Autorizzazioni e accesso API
In che modo Secani applica i privilegi minimi tra organizzazioni, aree di lavoro, ambiti di governance, agenti e chiavi API OSCAL.
Secani separa identità, appartenenza alle risorse e capacità individuali. L'accesso viene valutato a livello dell'organizzazione, dell'area di lavoro o del limite dell'ambito di governance, quindi una persona o un agente connesso riceve solo il contesto richiesto per il lavoro assegnato. Un accesso ampio non implica un accesso ampio ai dati.
Limiti dei permessi
| Confine | Contenuto tipico | Esempi di effetti di capacità |
|---|---|---|
| Organizzazione | Membri, ruoli, impostazioni, cataloghi, chiavi API | lettura, lettura sensibile, scrittura, amministrazione |
| Spazio di lavoro | Integrazioni, importazioni, esportazioni, ambiti | lettura, scrittura, lettura sensibile, amministrazione |
| Ambito di governance | Controlli, evidenze, rischi, obblighi, valutazioni, OSCAL | lettura, lettura sensibile, scrittura, approvazione, amministrazione |
Le funzionalità utilizzano nomi stabili e specifici dell'attività come evidence.read, evidence.create, risk.read, risk.write, oscal.read, E oscal.export. Lettura, lettura sensibile, scrittura, approvazione e amministrazione sono effetti separati anziché un flag di accesso per tutti gli usi.
Privilegio minimo dell'agente
Solo le funzionalità esplicitamente contrassegnate come assegnabili all'agente possono essere concesse alla registrazione di un agente. La responsabilità umana rimane un confine rigido: le capacità di approvare prove, accettare rischi, pubblicare risultati di garanzia, gestire autorizzazioni, eseguire operazioni sulla privacy o approvare la proposta di un agente non sono assegnabili all'agente.
Avvia un'integrazione con funzionalità di sola lettura nell'ambito di governance più ristretto. Aggiungi funzionalità di lettura o scrittura sensibili solo quando il flusso di lavoro le richiede. Mantieni l'approvazione con una persona identificata, esamina le modifiche proposte prima dell'esecuzione e ritira l'accesso al termine dell'attività.
API OSCAL pubblica
L'API pubblica di convalida OSCAL ha due modalità di accesso:
- Le richieste anonime non richiedono account o credenziali e ricevono limiti di tariffa base documentati.
- Un facoltativo
sk_oscal_la chiave portante aumenta i limiti della velocità di convalida. Ha il ruolo di chiave API fissooscal-validatore solo iloscal.validatecapacità.
| Credenziali | Ruolo chiave API | Capacità | Confine delle risorse | Esplicitamente escluso |
|---|---|---|---|---|
| Nessuno | anonimo | oscal.validate ai limiti di base | API di convalida OSCAL pubblica | Tutti i dati dell'organizzazione e dello spazio di lavoro |
sk_oscal_ chiave al portatore | oscal-validator | oscal.validate ai limiti con chiave | API di convalida OSCAL pubblica | Organizzazione, spazio di lavoro, ambito di governance e letture delle prove; scrittura, approvazione e amministrazione |
Il ruolo viene applicato dal tipo di credenziale dedicata anziché da un token di prodotto ampio. La presentazione della chiave non può richiedere o passare a un'altra funzionalità e non garantisce l'accesso a organizzazioni, aree di lavoro, ambiti di governance, prove o amministrazione del prodotto.
Gli amministratori dell'organizzazione creano e revocano le chiavi API OSCAL nelle impostazioni dell'organizzazione. Ogni segreto viene visualizzato esattamente una volta. Conservalo in un gestore segreto, invialo solo nel file Authorization: Bearer intestazione e ruotarla o revocarla se esposta. Una chiave non valida fallisce con 401 ERR_INVALID_API_KEY; non ricorre mai silenziosamente all'accesso anonimo.
Autenticazione contro autorizzazione
Secani utilizza WorkOS per l'autenticazione dell'utente. L'autenticazione stabilisce chi sta chiamando; I controlli di appartenenza e di capacità di Secani decidono a cosa può accedere quell'identità. L'ambito di accesso corrente identifica l'utente e non deve essere interpretato come l'autorizzazione a leggere o modificare ogni risorsa Secani.
Ogni cliente dovrebbe gestire 401 come autenticazione mancante o non valida e 403 come autorizzazione autenticata ma insufficiente. Non riprovare automaticamente nessuna delle risposte con accesso più ampio. Chiedi a un amministratore il set di funzionalità e il limite di risorse più piccoli che consentono l'attività prevista.
Vedi il Guida all'API OSCAL, Recupero errori API, e canonico Specifica OpenAPI.