CIAM 102 : Autorisation et contrôle d'accès basé sur les rôles
L'organisation et le locataire sont excellents pour regrouper les identités, mais ils aboutissent à une démocratie absolue : tout le monde peut faire n'importe quoi dans ce système. Alors que l'utopie reste un mystère, jetons un coup d'œil à la gouvernance de l'accès : l'autorisation (AuthZ).
GaoFounder
Arrêtez de perdre des semaines sur l'authentification des utilisateurs
Lancez des applications sécurisées plus rapidement avec Logto. Intégrez l'authentification des utilisateurs en quelques minutes et concentrez-vous sur votre produit principal.
Dans l'article précédent, nous avons introduit le concept d'authentification (AuthN) et d'autorisation (AuthZ), avec certains termes qui donnent mal à la tête : Identité, Organisation, Locataire, etc.
L'organisation et le locataire sont excellents pour regrouper les identités, mais ils aboutissent à une démocratie absolue : tout le monde peut faire n'importe quoi dans ce système. Alors que l'utopie reste un mystère, jetons un coup d'œil à la gouvernance de l'accès : l'autorisation (AuthZ).
Notion est un excellent exemple. Pour chaque page que vous possédez, vous pouvez choisir de la garder privée, accessible uniquement à vous, ou de la partager avec des amis, voire le public.
Ou, pour une librairie en ligne, vous voulez que tout le monde puisse voir tous les livres, mais que les clients ne puissent voir que leurs propres commandes, et que les vendeurs ne puissent gérer que les livres de leur magasin.
AuthZ et AuthN sont des composants essentiels d'un modèle d'entreprise complexe. Ils vont souvent de pair ; AuthZ vérifie l'accès d'un utilisateur, tandis qu'AuthN authentifie les identités. Les deux sont nécessaires pour un système sécurisé.
Voici l'un des modèles AuthZ les plus courants : Si IDENTITÉ effectue ACTION sur RESSOURCE, alors ACCEPTER ou REFUSER.
Dans l'exemple de Notion, le modèle est PERSONNE effectue VUE sur PAGE.
Si la page est privée :
Vous recevrez ACCEPTER lors de l'exécution de VUE sur votre PAGE.
Tous les autres devraient recevoir REFUSER lors de l'exécution de VUE sur votre PAGE.
Sur la base d'un consensus, l'industrie a développé diverses technologies d'autorisation, telles que le contrôle d'accès basé sur les rôles (RBAC), le contrôle d'accès basé sur les attributs (ABAC). Aujourd'hui, nous allons nous concentrer sur le modèle RBAC NIST Niveau 1 : Flat RBAC.
Dans Logto, une ressource (c'est-à-dire une ressource API) représente généralement un ensemble d'entités ou d'éléments, car il est nécessaire d'utiliser une URL valide comme indicateur. Nous définissons donc deux ressources :
Livres : https://api.librairie.io/livres
Commandes : https://api.librairie.io/commandes
L'un des avantages de l'application du format URL est qu'elle peut être mappée à une véritable adresse de votre service API, ce qui améliore la lisibilité et la reconnaissance lors de l'intégration avec d'autres composants du système.
Étant donné que nous avons introduit le concept de ressource, dans Logto, nous imposons également que les permissions doivent appartenir à une ressource, en revanche, les ressources peuvent avoir des permissions.
Bien qu’il n’y ait pas d’exigence sur le nom d’une permission, nous avons la convention ci-dessous :
Alors que <action> est nécessaire pour décrire une permission, :<cible> peut être ignorée pour décrire une cible générale, c'est-à-dire à toutes les entités ou articles de la ressource. Par exemple :
La permission lire dans la ressource Livres signifie l'action de lire des livres arbitraires.
La permission créer : soi dans la ressource Commandes signifie l'action de créer des commandes qui appartiennent à l'utilisateur actuel.
Tout comme l'attribution de rôles aux permissions, l'attribution de rôles aux utilisateurs est également une relation de plusieurs à plusieurs. Par conséquent, vous pouvez attribuer plusieurs rôles à un utilisateur unique, et un rôle unique peut être attribué à plusieurs utilisateurs.
Voici un diagramme de relation complet pour le modèle RBAC de niveau 1 dans Logto :
Dans le modèle RBAC, les permissions sont toujours "positives", ce qui signifie que le jugement d'autorisation est simple : si un utilisateur a la permission, alors il accepte ; sinon, il rejette.
Disons que Alice a le rôle de vendeur, Bob et Carol le rôle de client. Nous décrirons les actions en langage naturel d'abord, et les transposerons au format d'autorisation standard : IDENTITÉ effectue ACTION sur RESSOURCE, pour finalement donner la conclusion.
Alice veut ajouter un nouveau livre à vendre :
L'utilisateur Alice effectue créer sur la ressource Livres (https://api.librairie.io/livres).
Comme Alice a été attribuée la permission créer des Livres selon leur rôle vendeur, le résultat est ✅ ACCEPTER.
Alice veut voir toutes les commandes pour voir si la vente répond à ses attentes :
L'utilisateur Alice effectue lire sur la ressource Commandes (https://api.librairie.io/commandes).
Comme Alice a été attribué la permission lire des Commandes selon leur rôle vendeur, le résultat est ✅ ACCEPTER.
Bob veut parcourir la liste des livres pour voir s'il y a des livres qu'il veut acheter.
L'utilisateur Bob effectue lire sur la ressource Livres (https://api.librairie.io/livres).
Comme Bob a été attribué la permission lire des Livres selon leur rôle client, le résultat est ✅ ACCEPTER.
Bob veut voir la commande de Carol.
Comme c'est la commande de quelqu'un d'autre, la permission lire : soi des Commandes ne fonctionne pas ici.
L'utilisateur Bob effectue lire sur la ressource Commandes (https://api.librairie.io/commandes).
Comme Bob n'a aucune permission lire des Commandes, le résultat est ❌ REFUSER.
Il existe quatre niveaux dans le modèle RBAC NIST :
RBAC plat
RBAC hiérarchique
RBAC contraint
RBAC symétrique
Voir le document pour plus de détails si vous êtes intéressé.
Logto a maintenant la mise en oeuvre du niveau 1 et progressera vers des niveaux supérieurs en fonction des commentaires de la communauté. N'hésitez pas à nous faire savoir si un niveau supérieur répond à vos besoins !
Outre la théorie, nous avons encore de nombreux travaux techniques à accomplir pour que le modèle fonctionne comme prévu :
Développement du client et du serveur d'authentification
Conception de la base de données pour le RBAC
Validation à travers différents services
Sécurité et conformité aux normes ouvertes
Gestion des rôles, des permissions, des ressources et des attributions
Ne paniquez pas. Nous avons pris cela en compte et avons ajouté le support clé en main pour couvrir tout ce qui précède. Consultez la 🔐 recette RBAC pour apprendre comment utiliser le RBAC dans Logto.
Le RBAC est un puissant modèle de gestion des accès pour la plupart des cas, mais il n'y a pas de solution miracle. Nous avons encore quelques questions :
Ai-je besoin de niveaux élevés de RBAC ?
Comment le RBAC se compare-t-il à d'autres modèles d'autorisation ?
Comment définir le modèle d'autorisation entre différentes organisations ?
%3bopacity:0.7%3bbackground-color:hsl(80%2c 100%25%2c 96.2745098039%25)%3b%7d%23mermaid-0 .relationshipLabelBox rect%7bopacity:0.5%3b%7d%23mermaid-0 .relationshipLine%7bstroke:%23333333%3b%7d%23mermaid-0 .entityTitleText%7btext-anchor:middle%3bfont-size:18px%3bfill:%23333%3b%7d%23mermaid-0 %23MD_PARENT_START%7bfill:%23f5f5f5!important%3bstroke:%23333333!important%3bstroke-width:1%3b%7d%23mermaid-0 %23MD_PARENT_END%7bfill:%23f5f5f5!important%3bstroke:%23333333!important%3bstroke-width:1%3b%7d%23mermaid-0 :root%7b--mermaid-font-family:arial%2csans-serif%3b%7d%3c/style%3e%3cg/%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='240' markerWidth='190' refY='7' refX='0' id='MD_PARENT_START'%3e%3cpath d='M 18%2c7 L9%2c13 L1%2c7 L9%2c1 Z'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='28' markerWidth='20' refY='7' refX='19' id='MD_PARENT_END'%3e%3cpath d='M 18%2c7 L9%2c13 L1%2c7 L9%2c1 Z'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='18' markerWidth='18' refY='9' refX='0' id='ONLY_ONE_START'%3e%3cpath d='M9%2c0 L9%2c18 M15%2c0 L15%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='18' markerWidth='18' refY='9' refX='18' id='ONLY_ONE_END'%3e%3cpath d='M3%2c0 L3%2c18 M9%2c0 L9%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='18' markerWidth='30' refY='9' refX='0' id='ZERO_OR_ONE_START'%3e%3ccircle r='6' cy='9' cx='21' fill='white' stroke='gray'/%3e%3cpath d='M9%2c0 L9%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='18' markerWidth='30' refY='9' refX='30' id='ZERO_OR_ONE_END'%3e%3ccircle r='6' cy='9' cx='9' fill='white' stroke='gray'/%3e%3cpath d='M21%2c0 L21%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='36' markerWidth='45' refY='18' refX='18' id='ONE_OR_MORE_START'%3e%3cpath d='M0%2c18 Q 18%2c0 36%2c18 Q 18%2c36 0%2c18 M42%2c9 L42%2c27' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='36' markerWidth='45' refY='18' refX='27' id='ONE_OR_MORE_END'%3e%3cpath d='M3%2c9 L3%2c27 M9%2c18 Q27%2c0 45%2c18 Q27%2c36 9%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='36' markerWidth='57' refY='18' refX='18' id='ZERO_OR_MORE_START'%3e%3ccircle r='6' cy='18' cx='48' fill='white' stroke='gray'/%3e%3cpath d='M0%2c18 Q18%2c0 36%2c18 Q18%2c36 0%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='36' markerWidth='57' refY='18' refX='39' id='ZERO_OR_MORE_END'%3e%3ccircle r='6' cy='18' cx='9' fill='white' stroke='gray'/%3e%3cpath d='M21%2c18 Q39%2c0 57%2c18 Q39%2c36 21%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cg transform='translate(20%2c41 )' id='entity-RoleClient-c828617f-a888-5be2-b1eb-47c7fad18db0'%3e%3crect height='87' width='181.765625' y='0' x='0' class='er entityBox'/%3e%3ctext style='dominant-baseline: middle%3b text-anchor: middle%3b font-family: arial%2c sans-serif%3b font-size: 12px%3b' transform='translate(90.8828125%2c12)' y='0' x='0' id='text-entity-RoleClient-c828617f-a888-5be2-b1eb-47c7fad18db0' class='er entityLabel'%3eRole-Client%3c/text%3e%3crect height='21' width='59.265625' y='24' x='0' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(5%2c34.5)' y='0' x='0' id='text-entity-RoleClient-c828617f-a888-5be2-b1eb-47c7fad18db0-attr-1-type' class='er entityLabel'%3epermission%3c/text%3e%3crect height='21' width='67.765625' y='24' x='59.265625' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(64.265625%2c34.5)' y='0' x='0' id='text-entity-RoleClient-c828617f-a888-5be2-b1eb-47c7fad18db0-attr-1-name' class='er entityLabel'%3eLivres%3c/text%3e%3crect height='21' width='54.734375' y='24' x='127.03125' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(132.03125%2c34.5)' y='0' x='0' id='text-entity-RoleClient-c828617f-a888-5be2-b1eb-47c7fad18db0-attr-1-comment' class='er entityLabel'%3elire%3c/text%3e%3crect height='21' width='59.265625' y='45' x='0' class='er attributeBoxEven'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(5%2c55.5)' y='0' x='0' id='text-entity-RoleClient-c828617f-a888-5be2-b1eb-47c7fad18db0-attr-2-type' class='er entityLabel'%3epermission%3c/text%3e%3crect height='21' width='67.765625' y='45' x='59.265625' class='er attributeBoxEven'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(64.265625%2c55.5)' y='0' x='0' id='text-entity-RoleClient-c828617f-a888-5be2-b1eb-47c7fad18db0-attr-2-name' class='er entityLabel'%3eCommandes%3c/text%3e%3crect height='21' width='54.734375' y='45' x='127.03125' class='er attributeBoxEven'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(132.03125%2c55.5)' y='0' x='0' id='text-entity-RoleClient-c828617f-a888-5be2-b1eb-47c7fad18db0-attr-2-comment' class='er entityLabel'%3elire : soi%3c/text%3e%3crect height='21' width='59.265625' y='66' x='0' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(5%2c76.5)' y='0' x='0' id='text-entity-RoleClient-c828617f-a888-5be2-b1eb-47c7fad18db0-attr-3-type' class='er entityLabel'%3epermission%3c/text%3e%3crect height='21' width='67.765625' y='66' x='59.265625' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(64.265625%2c76.5)' y='0' x='0' id='text-entity-RoleClient-c828617f-a888-5be2-b1eb-47c7fad18db0-attr-3-name' class='er entityLabel'%3eCommandes%3c/text%3e%3crect height='21' width='54.734375' y='66' x='127.03125' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(132.03125%2c76.5)' y='0' x='0' id='text-entity-RoleClient-c828617f-a888-5be2-b1eb-47c7fad18db0-attr-3-comment' class='er entityLabel'%3ecr%c3%a9er : soi%3c/text%3e%3c/g%3e%3cg transform='translate(301.765625%2c20 )' id='entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e'%3e%3crect height='129' width='182.93032836914062' y='0' x='0' class='er entityBox'/%3e%3ctext style='dominant-baseline: middle%3b text-anchor: middle%3b font-family: arial%2c sans-serif%3b font-size: 12px%3b' transform='translate(91.46516418457031%2c12)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e' class='er entityLabel'%3eRole-Vendeur%3c/text%3e%3crect height='21' width='59.265625' y='24' x='0' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(5%2c34.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-1-type' class='er entityLabel'%3epermission%3c/text%3e%3crect height='21' width='67.765625' y='24' x='59.265625' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(64.265625%2c34.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-1-name' class='er entityLabel'%3eLivres%3c/text%3e%3crect height='21' width='55.899078369140625' y='24' x='127.03125' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(132.03125%2c34.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-1-comment' class='er entityLabel'%3elire%3c/text%3e%3crect height='21' width='59.265625' y='45' x='0' class='er attributeBoxEven'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(5%2c55.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-2-type' class='er entityLabel'%3epermission%3c/text%3e%3crect height='21' width='67.765625' y='45' x='59.265625' class='er attributeBoxEven'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(64.265625%2c55.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-2-name' class='er entityLabel'%3eLivres%3c/text%3e%3crect height='21' width='55.899078369140625' y='45' x='127.03125' class='er attributeBoxEven'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(132.03125%2c55.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-2-comment' class='er entityLabel'%3ecr%c3%a9er%3c/text%3e%3crect height='21' width='59.265625' y='66' x='0' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(5%2c76.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-3-type' class='er entityLabel'%3epermission%3c/text%3e%3crect height='21' width='67.765625' y='66' x='59.265625' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(64.265625%2c76.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-3-name' class='er entityLabel'%3eLivres%3c/text%3e%3crect height='21' width='55.899078369140625' y='66' x='127.03125' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(132.03125%2c76.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-3-comment' class='er entityLabel'%3esupprimer%3c/text%3e%3crect height='21' width='59.265625' y='87' x='0' class='er attributeBoxEven'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(5%2c97.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-4-type' class='er entityLabel'%3epermission%3c/text%3e%3crect height='21' width='67.765625' y='87' x='59.265625' class='er attributeBoxEven'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(64.265625%2c97.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-4-name' class='er entityLabel'%3eCommandes%3c/text%3e%3crect height='21' width='55.899078369140625' y='87' x='127.03125' class='er attributeBoxEven'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(132.03125%2c97.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-4-comment' class='er entityLabel'%3elire%3c/text%3e%3crect height='21' width='59.265625' y='108' x='0' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(5%2c118.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-5-type' class='er entityLabel'%3epermission%3c/text%3e%3crect height='21' width='67.765625' y='108' x='59.265625' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(64.265625%2c118.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-5-name' class='er entityLabel'%3eCommandes%3c/text%3e%3crect height='21' width='55.899078369140625' y='108' x='127.03125' class='er attributeBoxOdd'/%3e%3ctext style='dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 10.2px%3b' transform='translate(132.03125%2c118.5)' y='0' x='0' id='text-entity-RoleVendeur-69911e32-520a-52b3-aa38-6e7942b14c8e-attr-5-comment' class='er entityLabel'%3esupprimer%3c/text%3e%3c/g%3e%3c/svg%3e)
%3bopacity:0.7%3bbackground-color:hsl(80%2c 100%25%2c 96.2745098039%25)%3b%7d%23mermaid-1 .relationshipLabelBox rect%7bopacity:0.5%3b%7d%23mermaid-1 .relationshipLine%7bstroke:%23333333%3b%7d%23mermaid-1 .entityTitleText%7btext-anchor:middle%3bfont-size:18px%3bfill:%23333%3b%7d%23mermaid-1 %23MD_PARENT_START%7bfill:%23f5f5f5!important%3bstroke:%23333333!important%3bstroke-width:1%3b%7d%23mermaid-1 %23MD_PARENT_END%7bfill:%23f5f5f5!important%3bstroke:%23333333!important%3bstroke-width:1%3b%7d%23mermaid-1 :root%7b--mermaid-font-family:arial%2csans-serif%3b%7d%3c/style%3e%3cg/%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='240' markerWidth='190' refY='7' refX='0' id='MD_PARENT_START'%3e%3cpath d='M 18%2c7 L9%2c13 L1%2c7 L9%2c1 Z'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='28' markerWidth='20' refY='7' refX='19' id='MD_PARENT_END'%3e%3cpath d='M 18%2c7 L9%2c13 L1%2c7 L9%2c1 Z'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='18' markerWidth='18' refY='9' refX='0' id='ONLY_ONE_START'%3e%3cpath d='M9%2c0 L9%2c18 M15%2c0 L15%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='18' markerWidth='18' refY='9' refX='18' id='ONLY_ONE_END'%3e%3cpath d='M3%2c0 L3%2c18 M9%2c0 L9%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='18' markerWidth='30' refY='9' refX='0' id='ZERO_OR_ONE_START'%3e%3ccircle r='6' cy='9' cx='21' fill='white' stroke='gray'/%3e%3cpath d='M9%2c0 L9%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='18' markerWidth='30' refY='9' refX='30' id='ZERO_OR_ONE_END'%3e%3ccircle r='6' cy='9' cx='9' fill='white' stroke='gray'/%3e%3cpath d='M21%2c0 L21%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='36' markerWidth='45' refY='18' refX='18' id='ONE_OR_MORE_START'%3e%3cpath d='M0%2c18 Q 18%2c0 36%2c18 Q 18%2c36 0%2c18 M42%2c9 L42%2c27' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='36' markerWidth='45' refY='18' refX='27' id='ONE_OR_MORE_END'%3e%3cpath d='M3%2c9 L3%2c27 M9%2c18 Q27%2c0 45%2c18 Q27%2c36 9%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='36' markerWidth='57' refY='18' refX='18' id='ZERO_OR_MORE_START'%3e%3ccircle r='6' cy='18' cx='48' fill='white' stroke='gray'/%3e%3cpath d='M0%2c18 Q18%2c0 36%2c18 Q18%2c36 0%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cdefs%3e%3cmarker orient='auto' markerHeight='36' markerWidth='57' refY='18' refX='39' id='ZERO_OR_MORE_END'%3e%3ccircle r='6' cy='18' cx='9' fill='white' stroke='gray'/%3e%3cpath d='M21%2c18 Q39%2c0 57%2c18 Q39%2c36 21%2c18' fill='none' stroke='gray'/%3e%3c/marker%3e%3c/defs%3e%3cpath style='stroke: gray%3b fill: none%3b' marker-start='url(%23ONE_OR_MORE_START)' marker-end='url(%23ONE_OR_MORE_END)' d='M70%2c95L70%2c103.333C70%2c111.667%2c70%2c128.333%2c70%2c145C70%2c161.667%2c70%2c178.333%2c70%2c186.667L70%2c195' class='er relationshipLine'/%3e%3cpath style='stroke: gray%3b fill: none%3b' marker-start='url(%23ONE_OR_MORE_START)' marker-end='url(%23ONE_OR_MORE_END)' d='M70%2c270L70%2c278.333C70%2c286.667%2c70%2c303.333%2c79.628%2c320C89.255%2c336.667%2c108.51%2c353.333%2c118.138%2c361.667L127.766%2c370' class='er relationshipLine'/%3e%3cpath style='stroke: gray%3b fill: none%3b' marker-start='url(%23ONLY_ONE_START)' marker-end='url(%23ONE_OR_MORE_END)' d='M272.18%2c270L272.18%2c278.333C272.18%2c286.667%2c272.18%2c303.333%2c262.552%2c320C252.924%2c336.667%2c233.669%2c353.333%2c224.042%2c361.667L214.414%2c370' class='er relationshipLine'/%3e%3cg transform='translate(20%2c20 )' id='entity-Utilisateur-9693b786-d592-50c8-b099-265b7810b47f'%3e%3crect height='75' width='100' y='0' x='0' class='er entityBox'/%3e%3ctext style='dominant-baseline: middle%3b text-anchor: middle%3b font-family: arial%2c sans-serif%3b font-size: 12px%3b' transform='translate(50%2c37.5)' y='0' x='0' id='text-entity-Utilisateur-9693b786-d592-50c8-b099-265b7810b47f' class='er entityLabel'%3eUtilisateur%3c/text%3e%3c/g%3e%3cg transform='translate(20%2c195 )' id='entity-Role-8dbdbbc4-0419-5464-aae6-f142fb2ece67'%3e%3crect height='75' width='100' y='0' x='0' class='er entityBox'/%3e%3ctext style='dominant-baseline: middle%3b text-anchor: middle%3b font-family: arial%2c sans-serif%3b font-size: 12px%3b' transform='translate(50%2c37.5)' y='0' x='0' id='text-entity-Role-8dbdbbc4-0419-5464-aae6-f142fb2ece67' class='er entityLabel'%3eRole%3c/text%3e%3c/g%3e%3cg transform='translate(121.08984375%2c370 )' id='entity-Permission-48655fad-d38f-55ef-b80b-a2e5778dc661'%3e%3crect height='75' width='100' y='0' x='0' class='er entityBox'/%3e%3ctext style='dominant-baseline: middle%3b text-anchor: middle%3b font-family: arial%2c sans-serif%3b font-size: 12px%3b' transform='translate(50%2c37.5)' y='0' x='0' id='text-entity-Permission-48655fad-d38f-55ef-b80b-a2e5778dc661' class='er entityLabel'%3ePermission%3c/text%3e%3c/g%3e%3cg transform='translate(220%2c195 )' id='entity-APIResource-f2b5b87c-e92d-553a-a516-679c3b4618ad'%3e%3crect height='75' width='104.359375' y='0' x='0' class='er entityBox'/%3e%3ctext style='dominant-baseline: middle%3b text-anchor: middle%3b font-family: arial%2c sans-serif%3b font-size: 12px%3b' transform='translate(52.1796875%2c37.5)' y='0' x='0' id='text-entity-APIResource-f2b5b87c-e92d-553a-a516-679c3b4618ad' class='er entityLabel'%3eAPI Resource%3c/text%3e%3c/g%3e%3crect height='14' width='29.34375' y='138' x='55.328125' class='er relationshipLabelBox'/%3e%3ctext style='text-anchor: middle%3b dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 12px%3b' y='145' x='70' id='rel1' class='er relationshipLabel'%3emaps%3c/text%3e%3crect height='14' width='29.34375' y='320.5440979003906' x='69.92644500732422' class='er relationshipLabelBox'/%3e%3ctext style='text-anchor: middle%3b dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 12px%3b' y='327.5440979003906' x='84.59832000732422' id='rel2' class='er relationshipLabel'%3emaps%3c/text%3e%3crect height='14' width='44.703125' y='320.54388427734375' x='235.22988891601562' class='er relationshipLabelBox'/%3e%3ctext style='text-anchor: middle%3b dominant-baseline: middle%3b font-family: arial%2c sans-serif%3b font-size: 12px%3b' y='327.54388427734375' x='257.5814514160156' id='rel3' class='er relationshipLabel'%3econtains%3c/text%3e%3c/svg%3e)