โมเดล RBAC
การเข้าถึงระบบควบคุมดูแลโดยบทบาทการใช้งาน 3 ระดับและลำดับสิทธิ์การใช้ระบบ โดยทุกการกระทำของผู้ดูแลระบบจะถูกจำกัดขอบเขตการทำงานอย่างชัดเจน ได้แก่ ผู้ดูแลระบบแพลตฟอร์ม (platform_admin) จะมีสิทธิ์ควบคุมทุกองค์กร ผู้ดูแลระบบระดับองค์กร (org_admin) จะมีสิทธิ์จำกัดเฉพาะในองค์กรของตนเองเท่านั้น และสมาชิกทั่วไป (member) จะมีสิทธิ์แบบอ่านข้อมูลได้อย่างเดียวและจัดการเฉพาะข้อมูลของตนเอง ซึ่งรูปแบบการควบคุมสิทธิ์นี้มีผลบังคับใช้งานครอบคลุมทั้งบนหน้าเว็บ Console และระบบ API ตั้งค่าหลักทั้งหมด
เอกสารนี้เหมาะสำหรับใคร
ผู้ดูแลระบบความปลอดภัยและผู้ดูแลระบบหลักที่ทำหน้าที่จัดการกำหนดสิทธิ์การใช้งาน
บทบาทการใช้งาน
| บทบาทการใช้งาน | ขอบเขตการทำงาน | สิ่งที่กระทำได้ |
|---|---|---|
| Platform admin | ทุกองค์กรในระบบ | สร้างหรือลบองค์กร แต่งตั้งผู้ดูแลระบบองค์กร กำหนดราคาการใช้งานและวิธีลงชื่อเข้าใช้หลักของแพลตฟอร์ม และอ่านบันทึกประวัติการตรวจสอบกับการใช้งานของทุกองค์กร |
| Org admin | เฉพาะองค์กรของตนเอง | จัดการโครงการ สมาชิก ผู้ให้บริการ การกำหนดเส้นทาง งบประมาณ ระบบ guardrails เซิร์ฟเวอร์ MCP และระบบ SSO ขององค์กรตนเอง รวมถึงอ่านบันทึกประวัติการตรวจสอบและการใช้งานภายในองค์กรตนเอง |
| Member | บัญชีการใช้งานตนเอง | อ่านสถิติการใช้งานและประวัติคำขอที่ถูกบล็อกของตนเอง และจัดการข้อมูลคีย์ API ของตนเองได้ |
การกระทำใดๆ ของสมาชิกทั่วไป (member) ที่พยายามแก้ไขข้อมูลการตั้งค่าส่วนกลางจะถูกปฏิเสธ โดยระบบจะแสดงสถานะ "forbidden" อย่างชัดเจนและทำการบันทึกประวัติดังกล่าวเก็บไว้ในบันทึกการตรวจสอบระบบด้วย
วิธีการระบุบทบาทผู้ใช้
- Platform admin จะได้รับสิทธิ์จากการเป็นสมาชิกใน กลุ่ม (group) ของผู้ดูแลระบบที่กำหนดไว้ใน IdP ของคุณ หรือมาจากการระบุอีเมลผู้ดูแลระบบเริ่มต้นในลักษณะ break-glass เพื่อกู้คืนระบบ โดยปกติวิธีอ้างอิงตามกลุ่มใน IdP จะเป็นช่องทางหลักในการใช้งาน
- Org admin จะได้รับสิทธิ์จากรายการบันทึกสมาชิกที่ระบุบทบาท org_admin สำหรับองค์กรนั้นๆ
- Member เป็นบทบาทเริ่มต้นทั่วไปสำหรับผู้ใช้ที่ผ่านการยืนยันตัวตนเข้ามาใช้งานในองค์กร
การระบุบทบาทจะทำงานตาม ข้อมูลการยืนยัน (claims) ที่ส่งมาจากระบบ IdP ของคุณ เช่น ข้อมูลกลุ่มและอีเมล ซึ่งจะเชื่อมต่อผ่านทางหน้า ระบบยืนยันตัวตน SSO และ IdP และบัญชีผู้ใช้ใหม่จะถูกลงทะเบียนในระบบโดยอัตโนมัติเมื่อเข้าใช้งานครั้งแรก (Just-In-Time)
ระบบสิทธิ์ที่มีการบังคับใช้งานจริงไม่ใช่เพียงข้อแนะนำ
ระบบ API ตั้งค่าจะทำหน้าที่ตรวจสอบตัวตนที่ผ่านการยืนยันแล้วของผู้เรียกใช้งานในทุกๆ คำสั่ง
- ผู้ดูแลระบบองค์กร (org_admin) ที่พยายามกระทำการกับส่วนการทำงานขององค์กรอื่นจะถูกปฏิเสธทันที
- การพยายามขออ่านข้อมูลการใช้งานหรือบันทึกประวัติข้ามองค์กรจะถูกปฏิเสธ
- สมาชิกทั่วไป (member) จะมีสิทธิ์เข้าถึงเฉพาะปลายทางบริการตนเองเท่านั้น
การอนุมัติสิทธิ์การทำงานจะยึดตาม โทเค็นที่ผ่านการยืนยันความถูกต้องแล้ว (Verified token) เท่านั้น และไม่ใช้ข้อมูลใน header ที่ลูกค้าระบุเองซึ่งอาจถูกปลอมแปลงได้ โดยศึกษารายละเอียดได้ที่หน้า การเพิ่มความปลอดภัยให้ระบบ (Hardening)
แนวทางปฏิบัติในการกำหนดสิทธิ์ขั้นต่ำ (Least privilege)
- มอบสิทธิ์ org_admin ให้กับผู้ใช้กลุ่มที่เล็กที่สุดเท่าที่จำเป็นสำหรับการดูแลองค์กรเท่านั้น
- เก็บรายการอนุญาตอีเมล platform_admin ไว้สำหรับกรณีฉุกเฉิน (break-glass) เท่านั้น และแนะนำให้จัดการสิทธิ์ผ่านทางกลุ่มใน IdP เป็นหลัก
- ใช้งานระบบ งบประมาณและขีดจำกัดการใช้งานตามลำดับชั้น เพื่อควบคุมไม่ให้ผู้ใช้ที่มีสิทธิ์ทำงานเกินงบประมาณที่กำหนดไว้