Разработка системы управления идентификацией и доступом (IDM)

Start by reviewing the existing Твой ФФ authorization service and its scopes and groups, then map the requested integrations and administrative interfaces. The issue also calls for an asynchronous queue, a permissions-event worker, service plugins, and subscriptions to user-data changes. Done means centralized access issuance and revocation through IDM across all listed internal and external services.

Issue open by Mark Arzangulyan via telegram message.

Разработка централизованной системы управления доступами для внутренней IT-инфраструктуры команды на базе существующего сервиса авторизации Твой ФФ.

Бизнес-цели

• Создание единой точки управления доступами для всех внутренних и внешних сервисов
• Автоматизация процессов выдачи и отзыва доступов
• Минимизация ручных операций при онбординге новых сотрудников
• Повышение безопасности за счет централизованного контроля доступов

Функциональные требования

Базовые возможности

• Единый интерфейс управления доступами ко всем сервисам
• Автоматическая синхронизация прав доступа между системами
• Селф-сервис портал для запроса доступов с последующим подтверждением администратором

Интеграции

• Аутентик (SSO)
• Внутренние сервисы: Изикод, БД, Эирфлоу, Минио
• Внешние сервисы: Google Workspace, Яндекс Облако
• Почтовые системы

Сценарии использования

• Создание аккаунта разработчика (почта + Аутентик + Твой ФФ)
• Управление доступами к внутренним сервисам через группы в Аутентике
• Управление доступами к внешним сервисам через соответствующие группы
• Массовая выдача и отзыв прав

Технические требования

Архитектурные решения

• Интеграция в существующий сервис авторизации Твой ФФ
• Использование механизма скоупов и групп для управления правами
• Асинхронная обработка операций через систему очередей

Компоненты системы

• Воркер для обработки событий изменения прав доступа
• Система плагинов для подключения к внешним сервисам
• Механизм подписки на изменения пользовательских данных

Ограничения и требования к реализации

• Отделение административных интерфейсов от основного веб-приложения
• Разработка отдельных админ-интерфейсов для разных зон ответственности
• Использование существующего шаблона для микроприложений
• Реализация админ-интерфейсов на TypeScript + Vue.js

Критерии успеха

• Все операции по выдаче доступов происходят только через IDM
• Время онбординга нового сотрудника сокращено до минимума
• Отсутствие альтернативных способов выдачи доступов в обход системы
• Успешная интеграция со всеми целевыми сервисами

Риски

• Сложность интеграции с внешними сервисами
• Необходимость поддержки множества различных протоколов авторизации
• Возможные конфликты при синхронизации прав между системами
• Сопротивление пользователей переходу на новую систему