Die Obergrenze: niemand vergibt mehr, als er hat

Worum es geht

Über allen Wegen, auf denen CIAS Rechte vergibt, steht eine Regel:

Die Obergrenze ist keine Einstellung. Es gibt keinen Schalter, keine Rolle und keinen Eintrag im Rollenkatalog, der sie abschaltet.

Warum braucht es das? Ohne Obergrenze könnte eine Mandanten-Administratorin einer neuen Kollegin, oder sich selbst, eine Rolle geben, die sie selbst nie hatte. Ein einziger unbedachter Eintrag im Katalog wäre dann ein Weg zu jedem Recht der Installation.

Das Mengenbild

Stell dir die Rechte einer Person als Menge vor. Was sie vergibt, muss ganz in dieser Menge liegen.

flowchart LR
    subgraph H["Was Anna im Mandanten nordbau hält"]
      direction TB
      R1["hr-employee-read"]
      R2["hr-employee-edit"]
      A1["Attribut projects = alpha, beta"]
    end
    V1["vergibt hr-employee-read"] -- "enthalten ✔" --> R1
    V2["vergibt projects = alpha"] -- "enthalten ✔" --> A1
    V3["vergibt hr-salary-read"] -. "nicht enthalten ✘" .-> H
    V4["vergibt projects = gamma"] -. "nicht enthalten ✘" .-> H

Anna darf weitergeben, was im Kasten liegt, und nichts darüber hinaus. Ob Anna das überhaupt darf, entscheidet zusätzlich die Delegation.

Delegation und Obergrenze sind zwei Fragen

Leicht verwechselt:

Beide müssen zustimmen. Keine ersetzt die andere: Wer eine Rolle hat, darf sie deshalb noch nicht weitergeben. Und wer auf der Delegationsliste steht, darf nur vergeben, was er selbst hat.

Bei einer Rollenvergabe sehen alle Ablehnungen gleich aus: 403 mit dem Text not permitted, ohne Grund. So kann niemand durch Ausprobieren herausfinden, wie die Regeln der Installation aussehen. Den genauen Grund schreibt CIAS ins Log. Siehe Ablehnungen, die nichts verraten.

Was du hältst, bestimmt CIAS

Die naheliegende Idee wäre, die Rollen im Token des Aufrufers zu vergleichen. Das geht nicht. Im Token steht nur der Client dieses Deployments, und die Rollennamen stehen dort ohne ihren Client. cdms-backend / model-editor und crms-backend / model-editor sähen gleich aus.

Deshalb rechnet CIAS aus seinen eigenen Datensätzen, was du hältst:

Daraus folgt:

• Eine Vergabe, die erst später beginnt oder abgelaufen ist, zählt nicht.
• Eine Rolle, die du in einem anderen Mandanten hast, zählt hier nicht.
• Eine Rolle, die jemand von Hand in der Keycloak-Konsole vergeben hat, zählt nicht. CIAS kennt sie nicht. Du kannst dann weniger weitergeben, als du tatsächlich hast. Das ist die sichere Richtung.

Das funktioniert nur, weil nur CIAS Rechte nach Keycloak schreibt. Siehe Die Schreibrichtung.

Jede Ausprägung

Attribute: wann ein Wert „enthalten“ ist

Ein Attributwert schneidet in CDMS Zeilen zu. Ein Wert mehr ist mehr Reichweite, und * schaltet den Filter ab. CIAS vergleicht deshalb genau so, wie der Filter die Werte liest: an Kommas getrennt, Leerzeichen abgeschnitten, * als „alles“.

Wo die Obergrenze greift

Weiter

• Eine Rolle vergeben
• Wer ein Attribut schreiben darf
• Die zwei Rechte-Matrizen: wie ein Recht getragen wird