Autorisierung

Inhalt

3. Autorisierung#

Authentifizierung weist nach, wer eine Person ist. Die Autorisierung entscheidet, was diese Person tun darf. Diese Seite erläutert die Autorisierung in Nubus.

Nubus beantwortet Autorisierungsfragen mit der Komponente Guardian. Ein Dienst stellt dem Guardian eine Frage: Darf dieser Akteur diese Aktion an dieser Ressource ausführen? Der Guardian gibt eine Entscheidung zurück.

Der Guardian ist für die folgenden Installationen verfügbar:

Nubus for UCS:: Verfügbar seit 5.2-6. Der Guardian läuft auf einem Primary Directory Node oder auf einem Backup Directory Node.
Nubus for Kubernetes:: Nicht verfügbar. Keine Komponente einer Nubus Installation in Kubernetes fragt den Guardian nach Entscheidungen.

3.1. Wie Nubus zu einer Entscheidung kommt#

Nubus trennt die Entscheidung von ihrer Durchsetzung.

Entscheidungspunkt: Der Guardian bewertet die Anfrage anhand einer Menge von Richtlinien und gibt eine Entscheidung zurück, die die Anfrage erlaubt oder verweigert. Er blockiert die Anfrage nicht selbst.
Durchsetzungspunkt: Der Dienst, der gefragt hat, wendet das Ergebnis an. Er weist die Anfrage ab, blendet einen Menüeintrag aus oder filtert eine Liste von Objekten.

Diese Trennung hält die Autorisierungsregeln an einer Stelle. Jeder Dienst fragt dieselbe Engine und kommt daher bei derselben Frage zum selben Ergebnis.

Aus diesem Entwurf ergeben sich zwei Eigenschaften des Guardian:

Der Guardian hält keine Daten vor.: Er entscheidet anhand des Inhalts der Anfrage und der anwendbaren Richtlinien. Er liest weder den Identity Store noch eine Datenbank. Der Dienst, der den Guardian fragt, liefert alle Attribute, die die Richtlinien auswerten.
Der Guardian authentifiziert den Akteur nicht.: Der Dienst, der den Guardian fragt, authentifiziert zuerst den Akteur und ermittelt dessen Rollen. Erst danach fragt der Dienst nach einer Entscheidung.

3.2. Richtlinien#

Eine Richtlinie legt fest, welcher Akteur welche Aktion auf welcher Ressource ausführen darf. Der Guardian verwendet Cerbos als Engine für die Entscheidung. Daher verwenden die Richtlinien das Cerbos-Richtlinienformat.

Richtlinien sind Dateien, keine Datenbankeinträge. Sie können Änderungen an Ihren Autorisierungsregeln prüfen, die Richtlinien in der Versionsverwaltung verwalten und eine Richtlinienänderung testen, bevor Sie sie anwenden.

Siehe auch

Cerbos-Dokumentation: für das Richtlinienformat und die Referenzdokumentation zur Engine für die Entscheidungen.

3.2.1. Woher die Richtlinien kommen#

Eine Nubus Installation lädt Richtlinien aus zwei Quellen:

Richtlinien des Produkts: Nubus liefert eine Menge von Richtlinien mit der Software aus. Eine Aktualisierung der Software ersetzt sie.
Richtlinien einer Anwendung: Eine Anwendung liefert die Richtlinien für ihre eigenen Ressourcen. Sie registriert sie einmal in der Domäne. Jeder Server, auf dem der Guardian läuft, erhält dann dieselbe Menge.

Kein Administrator schreibt diese Richtlinien. Das Produkt und die Anwendungen liefern sie.

Warnung

Eine Richtlinienänderung wird wirksam, nachdem Sie den Guardian neu gestartet haben. Während des Neustarts schlagen Anfragen an den Guardian fehl. Planen Sie Richtlinienaktualisierungen wie andere Dienstaktualisierungen.

3.3. Was der Guardian nicht abdeckt#

Der Guardian beantwortet Autorisierungsfragen. Er verwaltet keine Benutzer, Gruppen oder Rollen. Verwenden Sie für diese Aufgaben die Management UI, wie in Management UI beschrieben.

Der Guardian hat keine Benutzeroberfläche. Nur Dienste fragen ihn nach Entscheidungen.