صلاحيات على مستوى مساحة العمل تسري على كل مشروع وأصل فيها
نموذج وصول هرمي تسري فيه الصلاحيات الممنوحة على مساحة عمل أو مشروع على كل ما بداخله، ويُتحقق منها في كل طلب.
- الشريك
- شركة خدمات مهنية متعددة الجنسيات
- المدة
- من أكتوبر 2024 إلى يناير 2026
- قواعد وصول
- 9
- مباشرة، وعبر المجموعة، وبالملكية، وبرتبة الإجراء، ولكل منها صيغة بالوراثة، إضافة إلى قراءة المورد الأب
- أنواع رموز الوصول
- 3
- Entra ID، ورموز بين الخدمات، ورموز WebSocket قصيرة الأجل
- قمة التسلسل الهرمي
- مساحة العمل
- ثم المشاريع، ثم خطوط المعالجة والوكلاء ولوحات المعلومات ونقاط النهاية
التحدي
تتشارك الفرق بعض الأعمال وتُبقي غيرها خاصًا. ولا يصلح منح الوصول أصلًا بأصل حين يضم كل مشروع عددًا كبيرًا من خطوط المعالجة والوكلاء ولوحات المعلومات والنسخ.
ما بنيناه
نموذج سياسات مبني على Casbin يتبع التسلسل الهرمي لموارد المنصة. يمكن أن يأتي الوصول من منح مباشر، أو من مجموعة، أو من الملكية، أو من إجراء أعلى، أو من مورد أب، ويُفحص كل طلب بعد التحقق من هوية مُرسله.
ما تم تسليمه
- صلاحيات تُورث من مساحة العمل إلى المشروع إلى الأصل
- وصول قائم على المجموعات وقواعد للملكية
- التحقق من الهوية للمستخدمين والخدمات واتصالات WebSocket
نبذة عن الشريك
شريكنا شركة خدمات مهنية متعددة الجنسيات، تتعامل فرقها مع كميات كبيرة من المستندات وجداول البيانات وقواعد البيانات والبريد الإلكتروني. أرادت الشركة منصة داخلية واحدة تبني فيها هذه الفرق خطوط معالجة البيانات ووكلاء الذكاء الاصطناعي بنفسها، بدلًا من طلب تطبيق جديد لكل حاجة. وكان على المنصة أن تعمل ضمن بيئة Microsoft 365 وAzure لدى الشريك، وأن تفصل عمل كل فريق عن غيره، وأن تنقل العمل من التجربة إلى الإنتاج عبر بيئات مضبوطة.
التحدي
أصول أكثر من أن تُدار واحدًا تلو الآخر
يضم كل مشروع خطوط معالجة ووكلاء ولوحات معلومات ونقاط نهاية، مع نسخها. ومنح الوصول إلى كل منها على حدة بطيء ومعرّض للأخطاء.
أنواع مختلفة من الجهات المُرسِلة
تصل الطلبات من مستخدمين في المتصفح، ومن خدمات أخرى، وعبر اتصالات WebSocket طويلة الأمد.
التصفح يحتاج إلى سياق
المستخدم الذي يملك صلاحية الوصول إلى خط معالجة واحد يحتاج مع ذلك إلى رؤية المشروع ومساحة العمل اللذين يضمانه.
الأهداف
- منح الوصول مرة واحدة على المستوى المناسب ليسري على ما دونه
- دعم المجموعات والملكية
- ترتيب الإجراءات بحيث تشمل الصلاحية الأوسع الصلاحية الأضيق
- التحقق من هوية كل جهة مُرسِلة قبل فحص الصلاحيات
دورنا
تولّت كارسنترك القيادة التقنية والبنية المعمارية ضمن فريق هندسي متعدد التخصصات، وأسهمت مباشرة في التنفيذ. بُنيت المنصة على مدى 16 شهرًا، من أكتوبر 2024 إلى يناير 2026، بواجهة خلفية مبنية على Python وFastAPI وتعمل على Azure.
النطاق والجدول الزمني
بُني نموذج التفويض ومعالجة رموز الوصول بين مارس ويوليو 2025.
المنهجية
نمذجة التسلسل الهرمي صراحةً
تُربط الموارد في مخزن السياسات من الابن إلى الأب: الأصول بالمشاريع، والمشاريع بمساحات العمل. والسياسة المطبّقة على مورد أب تسري على أبنائه.
ترتيب الإجراءات
الإجراءات مرتبة، فالمستخدم المسموح له بإدارة مورد مسموح له أيضًا بقراءته.
فصل الهوية عن الصلاحية
تتحقق البرمجية الوسيطة (middleware) من الهوية أولًا، عبر استراتيجية HTTP أو WebSocket. ثم يجيب فحص السياسة عن سؤال واحد: هل يمكن لهذه الجهة تنفيذ هذا الإجراء على هذا المورد؟
التنفيذ
نموذج السياسات
تُقيَّم الطلبات بوصفها جهة وكائنًا وإجراءً. وتغطي القواعد الوصول المباشر، والوصول عبر المجموعة، والملكية، وتسلسل الإجراءات، والوراثة من المورد الأب، وقراءة المورد الأب عند إمكانية الوصول إلى أحد أبنائه.
تخزين السياسات
تُخزَّن السياسات في PostgreSQL عبر محوّل Casbin غير متزامن.
الهوية
يصادق المستخدمون برموز Microsoft Entra ID. وتستخدم الخدمات رموز وصول من آلة إلى آلة. وتستخدم اتصالات WebSocket رموز تفويض قصيرة الأجل تصدرها المنصة.
الأدوات والتقنيات
| الأداة | الغرض |
|---|---|
| Casbin | نموذج السياسات وتطبيقها |
| PostgreSQL | تخزين السياسات |
| Microsoft Entra ID | هوية المستخدمين |
| البرمجية الوسيطة في FastAPI | التحقق من الهوية |
| SQLAlchemy | محوّل سياسات غير متزامن |
ما تم تسليمه
- قواعد وصول
- 9
- مستويات هرمية
- 4
- أنواع رموز الوصول
- 3
- نموذج سياسات
- 1
- نموذج صلاحيات هرمي يُطبَّق على كل طلب
- قواعد للمجموعات والملكية ورتبة الإجراء
- التحقق من الهوية للمستخدمين والخدمات واتصالات WebSocket
- إظهار المورد الأب للمستخدمين الذين يملكون وصولًا إلى مورد تابع له
لماذا يهم ذلك
التحكم في الوصول الذي يطابق الطريقة التي تنظّم بها المؤسسة عملها فعلًا أسهل في الإدارة وأقل عرضة للخطأ. ونمذجة التسلسل الهرمي مرة واحدة تغني عن آلاف المنح الفردية.
إذا كانت مؤسستكم تخطط لمنصة من هذا النوع، أو تحتاج إلى تصميم جزء محدد منها وتنفيذه، يسعدنا أن نناقش ذلك معكم.