application presented in Figure 1, which illustrates a multi-AZ environment with a secondary Region that is strictly utilized for backups. This example architecture refers to an application that processes payment transactions that has been modernized with AMS. We’ll show you which AWS services it uses and how they work to maintain the single Region/multi-AZ strategy.

Single Region/multi-AZ with secondary Region for backups

Figure 1. Single Region/multi-AZ with secondary Region for backups

Amazon EKS control plane

Amazon Elastic Kubernetes Service (Amazon EKS) runs the Kubernetes management infrastructure across multiple AZs to eliminate a single point of failure.

This means that if your infrastructure or AZ fails, it will automatically scale control plane nodes based on load, automatically detect and replace unhealthy control plane instances, and restart them across the AZs within the Region as needed.

Amazon EKS data plane

Instead of creating individual Amazon Elastic Compute Cloud (Amazon EC2) instances, create worker nodes using an Amazon EC2 Auto Scaling group. Join the group to a cluster, and the group will automatically replace any terminated or failed nodes if an AZ fails. This ensures that the cluster can always run your workload.

Amazon ElastiCache

Amazon ElastiCache continually monitors the state of the primary node. If the primary node fails, it will promote the read replica with the least replication lag to primary. A replacement read replica is then created and provisioned in the same AZ as the failed primary. This is to ensure high availability of the service and application.

An ElastiCache for Redis (cluster mode disabled) cluster with multiple nodes has three types of endpoints: the primary endpoint, the reader endpoint and the node endpoints. The primary endpoint is a DNS name that always resolves to the primary node in the cluster.

Amazon Redshift

Currently, Amazon Redshift only supports single-AZ deployments. Although there are ways to work around this, we are focusing on cluster relocation. Parts II and III of this series will show you how to implement this service in a multi-Region DR deployment.

Cluster relocation enables Amazon Redshift to move a cluster to another AZ with no loss of data or changes to your applications. When Amazon Redshift relocates a cluster to a new AZ, the new cluster has the same endpoint as the original cluster. Your applications can reconnect to the endpoint and continue operations without modifications or loss of data.

Note: Amazon Redshift may also relocate clusters in non-AZ failure situations, such as when issues in the current AZ prevent optimal cluster operation or to improve service availability.

Amazon OpenSearch Service

Deploying your data nodes into three AZs with Amazon OpenSearch Service (formerly Amazon Elasticsearch Service) can improve the availability of your domain and increase your workload’s tolerance for AZ failures.

Amazon OpenSearch Service automatically deploys into three AZs when you select a multi-AZ deployment. This distribution helps prevent cluster downtime if an AZ experiences a service disruption. When you deploy across three AZs, Amazon OpenSearch Service distributes master nodes equally across all three AZs. That way, in the rare event of an AZ disruption, two master nodes will still be available.

Amazon OpenSearch Service also distributes primary shards and their corresponding replica shards to different zones. In addition to distributing shards by AZ, Amazon OpenSearch Service distributes them by node. When you deploy the data nodes across three AZs with one replica enabled, shards are distributed across the three AZs.

Note: For more information on multi-AZ configurations, please refer to the AZ disruptions table.

Amazon RDS PostgreSQL

Amazon Relational Database Service (Amazon RDS) handles failovers automatically so you can resume database operations as quickly as possible.

In a Multi-AZ deployment, Amazon RDS automatically provisions and maintains a synchronous standby replica in a different AZ. The primary DB instance is synchronously replicated across AZs to a standby replica. If an AZ or infrastructure fails, Amazon RDS performs an automatic failover to the standby. This minimizes the disruption to your applications without administrative intervention.

Backing up data across Regions

Here is how the managed services back up data to a secondary Region:

  • Manage snapshots of persistent volumes for Amazon EKS with Velero. Amazon Simple Storage Service (Amazon S3) stores these snapshots in an S3 bucket in the primary Region. Amazon S3 replicates these snapshots to an S3 bucket in another Region via S3 cross-Region replication.
  • Create a manual snapshot of Amazon OpenSearch Service clusters, which are stored in a registered repository like Amazon S3. You can do this manually or automate it via an AWS Lambda function, which automatically and asynchronously copy objects across Regions.
  • Use manual backups and copy API calls for Amazon ElastiCache to establish a snapshot and restore strategy in a secondary Region. You can manually back your data up to an S3 bucket or automate the backup via Lambda. Once your data is backed up, a snapshot of the ElastiCache cluster will be stored in an S3 bucket. Then S3 cross-Region replication will asynchronously copy the backup to an S3 bucket in a secondary Region.
  • Take automatic, incremental snapshots of your data periodically with Amazon Redshift and save them to Amazon S3. You can precisely control when snapshots are taken and can create a snapshot schedule and attach it to one or more clusters. You can also configure a cross-Region snapshot copy, which automatically copies your automated and manual snapshots to another Region.
  • Use AWS Backup to support AWS resources and third-party applications. AWS Backup copies RDS backups to multiple Regions on demand or automatically as part of a scheduled backup plan.

Note: You can add a layer of protection to your backups through AWS Backup Vault Lock and S3 Object Lock.

Conclusion

The single Region/multi-AZ strategy safeguards your workloads against a disaster that disrupts an Amazon data center by replicating workloads across multiple AZs in the same Region. This blog shows you how AWS managed services automatically fails over between AZs without interruption when experiencing a localized disaster, and how backups to a separate Region ensure data protection.

In the next post, we will discuss a multi-Region warm standby strategy for the same application stack illustrated in this post.

Related information

Secure and simplify account setup and access management with new Amazon QuickSight administrative controls

Post Syndicated from Raji Sivasubramaniam original https://aws.amazon.com/blogs/big-data/secure-and-simplify-account-setup-and-access-management-with-new-amazon-quicksight-administrative-controls/

Amazon QuickSight is a fully-managed, cloud-native business intelligence (BI) service that makes it easy to connect to your data, create interactive dashboards, and share these with tens of thousands of users, either within the QuickSight interface, or embedded in software as a service (SaaS) applications or web portals. Unlike many BI solutions in the market today, QuickSight requires no server deployments or management for scaling to tens of thousands of users, and authors build dashboards using a web-based interface, without any client downloads needed. QuickSight also supports private VPC connectivity to AWS databases and analytics services such as Amazon Relational Database Service (Amazon RDS) and Amazon Redshift, and AWS Identity and Access Management (IAM) permissions-based access to Amazon Simple Storage Service (Amazon S3) and Amazon Athena, making it secure and easy to access data in AWS via QuickSight.

In this post, we explore three new features in QuickSight that enable administrators to further simplify QuickSight setup and access controls, which makes it easier than ever to scale QuickSight to all your AWS accounts.

Overview of new QuickSight features

Administrators can take advantage of the following new features in QuickSight:

  • Service control policy based sign-up controls – Admins can now use service control policies (SCPs) to restrict QuickSight sign-up options within your organization. You can restrict the QuickSight edition (Standard or Enterprise), and also the type of identity mechanisms that can be used. For example, admins can set up service control policies that deny sign-ups for a QuickSight Standard Edition and turn off the ability to invite any users other than those possible via federated single sign-on (SSO). For more information, see Using Service Control Policies to Restrict Amazon QuickSight Sign-up Options.
  • Automated email sync for federated SSO users – Admins can set up QuickSight and SSO such that email addresses for end-users are automatically synced at first-time login. This avoids any manual errors during entry, and prevents use of personal email addresses (such as Gmail or Hotmail). For example, administrators can make it so that only corporate-assigned email addresses are used when users are provisioned to their QuickSight account through their identity provider (IdP). For more information, see Configuring Email Syncing for Federated Users in Amazon QuickSight.
  • Bring your own role during QuickSight account setup – QuickSight allows you to bring in data stored in several AWS services to create datasets, analyses, and dashboards. QuickSight uses an IAM role to specify permissions to the AWS resources (such as Amazon S3 or Athena) at the QuickSight account level (which you can further control within QuickSight). This service role was previously created during QuickSight sign-up, and required the user signing up to have permissions to create this role. Now, administrators signing up to QuickSight can pick from an existing role in their AWS account instead of QuickSight creating a custom service role for the account. This allows you to set up your own role for a group of codependent AWS services and QuickSight that you want to work together. For more information, see Passing IAM Roles to Amazon QuickSight.

Use case overview

Let’s walk through a use case for these features.

OkTank is an enterprise in the healthcare space, where it owns and manages multiple hospitals. OkTank’s IT infrastructure is managed centrally by a team that is responsible for ensuring security and governance of the entire IT infrastructure. Each individual facility has its own AWS account, which is a member of OkTank’s central AWS Organizations account.

Each hospital needs its own QuickSight account for gathering business intelligence and improving the healthcare service they provide to their customers. The central IT team requires that each hospital when setting up their QuickSight account only signs up for Enterprise edition. In addition, they want to authenticate each hospital’s QuickSight users (admins, authors, and readers) using Okta, which is their corporate IdP. This helps them make sure that QuickSight administrators can’t invite non-federated users intentionally or by mistake.

Administrators also want to make sure that when users get an invitation to sign up for their hospital’s QuickSight account, they only use pre-approved email address as configured in Okta and don’t enter their personal email address. This provides a seamless sign-up experience for new users because they don’t have to enter an email address anymore, and it provides more security because users can’t use their personal email for sign-up and future logins.

Finally, because AWS administrators manages other services such as Amazon S3 and Athena, which are being used by QuickSight, they have configured roles for each of these services. Administrators want to make sure they can use preconfigured roles when external services are being used by QuickSight. This makes sure that users and QuickSight admins can’t create their own roles for these services, and the roles can be enforced by administrators of those external services.

To enable all these setup and access controls, OkTank’s Organizations administrator and the hospital’s QuickSight administrator use the new features in the following order:

  • Bring your own role during QuickSight account setup
  • SCP-based sign-up controls
  • Automated email sync for federated SSO users

Bring your own role during QuickSight account setup

OkTank uses Amazon S3 for storage, and wants to use it as a data source in all the hospitals’ QuickSight accounts. An IT administrator creates an IAM role for Amazon S3 that only allows read-only access to a QuickSight account and its users. During QuickSight account creation, the administrator can select the read-only Amazon S3 role. OkTank’s Organizations administrator for each hospital’s AWS account completes the following steps to create an Amazon S3 role and configure it to be used by QuickSight:

  1. On the IAM console, choose Roles in the navigation pane.
  2. Choose Create role.
  3. Choose AWS Service and choose S3.
  4. Choose Next: Permissions.
  5. Search for S3 and select AmazonS3ReadOnlyAccess.
  6. Choose Next: Tags.
  7. Choose Next: Review.
  8. For Role name, enter QuickSightS3Role.
  9. Choose Create role.
  10. Choose the newly created role.
  11. On the Trust relationships tab,
  12. Choose Edit trust relationship.
  13. Enter the following JSON:
    {
    "Version": "2012-10-17",
    "Statement": [
    {
    "Effect": "Allow",
    "Principal": {
    "Service": "quicksight.amazonaws.com"
    },
    "Action": "sts:AssumeRole"
    }
    ]
    }

  14. Choose Update Trust Policy.

This newly created role is now available for the administrator to choose while creating a QuickSight account in the next section.

SCP-based sign-up controls

To ensure that hospitals when creating their QuickSight account only choose Enterprise edition and their users are only invited via Okta, OkTank’s Organizations administrator completes the following steps:

  1. On the Organizations console, choose Policies in the navigation pane.
  2. Choose Service control policies.
  3. Choose Create policy.
  4. For Policy name, enter QuickSightSCP.
  5. Enter the following JSON in the policy section:
    {
    "Version": "2012-10-17",
    "Statement": [
    {
    "Sid": "Statement1",
    "Effect": "Deny",
    "Action": [
    "quicksight:Subscribe"
    ],
    "Resource": [
    "*"
    ],
    "Condition": {
    "ForAnyValue:StringEquals": {
    "quicksight:DirectoryType": [
    "microsoft_ad",
    "quicksight",
    "ad_connector"
    ]
    }
    }
    },
    {
    "Sid": "Statement2",
    "Effect": "Deny",
    "Action": [
    "quicksight:Subscribe"
    ],
    "Resource": [
    "*"
    ],
    "Condition": {
    "StringEquals": {
    "quicksight:Edition": "standard"
    }
    }
    }
    ]
    }

  6. Choose Create policy.
  7. Choose AWS accounts in the navigation pane.
  8. Choose the Root account.
  9. On the Policies tab, under Service control policies, choose Attach.
  10. Select the policy QuickSightSCP that you created earlier and choose Attach policy.

Now the newly created policy is attached to all the hospital’s AWS accounts.

Test the sign-up controls

As the hospital’s AWS admin, you can test the sign-up controls to make sure they prevent you from using Standard Edition.

  1. When signing up for a QuickSight account, choose Standard.
  2. Select Use IAM federated identities & QuickSight-managed users.

You’re presented with the following error message.

As per the new SCP policy attached to the hospital’s AWS account, the admin has to choose Enterprise Edition and use IAM federated identities in order to successfully set up a QuickSight account.

  1. Choose Enterprise.
  2. Select Use IAM federated identities only.

The Amazon S3 read-only role that you created earlier is available in QuickSight.

  1. Select Use an existing role and choose QuickSightS3Role.
  2. Choose Finish.

After you make your selections per the SCP policy and the custom role for Amazon S3 read-only access, this QuickSight account is created successfully for the hospital.

Automated email sync for federated SSO users

The hospital’s QuickSight account is now set up to only accept users invited through federated SSO. In this case, they use Okta, which is their corporate IdP. After authentication via Okta is complete, the QuickSight users are asked to enter their email address when they log in for the very first time.

This email request may create confusion for some users as to which email address they should use.

The hospital’s QuickSight admin team wants to streamline the user login process and prevent users from entering any emails other than their corporate email. To ensure that, the hospital’s QuickSight admin decides to use the new automated email sync feature for federated SSO users. With this new feature, admins can set up QuickSight and SSO such that email addresses for end-users are automatically synced at first-time login. This prevents any manual errors during entry, or users signing up with personal email addresses. OkTank’s administrators can set up controls so that only corporate-assigned email addresses are used when users are provisioned to their QuickSight account through their IdP.

The hospital’s admin completes the following steps to use this feature:

  1. On the IAM console, choose Roles in the navigation pane.
  2. Search for the role you use with AssumeRoleWithSAML (for this post, it’s called QuickSightOktaFederatedRole).
  3. On the Trust relationships tab, choose Edit trust relationship.
  4. For the policy details, enter the following JSON:
    {
    "Version": "2012-10-17",
    "Statement": [
    {
    "Effect": "Allow",
    "Principal": {
    "Federated": "arn:aws:iam::xxxxxxxxxx:saml-provider/Okta"
    },
    "Action": "sts:AssumeRoleWithSAML",
    "Condition": {
    "StringEquals": {
    "SAML:aud": "https://signin.aws.amazon.com/saml"
    }
    }
    },
    {
    "Effect": "Allow",
    "Principal": {
    "Federated": "arn:aws:iam::xxxxxxxxxx:saml-provider/Okta"
    },
    "Action": "sts:TagSession",
    "Condition": {
    "StringLike": {
    "aws:RequestTag/Email": "*"
    }
    }
    }
    ]
    }

  5. Choose Update Trust Policy.

OkTank’s central IT administrator (responsible for managing Okta’s configuration) makes the following changes in the Okta configuration via Okta’s admin console:

  1. Log in to the Okta admin console.
  2. Choose Applications in the navigation pane.
  3. Choose the Okta application for QuickSight federation (in this case, it’s called AWS Account Federation – QuickSight).
  4. Choose the Sign On tab.
  5. In the Settings section, choose Edit.
  6. Select SAML 2.0 and expand the Attributes section.
  7. Add an attribute statement as follows:
    1. For Name, enter https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email.
    2. For Name format, select URI reference.
    3. For Value, select user.email.
  8. Choose Save.

Finally, after you update the trust relationship for the IAM role with AssumeRoleWithSAML and add a SAML attribute for the IAM Principal tag in Okta, the next step is to turn on email syncing for federated users in QuickSight.

OkTank’s central IT administrator (responsible for managing Okta’s configuration) makes the following changes in the Okta configuration via Okta’s admin console.

  1. On the QuickSight console, on the user name menu, choose Manage QuickSight.
  2. Choose Single sign-on (SSO) in the navigation pane.
  3. In the Email Syncing for Federated Users section, select ON.

Once turned on, users when launching the QuickSight application via the Okta console for the first time bypass the email request and are redirected to the QuickSight console.

Conclusion

With these features, administrators can now strengthen controls around QuickSight accounts and open up QuickSight access to more AWS accounts within your organization. Try out these features to strengthen the security of your QuickSight account and simplify end-user access, and share your feedback and questions in the comments.

Stay tuned for more new admin capabilities, and check out what’s new for the latest updates.


About the Authors

Raji Sivasubramaniam is a Specialist Solutions Architect at AWS, focusing on Analytics. Raji has 20 years of experience in architecting end-to-end Enterprise Data Management, Business Intelligence and Analytics solutions for Fortune 500 and Fortune 100 companies across the globe. She has in-depth experience in integrated healthcare data and analytics with wide variety of healthcare datasets including managed market, physician targeting and patient analytics. In her spare time, Raji enjoys hiking, yoga and gardening.

Mayank Agarwal is a product manager for Amazon QuickSight, AWS’ cloud-native, fully managed BI service. He focuses on account administration, governance and developer experience. He started his career as an embedded software engineer developing handheld devices. Prior to QuickSight he was leading engineering teams at Credence ID, developing custom mobile embedded device and web solutions using AWS services that make biometric enrollment and identification fast, intuitive, and cost-effective for Government sector, healthcare and transaction security applications.

The collective thoughts of the interwebz