Quyền truy cập được ủy quyền
Mời một nhà phát triển, chuyển giao việc thanh toán cho kế toán của quý vị, cấp cho khách hàng quyền chỉ xem đối với các trang web của chính họ hoặc để nhóm hỗ trợ của chúng tôi kiểm tra sự cố. Mỗi quyền cấp là một vai trò với các quyền hạn được xác định, có phạm vi trong một tổ chức, được thực thi trong cơ sở dữ liệu và được ghi vào nhật ký kiểm toán chỉ cho phép thêm mới.
Dùng chung một thông tin đăng nhập là nguyên nhân dẫn đến sự cố truy cập tài khoản. Trên Zinn Digital®, mỗi cá nhân đều có danh tính riêng và quyền truy cập là tư cách thành viên — một người dùng, một tổ chức và một vai trò — mà quý khách có thể độc lập cấp, thay đổi hoặc thu hồi.
Mỗi cộng tác viên đều đăng nhập với tư cách cá nhân thông qua Keycloak, lớp danh tính của chúng tôi. Không ai nhập mật khẩu của quý vị, không ai chia sẻ phiên trình duyệt và việc xóa ai đó chỉ là một thao tác duy nhất thay vì phải đổi mật khẩu rồi loay hoay tìm xem còn ai biết mật khẩu đó nữa.
Các tài khoản có tính phân cấp — tổ chức đại lý cấp dưới chứa các tổ chức khách hàng, và các tổ chức khách hàng chứa các trang web. Tư cách thành viên áp dụng cho một tổ chức và mọi thứ trực thuộc tổ chức đó, vì vậy bạn có thể bàn giao quyền kiểm soát tổ chức của chính họ cho khách hàng đại lý mà không bao giờ để lộ các khách hàng khác của mình.
Phân tách đối tượng thuê không phải là một bộ lọc trong mã ứng dụng mà lỗi có thể bỏ qua. Postgres Row-Level Security giới hạn phạm vi mọi truy vấn vào cây con của tổ chức người gọi, do đó yêu cầu ngoài phạm vi của quý vị sẽ không có gì để trả về.
Nếu quý vị yêu cầu một tổ chức hoặc trang web nằm ngoài phạm vi của mình, API sẽ phản hồi bằng lỗi không tìm thấy đơn thuần thay vì lỗi quyền truy cập. Lỗi quyền truy cập sẽ xác nhận bản ghi có tồn tại; còn lỗi không tìm thấy sẽ không tiết lộ bất kỳ thông tin nào cho người ngoài.
Các quyền là những khóa chi tiết — mô-đun cộng với hành động, chẳng hạn như sites.restart hoặc billing.refund — và các vai trò sẽ nhóm chúng lại. Bốn vai trò đáp ứng các nhu cầu của các nhóm thực tế, và mỗi vai trò là dữ liệu do chúng tôi khởi tạo, không phải là logic bị chôn vùi trong mã.
Toàn quyền kiểm soát: tạo tổ chức phụ, mời và xóa thành viên, thay đổi vai trò, quản lý khóa API, tạo, khởi động lại, xóa bộ nhớ cache, tạm ngưng và xóa trang web, xử lý thanh toán và hóa đơn, tạo yêu cầu hỗ trợ và xem nhật ký kiểm toán. Vai trò bạn giữ cho riêng mình.
Xem tổ chức, các thành viên và danh mục gói dịch vụ, đồng thời quản lý hóa đơn, phương thức thanh toán và các khoản phí. Không có quyền tạo, thay đổi hoặc xóa bất kỳ trang web nào — chính xác là vai trò phù hợp cho một kế toán viên bên ngoài.
Xem và tạo trang web, khởi động lại dịch vụ, xóa bộ nhớ đệm, quản lý khóa API và xử lý phiếu hỗ trợ. Cố ý loại trừ: thanh toán, hóa đơn, phương thức thanh toán, quản lý thành viên, đình chỉ trang web và xóa trang web. Nhà thầu có thể xây dựng mà không thể lập hóa đơn cho quý khách hoặc phá hủy bất kỳ thứ gì.
Xem tổ chức, các thành viên, các trang web, thanh toán, danh mục gói dịch vụ, yêu cầu hỗ trợ, trạng thái bản dịch và nhật ký kiểm tra — và không thể thay đổi bất kỳ mục nào. Quyền hạn phù hợp cho khách hàng muốn theo dõi thông tin, kiểm toán viên hoặc các bên liên quan chỉ có nhu cầu xem.
Việc ủy quyền truy cập chỉ an toàn nếu các tài khoản mà quý vị ủy quyền khó bị chiếm quyền điều khiển. Xác thực chạy qua Keycloak cho mọi người trên tài khoản, trên mọi giao diện.
Công việc hỗ trợ đôi khi đồng nghĩa với việc xem xét bên trong tài khoản của quý khách. Quyền truy cập đó được quản lý bởi cùng một mô hình phân quyền như mọi thứ khác — nhân viên chỉ đơn giản thuộc về một tổ chức nhân viên, được sắp xếp thành các bộ phận với những quyền hạn giới hạn.
Nhân viên được phân nhóm thành Hỗ trợ, Thanh toán và Tài chính, Lạm dụng và Tin cậy & An toàn, Bán hàng, Tiếp nhận nhân sự mới, Kỹ thuật và Vận hành, Tiếp thị, và Quản lý. Mỗi vai trò cấp quyền truy cập vào các mô-đun và hành động cụ thể, do đó nhân viên chỉ nhìn thấy phần bảng điều khiển quản trị mà công việc của họ yêu cầu chứ không nhìn thấy phần còn lại.
Vai trò Nhân viên Hỗ trợ cấp chính xác quyền sau: xem khách hàng, xem và trả lời phiếu hỗ trợ, xem trang web, khởi động lại trang web và xóa bộ nhớ đệm của trang web đó. Quyền này không bao gồm cấu hình thanh toán, hoàn tiền, chỉnh sửa gói dịch vụ và quản lý toàn bộ hệ thống. Các biện pháp khắc phục mà một nhân viên có thể thực hiện bị giới hạn bởi vai trò, chứ không phải bởi thiện chí.
Quyền customer.impersonate không thuộc vai trò Manager — quyền này chỉ do Super Admin nắm giữ. Khi một phiên làm việc đang chạy thay mặt cho quý vị, bảng điều khiển sẽ hiển thị biểu ngữ mạo danh liên tục để không bao giờ có sự nhập nhằng về việc ai đang thực hiện hành động.
Mọi hành động có đặc quyền và mang tính quản trị đều được nối thêm vào nhật ký kiểm toán chỉ cho phép ghi thêm, ghi lại tác nhân, hành động, mục tiêu, siêu dữ liệu hỗ trợ, địa chỉ IP và dấu thời gian — được phân vùng theo thời gian trong môi trường sản xuất. Chủ sở hữu và thành viên chỉ có quyền đọc có thể tự đọc nhật ký của tổ chức mình.
Các tác vụ nhạy cảm và có tính phá hủy của nhân viên có thể yêu cầu xác thực tăng cường hoặc sự phê duyệt của hai người trước khi được thực thi, đồng thời các phòng ban và vai trò mới là phần cấu hình chứ không phải là thay đổi mã.
Tập lệnh, quy trình CI, CLI, nhà cung cấp Terraform và các tác nhân AI đều xác thực thông qua cùng một mô hình phân quyền như con người — không dùng chung thông tin đăng nhập của con người, không có bí mật dài hạn nào được dán vào bản dựng.
Khóa thuộc về một tổ chức và mang các phạm vi chi tiết gắn liền với cùng các quyền RBAC — chỉ đọc, thanh toán, cấp phép. Hãy cấp cho quy trình phạm vi hẹp mà nó cần thay vì toàn bộ tài khoản của một thành viên.
Khóa chế độ thử nghiệm và chế độ thực tế là riêng biệt, vì vậy quá trình tích hợp đang phát triển không thể vô tình truy cập vào dữ liệu thực tế hoặc do biến môi trường bị sao chép.
Chúng tôi lưu trữ bản băm SHA-256 của chuỗi bí mật và tiền tố tra cứu — không bao giờ lưu khóa thô. Bạn chỉ thấy khóa một lần duy nhất khi tạo. Mỗi khóa đều theo dõi thời điểm được sử dụng lần gần nhất và có thể bị thu hồi độc lập mà không ảnh hưởng đến bất kỳ điều gì khác.
Máy chủ MCP của chúng tôi cho phép mọi tác nhân có khả năng MCP quản lý dịch vụ lưu trữ của quý khách bằng ngôn ngữ tự nhiên, được xác thực bằng OAuth 2.1 và được giới hạn phạm vi theo tổ chức cũng như vai trò RBAC của quý khách, với mã thông báo có thể thu hồi theo từng công cụ, xác nhận đối với các tác vụ phá hủy, hạn mức chi tiêu và ghi nhật ký kiểm toán đầy đủ.
Quyền truy cập tài khoản và quyền truy cập máy chủ là hai vấn đề khác nhau. Thông tin xác thực cấp trang web được quản lý trong bảng điều khiển, được cấp với đặc quyền tối thiểu và được cô lập để shell của một cộng tác viên chỉ là shell của một trang web.
Một người vận hành độc lập duy trì một tổ chức duy nhất và một tư cách thành viên chủ sở hữu, đồng thời thêm vai trò Nhà phát triển khi nhà thầu tham gia vào một dự án. Khi dự án kết thúc, tư cách thành viên sẽ bị xóa và thông tin đăng nhập của họ ngừng hoạt động ngay lập tức — không còn thông tin xác thực dùng chung nào cần phải xoay vòng.
Một công ty đại lý sử dụng cây tổ chức. Mỗi khách hàng sẽ có một tổ chức con riêng để lưu giữ các trang web của khách hàng đó, và nhân sự của chính khách hàng sẽ nhận tư cách thành viên tại đó — quyền chỉ đọc dành cho bên liên quan muốn theo dõi thông tin, quyền sở hữu dành cho khách hàng muốn tự quản trị. Nhân viên của quý vị giữ tư cách thành viên ở cấp cao hơn trên cây và thấy toàn bộ danh mục; khách hàng chỉ thấy nhánh của riêng họ, và Tính năng Bảo mật Cấp Hàng (Row-Level Security) chính là yếu tố biến điều đó thành hiện thực thay vì chỉ là một lời hứa.
Đại lý bán lại hoạt động theo cách tương tự, ở cấp cao hơn một bậc: tổ chức đại lý bán lại chứa các tổ chức khách hàng, mỗi tổ chức có thành viên, giao diện thanh toán và trang web riêng. Cùng một thành phần cơ bản này vận hành các tài khoản phụ, nhóm đại lý và hệ thống phân cấp đại lý bán lại — không có cơ chế riêng biệt, yếu hơn nào cho bất kỳ mục nào trong số đó.
Mọi tính năng đều khả dụng trong bản dùng thử 14 ngày không cần thẻ. Hãy đăng ký mà không cần thông tin thanh toán, mời đồng nghiệp, quan sát những gì từng vai trò có thể và không thể truy cập, cũng như xem lại nhật ký kiểm tra của chính quý vị.
Hiện tại, tư cách thành viên áp dụng vai trò của nó trên toàn bộ tổ chức và mọi thành phần bên dưới trong cấu trúc phân cấp, vì vậy cách phân tách các nhóm trang web là tách riêng các tổ chức — hãy đặt các trang web đó vào tổ chức con riêng và cấp tư cách thành viên tại đó. Đây là một mô hình rõ ràng dành cho các đại lý và nhà bán lại, nơi mỗi khách hàng đều muốn có ranh giới riêng của họ. Việc phân chia phạm vi tài nguyên theo từng tư cách thành viên, tức là gán một tư cách thành viên duy nhất cho các trang web được chỉ định trong một tổ chức, là một cải tiến đã được lên kế hoạch chứ chưa có sẵn vào lúc này.
Vai trò Nhà phát triển không bao gồm quyền xóa trang web hoặc tạm ngưng trang web — các quyền đó thuộc về vai trò Chủ sở hữu. Vai trò này cấp quyền xem và tạo trang web, khởi động lại dịch vụ, xóa bộ nhớ đệm, quản lý khóa API và xử lý phiếu hỗ trợ. Quyền triển khai và phát hành trực tiếp cũng không thuộc phạm vi cấp quyền của Nhà phát triển, vì vậy việc đưa lên môi trường thực tế vẫn thuộc về chủ sở hữu tài khoản. Hãy kết hợp điều đó với môi trường thử nghiệm (staging) để công việc xây dựng diễn ra bên ngoài trang web đang hoạt động ngay từ đầu.
Điều này phụ thuộc hoàn toàn vào vai trò của nhân viên, và mỗi vai trò là một tập hợp các khóa quyền hạn hạn chế. Ví dụ: Nhân viên hỗ trợ có thể xem tài khoản và các trang web của quý vị, xem và trả lời các yêu cầu hỗ trợ của quý vị, khởi động lại trang web và xóa bộ nhớ đệm của trang — đồng thời không thể can thiệp vào cấu hình thanh toán, hoàn tiền, các gói dịch vụ hoặc nhóm máy chủ. Việc đăng nhập dưới danh nghĩa khách hàng là một quyền hạn riêng biệt chỉ dành cho Super Admin, và khi điều này xảy ra, bảng điều khiển sẽ hiển thị biểu ngữ mạo danh liên tục. Mọi hành động có đặc quyền đều được ghi lại trong nhật ký kiểm toán cùng với người thực hiện, hành động, mục tiêu, IP và dấu thời gian, và quý vị có thể tự mình xem nhật ký của tổ chức mình.
Xóa tư cách thành viên và quyền truy cập của họ vào tổ chức đó sẽ chấm dứt — họ vẫn giữ danh tính riêng của mình, nhưng không còn vai trò và do đó không có quyền hạn nào trong tài khoản của bạn. Các khóa API được thu hồi riêng lẻ, do đó một khóa quy trình (pipeline) có thể bị cắt bỏ mà không làm ảnh hưởng đến bất kỳ điều gì khác. Nếu bạn sử dụng tính năng đăng nhập một lần SAML, việc hủy cấp phép trong nhà cung cấp danh tính của bạn sẽ xử lý việc đăng nhập một cách tập trung. Thông tin xác thực cấp trang web chẳng hạn như khóa SSH được thu hồi trong bảng điều khiển và chính việc xóa này sẽ được ghi lại trong nhật ký kiểm toán.
Không — nhưng điều quan trọng là cần nêu rõ lý do. Khóa API thuộc về tổ chức chứ không thuộc về từng thành viên riêng lẻ và chúng có các phạm vi chi tiết riêng gắn liền với cùng một danh mục quyền. Vì vậy, thay vì trao khóa cho một người, bạn tạo một khóa cho công việc mà khóa đó thực hiện với phạm vi hẹp nhất mà công việc đó cần, và thu hồi khóa đó khi công việc kết thúc. Hệ thống chỉ lưu trữ giá trị băm của khóa bí mật và mỗi khóa đều ghi lại thời điểm được sử dụng lần gần nhất để dễ dàng tìm cũng như vô hiệu hóa các khóa không dùng đến.
Có. Máy chủ MCP của chúng tôi xác thực các tác nhân bằng OAuth 2.1 và giới hạn phạm vi của chúng theo tổ chức cũng như vai trò RBAC của quý vị, với các mã thông báo có thể thu hồi theo từng công cụ, vì vậy quý vị cấp một khả năng cụ thể thay vì quyền truy cập toàn diện. Các hành động mang tính phá hủy cần có sự xác nhận, áp dụng giới hạn chi tiêu và mọi hành động đều được ghi lại trong cùng một nhật ký kiểm tra như hoạt động của con người.
Bảo mật cấp hàng (Row-Level Security) của Postgres giới hạn phạm vi truy vấn trong cây phụ tổ chức của đối tượng gọi ngay bên trong cơ sở dữ liệu, với bộ lọc cấp ứng dụng đóng vai trò là tầng phòng thủ theo chiều sâu thay vì là phòng tuyến duy nhất. Các yêu cầu đối với các bản ghi ngoài phạm vi sẽ trả về kết quả 'không tìm thấy' thay vì lỗi phân quyền, nhờ đó không làm lộ bất kỳ thông tin nào về những gì đang tồn tại. Về phía máy chủ, việc cô lập theo từng trang web thông qua CageFS giúp giữ shell và các tệp của mỗi bên thuê trong phạm vi trang web của riêng họ.
Vâng. Bản dùng thử 14 ngày không cần thẻ — không cần thông tin thanh toán, không ràng buộc — và áp dụng cho Footprint-Free Hosting với tối đa năm trang web. Khoảng thời gian này đủ để bạn mời một đồng nghiệp, phân chia vai trò và xác nhận các giới hạn hoạt động đúng theo nhu cầu trước khi cam kết.
Hãy bắt đầu với bản dùng thử 14 ngày không cần thẻ, mời ai đó và quan sát mô hình phân quyền hoạt động — các vai trò quý vị có thể đặt tên, phạm vi quý vị có thể thu hồi và nhật ký kiểm tra cho biết chính xác ai đã làm gì.
Bắt đầu miễn phí