mdm-ordinis

ivan-igorevich/mdm-ordinis

Fork 0

Commit Graph

Author	SHA1	Message	Date
Александр Зимин	c41e34545b	docs(rbac): обновить RBAC sections после Phase 1d + Phase 2	2026-05-13 16:41:03 +00:00
Zimin A.N.	36c06ae1da	feat(auth): WorkflowRoles configurable claim path + ordinis:admin super-role User report: token has roles в resource_access.ordinis.roles (client-scoped), backend WorkflowRoles читал hardcoded realm_access.roles → forbidden_role для всех reviewer actions. Backend: - WorkflowRoles: depends OrdinisAuthProperties → reads via rolesClaim path (же что ScopeContext). Default realm_access.roles, на staging/prod env var ORDINIS_AUTH_ROLES_CLAIM=resource_access.ordinis.roles (уже wired в helm helper). - Nested claim path resolver — mirror ScopeContext.readClaimByPath - New super-role ADMIN ('ordinis:admin') — holder автоматически проходит любой workflow check без явного назначения отдельных ролей. Convenience для small teams. Frontend (usePermissions.ts): - tokenRoles() читает оба claim path (realm_access.roles + resource_access.ordinis.roles) и объединяет — UI gate работает независимо от backend config - hasRole() recognizes 'ordinis:admin' как super-role override - ROLE_ADMIN exported Docs: - docs/operator/rbac.md: добавлен ordinis:admin row, JWT claim path note, Admin profile updated (super-role vs composite explanation)	2026-05-13 13:17:54 +03:00
Zimin A.N.	1dba9476db	docs(rbac): добавить матрицу realm-ролей Keycloak operator/rbac.md — новая страница с полной матрицей RBAC: - Scope ACL (ordinis:client:public/internal/restricted) - Workflow роли (schema:reviewer, schema:publisher, record:reviewer) - Action matrix (endpoint → required scope + role) - Типичные профили (consumer, maker, reviewer, publisher, admin) - Composite role 'ordinis:admin' для one-shot assignment - Keycloak setup инструкция (Admin Console шаги) - Диагностика типичных 403 ошибок toc.yaml — link в раздел Руководство оператора. operator/index.md, reviewer/index.md — cross-references к rbac.md. Покрывает Phase 1d enforcement (MR !162) — пользователи теперь знают какие роли назначать в Keycloak realm 'nstart'.	2026-05-13 12:47:50 +03:00

Author

SHA1

Message

Date

Александр Зимин

c41e34545b

docs(rbac): обновить RBAC sections после Phase 1d + Phase 2

2026-05-13 16:41:03 +00:00

Zimin A.N.

36c06ae1da

feat(auth): WorkflowRoles configurable claim path + ordinis:admin super-role

User report: token has roles в resource_access.ordinis.roles (client-scoped),
backend WorkflowRoles читал hardcoded realm_access.roles → forbidden_role
для всех reviewer actions.

Backend:
- WorkflowRoles: depends OrdinisAuthProperties → reads via rolesClaim path
  (же что ScopeContext). Default realm_access.roles, на staging/prod env
  var ORDINIS_AUTH_ROLES_CLAIM=resource_access.ordinis.roles (уже wired
  в helm helper).
- Nested claim path resolver — mirror ScopeContext.readClaimByPath
- New super-role ADMIN ('ordinis:admin') — holder автоматически проходит
  любой workflow check без явного назначения отдельных ролей. Convenience
  для small teams.

Frontend (usePermissions.ts):
- tokenRoles() читает оба claim path (realm_access.roles +
  resource_access.ordinis.roles) и объединяет — UI gate работает
  независимо от backend config
- hasRole() recognizes 'ordinis:admin' как super-role override
- ROLE_ADMIN exported

Docs:
- docs/operator/rbac.md: добавлен ordinis:admin row, JWT claim path note,
  Admin profile updated (super-role vs composite explanation)

2026-05-13 13:17:54 +03:00

Zimin A.N.

1dba9476db

docs(rbac): добавить матрицу realm-ролей Keycloak

operator/rbac.md — новая страница с полной матрицей RBAC:
- Scope ACL (ordinis:client:public/internal/restricted)
- Workflow роли (schema:reviewer, schema:publisher, record:reviewer)
- Action matrix (endpoint → required scope + role)
- Типичные профили (consumer, maker, reviewer, publisher, admin)
- Composite role 'ordinis:admin' для one-shot assignment
- Keycloak setup инструкция (Admin Console шаги)
- Диагностика типичных 403 ошибок

toc.yaml — link в раздел Руководство оператора.
operator/index.md, reviewer/index.md — cross-references к rbac.md.

Покрывает Phase 1d enforcement (MR !162) — пользователи теперь
знают какие роли назначать в Keycloak realm 'nstart'.

2026-05-13 12:47:50 +03:00

3 Commits