Rollen, groepen en rechten

Rechten van personen lopen alleen via groepen. Bedrijfsrollen en platformrollen in midPoint worden groepen in Keycloak; de toegangsvoorziening geeft bij iedere aanmelding en vernieuwing de actuele groepen mee in het toegangsbewijs, de groups-claim vult de groepen in OpenShift en de andere diensten, en rolbindingen voor personen verwijzen alleen naar groepen. Geen rolbinding of productrol verwijst naar een persoon.

Het rollenmodel van de eerste levering telt tien rollen, elk met een vaste toekenning en herbeoordeling.

Iedere rol heeft een groep met vaste rechten op de clusters, de platformdiensten en de werkplek.

Groepen, clients en technische identiteiten dragen de cel in hun naam, eventueel het team, en de rol, zoals ‘c1-platformbeheer-verhoogd’; vlootbrede groepen beginnen met ‘vloot’, zoals ‘vloot-vlootbeheer-beheerder’. Zij geven alleen rechten in die cel, behalve de vlootbrede groepen.

Toegang wordt afgedwongen met rolgebaseerde toegangscontrole, met scheiding tussen cluster- en naamruimtebeheerders.

Minimale rechten gelden voor alle gebruikers, serviceaccounts, operators en werklasten.

Een teameigenaar voegt teamleden toe en verwijdert ze, beoordeelt de verhogingen van het team en vraagt diensten aan in het portaal. Een teamontwikkelaar vraagt een verhoging aan via het portaal of de opdrachtregel en keurt die van een teamgenoot goed. Het applicatieteam spreekt met de eigenaar van een bron de rol van de applicatie-identiteit af, vastgelegd in de dienstbeschrijving. Groepen of clients maken, rolbindingen aan personen geven, een identiteitsaanbieder toevoegen, een eigen aanvraag goedkeuren of de platformpool bereiken kan een team niet.

Vlootdiensten melden zich aan bij de toegangsvoorziening van de leidende cel, cel 1. Wie een vlootbrede rol heeft, staat als code in de opslagplaats Platform en geldt in iedere cel; verhogingen op het vlootcluster kent alleen de leidende cel toe. Cel 2 past dezelfde code toe, zonder koppeling tussen de cellen, en wordt na uitsluiting van cel 1 leidend.

Ten hoogste vier personen hebben de rol ‘vlootbeheer-beheerder’ en kunnen dus verhoogde rechten op het vlootcluster krijgen. Samenvoegen in de opslagplaats Beleid en in het rollenmodel vraagt twee goedkeuringen naast de auteur, zonder zelfgoedkeuring, op een beschermde hoofdtak met eigenaarsbestand.

Niemand krijgt een onverenigbare combinatie van rollen, en niemand keurt een eigen aanvraag of een eigen wijzigingsvoorstel goed.

Teamrollen worden ieder half jaar herbeoordeeld, andere blijvende rollen en technische identiteiten ieder kwartaal, met campagnes per rolsoort in midPoint. Rechten die na de termijn niet zijn beoordeeld, vervallen.

Iedere technische identiteit, zoals een serviceaccount, heeft een eigenaar, een registratie, rechten voor één taak binnen de eigen naamruimte, geen interactieve aanmelding en sleutels van ten hoogste 90 dagen. Rechten buiten de eigen naamruimte krijgt zij alleen voor vastgelegde platformtaken, zoals uitrol, back-up en vlootbeheer.

Serviceaccounts worden per naamruimte beheerd en krijgen alleen de minimaal benodigde rechten.

Een technische identiteit heeft nooit een account in de realm platform. Technische identiteiten en applicatie-identiteiten hangen zo niet af van de toegangsvoorziening: uitrol, back-up, automatisering en toepassingen werken door als die uitvalt.

Iedere toepassing heeft een eigen serviceaccount, zonder automatisch gekoppeld toegangsbewijs, en een applicatie-identiteit. De rechten bij een bron bepaalt de eigenaar van die bron.

Het gebonden serviceaccounttoken, ten hoogste 1 uur geldig, dient de aanmelding bij het geheimenbeheer via Kubernetes-authenticatie, met een eigen aanmeldpad per cluster. De SPIFFE-identiteit dient andere diensten en bestaande systemen: een X.509-certificaat van 24 uur voor wederzijdse TLS, of een JWT voor systemen die geen certificaat kunnen controleren. Het vertrouwensdomein is het domein van de cel; de SPIFFE-ID bevat cluster, naamruimte en serviceaccount.

Een bron herkent een applicatie-identiteit aan een X.509-certificaat onder de tussen-CA van de cel, of aan een JWT met de sleutels van het ontdekkingsadres van het cluster; per bron ligt vast welke. Voor een dienst met het profiel bedrijfskritische productie registreert de bron de identiteit uit beide cellen, zodat een overname geen nieuwe afspraak vraagt.