Akses Didelegasikan
Bawa masuk pembangun, serahkan pengebilan kepada akauntan anda, berikan pelanggan tetingkap baca sahaja pada tapak mereka sendiri, atau biarkan pasukan sokongan kami melihat masalah. Setiap pemberian ialah peranan dengan kebenaran yang ditentukan, dituding pada organisasi, dikuatkuasakan dalam pangkalan data, dan ditulis pada log audit tambah sahaja.
Perkongsian satu log masuk adalah punca akses akaun menjadi terpesong. Di Zinn Digital®, setiap orang mempunyai identiti mereka sendiri, dan akses adalah keahlian — pengguna, organisasi, dan peranan — yang boleh anda beri, ubah atau tarik balik secara individu.
Setiap kolaborator log masuk sebagai diri mereka sendiri melalui Keycloak, lapisan identiti kami. Tiada siapa yang menaip kata laluan anda, tiada siapa yang berkongsi sesi pelayar, dan membuang seseorang ialah satu tindakan sahaja dan bukannya pertukaran kata laluan serta tergesa-gesa mencari siapa lagi yang mengetahuinya.
Akaun disusun secara hierarki — organisasi peruncit memegang organisasi pelanggan, dan organisasi pelanggan memegang tapak. Keahlian terpakai pada organisasi dan semua yang berada di bawahnya, jadi anda boleh memberikan kawalan organisasi mereka sendiri kepada pelanggan agensi tanpa mendedahkan pelanggan anda yang lain.
Pengasingan penyewa bukanlah penapis dalam kod aplikasi yang boleh dilepaskan oleh sesebuah pepijat. Keselamatan Peringkat Baris Postgres mengehadkan setiap pertanyaan kepada sub-pokok organisasi pemanggil, jadi permintaan di luar skop anda tidak mempunyai apa-apa untuk dikembalikan.
Minta organisasi atau tapak di luar skop anda dan API akan membalas dengan ralat tidak ditemui biasa berbanding ralat kebenaran. Ralat kebenaran akan mengesahkan rekod itu wujud; tidak ditemui langsung tidak memberitahu pihak luar apa-apa.
Kebenaran adalah kunci berbutir halus — modul ditambah tindakan, seperti sites.restart atau billing.refund — dan peranan menggabungkannya. Empat peranan merangkumi bentuk yang diperlukan oleh pasukan sebenar, dan setiap satunya adalah data yang kami benihkan, bukannya logik yang tertimbus dalam kod.
Kawalan penuh: buat organisasi anak, jemput dan buang ahli, tukar peranan, urus kunci API, buat, mula semula, kosongkan, gantung dan padam tapak, urus pengebilan dan invois, buka tiket serta baca log audit. Peranan tersebut anda simpan sendiri.
Melihat organisasi, ahli dan katalog pelan, serta menguruskan invois, kaedah pembayaran dan caj. Tiada akses untuk mencipta, mengubah atau memadamkan satu tapak web pun — bentuk yang tepat untuk penyimpan kira-kira luaran.
Melihat dan mencipta tapak, memulakan semula perkhidmatan, mengosongkan cache, mengurus kunci API dan menyelesaikan tiket. Sengaja dikecualikan: pengebilan, invois, kaedah pembayaran, pengurusan ahli, penggantungan tapak dan pemadaman tapak. Kontraktor boleh membina tanpa kebolehan mengebil anda atau memusnahkan apa-apa.
Melihat organisasi, ahlinya, tapaknya, pengebilannya, katalog pelan, tiket, status terjemahan dan log audit — dan tidak boleh mengubah apa pun daripadanya. Akses yang sesuai untuk pelanggan yang mahukan keterlihatan, juruaudit, atau pihak berkepentingan yang hanya perlu melihat.
Mewakilkan akses hanya selamat jika akaun yang anda wakilkan sukar diambil alih. Pengesahan berjalan melalui Keycloak untuk setiap orang pada akaun tersebut, pada setiap antara muka.
Kerja sokongan kadangkala bermaksud melihat ke dalam akaun anda. Akses tersebut dikawal oleh model kebenaran yang sama seperti yang lain — kakitangan hanya berada dalam organisasi kakitangan, yang disusun ke dalam jabatan dengan kebenaran yang terhad.
Kakitangan dikumpulkan kepada Sokongan, Pengebilan dan Kewangan, Penderaan serta Kepercayaan dan Keselamatan, Jualan, Pengaktifan, Kejuruteraan dan Operasi, Pemasaran, dan Pengurusan. Setiap peranan memberikan modul dan tindakan tertentu, supaya ejen dapat melihat bahagian konsol pentadbir yang diperlukan oleh tugas mereka dan bukan bahagian yang lain.
Peranan Ejen Sokongan memberikan kelulusan ini: melihat pelanggan, melihat dan membalas tiket, melihat tapak, memulakan semula tapak serta mengosongkan cache-nya. Peranan ini tidak disertakan sebarang tetapan pengebilan, bayaran balik, penyuntingan pelan dan pengurusan flit. Pemulihan yang boleh dilakukan oleh ejen dihadkan oleh peranan tersebut, bukan berdasarkan niat baik.
Kebenaran customer.impersonate bukan sebahagian daripada peranan Pengurus — ia dipegang oleh Super Admin sahaja. Apabila sesi berjalan bagi pihak anda, papan pemuka membawa sepanduk penyamaran yang berterusan supaya tidak pernah timbul sebarang keraguan tentang siapa yang bertindak.
Setiap tindakan istimewa dan pentadbiran akan ditambah pada log audit yang hanya boleh menambah sahaja yang merekodkan pelaku, tindakan, sasaran, metadata sokongan, alamat IP dan cap masa — dizonkan masa dalam pengeluaran. Pemilik dan ahli baca sahaja boleh membaca log organisasi mereka sendiri.
Tindakan kakitangan yang sensitif dan merosakkan mungkin memerlukan pengesahan langkah demi langkah atau kelulusan dua orang sebelum ia dijalankan, dan jabatan serta peranan baharu adalah tetapan konfigurasi dan bukannya perubahan kod.
Skrip, saluran paip CI, CLI, pembekal Terraform dan ejen AI semuanya disahkan melalui model kebenaran yang sama seperti manusia — tiada kelayakan manusia yang dikongsi, tiada rahsia jangka panjang yang tampal ke dalam binaan.
Kunci milik organisasi dan membawa skop berbutir yang terikat dengan kebenaran RBAC yang sama — baca sahaja, pengebilan, peruntukan. Berikan talian paip skop sempit yang diperlukannya berbanding keseluruhan akaun ahli.
Kunci mod-ujian dan mod-langsung adalah berbeza, jadi integrasi yang sedang dibangunkan tidak boleh mencapai data pengeluaran secara tidak sengaja atau melalui pemboleh ubah persekitaran yang disalin.
Kami menyimpan cincangan SHA-256 bagi data sulit dan awalan carian — bukan kunci mentah tersebut. Anda hanya melihat kunci sekali semasa penciptaan. Setiap kunci menjejaki masa ia terakhir digunakan dan boleh ditarik balik secara individu tanpa menjejaskan perkara lain.
Pelayan MCP kami membolehkan mana-mana ejen yang serasi dengan MCP menguruskan pengehosan anda dalam bahasa semula jadi, disahkan dengan OAuth 2.1 dan diskopkan kepada organisasi serta peranan RBAC anda, lengkap dengan token yang boleh ditarik balik setiap alat, pengesahan pada tindakan yang merosakkan, had perbelanjaan dan pengelogan audit penuh.
Akses akaun dan akses pelayan adalah masalah yang berbeza. Kredensial peringkat tapak diuruskan dalam papan pemuka, dikeluarkan dengan keistimewaan minimum, dan dipenjarakan supaya shell seorang kolaborator adalah shell satu tapak.
Seorang pengendali tunggal mengekalkan satu organisasi dan satu keahlian pemilik, dan menambah peranan Pembangun apabila kontraktor masuk untuk sesuatu projek. Apabila projek itu tamat, keahlian tersebut dialih keluar dan log masuk mereka berhenti berfungsi serta-merta — tiada kelayakan dikongsi yang tertinggal untuk diputarkan.
Sebuah agensi menggunakan pepohon organisasi. Setiap pelanggan mendapat organisasi anak mereka sendiri, yang menempatkan tapak web pelanggan tersebut, dan orang kepada pelanggan itu sendiri mendapat keahlian di sana — baca sahaja untuk pihak berkepentingan yang mahukan keterlihatan, pemilik untuk pelanggan yang mahukan layan diri. Kakitangan anda memegang keahlian yang lebih tinggi pada pepohon tersebut dan melihat portfolio; pelanggan hanya melihat cawangan mereka sendiri, dan Keselamatan Peringkat Baris adalah perkara yang menjadikannya benar dan bukannya sekadar janji.
Seorang penjual semula berfungsi dengan cara yang sama, satu tahap lebih tinggi: organisasi penjual semula menempatkan organisasi pelanggan, masing-masing dengan ahli, paparan pengebilan dan tapak web mereka sendiri. Primitif yang sama menguasakan sub-akaun, pasukan agensi dan hierarki penjual semula — tiada mekanisme berasingan yang lebih lemah untuk mana-mana daripada mereka.
Semuanya tersedia pada percubaan 14 hari tanpa kad. Daftar tanpa butiran pembayaran, jemput rakan sekerja, tonton perkara yang boleh dan tidak boleh dicapai oleh setiap peranan, serta baca semula log audit anda sendiri.
Hari ini keahlian memberikan peranannya merentas sebuah organisasi dan segala yang berada di bawahnya dalam hierarki tersebut, jadi cara untuk memisahkan set tapak adalah dengan memisahkan organisasi — letakkan tapak tersebut dalam organisasi anak mereka sendiri dan berikan keahlian di situ. Ia adalah model yang kemas untuk agensi dan penjual semula, di mana setiap pelanggan sememangnya mahukan sempadan mereka sendiri. Skop sumber setiap keahlian, iaitu menetapkan satu keahlian kepada tapak bernama dalam satu organisasi, adalah penambahbaikan yang dirancang dan bukannya sesuatu yang tersedia sekarang.
Peranan Pembangun tidak membawa kuasa pemadaman tapak atau penggantungan tapak — kunci tersebut milik peranan Pemilik. Ia memberikan kebenaran untuk melihat dan mencipta tapak, memulakan semula perkhidmatan, membersihkan cache, mengurus kunci API dan mengendalikan tiket. Kebenaran penempatan dan tolak-ke-langsung juga bukan sebahagian daripada peranan Pembangun, jadi promosi ke pengeluaran kekal di bawah pemilik akaun. Padankan itu dengan pementasan supaya kerja binaan dilakukan di luar tapak langsung sejak awal lagi.
Ia bergantung sepenuhnya kepada peranan kakitangan, dan setiap peranan adalah set kunci kebenaran yang terhad. Contohnya, Ejen Sokongan boleh melihat akaun dan tapak anda, melihat serta membalas tiket anda, memulakan semula tapak dan membersihkan cache-nya — serta tidak boleh menyentuh konfigurasi pengebilan, bayaran balik, pelan atau armada. Log masuk sebagai pelanggan adalah kebenaran berasingan yang hanya dipegang oleh Super Admin, dan apabila ia berlaku, papan pemuka akan memaparkan banner penyamaran yang kekal. Setiap tindakan istimewa direkodkan dalam log audit berserta pelaku, tindakan, sasaran, IP dan cap masa, dan anda boleh membaca log organisasi anda sendiri.
Buang keahlian tersebut dan akses mereka kepada organisasi itu tamat — mereka masih mempunyai identiti sendiri, tetapi tiada peranan dan oleh itu tiada kebenaran dalam akaun anda. Kekunci API ditarik balik secara individu, jadi kekunci saluran paip boleh dipotong tanpa mengganggu perkara lain. Jika anda menggunakan log masuk tunggal SAML, nyahperuntukan dalam penyedia identiti anda menguruskan log masuk secara berpusat. Kredensial peringkat tapak seperti kekunci SSH ditarik balik dalam papan pemuka, dan penyingkiran itu sendiri dilog audit.
Tidak — tetapi penting untuk memahami sebabnya dengan tepat. Kunci API adalah milik organisasi, bukannya ahli individu, dan kunci tersebut membawa skop berbutir tersendiri yang terikat pada katalog kebenaran yang sama. Oleh itu, daripada menyerahkan kunci kepada seseorang, anda mencipta kunci untuk tugas yang dilakukannya dengan skop paling sempit yang diperlukan oleh tugas tersebut, dan menarik balik kunci itu apabila tugas selesai. Hanya cincangan (hash) rahsia tersebut yang disimpan, dan setiap kali kunci digunakan direkodkan supaya kunci yang tidak digunakan mudah dicari dan dilupuskan.
Ya. Pelayan MCP kami mengesahkan ejen menggunakan OAuth 2.1 dan mengehadkan skopnya kepada organisasi anda dan peranan RBAC anda, dengan token yang boleh ditarik balik bagi setiap alat, supaya anda memberikan keupayaan khusus dan bukannya akses menyeluruh. Tindakan merosakkan memerlukan pengesahan, had perbelanjaan terpakai, dan setiap tindakan direkodkan dalam log audit yang sama seperti aktiviti manusia.
Keselamatan Peringkat Baris Postgres mengehadkan skop pertanyaan kepada sub-pohon organisasi pemanggil dalam pangkalan data itu sendiri, dengan penapis peringkat aplikasi sebagai pertahanan mendalam dan bukannya satu-satunya benteng. Permintaan untuk rekod di luar skop mengembalikan status tidak-dijumpai dan bukannya ralat kebenaran, jadi tiada apa yang mendedahkan tentang perkara yang wujud. Pada sebelah pelayan, pengasingan setiap tapak melalui CageFS mengekalkan shell dan fail setiap penyewa pada tapak mereka sendiri.
Ya. Percubaan 14 hari ini adalah tanpa kad — tiada butiran pembayaran, tiada komitmen — dan merangkumi Footprint-Free Hosting dengan sehingga lima tapak. Ia memadai untuk menjemput rakan sekerja, menetapkan peranan, dan mengesahkan sempadan berfungsi seperti yang anda perlukan sebelum anda membuat komitmen.
Mulakan percubaan 14 hari tanpa kad, jemput seseorang, dan lihat model kebenaran berfungsi — peranan yang boleh anda namakan, skop yang boleh anda batalkan, dan log audit yang menyatakan dengan tepat siapa yang melakukan apa.
Mula secara percuma