Comment concevez-vous l'autorisation pour un système où les permissions varient selon l'équipe, la ressource et le forfait ?

Séparez l'authentification de l'autorisation, puis choisissez un modèle : le contrôle d'accès par rôles est simple et fonctionne quand les permissions se regroupent en une poignée de rôles, tandis que des règles par attributs conviennent aux conditions sur la ressource, comme le propriétaire, l'équipe ou le forfait. Appliquez-le à un seul endroit, idéalement une couche de politique que les gestionnaires appellent, gardez les vérifications près des données pour qu'une requête ne puisse pas fuiter de lignes, et journalisez chaque décision pour l'audit.

L'authentification répond à qui vous êtes et se fait une fois en périphérie ; l'autorisation répond à ce que vous pouvez faire et se fait à chaque requête sur une ressource précise. Pour le modèle, je commence par les rôles parce qu'ils sont faciles à raisonner et faciles à expliquer au support, puis j'ajoute des conditions par attributs là où les rôles seuls ne suffisent pas, des choses comme cet utilisateur est sur le forfait qui inclut les exports, ou cet enregistrement appartient à son équipe. Ce qui compte plus que le modèle, c'est qu'il y ait exactement un endroit qui décide. Je veux une fonction de politique par type de ressource que les gestionnaires appellent, avec refus par défaut, pour qu'un nouvel endpoint qui oublie la vérification soit une omission visible plutôt qu'un trou silencieux. Pour tout ce qui est multi-tenant, je pousse aussi le filtre de tenant dans la couche de données pour qu'une requête ne puisse physiquement pas renvoyer les lignes d'un autre tenant, parce que compter sur chaque développeur pour se souvenir d'une clause where finit toujours par échouer. Et chaque décision est journalisée avec le sujet, la ressource et le résultat, puisque la première question dans tout incident est qui pouvait voir quoi.