Создание ролевой модели

• исследование предметной области;
• анализ функций потенциальных пользователей;
• сбор требований сотрудников информационной безопасности;
• изучение особенностей аутентификации и авторизации Платформы, протоколов OIDC, OAuth 2.0.

• подходы, применяемые в прикладном приложении для разграничения доступа: RBAC, ABAC, их комбинация и т.д.;
• роли и группы пользователей: например, на основе должностей или набора функций;
• необходимость подключения внешнего поставщика учетных данных.

• требовать только аутентификации (не рекомендуется);
• требовать определенного уровня авторизации (привилегии);
• не требовать аутентификации (публичный открытый API).

• Регламент информационного взаимодействия Участников с Оператором ЕСИА и Оператором эксплуатации инфраструктуры электронного правительства;
• Руководство пользователя технологического портала ЕСИА.

Особенности ролевой модели

• привилегия (action) — право пользователя на выполнение действия в информационной системе;
• роль (role) — логическая группировка привилегий;
• группа (group) — настройка правил сопоставления ролей и пользователей.

• resource — ресурсы определяют и классифицируют доступные привилегии;
• role — роли;
• group — группы.

Раскрыть type=xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<task>
    <!-- Ресурсы -->
    <resource code=...>
        ...
    </resource>
    <resource code=...>
        ...
    </resource>
 
    <!-- Роли -->
    <role code=...>
        ...
    </role>
    <role code=...>
        ...
    </role>
 
    <!-- Группы -->
    <group code=...>
        ...
    </group>
    <group code=...>
        ...
    </group>
</task>

Ресурсы

• code — код, в случае дочернего ресурса указывается в формате <Код_родительского_ресурса>.<Код_дочернего_ресурса> (разделитель «точка»);
• name — наименование ресурса, отображаемое в интерфейсе администратора;
• subsystem — код информационной системы — владельца привилегии. Используется для классификации привилегий в интерфейсе администратора.

• code — код, указывается в формате <Код_родительского_ресурса>.<Код_привилегии> (разделитель «точка»);
• name — наименование атрибута, отображаемое в интерфейсе администратора;
• category — категория пользователей, для которой применяется привилегия. Категории используются для классификации объектов ролевой модели в пользовательском интерфейсе. Допустимо указывать несколько категорий через запятую («,»). Рекомендуется придерживаться встроенного списка категорий: CLIENT_FL/CLIENT_UL/ADMIN/SOTR.

Раскрыть type=xml
<resource code="SUPER_SERVICE_AUTH" name="Супер сервис" subsystem="SUPER_SERVICE">
    <resource code="SUPER_SERVICE_AUTH.Request" name="Заявки" subsystem="SUPER_SERVICE">
        <action code="SUPER_SERVICE_AUTH.Request.View" name="Просмотр" category="CLIENT_FL"/>
        <action code="SUPER_SERVICE_AUTH.Request.Edit" name="Редактирование" category="CLIENT_FL"/>
        <action code="SUPER_SERVICE_AUTH.Request.Approve" name="Согласование" category="CLIENT_FL"/>
    </resource>
</resource>

Роли

• code — код;
• name — наименование роли, отображаемое в интерфейсе администратора;
• category — категория пользователей, для которой применяется роль. Допустимо указывать несколько категорий через разделитель «,» (запятая). Используется для классификации ролей в интерфейсе администратора. Рекомендуется использовать категорию CLIENT_FL.
• subsystem — код информационной системы — владельца роли. Используется для классификации ролей в интерфейсе администратора.

Описание type=xml
<role code="SUPER_SERVICE.EMPLOYEE" name="Сотрудник" subsystem="SUPER_SERVICE" category="CLIENT_FL">
    <permission>
        <action-ref code="SUPER_SERVICE_AUTH.Request.View"/>
        <channel-ref code="web"/>
    </permission>
    <permission>
        <action-ref code="SUPER_SERVICE_AUTH.Request.Approve"/>
        <channel-ref code="web"/>
    </permission>
</role>
<role code="SUPER_SERVICE.USER" name="Заявитель" subsystem="SUPER_SERVICE" category="CLIENT_FL">
    <permission>
        <action-ref code="SUPER_SERVICE_AUTH.Request.View"/>
        <channel-ref code="web"/>
    </permission>
    <permission>
        <action-ref code="SUPER_SERVICE_AUTH.Request.Edit"/>
        <channel-ref code="web"/>
    </permission>
</role>

• указывать только одну категорию — CLIENT_FL и один канал — web;
• делать соответствие один к одному ролей компонента «Авторизация Platform V IAM» с запроектированными ролями/группами информационной системы.

Группы

• содержимое access-токена (JWT);
• данные от ЕСИА:
  • персональные данные;
  • признак активности учетной записи ЕСИА (требуется настройка IAM Keycloak);
  • признак входа из-под организации (ИП/ЮЛ);
  • вхождение в определенную группу ЕСИА в выбранной организации.

• code — код;
• name — наименование атрибута группы, отображаемое в интерфейсе администратора;
• category_code — категория пользователей, для которой применяется группа. Допустимо указывать несколько категорий через разделитель «,» (запятая). Используется для классификации группы в интерфейсе пользователя. Рекомендуется использовать категорию CLIENT_FL.
• subsystem — код информационной системы — владельца роли. Используется для классификации ролей в интерфейсе администратора;
• enabled — признак доступности группы.

• attr_name — название атрибута пользователя, значение которого будет являться левым операндом логического выражения. Вычисленное значение превращается в список строк, разделитель — «,». Для корректной работы убедитесь, что атрибут создан (объявлен) в компоненте «Авторизация Platform V IAM» (см. раздел Атрибуты);
• attr_value — целевое значение атрибута, правый операнд логического выражения. Превращается в список строк, разделитель — «,»;
• operation — оператор сравнения, применяется к спискам строк. Возможные операторы:
  • = — левый операнд содержит все элементы правого;
  • <> — обратное от условия =;
  • IN — существует одно или большее количество общих элементов;
  • EXCLUDED — нет общих элементов;
  • CALCULATION — не используется в прикладных сервисах.
• section_name — имя секции, в которой будет выполнен поиск значения атрибута (левого операнда). Допустимо указывать только значение KEYCLOAK_DATA.

Раскрыть type=xml
<group code="SUPER_SERVICE.EMPLOYEE_GROUP" name="Сотрудник" category_code="CLIENT_FL" subsystem="SUPER_SERVICE" enabled="true">
    <groupCondition attr_name="realm_access.roles.EMPLOYEE" operation="=" attr_value="true" section_name="KEYCLOAK_DATA"/>
    <role-ref role_code="SUPER_SERVICE.EMPLOYEE"/>
</group>
 
<group code="SUPER_SERVICE.USER_GROUP" name="Заявитель" category_code="CLIENT_FL" subsystem="SUPER_SERVICE" enabled="true">
    <groupCondition attr_name="realm_access.roles.USER" operation="=" attr_value="true" section_name="KEYCLOAK_DATA"/>
    <role-ref role_code="SUPER_SERVICE.USER"/>
</group>

• указывать только одну категорию — CLIENT_FL;
• делать соответствие один к одному группы и компонента «Авторизация Platform V IAM» с запроектированными ролями/группами прикладного сервиса/АС.

Примеры условий групп

• при необходимости путем настройки IAM Keycloak можно добавить в JWT-токен дополнительную информацию о пользователе и сослаться на нее как на атрибут;
  Полученный набор дополнительных данных зависит от сценария аутентификации. Часть данных из ЕСИА можно получить только в случае, если настроены необходимые исполнения и сопоставления.
• в зависимости от указанных scope ЕСИА объем данных, участвующих в сопоставлении, может отличаться.

• все промежуточные узлы укажите через символ «.» (точка);
• если в JWT значением является список, для проверки наличия элемента в списке задайте полный путь до элемента через «.» (точку). В качестве значения при этом будет указано true.

Пример type=xml
  {
   "realm_access": {
      "roles": [
         "EMPLOYEE",
         "USER"
     ]
    }
 
    "emplInfo": {
        "position": "Бухгалтер",
        "chief": false,
        "blocked": false
    }
  }

• realm_access.roles.EMPLOYEE = TRUE;
• realm_access.roles.USER = TRUE;
• emplInfo.position = Бухгалтер;
• emplInfo.chief = FALSE;
• emplInfo.blocked = FALSE.

Раскрыть type=xml
<!-- Условие на основе роли IAM Keycloak -->
<groupCondition attr_name="realm_access.roles.EMPLOYEE" operation="=" attr_value="true" section_name="KEYCLOAK_DATA"/>
 
<!-- Условие для любого аутентифицированного пользователя -->
<groupCondition attr_name="sub" operation="&lt;&gt;" attr_value="0" section_name="KEYCLOAK_DATA"/>
 
<!-- Условие для конкретного логина пользователя -->
<groupCondition attr_name="preferred_username" operation="=" attr_value="MY_AWESOME_LOGIN" section_name="KEYCLOAK_DATA"/>
 

 
<!-- Примеры условий на основе данных IAM Keycloak -->
 
<!-- Пользователь, аутентифицированный через ЕСИА (требуется доп. настройка IAM Keycloak) -->
<groupCondition attr_name="esia_id" operation="&lt;&gt;" attr_value="0" section_name="KEYCLOAK_DATA"/>
 
<!-- Пользователь с подтвержденной учетной записью ЕСИА (требуется доп. настройка IAM Keycloak) -->
<groupCondition attr_name="trusted" operation="=" attr_value="0" section_name="KEYCLOAK_DATA"/>
 
<!-- Пользователь - физическое лицо -->
<groupCondition attr_name="organization" operation="=" attr_value="0" section_name="KEYCLOAK_DATA"/>
 
<!-- Пользователь, аутентифицированный как организация (ИП/ЮЛ) -->
<groupCondition attr_name="organization" operation="&lt;&gt;" attr_value="0" section_name="KEYCLOAK_DATA"/>
 
<!-- Пользователь входит в группу ЕСИА выбранной организации (ИП/ЮЛ).
     Здесь SUPER_SERVICE - мнемоника, SUPER_SERVICE_ACOUNTING - код группы ЕСИА -->
<groupCondition attr_name="roles.SUPER_SERVICE:SUPER_SERVICE_ACOUNTING" operation="=" attr_value="TRUE" section_name="KEYCLOAK_DATA"/>

Увеличить

Увеличить

Атрибуты

• attributeName — название атрибута, должно совпадать с attr_name в groupCondition;
• description — описание атрибута;
• sessionSectionName — имя секции, к которой относится атрибут. Допустимо указывать только значение KEYCLOAK_DATA.

Пример type=xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<dictionariesTask>
    <attribute attributeName="realm_access.roles.EMPLOYEE" description="Роль IAM Keycloak EMPLOYEE" sessionSectionName="KEYCLOAK_DATA"/>
    <attribute attributeName="realm_access.roles.USER" description="Роль IAM Keycloak USER" sessionSectionName="KEYCLOAK_DATA"/>
</dictionariesTask>