RBAC 및 승인

Showly의 액세스 모델에는 작업 공간의 역할, 작업의 범위, 프로덕션에 영향을 미치는 변경 사항에 대한 승인이라는 세 가지 계층이 있습니다. 이 페이지에서는 각 레이어가 구성되는 방법을 다룹니다.

역할

사용자의 역할은 작업공간 수준에서 설정됩니다.

5가지 기본 기능이 적합하지 않은 경우 작업공간에서는 역할 권한을 통해 맞춤 역할을 정의할 수도 있습니다.

사용자는 작업공간당 최대 하나의 역할을 가질 수 있습니다. 워크스페이스 전체의 멤버십은 독립적입니다. 한 워크스페이스의 소유자가 되어도 다른 워크스페이스에는 아무 것도 제공되지 않습니다.

범위

MCP 토큰, API 토큰 및 서비스 토큰에는 발급자가 부여할 수 있는 것의 엄격한 하위 집합인 범위가 있습니다. 범위는 resource:verb 쌍을 설명합니다. 10가지 MCP 범위는 다음과 같습니다.

project:read
site:read
site:write
preview:read
preview:create
checks:run
publish:request
logs:read
template:read
template:create

대략적으로 viewer는 기본 읽기 범위에 매핑됩니다. member 및 developer 에이전트 루프에서 사용되는 미리보기/확인/게시/로그 범위를 수신합니다. member 추가로 프로젝트를 생성하고 더 폭넓은 제품 관리 기능을 제공합니다. 액세스. billing 재무 범위는 수신하지만 사이트 또는 배포 쓰기는 수신하지 않습니다. owner만이 회원, 초대, 토큰, 작업 공간 보안 및 전체 기능을 제공합니다. 청구 범위가 설정되었습니다.

토큰은 토큰을 발행한 사람에 관계없이 범위 집합에 있는 작업만 수행할 수 있습니다. 보유하지 않은 범위의 토큰 발행은 거부됩니다.

표준 범위-도구 매핑은 범위 참조를 참조하세요.

승인

게이트 생산에 영향을 미치는 변경 사항을 승인합니다. 가장 일반적인 규칙: 프로덕션에 게시하려면 허용된 역할 집합에서 N 승인이 필요합니다.

승인 요청 기본값:

• requiredApprovals의 기본값은 1입니다.
• allowedRoles 기본값은 빈 목록입니다. 즉, 모든 역할이 승인할 수 있습니다.
• 거부는 최종적입니다. 거부된 요청은 다시 승인될 수 없습니다.

에이전트가 MCP를 통해 request_publish를 호출하면 결과 게시 요청은 다음과 같습니다. requiredApprovals: 1 및 allowedRoles: ["owner", "member"]로 생성되었습니다. 이 흐름에는 approvalWorkflows 자격이 필요합니다.

작업공간 설정 → 승인 정책에서 사이트별 또는 작업공간별로 맞춤설정하세요.

직무분리

사용자는 자신의 요청을 승인할 수 없습니다. 이는 데이터 모델 수준에서 시행됩니다. 게시를 제안한 경우 허용된 역할을 가진 다른 사람이 이를 승인해야 합니다.

감사 대상

에이전트, 사람, API 등 모든 작업은 감사 행을 작성합니다.

• 행위자(사용자 ID + 당시 역할 또는 MCP 클라이언트 ID + 범위)
• 작업(범위 동사 + 리소스 ID)
• 결과(allowed, denied, pending_approval, approved, rejected)
• 언제

감사 행은 추가 전용이며 Showly의 감사 화면을 통해 사용할 수 있습니다. 외부 SIEM 내보내기는 현재 약속되지 않았습니다.

긴급 재정의

Showly는 현재 MCP 또는 공개 웹 흐름을 통해 emergency 게시 우회를 노출하지 않습니다. 긴급 작업은 ready 미리보기 승인을 가속화한 후 이를 명시적으로 게시하는 방식으로 처리됩니다. OTP 등록은 필요하지 않습니다. 향후 Break Glass 경로를 추가하는 경우 다음을 수행해야 합니다.

• 여전히 승인을 통과합니다(게이트는 승인이 아니라 승인입니다).
• 특별 emergency=true 감사 행을 작성합니다.
• 후속 사후 작업을 자동으로 엽니다.