MailGen-jogosultságkezelés
A MailGen ellenőrzi a bérlőt, a bejelentkezett actort, az ellenőrzött szolgáltatói identitást és az erőforrás tulajdonjogát. A műveletekhez szükség van az aktuális jogosultságra, és ahol érvényesítik, egy termékengedélyre is. Először olvasd el a kulcsfogalmakat és a fiók-bejelentkezés beállítását.
Bizalmi határok
| Határ | Szükséges védelem |
|---|---|
| BFF REST, szerveroldali művelet, ZilaWS | Hitelesített actor, deployment-jogosultság és erőforrás-jogosultság. A postafiók-műveletekhez ellenőrzött postafiók-kötés és láthatóság is kell |
| TypeScript/Bun HTTP | Aláírt szolgáltatáskérés, amely a célhoz és a kifejezett útvonal-szabályzathoz van kötve |
| C# keresési/PST HTTP | Szolgáltatáskérés-bizonyíték és jogosultsági szerződés |
| Kafka, ütemező, C# workerek | Tárolt befogadási bizonyíték, amely a pontos művelethez és erőforráshoz van kötve |
| Graph webhook/háttérszinkronizálás | Külön szolgáltatásidentitás és Graph-ellenőrzés |
| AdminService | Bérlőhatár, adminisztrátori jogosultság, jogosultságfrissítés, rangvédelem, naplózás |
| Tárolási adminisztrációs nézet | Összesített méretek. Nincs hitelesítő adat, objektumböngésző és tartalom-olvasás |
Jogosultsági döntések
A csoportjogosultságok összeadódnak, de a jogosultsági függőségeknek teljesülniük kell egy csoporton belül. A modell-jogosultságok a teljes modell-, érvelési és kontextuskombinációt megőrzik.
Az aktuális adminisztrációs jogosultság a bérlőn belül a bejelentkezett alkalmazás-actorhoz tartozik. A feloldó összevonja az actor közvetlen tagságait a deployment összes ellenőrzött, összekapcsolt Microsoft-alanyának használható jogosultsági bizonyítékával. Egy használható, összekapcsolt Global Administrator bizonyíték megalapozhatja az actor gyökér-jogosultságát. Egy engedélyezett rendszercsoport-tagság a támogatott úton szintén megalapozhatja a gyökér-jogosultságot. Az egyszerű Google-bejelentkezés önmagában nem ad sem tagságot, sem gyökér-jogosultságot.
A postafiók kiválasztása nem csökkenti az actor adminisztrációs jogait. Minden postafiókhoz továbbra is kell a saját láthatóság, az ellenőrzött fiókkötés, az aktív hitelesítő forrás és a szolgáltatói képesség. Az actor jogai nem adnak hozzáférést minden postafiókhoz. A régebbi, kiválasztott alany szerinti feloldó örökölt jogosultsági útvonal marad, és elkülönül a jelenlegi actor-alapú adminisztrációtól.
A külső jogosultság-frissítés tíz percenként fut. Az adminisztrátori kérések friss ellenőrzést indítanak. Egy forrás-kiesés legfeljebb 24 órán át megőrizheti a sikeres bizonyítékot. A bizonyítottan érvénytelen jogosultság azonnal visszavonódik. A forrás hibája nem bizonyítja a tagság elvesztését.
Az elfogadott munka a későbbi csoportváltozás vagy alkalmazáskorlátozás után is végrehajtható, ha az eredeti befogadása érvényes. Az új kérések és az eredményolvasások az aktuális hozzáférést használják. A szerver elutasítja az érvénytelen, visszavont vagy eltérő befogadást.
Termékengedélyek és tárolás
A Microsoft-licencek szolgáltathatnak tagsági jogosultságot. A MailGen termékengedélyei külön érvényesítési réteget alkotnak. Ha a lefedett jogosultságra engedélyezett az érvényesítés, az actornak érvényes hozzárendelés kell. A hibás licencadat vagy érvénytelen termékhatókör biztonságosan megtagad. Ha nincs olyan termékengedély, amely az adott jogosultságot érvényesíti, a jogosultságellenőrzés továbbra is kötelező. Ez nem jelent számlázási vagy SaaS-kvótaszolgáltatást.
A tárolási oldal a bérlő tulajdonában lévő objektumok aktuális méretét mutatja, összesen és felhasználónként, a mérés időpontjával. Nem mutatja a fizikai kapacitást vagy a történeti verziókat. Az adminisztrátorok és az EcasRoot nem olvashatják a tárolási hitelesítő adatokat, nem böngészhetnek objektumok között, és nem nyithatják meg a tartalmukat.