Organisatsioonid

OpenFactory organization API salvestab organisatsioonide liikmelisused ning valikulised groups, units ja teams. See pakub ka sihte conversations/variants jagamiseks.

organization
├── members: owner | admin | member
├── groups: organization-level sharing collections
└── units
    ├── unit members
    └── teams
        └── team members

See hierarhia on sisend autoriseerimisele. Rolli silt ei tõesta, et iga build, VM, download või deployment endpoint rakendaks kavandatud policy’t. Vaadake Rollid ja õigused, et näha, milliseid marsruute iga roll praegu haldab.

Põhiobjektid

• Organization: ülemise taseme liikmelisuse ja administreerimise piir. Kasutaja võib kuuluda mitmesse organizations.
• Group: nimetatud organization liikmete kogum share sihtmärgina; see ei ole administratiivne hierarhia.
• Unit: osakonnalaadne konteiner oma liikmelisuse ja salvestatud workflow rollidega.
• Team: unit alamüksus oma liikmelisuse ja salvestatud workflow rollidega.

Kasutajad peavad olema organization liikmed enne, kui neid lisatakse struktuuris allpool.

Turvaline seadistusjärjekord

1. Looge organization; looja saab owner’iks.
2. Lisage teine vastutav owner enne, kui toetute organization püsivates operatsioonides.
3. Kutsuge kasutajaid täpsetele e-posti aadressidele ja määrake madalaim vajalik organization roll.
4. Lisage units või teams ainult siis, kui nende ulatus muudab tegelikku workflow’d.
5. Testige ühte lubatud ja ühte keelatud tegevust iga esindusrolli puhul.
6. Kontrollige share ja liikmelisuse käitumist pärast rolli eemaldamist ja seansi värskendamist.

Kutsed aeguvad ja need peab aktsepteerima konto, mille e-post vastab kutsele. Ärge edastage invite token’e piletites ega avalikes logides.

Kontekst ja omandiõigus

Organization valik võib mõjutada nähtavaid koostööandmeid, kuid üksikutel resources kehtivad endiselt owner ja share reeglid. Ärge järeldage juurdepääsu privaatsele build’ile või artifact’ile ainult seetõttu, et kaks kasutajat kuuluvad samasse organization’i. Kasutage selget jagamist, kus see on toetatud, ja testige download/VM tegevust eraldi.

Isolatsiooni tõend

Organization ja sharing marsruudid teevad membership checks ja same-organization validation oma piiratud operatsioonide jaoks. „Tenant isolation“ on laiem süsteemi omadus ja vajab cross-tenant denied-path teste conversations, builds, artifacts, VMs, API, cache, exports ja logs ulatuses. Ärge kasutage ainult organization hierarhiat selle tõendina.

Administreerimise kaitse

• Toetatud on mitu owners; ainus owner ei saa lahkuda.
• Ainult owner saab teise owner’iks edutada või organization kustutada.
• Kustutamine ja liikmelisuse eemaldamine võivad mõjutada sõltuvat juurdepääsu. Inventeerige esmalt shares, units, teams, aktiivsed seansid ja owned resources.
• Säilitage väline audit kirje, kui teie policy seda nõuab; praegune rollide loend ei ole ajalooline audit trail.

Jätkake lehtedega Jagamine ja Üksused ja meeskonnad.