Zimin A.N.
36c06ae1da
User report: token has roles в resource_access.ordinis.roles (client-scoped),
backend WorkflowRoles читал hardcoded realm_access.roles → forbidden_role
для всех reviewer actions.
Backend:
- WorkflowRoles: depends OrdinisAuthProperties → reads via rolesClaim path
(же что ScopeContext). Default realm_access.roles, на staging/prod env
var ORDINIS_AUTH_ROLES_CLAIM=resource_access.ordinis.roles (уже wired
в helm helper).
- Nested claim path resolver — mirror ScopeContext.readClaimByPath
- New super-role ADMIN ('ordinis:admin') — holder автоматически проходит
любой workflow check без явного назначения отдельных ролей. Convenience
для small teams.
Frontend (usePermissions.ts):
- tokenRoles() читает оба claim path (realm_access.roles +
resource_access.ordinis.roles) и объединяет — UI gate работает
независимо от backend config
- hasRole() recognizes 'ordinis:admin' как super-role override
- ROLE_ADMIN exported
Docs:
- docs/operator/rbac.md: добавлен ordinis:admin row, JWT claim path note,
Admin profile updated (super-role vs composite explanation)
Ordinis Integrator Guide (Diplodoc / YFM)
Consumer-facing документация Ordinis НСИ ЦУОД. Build через Diplodoc (open-source documentation platform от Yandex), source — YFM (Yandex Flavored Markdown).
Scope: только то, что нужно интеграторам (Альтум team, BI, third-party
consumers). Operator runbooks, архитектурные deep-dives и project state —
во внутренней документации в ../docs-internal/,
не в Diplodoc build.
Структура
docs/
├── package.json # @diplodoc/cli + build scripts
├── .yfm # Diplodoc config
├── toc.yaml # Содержание / sidebar
├── index.md # Главная (integrator-focused tabs)
└── integration/
├── api/ # 11 глав про API integration
│ ├── index.md
│ ├── auth.md
│ ├── read-endpoints.md
│ ├── events.md
│ ├── webhooks.md
│ ├── bitemporal.md
│ ├── x-references.md
│ ├── caching.md
│ ├── errors.md
│ ├── best-practices.md
│ └── bundle-cuod.md
└── altum-imaging-order.md
Внутренние материалы (НЕ в Diplodoc build):
docs-internal/
├── ops/ # Operator runbook (on-call)
├── status/ # Project state snapshots
└── tech/ # Legacy technical pages
Сборка
Требуется Node 18+.
cd docs
pnpm install
pnpm build # → ./_dist (HTML)
pnpm serve # → http://localhost:8088
pnpm dev # build + serve одной командой
Build output (_dist/) — статический HTML, deployable в:
- GitLab Pages
- S3 / object storage
- nginx/ingress на k8s cluster
Editorial guidelines
Этот set документации — public contract для интеграторов:
- Не leak'аем internal architecture — никаких internal alert names, service paths, internal infrastructure URLs.
- API contract стабилен — изменения требуют semver bump + announcement.
- Consumer-side examples для каждой концепции (Python, Node, либо Spring).
- Версионирование через bundle / API major.
Для operator-side / dev-side материалов — docs-internal/ либо design docs
в ~/.gstack/projects/claude/.
YFM extensions используются
{% list tabs %}— табы для switching между audiences{% note info|warning|tip %}— выделенные блокиmermaidcode blocks — диаграммы (graph LR, gantt)toc.yamlcross-links — sidebar navigation
Roadmap
- Базовая структура integration guide (11 страниц)
- CI job
build-docsв.gitlab-ci.yml - GitLab Pages / k8s ingress deployment
- Search plugin
- EN translation (через
langs:в.yfm) - Includes для shared snippets (auth examples, error tables)
- Versioning — separate doc trees per API major version