Praktyki i wglądy w implementację funkcji zarządzania zaproszeniami i dostępem do ról, takich jak współpraca w Logto Cloud, w aplikacji wielodostępnej.
W zeszłym tygodniu wprowadziliśmy funkcję współpracy w Logto Cloud. Jeśli ją przegapiłeś, koniecznie sprawdź! Teraz możesz zaprosić swoich współpracowników do istniejących tenantów w Logto, współpracując nad utrzymaniem systemu tożsamości dla swoich aplikacji.
W tej wersji funkcji dodaliśmy dwie role do każdego tenanta w Logto:
Zgodnie z naszym zobowiązaniem do używania własnych narzędzi, wykorzystaliśmy nasze RBAC (Role-Based Access Control) oraz funkcję Organizacji przy budowie współpracy użytkowników. Jeśli jesteś nowy w RBAC, sprawdź nasz wcześniejszy post, żeby zacząć.
W tym wpisie na blogu, przyjrzyjmy się, co składa się na implementację tej funkcji i w jaki sposób te praktyki mogą być dla ciebie korzystne, jeśli rozwijasz aplikacje wieloorganizacyjne.
Każdy tenant w Logto Cloud funkcjonuje jako niezależna organizacja w naszym systemie, wspierana przez naszą funkcję Organizacji. Aby wprowadzić role administratora tenanta i współpracownika, stworzyliśmy dwie role organizacyjne w szablonie organizacji, każda z przypisanym określonym zestawem uprawnień organizacyjnych.
Udostępniliśmy zestaw API zarządzania związanych z zaproszeniami w funkcji organizacji. Dzięki tym API możesz na przykład:
POST /api/organization-invitations utworzyć i wysłać zaproszenie organizacyjne na adres e-mailGET /api/organization-invitations & GET /api/organization-invitations/{id} uzyskać swoje zaproszeniaPUT /api/organization-invitations/{id}/status zaakceptować lub odrzucić zaproszenie poprzez aktualizację statusu zaproszeniaPo więcej szczegółów odsyłamy do pełnej dokumentacji API.
Ponieważ zaproszenia są wysyłane za pomocą e-maila, upewnij się, że twój konektor e-mail jest odpowiednio skonfigurowany. W tej wersji wprowadziliśmy nowy typ użycia szablonu wiadomości e-mail, OrganizationInvitation, umożliwiający dostosowanie szablonu e-maila z zaproszeniem.
Ten szablon e-mail przyjmie domyślnie zmienną {{link}}, która jest odnośnikiem do strony głównej Logto Console, gdzie użytkownicy mogą przyjąć zaproszenie i dołączyć do tenanta Logto. Jedna ze stron głównych w Logto Cloud wygląda jak zdjęcie poniżej:
Odnies się do dokumentacji API, aby uzyskać więcej szczegółów dotyczących wysyłania emaila z zaproszeniem za pomocą Management API.
Dzięki powyższym ustawieniom możemy wysyłać zaproszenia za pomocą e-maila, a zaproszone osoby mogą dołączyć do organizacji z przypisaną rolą.
Użytkownicy z różnymi rolami w organizacji będą mieli różne zakresy (uprawnienia) w swoich tokenach dostępu. Zatem zarówno aplikacja kliencka (Logto Console), jak i nasze usługi backendowe powinny sprawdzać te zakresy w celu określenia widocznych funkcji i dozwolonych akcji.
Dobrze, na razie wszystko wydaje się połączone, a o czym jeszcze zapomnieliśmy?
Zarządzanie aktualizacjami zakresów w tokenach dostępu obejmuje:
W Logto Cloud, Console aktywnie sprawdza zakresy użytkownika za pomocą zapytań SWR, a my automatycznie udzielamy zgody, gdy użytkownik jest awansowany na administratora.
Jeśli implementujesz podobną funkcję z RBAC, będziesz potrzebować mechanizmu (np. WebSocket lub zdarzeń push serwera) do powiadomienia twojej aplikacji o aktualizacjach zakresów, umożliwiając ponowne uzyskanie zgody lub wydania nowych tokenów dostępu odpowiednio. Logto również dostarczy więcej webhooków, które pomogą w tym w przyszłych aktualizacjach.
Funkcje współpracy i wielodostępności w Logto Cloud korzystają z naszej funkcji Organizacji. Jeśli rozwijasz podobną aplikację wielodostępną, rozważ wykorzystanie tej funkcji w podobny sposób.
Mam nadzieję, że ten wpis na blogu okazał się pomocny. Jeśli masz pytania lub chcesz podyskutować, dołącz do naszego kanału Discord.