Qasje e deleguar
Ftoni një zhvillues, kalojini faturimin llogaritarit tuaj, jepini klientit qasje vetëm për lexim në faqet e tij, ose lejoni ekipin tonë të mbështetjes të shqyrtojë një problem. Çdo dhënie qasjeje është një rol me leje të përcaktuara, e kufizuar brenda një organizate, e zbatuar në bazën e të dhënave dhe e regjistruar në një regjistër auditimi vetëm me shtim.
Ndarja e një llogarie të vetme identifikimi është arsyeja pse qasja në llogari shkon keq. Në Zinn Digital®, çdo person ka identitetin e tij dhe qasja është një anëtarësim — një përdorues, një organizatë dhe një rol — të cilin mund ta jepni, ta ndryshoni ose ta hiqni më vete.
Çdo bashkëpunëtor identifikohet si vetvetja përmes Keycloak, shtresës sonë të identitetit. Askush nuk e shkruan fjalëkalimin tuaj, askush nuk ndan një sesion shfletuesi, dhe heqja e dikujt është një veprim i vetëm, dhe jo një ndryshim fjalëkalimi dhe një përpjekje e mundimshme për të zbuluar se kush tjetër e dinte atë.
Llogaritë janë hierarkike — një organizatë rishitësi mban organizatat e klientëve dhe organizatat e klientëve mbajnë faqet. Anëtarësimi zbatohet për një organizatë dhe gjithçka nën të, kështu që ju mund t'i dorëzoni një klienti agjencie kontrollin e vetë organizatës së tij pa ekspozuar kurrë klientët tuaj të tjerë.
Ndarja e qiramarrësve nuk është një filtër në kodin e aplikacionit që një defekt mund ta anashkalojë. Row-Level Security e Postgres-it kufizon çdo kërkesë në nënpemën e organizatës së telefonuesit, kështu që një kërkesë jashtë fushëveprimit tuaj nuk ka asgjë për të kthyer.
Kërkoni një organizatë ose një faqe jashtë fushëveprimit tuaj dhe API përgjigjet me një njoftim të thjeshtë "nuk u gjet" në vend të një gabimi lejeje. Një gabim lejeje do të konfirmonte ekzistencën e të dhënës; "nuk u gjet" nuk i tregon absolutisht asgjë një personi të jashtëm.
Lejet janë çelësa të hollësishëm — modul plus veprim, si sites.restart ose billing.refund — dhe rolet i grupojnë ato. Katër role mbulojnë format që u nevojiten ekipeve reale, dhe secili është e dhënë që ne e mbjellim, jo logjikë e varrosur në kod.
Kontroll i plotë: krijoni organizata vartëse, ftoni dhe hiqni anëtarë, ndryshoni rolet, menaxhoni çelësat API, krijoni, rinisni, pastroni, pezulloni dhe fshini faqe, menaxhoni faturimin dhe faturat, hapni kërkesa mbështetjeje dhe lexoni regjistrin e auditimit. Roli që mbani për veten tuaj.
Sheh organizatën, anëtarët e saj dhe katalogun e planeve, si dhe menaxhon faturat, mënyrat e pagesës dhe tarifat. Nuk ka qasje për të krijuar, ndryshuar ose fshirë qoftë edhe një faqe të vetme — pikërisht profili që duhet të ketë një llogaritar i jashtëm.
Shikon dhe krijon faqe, rinis shërbimet, pastron memorjen e fshehtë, menaxhon çelësat API dhe trajton biletat e mbështetjes. Të përjashtuara qëllimisht: faturimi, faturat, mënyrat e pagesës, menaxhimi i anëtarëve, pezullimi i faqeve dhe fshirja e faqeve. Një kontraktor mund të ndërtojë pa pasur mundësi t'ju faturojë ose të shkatërrojë ndonjë gjë.
Sheh organizatën, anëtarët e saj, faqet e saj, faturimin e saj, katalogun e planeve, biletat, statusin e përkthimit dhe regjistrin e auditimit — dhe nuk mund të ndryshojë asgjë prej tyre. Leja e duhur për një klient që kërkon shikueshmëri, një auditor ose një palë të interesuar që ka nevojë vetëm të vëzhgojë.
Delegimi i qasjes është i sigurt vetëm nëse llogaritë te të cilat delegoni janë të vështira për t'u marrë nën kontroll. Autentifikimi kryhet përmes Keycloak për çdo person në llogari, në çdo platformë.
Puna e mbështetjes ndonjëherë nënkupton shikimin brenda llogarisë suaj. Kjo qasje rregullohet nga i njëjti model lejimesh si çdo gjë tjetër — stafi thjesht bën pjesë në një organizatë stafi, e organizuar në departamente me autorizime të ngushta.
Stafi është i grupuar në Mbështetje, Faturim dhe Financa, Keqpërdorim dhe Besim e Siguri, Shitje, Integrim, Inxhinieri dhe Operacione, Marketing dhe Menaxhim. Çdo rol jep module dhe veprime specifike, në mënyrë që një agjent të shohë pjesën e konsolës së administrimit që kërkon puna e tij dhe jo pjesën tjetër.
Roli Support Agent jep saktësisht këto leje: shikimin e klientëve, shikimin dhe përgjigjen ndaj kërkesave për ndihmë, shikimin e faqeve, rinisjen e një faqeje dhe pastrimin e memories së saj të fshehur. Ai nuk përmban konfigurimin e faturimit, rimbursimet, modifikimin e planeve dhe as menaxhimin e flotës. Ndërhyrja që një agjent mund të kryejë kufizohet nga roli, jo nga qëllimet e mira.
Leja customer.impersonate nuk është pjesë e rolit Manager — ajo mbahet vetëm nga Super Admin. Kur një seancë po ekzekutohet në emrin tuaj, paneli mban një baner të vazhdueshëm përfaqësimi, në mënyrë që të mos jetë kurrë e paqartë se kush po vepron.
Çdo veprim i privilegjuar dhe administrativ i shtohet një regjistri auditimi me të drejtë vetëm shtimi, i cili regjistron vepruesin, veprimin, objektivin, meta të dhënat ndihmëse, adresën IP dhe vulën kohore — i ndarë sipas kohës në prodhim. Pronarët dhe anëtarët vetëm me të drejtë leximi mund ta lexojnë vetë regjistrin e organizatës së tyre.
Veprimet e ndjeshme dhe shkatërruese të stafit mund të kërkojnë vërtetim të shkallëzuar ose miratim nga dy persona përpara se të ekzekutohen, dhe departamentet e rolet e reja janë çështje konfigurimi dhe jo ndryshim kodi.
Skriptet, linjat e përpunimit CI, CLI, ofruesi i Terraform-it dhe agjentët e inteligjencës artificiale autentikohen të gjithë përmes të njëjtit model lejeshow si njerëzit — pa kredenciale të përbashkëta njerëzore, pa sekrete afatgjata të ngjitura në një proces ndërtimi.
Çelësat i përkasin një organizate dhe mbajnë fushëveprime të hollësishme të lidhura me të njëjtat leje RBAC — vetëm lexim, faturim, provizionim. Jepini një tubacioni fushëveprimin e ngushtë që i nevojitet në vend të llogarisë së plotë të një anëtari.
Çelësat e modalitetit të testimit dhe modalitetit të drejtpërdrejtë janë të ndryshëm, kështu që një integrim në zhvillim e sipër nuk mund të ketë qasje në të dhënat e prodhimit aksidentalisht ose nëpërmjet një variabli mjedisi të kopjuar.
Ne ruajmë një përmbledhje SHA-256 të sekretit dhe një parashtesë kërkimi — kurrë çelësin e papërpunuar. Ju e shihni një çelës vetëm një herë gjatë krijimit. Çdo çelës gjurmon se kur është përdorur për herë të fundit dhe mund të revokohet më vete pa ndikuar në asgjë tjetër.
Serveri ynë MCP lejon çdo agjent me aftësi MCP të menaxhojë hostimin tuaj në gjuhë natyrore, i autentikuar me OAuth 2.1 dhe i kufizuar në fushëveprimin e organizatës dhe rolit tuaj RBAC, me tokena të revokueshëm për çdo mjet, konfirmim për veprimet shkatërruese, tavane shpenzimesh dhe regjistrim të plotë të auditimit.
Qasja në llogari dhe qasja në server janë probleme të ndryshme. Kredencialet në nivel faqeje menaxhohen në panelin e kontrollit, lëshohen me privilegje minimale dhe izolohen në mënyrë që terminali i një bashkëpunëtori të jetë terminali i vetëm një faqeje.
Një operator i vetëm mban një organizatë të vetme dhe një anëtarësim pronari, si dhe shton një rol zhvilluesi kur një kontraktor hyn për një projekt. Kur projekti përfundon, anëtarësimi hiqet dhe hyrja e tyre pushon së funksionuari menjëherë — nuk mbetet asnjë kredencial i përbashkët për t'u ndryshuar.
Një agjenci përdor pemën e organizatës. Çdo klient merr organizatën e vet vartëse, e cila mban faqet e atij klienti, dhe vetë stafi i klientit merr anëtarësime aty — vetëm për lexim për një palë të interesuar që dëshiron shikueshmëri, pronar për një klient që dëshiron vetëshërbim. Stafi juaj zotëron anëtarësime më lart në pemë dhe sheh të gjithë portofolin; një klient sheh vetëm degën e tij, dhe Siguria në Nivel Rreshti (Row-Level Security) është ajo që e bën këtë një realitet dhe jo thjesht një premtim.
Një rishitës funksionon në të njëjtën mënyrë, një nivel më lart: një organizatë rishitësi mban organizatat e klientëve, secila me anëtarët, pamjen e faturimit dhe faqet e veta. I njëjti element bazë fuqizon nënllogaritë, ekipet e agjencive dhe hierarkitë e rishitësve — nuk ka asnjë mekanizëm të veçantë dhe më të dobët për asnjë prej tyre.
Gjithçka është e disponueshme në provën 14-ditore pa kartë. Regjistrohuni pa detaje pagese, ftoni një koleg, vëzhgoni se çfarë mund dhe nuk mund të aksesojë secili rol dhe lexoni përsëri regjistrin tuaj të auditimit.
Sot, një anëtarësim jep rolin e tij në të gjithë organizatën dhe në gjithçka nën të në hierarki, kështu që mënyra për të ndarë grupet e faqeve është ndarja e organizatave — vendosini ato faqe në organizatën e tyre vartëse dhe jepni anëtarësimin atje. Ky është një model i qartë për agjencitë dhe rishitësit, ku çdo klient tashmë dëshiron kufirin e tij. Përcaktimi i fushëveprimit të burimeve për çdo anëtarësim, duke kufizuar një anëtarësim të vetëm në faqe të caktuara brenda një organizate, është një përmirësim i planifikuar dhe jo diçka e disponueshme tani.
Roli Zhvillues nuk përfshin fshirjen ose pezullimin e faqes — ato çelësa i përkasin rolit Pronar. Ai jep leje për shikimin dhe krijimin e faqeve, rinisjen e shërbimeve, pastrimin e memorjes së përkohshme, menaxhimin e çelësave API dhe punën me biletat. Lejet e vendosjes në punë dhe hedhjes në version përfundimtar nuk janë gjithashtu pjesë e të drejtave të Zhvilluesit, kështu që kalimi në prodhim mbetet në dorë të pronarit të llogarisë. Kombinojeni këtë me mjedisin provues në mënyrë që puna e ndërtimit të ndodhë që në fillim jashtë faqes live.
Kjo varet tërësisht nga roli i stafit, dhe çdo rol është një grup i ngushtë çelësash lejimi. Një agjent mbështetjeje, për shembull, mund të shikojë llogarinë dhe faqet tuaja, të shikojë dhe t'u përgjigjet kërkesave tuaja, të rinisë një faqe dhe të pastrojë memorien e saj të përkohshme — si dhe nuk mund të prekë konfigurimin e faturimit, rimbusjet, planet ose flotën. Hyrja si klient është një leje e veçantë që mbahet vetëm nga Super Admin, dhe kur kjo ndodh, paneli shfaq një shirit të vazhdueshëm impersonimi. Çdo veprim me privilegje regjistrohet në regjistrin e auditimit së bashku me autorin, veprimin, objektivin, adresën IP dhe vulën kohore, dhe ju mund ta lexoni vetë regjistrin e organizatës suaj.
Hiqni anëtarësimin dhe qasja e tyre në atë organizatë përfundon — ata ruajnë identitetin e tyre, por nuk kanë asnjë rol dhe rrjedhimisht asnjë leje në llogarinë tuaj. Çelësat API revokohen individualisht, kështu që një çelës linje transmetimi mund të ndërpritet pa shqetësuar asgjë tjetër. Nëse përdorni hyrjen e vetme SAML, heqja e autorizimit në ofruesin tuaj të identitetit menaxhon hyrjen në mënyrë qendrore. Kredencialet në nivel faqeje, siç janë çelësat SSH, revokohen në panelin e kontrollit, dhe vetë heqja regjistrohet në regjistrin e auditimit.
Jo — por ia vlen të jeni të saktë për arsyen. Çelësat API i përkasin organizatës, jo një anëtari individual, dhe ata mbartin hapësirat e tyre të detajuara të lidhura me të njëjtin katalog lejimesh. Kështu që, në vend që t'i jepni një çelës një personi, ju krijoni një çelës për punën që kryen me hapësirën më të ngushtë që i nevojitet asaj pune, dhe e revokoni atë çelës kur puna përfundon. Ruhet vetëm një hash i sekretit, dhe çdo çelës regjistron se kur është përdorur për herë të fundit, në mënyrë që çelësat e papërdorur të gjenden dhe të çaktivizohen lehtësisht.
Po. Serveri ynë MCP i autentifikon agjentët me OAuth 2.1 dhe i kufizon ata në organizatën tuaj dhe në rolin tuaj RBAC, me tokenë të revokueshëm për çdo mjet, në mënyrë që ju të jepni një aftësi specifike në vend të një aksesi të përgjithshëm. Veprimet shkatërruese kërkojnë konfirmim, zbatohen kufij shpenzimesh dhe çdo veprim regjistrohet në të njëjtin regjistër auditimi si aktiviteti njerëzor.
Siguria në nivel rreshti (Row-Level Security) e Postgres i kufizon kërkesat vetëm në nënpemën e organizatës së telefonuesit brenda vetë bazës së të dhënave, me filtrin e nivelit të aplikacionit si një mbrojtje e thelluar dhe jo si e vetmja linjë mbrojtëse. Kërkesat për regjistrime jashtë fushëveprimit kthejnë përgjigjen 'nuk u gjet' në vend të një gabimi lejeje, në mënyrë që të mos zbulohet asgjë për atë që ekziston. Nga ana e serverit, izolimi për çdo faqe nëpërmjet CageFS mban shell-in dhe skedarët e çdo klienti vetëm në faqen e tyre.
Po. Prova 14-ditore nuk kërkon kartë — as të dhëna pagese, as detyrim — dhe mbulon Footprint-Free Hosting me deri në pesë faqe interneti. Mjafton për të ftuar një koleg, për të caktuar një rol dhe për të konfirmuar se kufijtë sillen ashtu siç ju duhet para se të angazhoheni.
Filloni provën 14-ditore pa kartë krediti, ftoni dikë dhe shihni modelin e lejeve të bëjë punën e vet — role që mund t'i emërtoni, fusha veprimi që mund t'i revokoni dhe një regjistër auditimi që tregon saktësisht se kush çfarë ka bërë.
Filloni falas