Akses Diberikan Kuasa
Bawa masuk pembangun, serahkan pengebilan kepada akauntan anda, berikan pelanggan paparan baca sahaja untuk laman web mereka sendiri, atau benarkan pasukan sokongan kami melihat masalah. Setiap pemberian ialah peranan dengan kebenaran yang ditetapkan, diskopkan kepada organisasi, dikuatkuasakan dalam pangkalan data, dan ditulis pada log audit tambah sahaja.
Berkongsi satu log masuk adalah punca masalah akses akaun. Di Zinn Digital®, setiap individu mempunyai identiti tersendiri, dan akses merupakan keahlian — pengguna, organisasi, dan peranan — yang boleh anda berikan, ubah atau batalkan secara berasingan.
Setiap rakan kolaborasi log masuk sebagai diri mereka sendiri melalui Keycloak, lapisan identiti kami. Tiada sesiapa yang menaip kata laluan anda, tiada sesiapa yang berkongsi sesi pelayar, dan mengalih keluar seseorang hanyalah satu tindakan dan bukannya pertukaran kata laluan serta kelam-kabut mencari tahu siapa lagi yang mengetahuinya.
Akaun adalah berhierarki — organisasi penjual semula memegang organisasi pelanggan, dan organisasi pelanggan memegang laman web. Keahlian terpakai pada organisasi dan semua yang berada di bawahnya, jadi anda boleh memberikan kawalan organisasi mereka sendiri kepada pelanggan agensi tanpa mendedahkan pelanggan anda yang lain.
Pengasingan penyewa bukanlah penapis dalam kod aplikasi yang boleh dilangkau oleh pepijat. Keselamatan Peringkat Baris (Row-Level Security) Postgres mengehadkan setiap pertanyaan kepada subpokok organisasi pemanggil, jadi permintaan di luar skop anda tidak mempunyai apa-apa untuk dikembalikan.
Minta organisasi atau tapak di luar skop anda dan API akan membalas dengan mesej 'tidak ditemui' biasa dan bukannya ralat kebenaran. Ralat kebenaran akan mengesahkan rekod itu wujud; 'tidak ditemui' tidak memberitahu apa-apa langsung kepada pihak luar.
Kebenaran ialah kunci terperinci — modul serta tindakan, seperti sites.restart atau billing.refund — dan peranan menggabungkannya. Empat peranan merangkumi bentuk yang diperlukan oleh pasukan sebenar, dan setiap satunya ialah data yang kami masukkan, bukannya logik yang tersembunyi dalam kod.
Kawalan penuh: cipta organisasi anak, jemput dan alih keluar ahli, ubah peranan, urus kunci API, cipta, mulakan semula, singkir, gantung dan padam tapak, jalankan pengebilan dan invois, jana tiket dan baca log audit. Peranan yang anda simpan untuk diri anda sendiri.
Melihat organisasi, anggotanya dan katalog pelan, serta menguruskan invois, kaedah pembayaran dan caj. Tiada akses untuk mencipta, mengubah atau memadamkan satu tapak web pun — tepat seperti bentuk yang sepatutnya dimiliki oleh penyimpan kira-kira luar.
Melihat dan mencipta tapak, memulakan semula perkhidmatan, mengosongkan cache, mengurus kunci API dan mengendalikan tiket. Dikecualikan secara sengaja: pengebilan, invois, kaedah pembayaran, pengurusan ahli, penggantungan tapak dan pemadaman tapak. Kontraktor boleh membina tanpa keupayaan untuk mengebil anda atau memusnahkan apa-apa.
Melihat organisasi, ahlinya, tapaknya, pengebilannya, katalog pelan, tiket, status terjemahan dan log audit — serta tidak boleh mengubah apa-apa pun. Pemberian kebenaran yang tepat untuk pelanggan yang mahukan keterlihatan, juruaudit atau pihak berkepentingan yang hanya perlu melihat.
Mewakilkan akses hanya selamat jika akaun yang anda wakilkan sukar untuk diambil alih. Pengesahan dijalankan melalui Keycloak untuk setiap individu pada akaun, pada setiap permukaan.
Kerja sokongan kadangkala memerlukan semakan ke dalam akaun anda. Akses tersebut dikawal oleh model kebenaran yang sama seperti perkara lain — kakitangan hanya berada dalam organisasi kakitangan, yang disusun mengikut jabatan dengan kebenaran terhad.
Kakitangan dikumpulkan kepada Sokongan, Pengebilan dan Kewangan, Penyalahgunaan dan Kepercayaan-dan-Keselamatan, Jualan, Penyertaan, Kejuruteraan dan Operasi, Pemasaran, dan Pengurusan. Setiap peranan memberikan modul dan tindakan tertentu, supaya ejen melihat bahagian konsol pentadbir yang diperlukan oleh tugas mereka dan bukan bahagian selebihnya.
Peranan Support Agent memberikan hak tepat seperti ini: melihat pelanggan, melihat dan membalas tiket, melihat tapak, memulakan semula tapak dan mengosongkan cachenya. Peranan ini tidak membawa konfigurasi pengebilan, tiada bayaran balik, tiada pengeditan pelan dan tiada pengurusan armada. Pemulihan yang boleh dilakukan oleh ejen dibatasi oleh peranan, bukan oleh niat baik.
Kebenaran customer.impersonate bukan sebahagian daripada peranan Manager — ia hanya dipegang oleh Super Admin. Apabila sesi sedang berjalan bagi pihak anda, papan pemuka memaparkan sepanduk penyamaran yang berterusan supaya tidak timbul kekeliruan tentang siapa yang bertindak.
Setiap tindakan berkeistimewaan dan pentadbiran ditambahkan pada log audit tambah sahaja yang merekodkan pelaku, tindakan, sasaran, metadata sokongan, alamat IP dan cap masa — dipisahkan mengikut masa dalam pengeluaran. Pemilik dan ahli baca sahaja boleh membaca log organisasi mereka sendiri.
Tindakan kakitangan yang sensitif dan memusnahkan boleh memerlukan pengesahan bertingkat atau kelulusan dua orang sebelum ia dijalankan, dan jabatan serta peranan baharu merupakan konfigurasi dan bukannya perubahan kod.
Skrip, saluran paip CI, CLI, pembekal Terraform dan ejen AI semuanya mengesahkan melalui model kebenaran yang sama seperti manusia — tiada kelayakan manusia yang dikongsi, tiada rahsia jangka panjang yang ditampal ke dalam binaan.
Kunci adalah milik organisasi dan membawa skop terperinci yang terikat pada kebenaran RBAC yang sama — baca sahaja, pengebilan, peruntukan. Berikan talian paip skop terhad yang diperlukannya dan bukannya keseluruhan akaun ahli.
Kunci mod ujian dan mod langsung adalah berbeza, maka penyepaduan yang sedang dibangunkan tidak boleh mengakses data pengeluaran secara tidak sengaja atau melalui pemboleh ubah persekitaran yang disalin.
Kami menyimpan hash SHA-256 bagi rahsia dan awalan carian — bukan kunci mentah. Anda melihat kunci sekali sahaja semasa penciptaan. Setiap kunci menjejaki masa ia kali terakhir digunakan dan boleh dibatalkan secara berasingan tanpa mengganggu perkara lain.
Pelayan MCP kami membolehkan mana-mana ejen berkeupayaan MCP mengurus pengehosan anda dalam bahasa semula jadi, disahkan dengan OAuth 2.1 dan diskopkan mengikut organisasi serta peranan RBAC anda, dengan token boleh dibatalkan mengikut alat, pengesahan bagi tindakan pemusnahan, had perbelanjaan dan pengelogan audit yang lengkap.
Akses akaun dan akses pelayan adalah isu yang berbeza. Kelayakan peringkat tapak diuruskan dalam papan pemuka, dikeluarkan dengan keistimewaan paling minimum, dan dikurung supaya cangkerang seorang rakan usaha sama hanyalah cangkerang satu tapak.
Seorang pengendali solo mengekalkan satu organisasi dan satu keahlian pemilik, serta menambah peranan Pembangun apabila kontraktor menyertai sesuatu projek. Apabila projek berakhir, keahlian tersebut dialih keluar dan log masuk mereka terhenti berfungsi serta-merta — tiada kelayakan kongsi yang tertinggal untuk digilirkan.
Sebuah agensi menggunakan pepohon organisasi. Setiap klien mendapat organisasi anakannya sendiri yang memegang tapak klien tersebut, dan orang klien itu sendiri memperoleh keahlian di sana — baca sahaja untuk pihak berkepentingan yang mahukan keterlihatan, pemilik untuk klien yang mahukan layan diri. Kakitangan anda memegang keahlian yang lebih tinggi pada pepohon dan melihat portfolio; klien hanya melihat cawangan mereka sendiri, dan Row-Level Security adalah ciri yang menjadikannya kenyataan dan bukannya sekadar janji.
Penjual semula berfungsi dengan cara yang sama, satu tahap lebih tinggi: organisasi penjual semula memegang organisasi pelanggan, setiap satunya dengan ahli, paparan pengebilan dan tapak tersendiri. Primitif yang sama menguasakan subakaun, pasukan agensi dan hierarki penjual semula — tiada mekanisme yang berasingan dan lebih lemah untuk mana-mana daripadanya.
Segala-galanya tersedia dalam percubaan 14 hari tanpa kad. Daftar tanpa butiran pembayaran, jemput rakan sekerja, lihat perkara yang boleh dan tidak boleh diakses oleh setiap peranan, serta semak semula log audit anda sendiri.
Hari ini, keahlian memberikan peranannya merentas sesebuah organisasi dan segala-gala di bawahnya dalam hierarki, jadi cara untuk mengasingkan set tapak adalah dengan memisahkan organisasi — letakkan tapak tersebut dalam organisasi anak mereka sendiri dan berikan keahlian di sana. Ia adalah model yang kemas untuk agensi dan penjual semula, di mana setiap pelanggan sememangnya mahukan sempadan mereka sendiri. Skop sumber bagi setiap keahlian, yang mengehadkan keahlian tunggal kepada tapak yang dinamakan dalam satu organisasi, merupakan penambahbaikan yang dirancang dan bukannya sesuatu yang tersedia buat masa ini.
Peranan Developer tidak membawa fungsi pemadaman tapak atau penggantungan tapak — kunci tersebut milik peranan Owner. Ia memberikan kebenaran untuk melihat dan mencipta tapak, memulakan semula perkhidmatan, mengosongkan cache, mengurus kunci API dan mengendalikan tiket. Kebenaran pelaksanaan (deployment) dan push-to-live juga bukan sebahagian daripada pemberian Developer, jadi kenaikan taraf ke produksi kekal pada pemilik akaun. Gandingkan perkara itu dengan penstelan (staging) supaya kerja binaan berlaku di luar tapak langsung dari awal lagi.
Ia bergantung sepenuhnya pada peranan staf, dan setiap peranan merupakan set kunci kebenaran yang khusus. Sebagai contoh, Support Agent boleh melihat akaun dan tapak anda, melihat dan membalas tiket anda, memulakan semula tapak dan mengosongkan cachenya — serta tidak boleh mengubah konfigurasi pengebilan, bayaran balik, pelan atau armada. Log masuk sebagai pelanggan ialah kebenaran berasingan yang hanya dipegang oleh Super Admin, dan apabila ia berlaku, papan pemuka akan memaparkan sepanduk penyamaran yang berterusan. Setiap tindakan istimewa direkodkan dalam log audit bersama pelaku, tindakan, sasaran, IP dan cap masa, dan anda boleh membaca log organisasi anda sendiri.
Alih keluar keahlian dan akses mereka ke organisasi tersebut akan tamat — mereka masih mempunyai identiti sendiri, tetapi tiada peranan dan oleh itu tiada kebenaran dalam akaun anda. Kunci API dibatalkan secara individu, jadi kunci saluran paip boleh ditamatkan tanpa mengganggu perkara lain. Jika anda menggunakan log masuk tunggal SAML, penyahperuntukan dalam penyedia identiti anda mengendalikan log masuk secara berpusat. Kelayakan peringkat tapak seperti kunci SSH dibatalkan dalam papan pemuka, dan penyingkiran itu sendiri direkodkan dalam log audit.
Tidak — tetapi wajar untuk dijelaskan sebabnya. Kunci API adalah milik organisasi, bukan milik ahli individu, dan ia membawa skop terperinci tersendiri yang terikat pada katalog kebenaran yang sama. Jadi, daripada menyerahkan kunci kepada seseorang, anda mencipta kunci untuk tugasan yang dilakukannya dengan skop paling sempit yang diperlukan oleh tugasan tersebut, dan membatalkan kunci itu apabila tugasan tersebut selesai. Hanya cincangan (hash) rahsia yang disimpan, dan setiap kunci merekodkan masa ia kali terakhir digunakan supaya kunci yang tidak digunakan mudah dicari dan dilupuskan.
Ya. Pelayan MCP kami mengesahkan ejen dengan OAuth 2.1 dan mengehadkan skopnya kepada organisasi serta peranan RBAC anda, dengan token boleh batal bagi setiap alatan, membolehkan anda memberikan keupayaan khusus dan bukannya akses menyeluruh. Tindakan yang memusnahkan memerlukan pengesahan, had perbelanjaan dikenakan, dan setiap tindakan dimasukkan ke dalam log audit yang sama seperti aktiviti manusia.
Postgres Row-Level Security mengehadkan skop pertanyaan kepada subpokok organisasi pemanggil dalam pangkalan data itu sendiri, dengan penapis peringkat aplikasi sebagai pertahanan mendalam dan bukannya satu-satunya benteng. Permintaan untuk rekod di luar skop mengembalikan respons tidak ditemui dan bukannya ralat kebenaran, jadi tiada maklumat yang didedahkan tentang data yang wujud. Pada bahagian pelayan, pengasingan bagi setiap laman melalui CageFS memastikan shell dan fail setiap penyewa terhad kepada laman mereka sendiri.
Ya. Percubaan 14 hari tidak memerlukan kad — tiada butiran pembayaran, tiada komitmen — dan merangkumi pengehosan Footprint-Free sehingga lima tapak web. Ia mencukupi untuk menjemput rakan sekerja, menetapkan peranan, dan mengesahkan sempadan berfungsi mengikut cara yang anda perlukan sebelum anda membuat komitmen.
Mulakan percubaan 14 hari tanpa kad, jemput sesiapa sahaja, dan saksikan model kebenaran menjalankan fungsinya — peranan yang boleh anda namakan, skop yang boleh anda batalkan, dan log audit yang menyatakan dengan tepat siapa yang melakukan apa.
Mula secara percuma