Eine Rolle vergeben

Worum es geht

Eine Rolle zu vergeben heißt: Eine Person bekommt ein Recht, meist in einem bestimmten Mandanten. CIAS speichert dazu eine Vergabe und trägt die Rolle in Keycloak ein. Beim nächsten Token hat die Person die Rolle.

Bevor das passiert, prüft CIAS, ob der Aufrufer das überhaupt darf.

Der Aufruf

POST /cias/admin/role-assignments
Authorization: Bearer <Token von Anna, tenant-admin in nordbau>
{
  "userId": "5c9e…",
  "roleClient": "cias-backend",
  "roleKey": "tenant-user",
  "tenantKey": "nordbau",
  "validFrom": null,
  "validUntil": null,
  "reason": "neue Kollegin im Einkauf"
}

HTTP 200
{
  "id": "a41f…",
  "userId": "5c9e…",
  "roleClient": "cias-backend",
  "roleKey": "tenant-user",
  "scope": "TENANT",
  "tenantKey": "nordbau",
  "validFrom": null,
  "validUntil": null,
  "state": "ACTIVE",
  "grantedBy": "nordbau",
  "reason": "neue Kollegin im Einkauf"
}

Die Prüfungen der Reihe nach

Danach prüft CIAS noch die empfangende Person und den Mandanten:

• Eine Client-Rolle mit Scope PLATFORM an eine Person, deren Heimatmandant eine Organisation hat: 403. Die Rolle stünde im Token, aber keine Anfrage würde sie lesen, siehe Realm-Rolle, Client-Rolle, Organisationsrolle.
• Eine Mandantenrolle in einem Mandanten ohne Organisation, also einem statischen Mandanten: 403. Eine Mandantenrolle hängt in Keycloak an der Organisation. CIAS weicht nie auf eine globale Vergabe aus, denn so würde aus einer Mandantenrolle aus Versehen eine Plattformrolle.

Alle Ablehnungen der Rechteprüfung sehen gleich aus: 403 cias.authorization.denied mit dem Text not permitted. Den genauen Grund schreibt CIAS ins Log.

Die Entscheidungstabelle

Der eigene Mandant kommt aus dem Token des Aufrufers, nie aus der Anfrage. Sonst könnte jeder Mandanten-Administrator eine delegierte Rolle in jedem fremden Mandanten vergeben. Wie die Obergrenze zählt, steht unter Die Obergrenze: niemand vergibt mehr, als er hat.

Der Ablauf, wenn alles stimmt

sequenceDiagram
    participant A as Anna (tenant-admin)
    participant C as CIAS
    participant DB as CIAS-Datenbank
    participant K as Keycloak
    A->>C: POST /cias/admin/role-assignments
    C->>C: Rolle, Delegation, Mandant, Obergrenze prüfen
    C->>DB: gibt es schon eine laufende Vergabe? sonst speichern (ACTIVE)
    C->>K: Person in Gruppe cias-backend:tenant-user der Organisation nordbau
    C-->>A: 200 mit der Vergabe, Event Granted

Erst die Vergabe speichern, dann Keycloak. Scheitert Keycloak, steht in CIAS mehr, als das Token trägt. Das verweigert eher, als dass es zu viel erlaubt, und ein zweiter Aufruf holt es nach.

Der Aufruf lässt sich gefahrlos wiederholen: Gibt es für diese Person, diese Rolle und diesen Mandanten schon eine laufende Vergabe, legt CIAS keine zweite an. Zwei laufende Vergaben einer Rolle hätten zwei Enddaten, und niemand wüsste, welches gilt. Mit gleichem Zeitfenster und Grund liefert CIAS die bestehende zurück, mit anderem übernimmt die bestehende das neue, siehe Befristete Rollen.

Wie die Rolle in Keycloak eingetragen wird, hängt von Ebene und Scope ab, siehe Realm-Rolle, Client-Rolle, Organisationsrolle.

Varianten

Vergaben ansehen

Fallen

Weiter

• Eine Rolle entziehen
• Befristete Rollen
• Die Obergrenze: niemand vergibt mehr, als er hat