Acces delegat
Aduceți un dezvoltator, predați facturarea contabilului, oferiți unui client acces doar în citire la propriile site-uri sau permiteți echipei noastre de asistență să investigheze o problemă. Fiecare acordare de acces este un rol cu permisiuni bine definite, limitat la nivelul unei organizații, aplicat la nivel de bază de date și înregistrat într-un jurnal de audit imutabil.
Partajarea aceleiași autentificări este modul în care accesul la cont devine vulnerabil. Pe Zinn Digital® fiecare persoană are propria sa identitate, iar accesul este un abonament — un utilizator, o organizație și un rol — pe care îl puteți acorda, modifica sau revoca în mod independent.
Fiecare colaborator se autentifică pe cont propriu prin Keycloak, nivelul nostru de identitate. Nimeni nu vă tastează parola, nimeni nu partajează o sesiune de browser, iar eliminarea unei persoane înseamnă o singură acțiune, în loc de o rotație a parolei și o căutare febrilă pentru a afla cine altcineva o știa.
Conturile sunt ierarhice — o organizație de revânzător conține organizații de clienți, iar organizațiile de clienți conțin site-uri. O calificare de membru se aplică unei organizații și întregului conținut aflat sub aceasta, astfel încât puteți oferi unui client de tip agenție controlul asupra propriei organizații fără a expune vreodată ceilalți clienți ai dumneavoastră.
Separarea chiriașilor nu este un filtru în codul aplicației pe care unbug l-ar putea ocoli. Securitatea la nivel de rând din Postgres limitează fiecare interogare la subarborele organizației apelantului, astfel încât o cerere din afara domeniului dvs. nu are nimic de returnat.
Solicitați o organizație sau un site din afara sferei dvs. de competență, iar API-ul răspunde cu un mesaj simplu de negăsire, în loc de o eroare de permisiune. O eroare de permisiune ar confirma că înregistrarea există; mesajul de negăsire nu îi spune nimic unui outsider.
Permisiunile sunt chei granulare — modul plus acțiune, cum ar fi sites.restart sau billing.refund — iar rolurile le grupează. Patru roluri acoperă formele de care au nevoie echipele reale, și fiecare reprezintă date pe care le inițializăm, nu logică îngropată în cod.
Control total: creați organizații fiice, invitați și eliminați membri, schimbați rolurile, gestionați cheile API, creați, reporniți, goliți, suspendați și ștergeți site-uri, gestionați facturarea și facturile, deschideți tichete și citiți jurnalul de audit. Rolul pe care vi-l păstrați pentru dumneavoastră.
Vede organizația, membrii acesteia și catalogul de planuri și gestionează facturile, metodele de plată și taxele. Fără acces pentru a crea, modifica sau șterge un singur site — exact profilul pe care ar trebui să îl aibă un contabil extern.
Vizualizează și creează site-uri, repornește servicii, golește memoria cache, gestionează cheile API și rezolvă tichetele. Excluse în mod deliberat: facturare, facturi, metode de plată, gestionarea membrilor, suspendarea site-ului și ștergerea site-ului. Un contractor poate construi fără să vă poată factura sau să distrugă ceva.
Vede organizația, membrii acesteia, site-urile, facturarea, catalogul de planuri, tichetele, starea traducerilor și jurnalul de audit — fără a putea modifica nimic din toate acestea. Accesul potrivit pentru un client care își dorește vizibilitate, pentru un auditor sau pentru un stakeholder care are nevoie doar de vizualizare.
Delegarea accesului este sigură doar dacă conturile către care delegați sunt greu de preluat. Autentificarea se face prin Keycloak pentru fiecare persoană din cont, pe fiecare interfață.
Activitatea de asistență înseamnă uneori să arunci o privire în contul tău. Acest acces este guvernat de același model de permisiuni ca orice altceva — personalul se află pur și simplu într-o organizație de personal, organizată în departamente cu drepturi restrânse.
Personalul este grupat în Asistență, Facturare și Finanțe, Abuz și Încredere și Siguranță, Vânzări, Onboarding, Inginerie și Operațiuni, Marketing și Management. Fiecare rol acordă module și acțiuni specifice, astfel încât un agent vede doar acea parte din consola de administrare pe care i-o cere munca, și nu restul.
Rolul de agent de suport oferă exact acest lucru: vizualizarea clienților, vizualizarea și răspunsul la tichete, vizualizarea site-urilor, repornirea unui site și golirea memoriei cache. Acesta nu include nicio configurare de facturare, nici rambursări, nicio modificare a planului și nicio gestionare a flotei. Remedierea pe care o poate efectua un agent este limitată de rol, nu de bunele intenții.
Permisiunea customer.impersonate nu face parte din rolul Manager — aceasta este deținută exclusiv de Super Admin. Când o sesiune rulează în numele tău, panoul de control afișează un banner persistent de impersonare, astfel încât să nu existe niciodată vreo ambiguitate cu privire la cine acționează.
Fiecare acțiune privilegiată și administrativă se adaugă la un jurnal de audit de tip append-only, care înregistrează actorul, acțiunea, ținta, metadatele suport, adresa IP și marca temporală — partiționată în timp în producție. Proprietarii și membrii cu acces doar pentru citire pot citi singuri jurnalul organizației lor.
Acțiunile sensibile și distructive ale personalului pot necesita o autentificare suplimentară sau aprobarea a două persoane înainte de a fi executate, iar noile departamente și roluri reprezintă configurări, mai degrabă decât o modificare de cod.
Scripturile, conductele CI, CLI-ul, providerul Terraform și agenții AI se autentifică toți prin același model de permisiuni ca oamenii — fără credențiale umane partajate, fără secrete cu durată lungă de viață lipite într-o compilare.
Cheile aparțin unei organizații și au domenii granulare de aplicare legate de aceleași permisiuni RBAC — doar citire, facturare, provizionare. Acordați unui pipeline domeniul restrâns de care are nevoie, în loc de întregul cont al unui membru.
Cheile pentru modul de testare și cel de producție sunt distincte, așa că o integrare aflată în curs de dezvoltare nu poate accesa datele de producție din greșeală sau printr-o variabilă de mediu copiată.
Stocăm un hash SHA-256 al secretului și un prefix de căutare — niciodată cheia în format brut. Vezi o cheie o singură dată, la creare. Fiecare cheie urmărește când a fost utilizată ultima oară și poate fi revocată individual, fără a afecta altceva.
Serverul nostru MCP permite oricărui agent compatibil MCP să vă gestioneze găzduirea în limbaj natural, autentificat prin OAuth 2.1 și limitat la organizația dvs. și la rolul RBAC, cu tokenuri revocabile per unealtă, confirmare pentru acțiunile distructive, limite de cheltuieli și jurnale de audit complete.
Accesul la cont și accesul la server sunt probleme diferite. Credențialele la nivel de site sunt gestionate în panoul de control, emise cu privilegii minime și izolate, astfel încât shell-ul unui colaborator să fie shell-ul unui singur site.
Un singur operator păstrează o singură organizație și o singură calitatea de proprietar și adaugă un rol de Dezvoltator atunci când un colaborator vine pentru un proiect. Când proiectul se termină, calitatea de membru este eliminată și autentificarea acestuia încetează să mai funcționeze imediat – nu rămâne nicio credențială partajată de rotit.
O agenție folosește arborele de organizații. Fiecare client obține propria sa organizație subordonată, care conține site-urile acelui client, iar colaboratorii clientului primesc calitatea de membru acolo — doar în citire pentru un factor interesat care dorește vizibilitate, proprietar pentru un client care dorește autonomie. Personalul tău deține calități de membru mai sus în arbore și vede portofoliul; un client își vede doar propriul ram, iar Securitatea la Nivel de Rând este ceea ce face ca acest lucru să fie adevărat și nu o promisiune.
Un reseller funcționează la fel, dar cu un nivel mai sus: o organizație de reseller conține organizații de clienți, fiecare cu propriii membri, vizualizare de facturare și site-uri. Același element primitiv stă la baza subconturilor, a echipelor de agenție și a ierarhiilor de reselleri — nu există niciun mecanism separat sau mai slab pentru niciunul dintre acestea.
Totul este disponibil în perioada de probă de 14 zile, fără a fi nevoie de card. Înregistrează-te fără detalii de plată, invită un coleg, vezi ce poate și ce nu poate accesa fiecare rol și citește propriul tău jurnal de audit.
Astăzi, o calitate de membru acordă rolul său la nivelul unei organizații și a tot ceea ce se află sub aceasta în ierarhie, așa că modalitatea de a separa seturile de site-uri este prin separarea organizațiilor — plasați acele site-uri în propria lor organizație copil și acordați calitatea de membru acolo. Este un model curat pentru agenții și distribuitori, unde fiecare client își dorește deja propria limită. Delimitarea resurselor per membru, și anume fixarea unei singure calități de membru la site-uri denumite din cadrul unei singure organizații, este o îmbunătățire planificată, nu o funcționalitate disponibilă în prezent.
Rolul de Dezvoltator nu include ștergerea sau suspendarea site-urilor – aceste chei aparțin rolului de Proprietar. Acesta acordă permisiunea de vizualizare și creare de site-uri, repornire a serviciilor, golire a memoriei cache, gestionare a cheilor API și lucru cu tichetele. Permisiunile de implementare și publicare în producție nu fac nici ele parte din pachetul Dezvoltatorului, așa că promovarea în producție rămâne la latitudinea proprietarului contului. Asociați acest lucru cu mediul de staging, astfel încât activitatea de dezvoltare să aibă loc în afara site-ului live încă de la început.
Depinde în totalitate de rolul personalului, iar fiecare rol reprezintă un set restrâns de chei de permisiuni. Un agent de suport, de exemplu, poate vizualiza contul și site-urile dvs., poate vizualiza și răspunde la tichetele dvs., poate reporni un site și îi poate goli memoria cache — și nu poate umbla la configurația de facturare, rambursări, planuri sau flotă. Autentificarea ca și client este o permisiune separată deținută doar de Super Admin, iar când se întâmplă acest lucru, panoul de control afișează un banner persistent de uzurpare a identității. Orice acțiune cu privilegii este înregistrată în jurnalul de audit împreună cu utilizatorul, acțiunea, ținta, adresa IP și marca temporală, iar dvs. puteți citi singur jurnalul organizației dvs.
Eliminați calitatea de membru și accesul acestora la acea organizație se va încheia — ei își păstrează propria identitate, dar nu vor mai avea niciun rol și, prin urmare, nicio permisiune în contul dvs. Cheile API sunt revocate individual, astfel încât o cheie de pipeline poate fi oprită fără a perturba altceva. Dacă utilizați autentificarea unică SAML, anularea provizionării în furnizorul dvs. de identitate gestionează autentificarea în mod centralizat. Credențialele la nivel de site, cum ar fi cheile SSH, sunt revocate în tabloul de bord, iar eliminarea în sine este înregistrată în jurnalul de audit.
Nu — dar merită să fim preciși în privința motivului. Cheile API aparțin organizației, nu unui membru individual, și au propriile lor domenii de aplicare granulare legate de același catalog de permisiuni. Așadar, în loc să-i dați unei persoane o cheie, creați o cheie pentru sarcina pe care o îndeplinește, cu cel mai restrâns domeniu de aplicare de care are nevoie acea sarcină, și anulați acea cheie la încheierea sarcinii. Doar un hash al secretului este stocat vreodată, iar fiecare cheie înregistrează când a fost folosită ultima oară, astfel încât cheile neutilizate să fie ușor de găsit și de retras.
Da. Serverul nostru MCP autentifică agenții cu OAuth 2.1 și îi limitează la organizația dvs. și la rolul dvs. RBAC, cu jetoane revocabile pentru fiecare instrument, astfel încât să acordați o capabilitate specifică în loc de acces general. Acțiunile distructive necesită confirmare, se aplică limite de cheltuieli, iar fiecare acțiune ajunge în același jurnal de audit ca și activitatea umană.
Securitatea la nivel de rând din Postgres limitează interogările la subarborele organizației apelantului direct în baza de date, filtrul de la nivelul aplicației servind drept apărare în profunzime, nu ca singură linie de control. Solicitările pentru înregistrări aflate în afara domeniului returnează rezultatul negăsit în loc de o eroare de permisiune, astfel încât nu se dezvăluie nimic despre ceea ce există. Pe partea de server, izolarea per-site prin CageFS menține shell-ul și fișierele fiecărui chiriaș în propriul site.
Da. Perioada de probă de 14 zile nu necesită card — fără detalii de plată, fără angajament — și acoperă găzduirea Footprint-Free cu până la cinci site-uri. Este suficientă pentru a invita un coleg, a atribui un rol și a confirma că limitele se comportă așa cum aveți nevoie înainte de a vă lua un angajament.
Începe perioada de probă de 14 zile fără card, invită pe cineva și urmărește modelul de permisiuni cum își face treaba — roluri pe care le poți denumi, domenii de aplicare pe care le poți revoca și un jurnal de audit care spune exact cine a făcut ce.
Începe gratuit