Beş sabit rol, her birinin ne işe yaradığı, hangisinin ne kadar veri gördüğü ve erişimin gerçekte nerede kararlaştırıldığı.

CID222'nin beş rolü vardır ve bu küme genişletilemez. Bir hesap için doğru rolü seçmek, erişim denetiminin büyük bölümüdür; gerisi çıkarma işlemidir. Bu sayfa yön verir — her rolün kimin için olduğu ve ne kadar veri gördüğü. Rolleri daraltma yordamı erişim denetimi sayfasındadır.

Sorun

İki ayrı soru birbirine karıştırılır. "Bu kişi neyi değiştirebilir?" hesabın rolüyle ilgili bir sorudur. "Bu kişiye hangi sayfalar sunulmalı?" ise sayfa matrisiyle ilgili bir sorudur. İkincisini birincisini düzenleyerek yanıtlamak, yönetemeyen bir yönetici ya da yönetebilen bir inceleyici üretir.

CID222 bunu nasıl yapar

Rol	Ne işe yarar	Okuduğu veri	Değişiklikler
`superadmin`	Cihazın sahibi. Hesapları yöneten ve erişim matrislerini düzenleyen tek rol	Her şey	Evet
`admin_user`	Günlük yönetim: güvenlik politikası, tespitler, uyumluluk, yönetişim, kanallar, platform işletimi	Kendi hesabı ve sahibi olduğu grupların üyeleri	Evet
`normal_user`	Ağ geçidinin son kullanıcısı	Yalnızca kendi verisi	Yalnızca kendi verisinde
`viewer`	Salt okunur bir gösterim hesabı	Her şey	Yok — değişiklik yapan her istek `READ_ONLY_ROLE` ile genel olarak reddedilir
`auditor`	Kanıtı onaylayan dış inceleyici	Tüm hesaplardaki uyumluluk, yönetişim ve denetim kayıtları; mesaj içeriği asla	Hayır

Bunlardan ikisi bir liste değil, üst kümedir: superadmin yapısı gereği her yeteneği taşır ve viewer, hangi uç noktaları çağırabildiğiyle değil isteğin niteliğiyle her yazma işleminden alıkonurken her okumaya erişir.

Kararın gerçekte verildiği yer

Birinin bir sayfayı kullanıp kullanamayacağına birbirinden bağımsız üç soru karar verir ve bunlardan yalnızca üçüncüsü bir ekranda düzenlenir:

Bu cihazda o modül var mı? Kurulu lisans katmanı karar verir. Bkz. paketler ve lisans katmanları.
Rol, sayfanın arkasındaki API'ye erişiyor mu? Denetleyicideki rol koşulu karar verir. Bu yapılandırma değil, koddur.
Sayfa role sunulmalı mı? Sayfa matrisi karar verir ve yalnızca çıkarma yapabilir.

Bilinmeye değer iki bilinçli tercih

viewer her şeyi görür, hiçbir şeyi değiştirmez. Güvenli bir HTTP yönteminde her rol koşulunu karşılar ve veri kapsamlandırma hizmetlerince genel okuyucu sayılır; yani kısıtlı bir hesap değil, gösterim ve inceleme hesabıdır. Birinin görebildiğini sınırlamak için kullanmayın.
auditor sohbete alınmaz. Sohbet oturumu tutan bir denetçi, müşterinin tokenlarını harcar ve onayladığı kanıta satır yazar; bu nedenle sohbet denetleyicisi ile oturum oluşturan iki işleyici bu rolü ROLE_NOT_FOR_CHAT ile reddeder. Oturum okumalarına dokunulmaz.

Sınırlar ve bilinen eksikler

Yetenek modeli gölge kipte çalışıyor. 60 yetenekli matris her istekte hesaplanır ve karşılaştırılır, ancak hiçbir şeyi zorlamaz; bugün zorlanan şey denetleyicideki rol koşulu ile sayfa matrisidir. Üretilen yetenek tablosunu yürürlükteki politika olarak değil, dekoratörlerin kendisiyle uzlaştırıldığı tasarım olarak okuyun. Karşılaştırma /admin/rbac/shadow-report adresinde açılır.
Rol koşulu bildirmeyen bir uç noktaya, oturum açmış her hesap erişebilir. Bu, dekoratör temelli bir modelin doğasıdır ve bunu genel olarak kapatmak yetenek katmanının amacıydı. Elle kapatıldığı tek yer sohbettir.
Filo yönetimi yalnızca superadmin'e açıktır. Uç nokta ajanı filolarında sahiplik sütunu yoktur; bu nedenle admin_user altında bir departman bir başkasının kayıt jetonunu döndürebilirdi. admin_user'ı yeniden içeri alacak filo sahipliği modeli izleniyor, ancak henüz sürüme girmedi.
Roller, kiracı bazlı kapsamlanmış bir politika değildir. Rol yetkiyi belirler; o yetkinin hangi kiracının verisine ulaştığına ayrıca, kapsam karar verir. Bkz. çok kiracılılık.

İlgili

Roller, yetenekler ve sayfalar — her rolün her yetenek ve her sayfa karşısındaki durumunu gösteren üretilmiş matris.
Erişim denetimi — bir role hangi sayfaların sunulduğunu daraltan ekran.
Kiracılar ve kullanıcılar — hesap oluşturma ve rol atama.

Rollere genel bakış