Ủy quyền truy cập
Mời nhà phát triển tham gia, giao việc thanh toán cho kế toán của bạn, cấp cho khách hàng quyền truy cập chỉ đọc vào trang web của chính họ hoặc để đội ngũ hỗ trợ của chúng tôi xem xét sự cố. Mỗi quyền cấp đều là một vai trò có các quyền xác định, được giới hạn trong một tổ chức, được thực thi trong cơ sở dữ liệu và được ghi vào nhật ký kiểm toán chỉ-ghi.
Việc dùng chung một thông tin đăng nhập là nguyên nhân khiến quyền truy cập tài khoản gặp rủi ro. Trên Zinn Digital®, mỗi người đều có danh tính riêng và quyền truy cập là một tư cách thành viên — gồm một người dùng, một tổ chức và một vai trò — mà bạn có thể cấp, thay đổi hoặc thu hồi một cách độc lập.
Mỗi cộng tác viên đăng nhập bằng tài khoản của chính họ thông qua Keycloak, lớp định danh của chúng tôi. Không ai phải nhập mật khẩu của bạn, không ai chia sẻ phiên trình duyệt và việc xóa quyền truy cập của một người chỉ là một thao tác duy nhất thay vì phải đổi mật khẩu và tìm cách xem còn ai khác biết mật khẩu đó hay không.
Tài khoản có tính phân cấp — tổ chức đại lý chứa các tổ chức khách hàng và tổ chức khách hàng chứa các trang web. Tư cách thành viên áp dụng cho một tổ chức và mọi thứ bên dưới tổ chức đó, do đó bạn có thể giao quyền kiểm soát tổ chức của riêng họ cho một khách hàng đại lý mà không bao giờ để lộ các khách hàng khác của bạn.
Sự phân tách đối tượng thuê không phải là một bộ lọc trong mã ứng dụng mà một lỗi có thể bỏ qua. Bảo mật cấp hàng trong Postgres giới hạn phạm vi của mọi truy vấn trong cây tổ chức của người gọi, vì vậy một yêu cầu nằm ngoài phạm vi của bạn sẽ không có gì để trả về.
Khi bạn yêu cầu thông tin về một tổ chức hoặc trang web nằm ngoài phạm vi của mình, API sẽ trả về phản hồi không tìm thấy thay vì lỗi quyền hạn. Lỗi quyền hạn sẽ xác nhận rằng bản ghi đó tồn tại; còn phản hồi không tìm thấy sẽ không tiết lộ bất kỳ điều gì cho người ngoài.
Quyền hạn là các khóa chi tiết — mô đun cộng với thao tác, như sites.restart hoặc billing.refund — và các vai trò sẽ nhóm chúng lại với nhau. Bốn vai trò đáp ứng các cấu trúc mà các đội ngũ thực tế cần, và mỗi vai trò là dữ liệu chúng tôi khởi tạo, chứ không phải logic ẩn trong mã nguồn.
Toàn quyền kiểm soát: tạo tổ chức con, mời và xóa thành viên, thay đổi vai trò, quản lý khóa API, tạo, khởi động lại, dọn dẹp, đình chỉ và xóa trang web, xử lý thanh toán và hóa đơn, gửi yêu cầu hỗ trợ và đọc nhật ký kiểm toán. Vai trò bạn giữ lại cho chính mình.
Xem tổ chức, các thành viên và danh mục gói cước, đồng thời quản lý hóa đơn, phương thức thanh toán và các khoản phí. Không có quyền tạo, thay đổi hoặc xóa một trang web đơn lẻ — hoàn toàn phù hợp với vai trò của một nhân viên kế toán bên ngoài.
Xem và tạo trang web, khởi động lại dịch vụ, xóa bộ nhớ đệm, quản lý khóa API và xử lý các yêu cầu hỗ trợ. Cố ý loại trừ: thanh toán, hóa đơn, phương thức thanh toán, quản lý thành viên, tạm ngưng trang web và xóa trang web. Nhà thầu có thể xây dựng mà không thể tính phí bạn hoặc phá hủy bất cứ thứ gì.
Xem được tổ chức, các thành viên, các trang web, thông tin thanh toán, danh mục gói dịch vụ, yêu cầu hỗ trợ, trạng thái dịch thuật và nhật ký kiểm toán — nhưng không thể thay đổi bất kỳ mục nào. Quyền hạn phù hợp cho khách hàng muốn theo dõi, kiểm toán viên, hoặc bên liên quan chỉ cần xem.
Việc ủy quyền truy cập chỉ an toàn nếu các tài khoản mà bạn ủy quyền khó bị chiếm đoạt. Quá trình xác thực chạy qua Keycloak cho mọi cá nhân trên tài khoản, trên mọi giao diện.
Công việc hỗ trợ đôi khi đòi hỏi phải xem xét bên trong tài khoản của bạn. Quyền truy cập đó được quản lý theo cùng một mô hình phân quyền như mọi thứ khác — nhân viên chỉ đơn giản là nằm trong một tổ chức nhân viên, được sắp xếp thành các phòng ban với các quyền hạn chế.
Nhân viên được chia thành các nhóm Hỗ trợ, Thanh toán và Tài chính, Lạm dụng và Tin cậy-và-An toàn, Bán hàng, Onboarding, Kỹ thuật và Vận hành, Tiếp thị, và Quản lý. Mỗi vai trò cấp quyền truy cập vào các mô-đun và thao tác cụ thể, nhờ đó một nhân viên hỗ trợ chỉ nhìn thấy phần của bảng điều khiển quản trị mà công việc của họ yêu cầu chứ không thấy các phần còn lại.
Vai trò Hỗ trợ viên cấp chính xác quyền này: xem khách hàng, xem và trả lời phiếu hỗ trợ, xem các trang web, khởi động lại trang web và xóa bộ nhớ đệm của trang. Vai trò này không bao gồm cấu hình thanh toán, hoàn tiền, chỉnh sửa gói dịch vụ hay quản lý hệ thống. Các biện pháp khắc phục mà một nhân viên hỗ trợ có thể thực hiện được giới hạn bởi vai trò, chứ không phải bởi thiện chí.
Quyền customer.impersonate không thuộc vai trò Quản lý — quyền này chỉ dành riêng cho Siêu Quản trị viên. Khi một phiên làm việc đang chạy thay mặt bạn, trang tổng quan sẽ hiển thị biểu ngữ giả mạo liên tục để không bao giờ có sự nhầm lẫn về người đang thao tác.
Mọi hành động đặc quyền và hành chính đều được ghi thêm vào nhật ký kiểm toán chỉ-ghi-thêm, ghi lại tác nhân, hành động, mục tiêu, siêu dữ liệu hỗ trợ, địa chỉ IP và dấu thời gian — được phân vùng theo thời gian trong môi trường sản xuất. Chủ sở hữu và thành viên chỉ-đọc có thể tự đọc nhật ký của tổ chức mình.
Các thao tác nhạy cảm và mang tính hủy diệt của nhân viên có thể yêu cầu xác thực tăng cường hoặc sự phê duyệt từ hai người trước khi thực hiện, đồng thời các phòng ban và vai trò mới là cấu hình chứ không phải là thay đổi mã nguồn.
Tập lệnh, đường ống CI, giao diện dòng lệnh CLI, nhà cung cấp Terraform và các tác nhân AI đều xác thực thông qua cùng một mô hình phân quyền như con người — không có thông tin xác thực chung của con người, không có bí mật có thời gian tồn tại lâu được dán vào bản dựng.
Khóa thuộc về một tổ chức và mang các phạm vi chi tiết gắn liền với các quyền RBAC tương ứng — chỉ đọc, thanh toán, cấp phép. Hãy cấp cho một pipeline phạm vi hẹp mà nó cần thay vì toàn bộ tài khoản của một thành viên.
Khóa ở chế độ kiểm tra và chế độ trực tiếp hoàn toàn tách biệt, do đó một tích hợp đang trong quá trình phát triển không thể truy cập vào dữ liệu sản xuất do sơ suất hoặc do biến môi trường bị sao chép.
Chúng tôi lưu trữ mã băm SHA-256 của bí mật và một tiền tố tra cứu — không bao giờ lưu khóa thô. Bạn chỉ nhìn thấy khóa một lần khi tạo. Mỗi khóa theo dõi thời điểm được sử dụng lần cuối và có thể bị thu hồi độc lập mà không ảnh hưởng đến bất kỳ thứ gì khác.
Máy chủ MCP của chúng tôi cho phép bất kỳ tác nhân hỗ trợ MCP nào quản lý dịch vụ lưu trữ của bạn bằng ngôn ngữ tự nhiên, được xác thực bằng OAuth 2.1 và giới hạn theo tổ chức cũng như vai trò RBAC của bạn, với mã thông báo có thể thu hồi cho từng công cụ, xác nhận đối với các thao tác hủy diệt, hạn mức chi tiêu và ghi nhật ký kiểm toán đầy đủ.
Quyền truy cập tài khoản và quyền truy cập máy chủ là hai vấn đề khác nhau. Thông tin đăng nhập ở cấp trang web được quản lý trong bảng điều khiển, cấp theo nguyên tắc đặc quyền tối thiểu và được cách ly để shell của một cộng tác viên chỉ là shell của một trang web đó.
Một người vận hành độc lập duy trì một tổ chức duy nhất và một tư cách thành viên chủ sở hữu, đồng thời thêm vai trò Lập trình viên khi một nhà thầu tham gia vào một dự án. Khi dự án kết thúc, tư cách thành viên sẽ bị xóa và quyền đăng nhập của họ ngừng hoạt động ngay lập tức — không còn thông tin xác thực được chia sẻ nào bị bỏ lại để phải thay đổi.
Một cơ quan sử dụng cây tổ chức. Mỗi khách hàng có một tổ chức con riêng, chứa các trang web của khách hàng đó và nhân sự của khách hàng đó có tư cách thành viên tại đó — chỉ có quyền đọc đối với bên liên quan muốn có khả năng hiển thị, quyền sở hữu đối với khách hàng muốn tự phục vụ. Nhân viên của bạn giữ các tư cách thành viên ở cấp cao hơn trong cây và nhìn thấy danh mục đầu tư; khách hàng chỉ thấy chi nhánh của riêng họ và Bảo mật cấp hàng là yếu tố biến điều đó thành sự thật chứ không phải là một lời hứa.
Đại lý bán lại hoạt động theo cách tương tự, nhưng ở cấp độ cao hơn một bậc: một tổ chức đại lý chứa các tổ chức khách hàng, mỗi tổ chức lại có các thành viên, giao diện thanh toán và trang web riêng của mình. Cùng một cơ chế cơ bản đó vận hành các tài khoản phụ, nhóm đại lý và hệ thống phân cấp đại lý — không hề có cơ chế nào riêng biệt hay kém mạnh mẽ hơn dành cho bất kỳ đối tượng nào trong số đó.
Tất cả đều có sẵn trong bản dùng thử 14 ngày không cần thẻ. Đăng ký mà không cần thông tin thanh toán, mời đồng nghiệp, xem những gì từng vai trò có thể và không thể truy cập, đồng thời đọc lại nhật ký kiểm toán của chính bạn.
Hiện tại, một tư cách thành viên cấp quyền vai trò của nó trên toàn bộ tổ chức và mọi thứ bên dưới trong cây phân cấp, vì vậy cách để tách biệt các tập hợp trang web là tách rời các tổ chức — hãy đặt các trang web đó vào tổ chức con của riêng chúng và cấp tư cách thành viên ở đó. Đây là một mô hình gọn gàng dành cho các đại lý và đơn vị bán lại, nơi mỗi khách hàng đã muốn có ranh giới riêng của họ. Phạmvi tài nguyên theo từng tư cách thành viên, ghim một tư cách thành viên duy nhất vào các trang web được chỉ định trong một tổ chức, là một cải tiến được lên kế hoạch thay vì tính năng có sẵn ngay bây giờ.
Vai trò Lập trình viên không có quyền xóa hoặc tạm ngưng trang web — các quyền đó thuộc về vai trò Chủ sở hữu. Vai trò này cấp quyền xem và tạo trang web, khởi động lại dịch vụ, xóa bộ nhớ đệm, quản lý khóa API và xử lý ticket. Quyền triển khai và đẩy lên môi trường trực tiếp cũng không nằm trong phạm vi của Lập trình viên, vì vậy việc đưa lên môi trường sản xuất vẫn thuộc về chủ sở hữu tài khoản. Hãy kết hợp điều đó với môi trường thử nghiệm để công việc xây dựng diễn ra tách biệt với trang web trực tiếp ngay từ đầu.
Điều này hoàn toàn phụ thuộc vào vai trò của nhân viên, và mỗi vai trò là một tập hợp các khóa quyền hạn giới hạn. Ví dụ: một Nhân viên Hỗ trợ có thể xem tài khoản và các trang web của bạn, xem và trả lời các ticket của bạn, khởi động lại một trang web và xóa bộ nhớ đệm — nhưng không thể chạm vào cấu hình thanh toán, tiền hoàn lại, các gói dịch vụ hoặc hệ thống máy chủ. Đăng nhập với tư cách là khách hàng là một quyền riêng biệt chỉ Quản trị viên Tối cao mới có, và khi điều đó xảy ra, bảng điều khiển sẽ hiển thị một biểu ngữ mạo danh liên tục. Mọi hành động có đặc quyền đều được ghi lại trong nhật ký kiểm toán với thông tin về người thực hiện, hành động, mục tiêu, IP và dấu thời gian, và bạn có thể tự mình đọc nhật ký của tổ chức mình.
Xóa tư cách thành viên và quyền truy cập của họ vào tổ chức đó sẽ chấm dứt — họ vẫn giữ định danh riêng của mình, nhưng không còn vai trò và do đó không có quyền hạn nào trong tài khoản của bạn. Các khóa API được thu hồi riêng lẻ, vì vậy khóa đường ống (pipeline) có thể bị cắt mà không làm ảnh hưởng đến bất kỳ thứ gì khác. Nếu bạn sử dụng đăng nhập một lần SAML, việc ngắt cấp quyền trong nhà cung cấp danh tính của bạn sẽ quản lý việc đăng nhập một cách tập trung. Thông tin xác thực cấp trang web chẳng hạn như khóa SSH được thu hồi trong bảng điều khiển và bản thân việc xóa sẽ được ghi lại nhật ký kiểm toán.
Không — nhưng cần phải hiểu rõ lý do. Khóa API thuộc về tổ chức chứ không phải cá nhân thành viên, và chúng mang các phạm vi chi tiết riêng gắn liền với cùng một danh mục quyền. Vì vậy, thay vì giao khóa cho một người, bạn hãy tạo khóa cho công việc mà nó thực hiện với phạm vi hẹp nhất mà công việc đó cần, và thu hồi khóa đó khi công việc kết thúc. Chỉ có mã băm của chuỗi bí mật được lưu trữ, và mỗi khóa ghi lại thời điểm sử dụng gần nhất để các khóa không dùng đến dễ dàng được tìm thấy và thu hồi.
Vâng. Máy chủ MCP của chúng tôi xác thực các tác nhân bằng OAuth 2.1 và giới hạn phạm vi theo tổ chức cũng như vai trò RBAC của bạn, với các mã thông báo có thể thu hồi cho từng công cụ, nhờ đó bạn cấp một quyền hạn cụ thể thay vì quyền truy cập toàn diện. Các hành động mang tính hủy diệt yêu cầu xác nhận, các giới hạn chi tiêu được áp dụng và mọi hành động đều được ghi lại trong cùng một nhật ký kiểm tra giống như hoạt động của con người.
Bảo mật cấp dòng (Row-Level Security) của Postgres giới hạn các truy vấn trong phạm vi cây tổ chức của người gọi ngay tại cơ sở dữ liệu, với bộ lọc ở cấp ứng dụng đóng vai trò phòng thủ chiều sâu thay vì là tuyến phòng thủ duy nhất. Các yêu cầu truy xuất bản ghi nằm ngoài phạm vi sẽ trả về kết quả không tìm thấy thay vì lỗi quyền truy cập, nhờ đó không có thông tin nào bị lộ về những gì tồn tại. Ở phía máy chủ, tính năng cô lập theo từng trang web thông qua CageFS giúp giữ cho shell và tệp của mỗi khách thuê chỉ nằm trong trang web của riêng họ.
Vâng. Bản dùng thử 14 ngày không cần thẻ — không cần thông tin thanh toán, không ràng buộc — và áp dụng cho Footprint-Free Hosting với tối đa năm trang web. Khoảng thời gian này đủ để bạn mời một đồng nghiệp, phân chia vai trò và xác nhận các giới hạn hoạt động đúng theo nhu cầu trước khi cam kết.
Bắt đầu dùng thử 14 ngày không cần thẻ, mời thêm một người và kiểm chứng mô hình phân quyền hoạt động — các vai trò bạn có thể đặt tên, phạm vi bạn có thể thu hồi và nhật ký kiểm toán ghi lại chính xác ai đã làm gì.
Dùng thử miễn phí