{"id":494391,"date":"2026-09-11T12:52:17","date_gmt":"2026-09-11T12:52:17","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=494391"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=494391","title":{"rendered":"\u0410\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u044f \u043a\u0430\u043a \u043a\u043e\u0434, \u043d\u043e \u043d\u0435 \u0432 \u043a\u043e\u0434\u0435: ABAC \u0434\u043b\u044f Spring Boot \u043d\u0430 Open Policy Agent"},"content":{"rendered":"<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/webt\/ce\/19\/ce\/ce19cea5f7d3a08fda4c9578956535bd.png\" sizes=\"(max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/webt\/ce\/19\/ce\/ce19cea5f7d3a08fda4c9578956535bd.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/webt\/ce\/19\/ce\/ce19cea5f7d3a08fda4c9578956535bd.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u041f\u0440\u0438\u0432\u0435\u0442! \u041c\u0435\u043d\u044f \u0437\u043e\u0432\u0443\u0442 \u0414\u043c\u0438\u0442\u0440\u0438\u0439 \u041a\u043e\u043d\u043e\u0432\u0430\u043b\u043e\u0432, \u044f \u0440\u0430\u0437\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0443 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 (Internal Developer Platform, IDP) \u0432 \u0418\u0422-\u043a\u043e\u043c\u0430\u043d\u0434\u0435 \u00ab\u0421\u0435\u0432\u0435\u0440\u0441\u0442\u0430\u043b\u0438\u00bb. \u0417\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u043c\u043d\u043e\u0433\u043e\u0435 \u043f\u043e\u043c\u0435\u043d\u044f\u043b\u043e\u0441\u044c \u2014 \u0438 \u0432 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0435, \u0438 \u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u041d\u043e \u043e\u0434\u043d\u0443 \u0432\u0435\u0449\u044c \u0437\u0430 \u0432\u0441\u0451 \u044d\u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043d\u0438 \u0440\u0430\u0437\u0443 \u043d\u0435 \u043f\u0435\u0440\u0435\u043f\u0438\u0441\u044b\u0432\u0430\u043b\u0438 \u0441 \u043d\u0443\u043b\u044f, \u043e\u043d\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u044d\u0432\u043e\u043b\u044e\u0446\u0438\u043e\u043d\u0438\u0440\u043e\u0432\u0430\u043b\u0430: \u043c\u043e\u0434\u0435\u043b\u044c \u0434\u043e\u0441\u0442\u0443\u043f\u0430. \u0422\u0435\u043c\u0430 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u043d\u0430\u0441\u0442\u043e\u043b\u044c\u043a\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0439, \u0447\u0442\u043e \u044f \u0441\u0434\u0435\u043b\u0430\u043b \u0441\u0432\u043e\u0439 open-source Spring Boot starter \u2014 \u043e \u043d\u0451\u043c \u0438 \u0445\u043e\u0447\u0443 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0432 \u0441\u0435\u0440\u0438\u0438 \u0441\u0442\u0430\u0442\u0435\u0439.<\/p>\n<p><strong>\u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435<\/strong><\/p>\n<ol>\n<li>\n<p><a href=\"#case\">\u041a\u0435\u0439\u0441, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0432\u0441\u0451 \u043b\u043e\u043c\u0430\u0435\u0442\u0441\u044f<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#why-not\">\u041f\u043e\u0447\u0435\u043c\u0443 \u043d\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u043e, \u0447\u0442\u043e \u0443\u0436\u0435 \u0435\u0441\u0442\u044c<\/a> \u2014 <code>@PreAuthorize<\/code> + SpEL, Spring Security ACL<\/p>\n<\/li>\n<li>\n<p><a href=\"#why-opa\">\u041f\u043e\u0447\u0435\u043c\u0443 OPA \u2014 \u0442\u0440\u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430, \u043d\u0435 \u043e\u0431\u0437\u043e\u0440<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#architecture\">\u0410\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430: \u043f\u0443\u0442\u044c \u043e\u0434\u043d\u043e\u0433\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0430<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#developer\">\u0427\u0442\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e \u043f\u0438\u0448\u0435\u0442 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a<\/a> \u2014 \u0430\u043d\u043d\u043e\u0442\u0430\u0446\u0438\u044f, \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u0430\u043a\u0442, \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430<\/p>\n<\/li>\n<li>\n<p><a href=\"#hierarchy\">\u0418\u0435\u0440\u0430\u0440\u0445\u0438\u044f: \u0433\u0440\u0430\u043d\u0442 \u043d\u0430 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u0435 \u2014 \u0432 Rego, \u043d\u0435 \u0432 Java<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#fail\">\u0424\u0435\u0439\u043b: \u043a\u0430\u043a \u043c\u044b \u0443\u0431\u0440\u0430\u043b\u0438 \u0437\u0430\u043f\u0430\u0441\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u2014 \u0438 \u043b\u0435\u0433\u043b\u0438 \u0432\u0441\u0435 type-level \u0433\u0435\u0439\u0442\u044b<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#run\">\u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0437\u0430 \u043f\u044f\u0442\u044c \u043c\u0438\u043d\u0443\u0442<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"#faq\">\u041f\u0440\u0435\u0434\u0432\u043e\u0441\u0445\u0438\u0449\u0430\u044f \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0438<\/a> \u2014 Keycloak\/Cerbos\/OpenFGA \u00b7 Kyverno \u00b7 ReBAC vs ABAC \u00b7 \u043b\u0430\u0442\u0435\u043d\u0442\u043d\u043e\u0441\u0442\u044c \u00b7 OPA \u0443\u043f\u0430\u043b \u00b7 \u043e\u0448\u0438\u0431\u043a\u0430 \u0432 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0435<\/p>\n<\/li>\n<li>\n<p><a href=\"#next\">\u0427\u0442\u043e \u0434\u0430\u043b\u044c\u0448\u0435<\/a><\/p>\n<\/li>\n<\/ol>\n<hr\/>\n<p><a class=\"anchor\" name=\"case\" id=\"case\"><\/a><\/p>\n<h3>1. \u041a\u0435\u0439\u0441, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0432\u0441\u0451 \u043b\u043e\u043c\u0430\u0435\u0442\u0441\u044f<\/h3>\n<p>\u041f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u044c\u0442\u0435 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 B2B-\u0441\u0435\u0440\u0432\u0438\u0441 \u2014 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0442\u043e\u0432\u0430\u0440\u043e\u0432. \u0422\u0440\u0438 \u0443\u0440\u043e\u0432\u043d\u044f: <strong>\u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u2192 \u0434\u0435\u0440\u0435\u0432\u043e \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0439 \u2192 \u0442\u043e\u0432\u0430\u0440<\/strong>.<\/p>\n<p>\u0422\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f \u043e\u0442 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430 \u0437\u0432\u0443\u0447\u0430\u0442 \u0431\u0443\u0434\u043d\u0438\u0447\u043d\u043e:<\/p>\n<ul>\n<li>\n<p>\u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u00ab\u042d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u0438\u043a\u0430\u00bb \u0434\u043e\u043b\u0436\u043d\u0430 \u0432\u0438\u0434\u0435\u0442\u044c \u0438 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c <strong>\u0442\u043e\u043b\u044c\u043a\u043e \u0441\u0432\u043e\u0439<\/strong> \u043a\u0430\u0442\u0430\u043b\u043e\u0433. \u0414\u0440\u0443\u0433\u0438\u0445 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u0432 \u0434\u043b\u044f \u043d\u0435\u0451 \u043a\u0430\u043a \u0431\u0443\u0434\u0442\u043e \u043d\u0435 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u2014 \u043d\u0438 \u0432 \u0441\u043f\u0438\u0441\u043a\u0430\u0445, \u043d\u0438 \u043f\u043e \u043f\u0440\u044f\u043c\u043e\u0439 \u0441\u0441\u044b\u043b\u043a\u0435;<\/p>\n<\/li>\n<li>\n<p>\u043f\u0440\u0430\u0432\u0430 \u0432\u044b\u0434\u0430\u044e\u0442\u0441\u044f <strong>\u043d\u0430 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435<\/strong>, \u043d\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u044e\u0442 \u043d\u0430 \u0432\u0441\u0451\u043c \u043f\u043e\u0434\u0434\u0435\u0440\u0435\u0432\u0435. \u0413\u0440\u0430\u043d\u0442 \u00ab\u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430\u00bb \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u043f\u0440\u0430\u0432\u043e \u043f\u0440\u0430\u0432\u0438\u0442\u044c \u043b\u044e\u0431\u0443\u044e \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u044e \u0438 \u0442\u043e\u0432\u0430\u0440 \u043f\u043e\u0434 \u043d\u0438\u043c \u2014 \u043d\u0430 \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0443\u0433\u043e\u0434\u043d\u043e \u0443\u0440\u043e\u0432\u043d\u0435\u0439 \u0432\u0433\u043b\u0443\u0431\u044c;<\/p>\n<\/li>\n<li>\n<p>\u0443 \u0440\u043e\u043b\u0435\u0439 \u0431\u044b\u0432\u0430\u044e\u0442 \u0443\u0441\u043b\u043e\u0432\u0438\u044f \u043f\u043e \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0430\u043c: \u0440\u043e\u043b\u044c \u00ab\u043a\u043e\u043d\u0442\u0435\u043d\u0442-\u043c\u0435\u043d\u0435\u0434\u0436\u0435\u0440 \u043f\u043e \u0431\u044b\u0442\u043e\u0432\u043e\u0439 \u0442\u0435\u0445\u043d\u0438\u043a\u0435\u00bb \u0432\u0438\u0434\u0438\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u043e\u0432\u0430\u0440\u044b \u0441 \u0442\u0435\u0433\u043e\u043c <code>department: appliances<\/code>;<\/p>\n<\/li>\n<li>\n<p>\u0438 \u0441\u0430\u043c\u043e\u0435 \u0432\u0435\u0441\u0451\u043b\u043e\u0435: <code>GET \/catalogs\/{id}\/categories<\/code> \u0434\u043e\u043b\u0436\u0435\u043d \u0432\u0435\u0440\u043d\u0443\u0442\u044c <strong>\u0442\u043e\u043b\u044c\u043a\u043e \u0442\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u044d\u0442\u043e\u043c\u0443 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0443 \u043c\u043e\u0436\u043d\u043e \u0432\u0438\u0434\u0435\u0442\u044c<\/strong>. \u041d\u0435 403 \u043d\u0430 \u0432\u0441\u044e \u043a\u043e\u043b\u043b\u0435\u043a\u0446\u0438\u044e, \u0430 \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u0439 \u043e\u0442\u0444\u0438\u043b\u044c\u0442\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a \u2014 \u0436\u0435\u043b\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u044f\u043c\u043e \u0444\u0438\u043b\u044c\u0442\u0440\u043e\u043c \u0432 SQL, \u0430 \u043d\u0435 \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u043e\u0439 \u0432\u0441\u0435\u0439 \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u0441 \u043f\u043e\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043f\u0440\u043e\u0441\u0435\u0438\u0432\u0430\u043d\u0438\u0435\u043c.<\/p>\n<\/li>\n<\/ul>\n<p>\u041a\u0430\u0436\u0434\u043e\u0435 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0440\u0435\u0448\u0430\u0435\u043c\u043e. \u0412\u0441\u0435 \u0432\u043c\u0435\u0441\u0442\u0435 \u2014 \u044d\u0442\u043e \u0443\u0436\u0435 ABAC (attribute-based access control) \u043f\u043e\u0432\u0435\u0440\u0445 \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0440\u0435\u0441\u0443\u0440\u0441\u0430 \u0441 \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0435\u0439 \u0434\u0430\u043d\u043d\u044b\u0445. \u0418 \u0432\u043e\u0442 \u044d\u0442\u043e\u0433\u043e \u0438\u0437 \u043a\u043e\u0440\u043e\u0431\u043a\u0438 \u0432 Spring-\u044d\u043a\u043e\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043d\u0435\u0442.<\/p>\n<p><a class=\"anchor\" name=\"why-not\" id=\"why-not\"><\/a><\/p>\n<h3>2. \u041f\u043e\u0447\u0435\u043c\u0443 \u043d\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u043e, \u0447\u0442\u043e \u0443\u0436\u0435 \u0435\u0441\u0442\u044c<\/h3>\n<h4>@PreAuthorize + SpEL<\/h4>\n<pre><code class=\"java\">@PreAuthorize(\"hasRole('CATALOG_EDITOR') and @catalogGuard.canEdit(#catalogId, principal)\")<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:87px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0422\u0440\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b, \u0438 \u0432\u0441\u0435 \u0442\u0440\u0438 \u2014 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u043d\u044b\u0435<\/p>\n<ol>\n<li>\n<p><strong>\u041b\u043e\u0433\u0438\u043a\u0430 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0437\u043c\u0430\u0437\u0430\u043d\u0430 \u043f\u043e \u0430\u043d\u043d\u043e\u0442\u0430\u0446\u0438\u044f\u043c.<\/strong> \u041f\u0440\u0430\u0432\u0438\u043b\u043e \u00ab\u043a\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u044e\u00bb \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u0432 \u0441\u0442\u043e\u043b\u044c\u043a\u0438\u0445 \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0430\u0445, \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u043e\u0432 \u0435\u0451 \u043a\u0430\u0441\u0430\u044e\u0442\u0441\u044f. \u0410\u0443\u0434\u0438\u0442\u043e\u0440\u0443 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043f\u0440\u0438\u0434\u0451\u0442\u0441\u044f \u043f\u0440\u043e\u0440\u0435\u0432\u044c\u044e\u0438\u0442\u044c \u0432\u0441\u0435 Spring MVC-\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u043b\u0435\u0440\u044b.<\/p>\n<\/li>\n<li>\n<p><strong>SpEL \u043d\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043a\u0430\u043a \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430.<\/strong> \u041c\u043e\u0436\u043d\u043e \u043f\u043e\u0434\u043d\u044f\u0442\u044c \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442 \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0446\u0435\u043b\u0438\u043a\u043e\u043c, \u043d\u043e \u043d\u0435\u043b\u044c\u0437\u044f \u0432\u0437\u044f\u0442\u044c <em>\u0441\u0430\u043c\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u043e<\/em> \u0438 \u043f\u0440\u043e\u0433\u043d\u0430\u0442\u044c \u043f\u043e \u043d\u0435\u043c\u0443 \u0442\u0430\u0431\u043b\u0438\u0446\u0443 \u043a\u0435\u0439\u0441\u043e\u0432 \u00ab\u0441\u0443\u0431\u044a\u0435\u043a\u0442 \u00d7 \u0440\u0435\u0441\u0443\u0440\u0441 \u00d7 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435\u00bb.<\/p>\n<\/li>\n<li>\n<p><strong>\u0418\u0435\u0440\u0430\u0440\u0445\u0438\u0438 \u0438 \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u0441\u043f\u0438\u0441\u043a\u043e\u0432 \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435\u0442.<\/strong> <code>hasRole<\/code> \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0437\u043d\u0430\u0435\u0442 \u043f\u0440\u043e \u00ab\u0433\u0440\u0430\u043d\u0442 \u043d\u0430 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u00bb. \u0410 \u0434\u043b\u044f \u0437\u0430\u0434\u0430\u0447\u0438 \u00ab\u0432\u0435\u0440\u043d\u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438\u00bb SpEL \u0431\u0435\u0441\u0441\u0438\u043b\u0435\u043d \u2014 \u043e\u043d \u0443\u043c\u0435\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u0430 \u0438\u043b\u0438 \u043d\u0435\u0442 \u043d\u0430 <em>\u0432\u0435\u0441\u044c<\/em> \u0432\u044b\u0437\u043e\u0432.<\/p>\n<\/li>\n<\/ol>\n<h4>Spring Security ACL<\/h4>\n<p>\u0424\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e \u0432 ACL-\u043c\u043e\u0434\u0443\u043b\u0435 \u0435\u0441\u0442\u044c per-object \u043f\u0440\u0430\u0432\u0430 \u0438 \u0434\u0430\u0436\u0435 \u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435. \u041d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435 \u044d\u0442\u043e \u0447\u0435\u0442\u044b\u0440\u0435 \u0442\u0430\u0431\u043b\u0438\u0446\u044b <code>ACL_*<\/code>, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u0435\u043a\u0430\u0440\u0442\u043e\u0432\u043e \u043f\u0440\u043e\u0438\u0437\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u00ab\u043e\u0431\u044a\u0435\u043a\u0442 \u00d7 \u0441\u0443\u0431\u044a\u0435\u043a\u0442 \u00d7 \u043f\u0440\u0430\u0432\u043e\u00bb.<\/p>\n<p>\u041d\u043e\u0432\u044b\u0439 \u0442\u043e\u0432\u0430\u0440 \u2014 \u043d\u043e\u0432\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 \u0432 ACL. \u041f\u043e\u043c\u0435\u043d\u044f\u043b\u0438 \u0440\u043e\u043b\u044c \u2014 \u043a\u0430\u0441\u043a\u0430\u0434 \u0430\u043f\u0434\u0435\u0439\u0442\u043e\u0432. \u041a\u043e\u0433\u0434\u0430 \u0442\u043e\u0432\u0430\u0440\u043e\u0432 \u043c\u0438\u043b\u043b\u0438\u043e\u043d, \u0430 \u0434\u043e\u0441\u0442\u0443\u043f \u0435\u0449\u0451 \u0438 \u043e\u0442 \u0442\u0435\u0433\u0430 \u0437\u0430\u0432\u0438\u0441\u0438\u0442 (\u0438 \u044d\u0442\u043e\u0442 \u0442\u0435\u0433 \u043c\u043e\u0436\u043d\u043e \u043c\u0435\u043d\u044f\u0442\u044c), ACL \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 ETL-\u043a\u043e\u043d\u0432\u0435\u0439\u0435\u0440 \u0441\u0438\u043d\u0445\u0440\u043e\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u0430\u0432. \u041a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044b\u0447\u043d\u043e \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u0434\u043e\u0433\u043d\u0430\u0442\u044c \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u0438 \u043f\u0440\u043e\u0438\u0433\u0440\u044b\u0432\u0430\u0435\u0442.<\/p>\n<p><a class=\"anchor\" name=\"why-opa\" id=\"why-opa\"><\/a><\/p>\n<h3>3. \u041f\u043e\u0447\u0435\u043c\u0443 OPA \u2014 \u0442\u0440\u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430, \u043d\u0435 \u043e\u0431\u0437\u043e\u0440<\/h3>\n<p><strong>Open Policy Agent<\/strong> \u2014 CNCF graduated \u0434\u0432\u0438\u0436\u043e\u043a \u043f\u043e\u043b\u0438\u0442\u0438\u043a. \u041f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u043f\u0438\u0448\u0443\u0442\u0441\u044f \u043d\u0430 \u044f\u0437\u044b\u043a\u0435 <strong>Rego<\/strong>, \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0441\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u0435\u0442 \u043f\u043e HTTP: \u00ab\u041c\u043e\u0436\u043d\u043e \u043b\u0438?\u00bb, OPA \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u0440\u0435\u0448\u0435\u043d\u0438\u0435\u043c.<\/p>\n<p>\u041f\u043e\u0447\u0435\u043c\u0443 \u0438\u043c\u0435\u043d\u043d\u043e \u043e\u043d, \u0430 \u043d\u0435 \u0441\u0432\u043e\u0439 \u043c\u0438\u043a\u0440\u043e\u0441\u0435\u0440\u0432\u0438\u0441 \u043f\u0440\u0430\u0432\u0438\u043b:<\/p>\n<ol>\n<li>\n<p><strong>\u041f\u043e\u043b\u0438\u0442\u0438\u043a\u0430 \u2014 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u0442\u0435\u0441\u0442\u0438\u0440\u0443\u0435\u043c\u044b\u0439 \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442.<\/strong> <code>opa test<\/code> \u0433\u043e\u043d\u044f\u0435\u0442 \u044e\u043d\u0438\u0442-\u0442\u0435\u0441\u0442\u044b \u043f\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c \u0441 coverage, \u0431\u0435\u0437 Java-\u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0430. \u0412 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 423 policy-\u0442\u0435\u0441\u0442\u043e\u0432 \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0442 \u0437\u0430 \u0434\u043e\u043b\u0438 \u0441\u0435\u043a\u0443\u043d\u0434\u044b. \u0418 \u044d\u0442\u043e \u0442\u0435\u0441\u0442\u044b \u0438\u043c\u0435\u043d\u043d\u043e \u043f\u0440\u0430\u0432\u0438\u043b: \u00ab\u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440 \u0441 \u0442\u0435\u0433\u043e\u043c X \u043d\u0435 \u0432\u0438\u0434\u0438\u0442 \u0442\u043e\u0432\u0430\u0440 \u0431\u0435\u0437 \u0442\u0435\u0433\u0430\u00bb, \u0430 \u043d\u0435 \u00ab\u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0432\u0435\u0440\u043d\u0443\u043b 403\u00bb.<\/p>\n<\/li>\n<li>\n<p><strong>Decision log \u0438\u0437 \u043a\u043e\u0440\u043e\u0431\u043a\u0438.<\/strong> \u041a\u0430\u0436\u0434\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u2014 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435: \u043a\u0442\u043e, \u0447\u0442\u043e, \u043d\u0430\u0434 \u0447\u0435\u043c, \u043f\u043e\u0447\u0435\u043c\u0443. \u0414\u043b\u044f \u0430\u0443\u0434\u0438\u0442\u0430 \u044d\u0442\u043e \u0440\u0430\u0437\u043d\u0438\u0446\u0430 \u043c\u0435\u0436\u0434\u0443 \u00abgrep \u043f\u043e \u043b\u043e\u0433\u0430\u043c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439\u00bb \u0438 \u00ab\u0432\u044b\u0433\u0440\u0443\u0437\u043a\u0430 \u043f\u043e\u0442\u043e\u043a\u0430 \u0440\u0435\u0448\u0435\u043d\u0438\u0439\u00bb.<\/p>\n<\/li>\n<li>\n<p><strong>\u041e\u0434\u0438\u043d \u044f\u0437\u044b\u043a \u043f\u043e\u043b\u0438\u0442\u0438\u043a \u043d\u0430 \u0432\u0441\u0435\u0445 \u0443\u0440\u043e\u0432\u043d\u044f\u0445.<\/strong> \u0422\u043e\u0442 \u0436\u0435 Rego, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0435\u0448\u0430\u0435\u0442 \u00ab\u043c\u043e\u0436\u043d\u043e \u043b\u0438 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u043e\u0432\u0430\u0440\u00bb, \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043d\u0430 API-gateway (\u0433\u0440\u0443\u0431\u0430\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u00ab\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u043b\u0438 \u0432\u043e\u043e\u0431\u0449\u0435\u00bb), \u0432 \u0441\u0435\u0440\u0432\u0438\u0441\u0435 (\u0442\u043e\u0447\u043d\u0430\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043d\u0430 \u0440\u0435\u0441\u0443\u0440\u0441\u0435), \u0430 \u0432 \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0447\u0430\u0441\u0442\u0438 \u0441\u0435\u0440\u0438\u0438 \u043e\u043d \u0436\u0435 \u0431\u0443\u0434\u0435\u0442 \u0440\u0435\u0448\u0430\u0442\u044c, \u043a\u0430\u043a\u0438\u0435 MCP-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b AI-\u0430\u0433\u0435\u043d\u0442\u0443.<\/p>\n<\/li>\n<\/ol>\n<p><a class=\"anchor\" name=\"architecture\" id=\"architecture\"><\/a><\/p>\n<h3>4. \u0410\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430: \u043f\u0443\u0442\u044c \u043e\u0434\u043d\u043e\u0433\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0430<\/h3>\n<figure class=\"\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/\/post_images\/e96\/76f\/973\/e9676f973536dbd6f5390eefe411139f.png\" sizes=\"(max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/getpro\/habr\/\/post_images\/e96\/76f\/973\/e9676f973536dbd6f5390eefe411139f.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/\/post_images\/e96\/76f\/973\/e9676f973536dbd6f5390eefe411139f.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u042d\u0442\u043e \u043e\u0431\u0449\u0430\u044f \u0442\u043e\u043f\u043e\u043b\u043e\u0433\u0438\u044f \u0441\u0442\u0435\u043d\u0434\u0430 (\u0432 \u043d\u0435\u0439 \u0443\u0436\u0435 \u0432\u0438\u0434\u0435\u043d MCP-\u0441\u0435\u0440\u0432\u0435\u0440 \u0438\u0437 \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0447\u0430\u0441\u0442\u0438). \u0410 \u0432\u043e\u0442 \u043f\u0443\u0442\u044c \u043e\u0434\u043d\u043e\u0433\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0447\u0435\u0440\u0435\u0437 \u0434\u0432\u0430 \u0441\u043b\u043e\u044f \u0440\u0435\u0448\u0435\u043d\u0438\u0439:<\/p>\n<pre><code>PUT \/catalogs\/{cid}\/categories\/{id}   \u2502   \u25bcAPISIX (gateway) \u2500\u2500\u2500\u2500 OIDC: \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044f JWT (Keycloak)   \u2502                \u2514\u2500 OPA, \u0441\u043b\u043e\u0439 1: \u0433\u0440\u0443\u0431\u0430\u044f \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430 (gateway.rego) \u2014   \u2502                   \u00ab\u044d\u0442\u043e\u043c\u0443 \u0442\u0438\u043f\u0443 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430 \u043d\u0430 \u044d\u0442\u043e\u0442 \u043c\u0430\u0440\u0448\u0440\u0443\u0442 \u043c\u043e\u0436\u043d\u043e \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435?\u00bb   \u25bccatalog-management-service (Spring Boot)   \u2502  @OpaPreAuthorize \u043d\u0430 \u043c\u0435\u0442\u043e\u0434\u0435 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u043b\u0435\u0440\u0430   \u2502    \u2514\u2500 AuthorizationManager \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442: \u0441\u0443\u0431\u044a\u0435\u043a\u0442 \u0438\u0437 JWT,   \u2502       \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435, \u0440\u0435\u0441\u0443\u0440\u0441 + \u0435\u0433\u043e \u043f\u0440\u0435\u0434\u043a\u0438, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0440\u043e\u043b\u0438   \u2502    \u2514\u2500 POST \/v1\/data\/category \u2192 OPA, \u0441\u043b\u043e\u0439 2: \u0442\u043e\u0447\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435   \u2502       (category.rego: \u0433\u0440\u0430\u043d\u0442\u044b, \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u044f, \u0442\u0435\u0433\u0438, deny-overrides)   \u25bcPostgreSQL \u2014 \u0430 \u0434\u043b\u044f \u0441\u043f\u0438\u0441\u043a\u043e\u0432 \u0435\u0449\u0451 \u0438 \u0441\u043b\u043e\u0439 2b: \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430, \u0441\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0430\u044f             \u0432 WHERE-\u0443\u0441\u043b\u043e\u0432\u0438\u044f (partial evaluation \u2192 JPA Specification, \u0447\u0430\u0441\u0442\u044c 2)<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0414\u0432\u0430 \u0441\u043b\u043e\u044f \u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u2014 \u043d\u0435 \u0434\u0443\u0431\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435. Gateway \u043e\u0442\u0441\u0435\u043a\u0430\u0435\u0442 \u0433\u0440\u0443\u0431\u043e\u0435 (\u00ab\u0430\u043d\u043e\u043d\u0438\u043c\u0443\u0441\u0443 \u0432 \u0430\u0434\u043c\u0438\u043d-API \u043d\u0435\u043b\u044c\u0437\u044f\u00bb), \u0441\u0435\u0440\u0432\u0438\u0441 \u0440\u0435\u0448\u0430\u0435\u0442 \u0442\u043e\u0447\u043d\u043e\u0435 (\u00ab\u044d\u0442\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043d\u0430\u0434 \u044d\u0442\u0438\u043c \u0442\u043e\u0432\u0430\u0440\u043e\u043c \u0441 \u044d\u0442\u0438\u043c\u0438 \u0442\u0435\u0433\u0430\u043c\u0438\u00bb). \u041f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u043e\u0431\u043e\u0438\u0445 \u0441\u043b\u043e\u0451\u0432 \u043b\u0435\u0436\u0430\u0442 \u0440\u044f\u0434\u043e\u043c, \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u044f\u0437\u044b\u043a\u0435, \u0442\u0435\u0441\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u043c.<\/p>\n<p><a class=\"anchor\" name=\"developer\" id=\"developer\"><\/a><\/p>\n<h3>5. \u0427\u0442\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e \u043f\u0438\u0448\u0435\u0442 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a<\/h3>\n<h4>\u0410\u043d\u043d\u043e\u0442\u0430\u0446\u0438\u044f<\/h4>\n<p>\u0412\u043e\u0442 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u043b\u0435\u0440 <code>ProductController.java<\/code> (\u0441\u043e\u043a\u0440\u0430\u0449\u0435\u043d\u043e; \u043f\u043e\u043b\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u2014 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438, <code>example-catalog-management-service\/src\/main\/java\/dev\/dmitriikonovalov\/example\/catalog\/web<\/code>):<\/p>\n<pre><code class=\"java\">@OpaPreAuthorize(action = \"product:view\", resourceType = \"'product'\", resourceId = \"#productId\")public ResponseEntity&lt;Product&gt; getProduct(UUID catalogId, UUID categoryId, UUID productId) { ... }@OpaPreAuthorize(action = \"product:list\", resourceType = \"'product'\",        roleResourceType = \"'catalog'\", roleResourceId = \"#catalogId\")public ResponseEntity&lt;ProductPage&gt; listProducts(UUID catalogId, UUID categoryId, ...) { ... }<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0410\u0442\u0440\u0438\u0431\u0443\u0442\u044b \u2014 SpEL (\u043e\u0442\u0441\u044e\u0434\u0430 \u043a\u0430\u0432\u044b\u0447\u043a\u0438 \u0432 <code>\"'product'\"<\/code>: \u0441\u0442\u0440\u043e\u043a\u043e\u0432\u044b\u0439 \u043b\u0438\u0442\u0435\u0440\u0430\u043b, \u0430 <code>#productId<\/code> \u2014 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u043c\u0435\u0442\u043e\u0434\u0430). \u041d\u043e \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435, <strong>\u0447\u0435\u0433\u043e \u0437\u0434\u0435\u0441\u044c \u043d\u0435\u0442<\/strong>: \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430. \u0410\u043d\u043d\u043e\u0442\u0430\u0446\u0438\u044f \u0434\u0435\u043a\u043b\u0430\u0440\u0438\u0440\u0443\u0435\u0442 <em>\u0432\u043e\u043f\u0440\u043e\u0441<\/em> (\u00ab\u043c\u043e\u0436\u0435\u0442 \u043b\u0438 \u0441\u0443\u0431\u044a\u0435\u043a\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c <code>product:view<\/code> \u043d\u0430\u0434 \u044d\u0442\u0438\u043c \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u043c?\u00bb), \u0430 <em>\u043e\u0442\u0432\u0435\u0442<\/em> \u0446\u0435\u043b\u0438\u043a\u043e\u043c \u0436\u0438\u0432\u0451\u0442 \u0432 Rego.<\/p>\n<p>\u041f\u0430\u0440\u0430 <code>roleResourceType<\/code> \/ <code>roleResourceId<\/code> \u0432\u043e \u0432\u0442\u043e\u0440\u043e\u043c \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u2014 \u043f\u043e\u0434\u0441\u043a\u0430\u0437\u043a\u0430 \u00ab\u0440\u043e\u043b\u044c \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430 \u0438\u0449\u0438 \u043d\u0430 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435\u00bb: \u0443 \u0441\u043f\u0438\u0441\u043a\u0430 \u0442\u043e\u0432\u0430\u0440\u043e\u0432 \u043d\u0435\u0442 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0433\u043e \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0430, \u0430 \u0433\u0440\u0430\u043d\u0442 \u0436\u0438\u0432\u0451\u0442 \u043d\u0430 \u043a\u043e\u0440\u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0435\u0432\u0430 (\u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u2014 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u043f\u0440\u043e \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u044e \u0438 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u043f\u0440\u043e \u0444\u0435\u0439\u043b \u043d\u0438\u0436\u0435).<\/p>\n<h4>\u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u0430\u043a\u0442<\/h4>\n<p><code>AuthorizationManager<\/code> \u0437\u0430 \u0430\u043d\u043d\u043e\u0442\u0430\u0446\u0438\u0435\u0439 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 <code>AbacContext<\/code> \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0435\u0433\u043e \u0432 OPA \u043a\u0430\u043a <code>input<\/code>:<\/p>\n<pre><code class=\"json\">{  \"input\": {    \"subject\":  { \"id\": \"u-42\", \"roles\": [\"\u2026\"], \"attributes\": { \u2026 } },    \"action\":   \"product:view\",    \"resource\": {      \"type\": \"product\",      \"id\": \"p-1001\",      \"attributes\": { \"department\": \"appliances\", \u2026 },      \"ancestors\": [                        \/\/ root-first, \u0431\u0435\u0437 \u0441\u0430\u043c\u043e\u0433\u043e \u043b\u0438\u0441\u0442\u0430        { \"type\": \"catalog\",  \"id\": \"c-7\" },        { \"type\": \"category\", \"id\": \"cat-33\" }      ]    },    \"role_definition\": { \u2026 }               \/\/ \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0440\u043e\u043b\u0438 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430 \u043d\u0430 governing root  }}<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u042d\u0442\u043e \u0438 \u0435\u0441\u0442\u044c \u0432\u0435\u0441\u044c \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u0430\u043a\u0442: \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u0437\u0430 <strong>\u0430\u0442\u0440\u0438\u0431\u0443\u0442\u044b<\/strong> (\u043a\u0442\u043e, \u0447\u0442\u043e, \u043d\u0430\u0434 \u0447\u0435\u043c, \u0432 \u043a\u0430\u043a\u043e\u043c \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0438), \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430 \u2014 \u0437\u0430 <strong>\u0440\u0435\u0448\u0435\u043d\u0438\u0435<\/strong>.<\/p>\n<p>\u041e\u0442\u043a\u0443\u0434\u0430 \u0431\u0435\u0440\u0443\u0442\u0441\u044f \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u044b:<\/p>\n<ul>\n<li>\n<p>\u0441\u0443\u0431\u044a\u0435\u043a\u0442 \u2014 \u0438\u0437 JWT;<\/p>\n<\/li>\n<li>\n<p>\u0440\u0435\u0441\u0443\u0440\u0441 \u0438 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0435 \u0441\u0443\u0449\u043d\u043e\u0441\u0442\u0438 \u2014 \u0438\u0437 \u0411\u0414 \u0447\u0435\u0440\u0435\u0437 SPI-\u0440\u0435\u0437\u043e\u043b\u0432\u0435\u0440 (\u0434\u043b\u044f \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u0438 \u2014 \u043e\u0434\u043d\u043e \u0438\u043d\u0434\u0435\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0447\u0442\u0435\u043d\u0438\u0435 ltree-\u043f\u0443\u0442\u0438, \u043d\u0435 \u0440\u0435\u043a\u0443\u0440\u0441\u0438\u0432\u043d\u044b\u0439 \u043e\u0431\u0445\u043e\u0434);<\/p>\n<\/li>\n<li>\n<p>\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0440\u043e\u043b\u0438 \u2014 \u0438\u0437 user-service (\u0440\u043e\u043b\u044c \u2194 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u2194 \u0440\u0435\u0441\u0443\u0440\u0441).<\/p>\n<\/li>\n<\/ul>\n<h4>\u041f\u043e\u043b\u0438\u0442\u0438\u043a\u0430<\/h4>\n<p>\u042f\u0434\u0440\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0433\u043e <code>product.rego<\/code> (\u0441\u043e\u043a\u0440\u0430\u0449\u0435\u043d\u043e; \u043f\u043e\u043b\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u2014 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438, <code>infra\/opa\/policies\/<\/code>):<\/p>\n<pre><code>package productimport data.permissionsdefault allow := false          # \u0437\u0430\u043f\u0440\u0435\u0442 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u2014 \u044f\u0432\u043d\u044b\u0439# \u0438\u0442\u043e\u0433: \u0433\u0440\u0430\u043d\u0442 (\u043f\u0440\u044f\u043c\u043e\u0439 \u0438\u043b\u0438 \u0443\u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u043d\u044b\u0439), \u041d\u0415 \u043f\u0435\u0440\u0435\u043a\u0440\u044b\u0442\u044b\u0439 \u0437\u0430\u043f\u0440\u0435\u0442\u043e\u043callow if {    granted    not denied}# \u043f\u0440\u044f\u043c\u043e\u0439 \u0433\u0440\u0430\u043d\u0442: verb \u0432\u0445\u043e\u0434\u0438\u0442 \u0432 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u044b\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0440\u043e\u043b\u0438 \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0442\u0438\u043f\u0430 \u0440\u0435\u0441\u0443\u0440\u0441\u0430direct_grant if {    verb in permissions.effective_actions(input.role_definition, input.resource.type)    tags_satisfied}# \u0437\u0430\u043f\u0440\u0435\u0442-\u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435: \u044f\u0432\u043d\u044b\u0439 deny \u043d\u0430 \u043b\u0438\u0441\u0442\u0435 \u043f\u043e\u0431\u0435\u0436\u0434\u0430\u0435\u0442 \u043b\u044e\u0431\u043e\u0439 \u0433\u0440\u0430\u043d\u0442denied if {    input.resource.attributes.abac_deny == true}<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0420\u043e\u043b\u044c \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430 \u043d\u0435\u0441\u0451\u0442 <strong>\u0433\u0440\u0443\u0431\u044b\u0435 \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0438<\/strong> \u043f\u0440\u0430\u0432 (<code>READ<\/code> \/ <code>WRITE<\/code> \/ <code>TAG<\/code> \/ <code>GRANT<\/code> \/ <code>CONTROL<\/code>) \u043f\u043e \u0442\u0438\u043f\u0430\u043c \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u0432. \u041e\u0431\u0449\u0438\u0439 \u043c\u043e\u0434\u0443\u043b\u044c <code>permissions<\/code> \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442 \u0438\u0445 \u0432 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043f\u043e \u0442\u0430\u0431\u043b\u0438\u0446\u0435:<\/p>\n<pre><code class=\"json\">{ \"READ\":    [\"view\", \"list\", \"list-members\"],  \"WRITE\":   [\"create\", \"update\", \"delete\"],  \"TAG\":     [\"define-tags\", \"assign-tags\"],  \"GRANT\":   [\"assign-roles\"],  \"CONTROL\": [\"add-member\", \"change-role\", \"remove-member\"] }<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u2026\u0438 \u0441\u0443\u0436\u0430\u0435\u0442 \u0447\u0435\u0440\u0435\u0437 <code>denied_actions<\/code>. \u041d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0439 \u0442\u043e\u043a\u0435\u043d \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0438 \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0432 <strong>\u043f\u0443\u0441\u0442\u043e\u0435 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e<\/strong> \u2014 \u043e\u043f\u0435\u0447\u0430\u0442\u043a\u0430 \u0432 \u0434\u0430\u043d\u043d\u044b\u0445 \u0440\u043e\u043b\u0438 \u043d\u0435 \u043c\u043e\u0436\u0435\u0442 \u0434\u0430\u0442\u044c \u043b\u0438\u0448\u043d\u0438\u0445 \u043f\u0440\u0430\u0432, \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u0442\u043d\u044f\u0442\u044c (fail-closed).<\/p>\n<p><a class=\"anchor\" name=\"hierarchy\" id=\"hierarchy\"><\/a><\/p>\n<h3>6. \u0418\u0435\u0440\u0430\u0440\u0445\u0438\u044f: \u0433\u0440\u0430\u043d\u0442 \u043d\u0430 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u0435 \u2014 \u0432 Rego, \u043d\u0435 \u0432 Java<\/h3>\n<p>\u0422\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u0435 \u00ab\u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u0443\u0435\u0442 \u0432\u0441\u0451 \u043f\u043e\u0434\u0434\u0435\u0440\u0435\u0432\u043e\u00bb \u2014 \u044d\u0442\u043e \u0440\u043e\u0432\u043d\u043e \u0434\u0432\u0430 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0438 \u043e\u0434\u043d\u0430 \u0434\u0435\u043a\u043b\u0430\u0440\u0430\u0446\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445:<\/p>\n<pre><code># \u0443\u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0433\u0440\u0430\u043d\u0442: \u0440\u043e\u043b\u044c \u043d\u0435\u0441\u0451\u0442 \u044d\u0442\u043e\u0442 verb \u043d\u0430 \u043f\u0440\u0435\u0434\u043a\u0435, \u0447\u0435\u0439 \u0442\u0438\u043f \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d \u043d\u0430\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u044b\u043cinherited_grant if {    some ancestor in input.resource.ancestors    data.product.inheritable[input.resource.type][ancestor.type]   # \u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u2014 opt-in    verb in permissions.effective_actions(input.role_definition, ancestor.type)}<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<pre><code class=\"json\">{ \"product\": { \"inheritable\": { \"product\": { \"category\": true, \"catalog\": true } } } }<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0421\u0432\u043e\u0439\u0441\u0442\u0432\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0434\u0430\u043b\u0438\u0441\u044c \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u043e:<\/p>\n<ul>\n<li>\n<p><strong>opt-in, \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d\u043e.<\/strong> \u041d\u0435\u0442 \u0434\u0435\u043a\u043b\u0430\u0440\u0430\u0446\u0438\u0438 \u0432 <code>data.*.inheritable<\/code> \u2014 \u043d\u0435\u0442 \u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f. \u041f\u043e\u043b\u0438\u0442\u0438\u043a\u0430 \u0432\u0435\u0434\u0451\u0442 \u0441\u0435\u0431\u044f \u0440\u043e\u0432\u043d\u043e \u043a\u0430\u043a \u0434\u043e-\u0438\u0435\u0440\u0430\u0440\u0445\u0438\u0447\u0435\u0441\u043a\u0430\u044f. \u041d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u0434\u0430\u043d\u043d\u044b\u043c\u0438, \u043d\u0435 \u043a\u043e\u0434\u043e\u043c;<\/p>\n<\/li>\n<li>\n<p><strong>deny-overrides.<\/strong> \u042f\u0432\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u0435\u0442 \u043d\u0430 \u043b\u0438\u0441\u0442\u0435 (<code>abac_deny<\/code>) \u043f\u043e\u0431\u0435\u0436\u0434\u0430\u0435\u0442 \u043b\u044e\u0431\u043e\u0439 \u0433\u0440\u0430\u043d\u0442 \u043f\u0440\u0435\u0434\u043a\u0430 \u2014 \u043f\u0440\u0430\u0432\u0438\u043b\u043e <code>not denied<\/code> \u0441\u0442\u043e\u0438\u0442 \u041d\u0410\u0414 \u043e\u0431\u043e\u0438\u043c\u0438 \u043f\u0443\u0442\u044f\u043c\u0438 \u0433\u0440\u0430\u043d\u0442\u0430;<\/p>\n<\/li>\n<li>\n<p><strong>fail-closed.<\/strong> \u0415\u0441\u043b\u0438 \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u043f\u0440\u0435\u0434\u043a\u043e\u0432 \u043d\u0435 \u043f\u0440\u0438\u0448\u043b\u0430 \u0432\u043e \u0432\u0445\u043e\u0434\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0438\u043b\u0438 \u043d\u0435 \u043f\u0440\u043e\u0448\u043b\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443, \u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u2014 \u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u044f\u043c\u043e\u0439 \u0433\u0440\u0430\u043d\u0442 \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0440\u0435\u0441\u0443\u0440\u0441\u0435. \u041e\u0448\u0438\u0431\u043a\u0430 \u0432 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441\u0443\u0436\u0430\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u043f, \u0430 \u043d\u0435 \u0440\u0430\u0441\u0448\u0438\u0440\u044f\u0435\u0442 \u0435\u0433\u043e;<\/p>\n<\/li>\n<li>\n<p>\u0432 Java-\u043a\u043e\u0434\u0435 \u043f\u0440\u043e \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u044e \u2014 <strong>\u043d\u043e\u043b\u044c \u0441\u0442\u0440\u043e\u043a<\/strong>: \u0441\u0435\u0440\u0432\u0438\u0441 \u043b\u0438\u0448\u044c \u043a\u043b\u0430\u0434\u0451\u0442 \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u043f\u0440\u0435\u0434\u043a\u043e\u0432 \u0432 input.<\/p>\n<\/li>\n<\/ul>\n<p><a class=\"anchor\" name=\"fail\" id=\"fail\"><\/a><\/p>\n<h3>7. \u0424\u0435\u0439\u043b: \u043a\u0430\u043a \u043c\u044b \u0443\u0431\u0440\u0430\u043b\u0438 \u0437\u0430\u043f\u0430\u0441\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u2014 \u0438 \u043b\u0435\u0433\u043b\u0438 \u0432\u0441\u0435 type-level \u0433\u0435\u0439\u0442\u044b<\/h3>\n<p>\u0412 \u0440\u0430\u043d\u043d\u0438\u0445 \u0432\u0435\u0440\u0441\u0438\u044f\u0445 \u043f\u0440\u0438\u043c\u0435\u0440\u0430 \u0431\u044b\u043b \u0443\u0434\u043e\u0431\u043d\u044b\u0439 \u0437\u0430\u043f\u0430\u0441\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u2014 \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 fallback: \u0435\u0441\u043b\u0438 \u0443 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430 \u043d\u0435 \u043d\u0430\u0448\u043b\u043e\u0441\u044c \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u0440\u043e\u043b\u0438 (\u043e\u043d \u043d\u0435 \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u0435), \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b\u0430 realm-\u0440\u043e\u043b\u0438 \u0438\u0437 JWT. \u0414\u043b\u044f \u0434\u0435\u043c\u043e \u2014 \u0443\u0434\u043e\u0431\u043d\u043e. \u0418 \u044d\u0442\u043e \u0434\u044b\u0440\u0430 \u0432 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438: \u0434\u043e\u0441\u0442\u0443\u043f \u043f\u043e \u043f\u0440\u044f\u043c\u043e\u0439 \u0441\u0441\u044b\u043b\u043a\u0435 \u043a \u0440\u0435\u0441\u0443\u0440\u0441\u0443 \u0447\u0443\u0436\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b (\u00abdeep-link leak\u00bb) \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u043b \u0443 \u043b\u044e\u0431\u043e\u0433\u043e \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430 \u0441 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0439 realm-\u0440\u043e\u043b\u044c\u044e.<\/p>\n<p>\u0420\u0435\u0448\u0435\u043d\u0438\u0435: <strong>\u0447\u043b\u0435\u043d\u0441\u0442\u0432\u043e \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u0435 \u2014 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f\u0430<\/strong>. \u0417\u0430\u043f\u0430\u0441\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u0443\u0431\u0440\u0430\u043b\u0438.<\/p>\n<p>\u0423\u0434\u0430\u043b\u0438\u043b\u0438 \u2014 \u0438 \u0443\u043f\u0430\u043b\u0438 <strong>\u0432\u0441\u0435<\/strong> type-level \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438: \u0441\u043f\u0438\u0441\u043e\u043a, \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435, \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0442\u0435\u0433\u043e\u0432 \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438.<\/p>\n<p>\u041f\u0440\u0438\u0447\u0438\u043d\u0430 \u0432 \u0430\u0441\u0438\u043c\u043c\u0435\u0442\u0440\u0438\u0438, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0437\u0430\u043f\u0430\u0441\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u043c\u0430\u0441\u043a\u0438\u0440\u043e\u0432\u0430\u043b. \u0423 \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u00ab\u043c\u043e\u0436\u043d\u043e \u043b\u0438 <code>product:view<\/code> \u043d\u0430\u0434 \u0442\u043e\u0432\u0430\u0440\u043e\u043c p-1001\u00bb \u0435\u0441\u0442\u044c \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440 \u0442\u043e\u0432\u0430\u0440\u0430, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u0440\u0435\u0437\u043e\u043b\u0432\u0438\u0442\u0441\u044f \u0440\u043e\u043b\u044c. \u0423 \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u00ab\u043c\u043e\u0436\u043d\u043e \u043b\u0438 <code>product:create<\/code>\u00bb \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0430 <strong>\u043d\u0435\u0442<\/strong> \u2014 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0435\u043c\u044b\u0439 \u0442\u043e\u0432\u0430\u0440 \u0435\u0449\u0451 \u043d\u0435 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442, \u0440\u0435\u0437\u043e\u043b\u0432\u0438\u0442\u044c \u0440\u043e\u043b\u044c \u043d\u0435 \u043d\u0430 \u0447\u0435\u043c. \u041f\u043e\u043a\u0430 \u0437\u0430\u043f\u0430\u0441\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043b, type-level \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0442\u0438\u0445\u043e \u043f\u0440\u043e\u0435\u0437\u0436\u0430\u043b\u0438 \u043d\u0430 realm-\u0440\u043e\u043b\u044f\u0445. \u0423\u0431\u0440\u0430\u043b\u0438 \u2014 \u043e\u043d\u0438 \u0441\u0442\u0430\u043b\u0438 fail-closed \u0438 \u0447\u0435\u0441\u0442\u043d\u043e \u0437\u0430\u043a\u0440\u044b\u043b\u0438\u0441\u044c \u0434\u043b\u044f \u0432\u0441\u0435\u0445.<\/p>\n<p>\u041f\u043e\u0447\u0438\u043d\u043a\u0430 \u2014 \u0442\u0430 \u0441\u0430\u043c\u0430\u044f \u043f\u0430\u0440\u0430 \u0432 \u0430\u043d\u043d\u043e\u0442\u0430\u0446\u0438\u0438 \u0438\u0437 \u0440\u0430\u0437\u0434\u0435\u043b\u0430 5:<\/p>\n<pre><code class=\"java\">@OpaPreAuthorize(action = \"product:create\", resourceType = \"'product'\",        roleResourceType = \"'catalog'\", roleResourceId = \"#catalogId\")<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u00ab\u041e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0439 \u0440\u043e\u043b\u044c \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430 \u043d\u0430 <strong>\u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u0441\u043a\u043e\u043c \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435<\/strong>\u00bb \u2014 governing root \u0438\u0437\u0432\u0435\u0441\u0442\u0435\u043d \u0438\u0437 URL, \u0434\u0430\u0436\u0435 \u043a\u043e\u0433\u0434\u0430 \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0430 \u0435\u0449\u0451 \u043d\u0435\u0442. \u0410 \u0432 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0435 type-level \u0437\u0430\u043f\u0440\u043e\u0441 \u0438\u0434\u0451\u0442 \u0447\u0435\u0440\u0435\u0437 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0442\u043e\u0436\u0435 fail-closed:<\/p>\n<pre><code># type-level \u0437\u0430\u043f\u0440\u043e\u0441: id \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0418\u041b\u0418 \u044f\u0432\u043d\u044b\u0439 null \u2014 \u043e\u0431\u0430 \u0437\u043d\u0430\u0447\u0430\u0442 \u00ab\u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 \u0442\u0438\u043f\u0430\u00bbis_type_level_request if not input.resource.idis_type_level_request if input.resource.id == nullallow if {    is_type_level_request    not denied    list_inheritable_grant      # verb \u0433\u0440\u0430\u043d\u0442\u0430 \u2014 \u043d\u0430 \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d\u043d\u043e\u043c \u043d\u0430\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u043e\u043c \u043f\u0440\u0435\u0434\u043a\u0435}<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u041c\u043e\u0440\u0430\u043b\u044c, \u0440\u0430\u0434\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0440\u0430\u0437\u0434\u0435\u043b \u0438 \u043d\u0430\u043f\u0438\u0441\u0430\u043d: <strong>\u0437\u0430\u043f\u0430\u0441\u043d\u044b\u0435 \u043f\u0443\u0442\u0438 \u0432 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u043c\u0430\u0441\u043a\u0438\u0440\u0443\u044e\u0442 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u043d\u044b\u0435 \u0434\u044b\u0440\u044b \u043a\u043e\u043d\u0442\u0440\u0430\u043a\u0442\u0430.<\/strong> \u041f\u043e\u043a\u0430 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u00ab\u0430 \u0435\u0441\u043b\u0438 \u0440\u043e\u043b\u0438 \u043d\u0435\u0442 \u2014 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0432 JWT\u00bb \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442, \u0432\u044b \u043d\u0435 \u0443\u0437\u043d\u0430\u0435\u0442\u0435, \u043a\u0430\u043a\u0438\u0435 \u0438\u0437 \u0432\u0430\u0448\u0438\u0445 \u043f\u0440\u043e\u0432\u0435\u0440\u043e\u043a \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0435 \u0443\u043c\u0435\u044e\u0442 \u0440\u0435\u0437\u043e\u043b\u0432\u0438\u0442\u044c \u0440\u043e\u043b\u044c. \u0415\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u0443\u0437\u043d\u0430\u0442\u044c \u2014 \u0443\u0431\u0440\u0430\u0442\u044c \u0437\u0430\u043f\u0430\u0441\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c, \u0447\u0442\u043e \u0443\u043f\u0430\u0434\u0451\u0442. \u041b\u0443\u0447\u0448\u0435 \u043d\u0430 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u043c \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0438, \u0447\u0435\u043c \u0432 \u043f\u0440\u043e\u0434\u0435.<\/p>\n<p><a class=\"anchor\" name=\"run\" id=\"run\"><\/a><\/p>\n<h3>8. \u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0437\u0430 \u043f\u044f\u0442\u044c \u043c\u0438\u043d\u0443\u0442<\/h3>\n<pre><code class=\"bash\">git clone https:\/\/github.com\/Void3110\/spring-boot-starter-opa-abaccd spring-boot-starter-opa-abac# \u043f\u043e\u043b\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0443\u0440: APISIX \u2192 OPA \u2192 \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u2192 Postgres (+ Keycloak, Jaeger) \u2014 \u0432\u0441\u0451 \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u043e \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e.\/profile.sh up.\/deploy.sh up --pods 2# gateway: http:\/\/localhost:9085# allow\/deny-\u043c\u0430\u0442\u0440\u0438\u0446\u0430 \u0447\u0435\u0440\u0435\u0437 gateway \u2014 \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u044f, \u0440\u043e\u043b\u0438, \u0442\u0435\u0433\u0438:cd scripts\/postman &amp;&amp; .\/run-hierarchy-matrix.sh# \u0442\u043e \u0436\u0435 \u0441\u0430\u043c\u043e\u0435 \u0433\u043b\u0430\u0437\u0430\u043c\u0438 \u2014 \u0434\u0435\u043c\u043e-\u043a\u043e\u043d\u0441\u043e\u043b\u044c \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435:.\/seed-demo-data.sh            # \u0434\u0435\u043c\u043e-\u043a\u043e\u043c\u0430\u043d\u0434\u0430, \u0440\u043e\u043b\u0438, \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u2014 \u043e\u0434\u0438\u043d \u0440\u0430\u0437 \u043d\u0430 \u0441\u0432\u0435\u0436\u0438\u0439 \u0441\u0442\u0435\u043d\u0434open http:\/\/localhost:9085     # \u0432\u043e\u0439\u0434\u0438\u0442\u0435 \u043a\u0430\u043a editor \/ demo \/ viewer \/ outsider (\u043f\u0430\u0440\u043e\u043b\u044c = \u043b\u043e\u0433\u0438\u043d)<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u041c\u0430\u0442\u0440\u0438\u0446\u0430 \u2014 \u044d\u0442\u043e newman-\u043f\u0440\u043e\u0433\u043e\u043d \u0441 \u0434\u0432\u0443\u043c\u044f \u0442\u043e\u043a\u0435\u043d\u0430\u043c\u0438 (\u0440\u0430\u0437\u043d\u044b\u0435 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u044b), \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0430 \u043a\u0430\u0436\u0434\u0443\u044e \u043f\u0430\u0440\u0443 \u00ab\u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u00d7 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u00bb \u0430\u0441\u0441\u0435\u0440\u0442\u0438\u0442 \u0438 allow-, \u0438 deny-\u0432\u0435\u0442\u043a\u0443. \u041d\u0435 \u00ab\u0437\u0430\u043f\u0440\u043e\u0441 \u043f\u0440\u043e\u0448\u0451\u043b\u00bb, \u0430 \u00ab\u044d\u0442\u043e\u043c\u0443 \u043c\u043e\u0436\u043d\u043e, \u0430 \u0432\u043e\u0442 \u044d\u0442\u043e\u043c\u0443 \u2014 \u0432\u043e\u0442 \u0441 \u0442\u0430\u043a\u0438\u043c \u043a\u043e\u0434\u043e\u043c \u043d\u0435\u0442\u00bb. \u0423\u0431\u0435\u0434\u0438\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u044f <em>\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442<\/em>, \u043c\u043e\u0436\u043d\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u0443\u0432\u0438\u0434\u0435\u0432, \u043a\u0430\u043a \u043e\u043d\u0430 <em>\u043e\u0442\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442<\/em>.<\/p>\n<p>\u0414\u0435\u043c\u043e-\u043a\u043e\u043d\u0441\u043e\u043b\u044c \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0432\u0441\u0451 \u0442\u043e \u0436\u0435 \u0432\u0438\u0437\u0443\u0430\u043b\u044c\u043d\u043e: \u043e\u0434\u043d\u0438 \u0438 \u0442\u0435 \u0436\u0435 \u043a\u043d\u043e\u043f\u043a\u0438 \u043f\u043e\u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f, \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0438\u043b\u0438 \u0447\u0435\u0441\u0442\u043d\u043e \u043e\u0442\u0432\u0435\u0447\u0430\u044e\u0442 403 \u0432 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u0442\u043e\u0433\u043e, \u043a\u0442\u043e \u0432\u043e\u0448\u0451\u043b. \u0414\u043b\u044f \u0441\u0431\u043e\u0440\u043a\u0438 \u043a\u043e\u043d\u0441\u043e\u043b\u0438 \u043d\u0443\u0436\u0435\u043d Node\/npm; \u0431\u0435\u0437 \u043d\u0435\u0433\u043e \u2014 <code>ENABLE_SPA=0 .\/deploy.sh up<\/code>.<\/p>\n<p><a class=\"anchor\" name=\"faq\" id=\"faq\"><\/a><\/p>\n<h3>9. \u041f\u0440\u0435\u0434\u0432\u043e\u0441\u0445\u0438\u0449\u0430\u044f \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0438<\/h3>\n<p><strong>\u00ab\u0410\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u044f \u2014 \u0440\u0435\u0448\u0451\u043d\u043d\u0430\u044f \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430: Keycloak, Cerbos, OpenFGA, \u0447\u0438\u0441\u0442\u044b\u0439 OPA. \u0417\u0430\u0447\u0435\u043c \u0435\u0449\u0451 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430?\u00bb<\/strong><\/p>\n<p>\u0420\u0430\u0437\u0434\u0435\u043b\u0438\u043c \u0434\u0432\u0438\u0436\u043e\u043a \u0438 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044e. \u0414\u0432\u0438\u0436\u043e\u043a \u043c\u044b \u043d\u0435 \u043f\u0438\u0441\u0430\u043b\u0438 \u2014 \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 upstream OPA, \u0438 \u044d\u0442\u043e \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0438\u0430\u043b\u044c\u043d\u043e: \u0431\u0430\u0437\u0438\u0440\u0443\u0435\u043c\u0441\u044f \u043d\u0430 CNCF-\u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u0435, \u0430 \u043d\u0435 \u043d\u0430 \u0441\u0430\u043c\u043e\u043f\u0438\u0441\u043d\u043e\u043c \u044f\u0434\u0440\u0435.<\/p>\n<p>Keycloak \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0430 \u0434\u0440\u0443\u0433\u043e\u0439 \u0432\u043e\u043f\u0440\u043e\u0441 \u2014 \u00ab\u041a\u0442\u043e \u0442\u044b?\u00bb (identity, \u0442\u043e\u043a\u0435\u043d\u044b), \u0430 \u043d\u0435 \u00ab\u043c\u043e\u0436\u0435\u0442 \u043b\u0438 \u044d\u0442\u043e\u0442 \u0441\u0443\u0431\u044a\u0435\u043a\u0442 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u044d\u0442\u0443 \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u044e \u0441 \u044d\u0442\u0438\u043c\u0438 \u0442\u0435\u0433\u0430\u043c\u0438\u00bb. Cerbos \u0438 OpenFGA \u2014 \u0434\u043e\u0441\u0442\u043e\u0439\u043d\u044b\u0435 \u0434\u0432\u0438\u0436\u043a\u0438, \u043d\u043e \u044d\u0442\u043e <em>\u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0435 \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u0441\u043e \u0441\u0432\u043e\u0435\u0439 \u043c\u043e\u0434\u0435\u043b\u044c\u044e \u043f\u043e\u043b\u0438\u0442\u0438\u043a<\/em>: \u0438\u0445 \u0442\u043e\u0447\u043d\u043e \u0442\u0430\u043a \u0436\u0435 \u043d\u0430\u0434\u043e \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 Spring, \u0438 \u043d\u0438 \u043e\u0434\u0438\u043d \u043d\u0435 \u0434\u0430\u0451\u0442 \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044e \u0441\u043f\u0438\u0441\u043a\u043e\u0432 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 SQL \u0434\u043b\u044f JPA-\u0441\u043b\u043e\u044f.<\/p>\n<p>\u0421\u0442\u0430\u0440\u0442\u0435\u0440 \u2014 \u044d\u0442\u043e \u0440\u043e\u0432\u043d\u043e \u0442\u043e\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u0441\u043b\u043e\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043a\u0430\u0436\u0434\u0430\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u043f\u0438\u0448\u0435\u0442 \u0437\u0430\u043d\u043e\u0432\u043e: \u0441\u0431\u043e\u0440 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0430 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u043e\u0432, \u0440\u0435\u0437\u043e\u043b\u0432 \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u0438 \u043f\u0440\u0435\u0434\u043a\u043e\u0432, fail-closed \u043e\u0431\u0432\u044f\u0437\u043a\u0430, partial-eval \u2192 <code>Specification<\/code>. \u041d\u0435 \u00ab\u0432\u0435\u043b\u043e\u0441\u0438\u043f\u0435\u0434\u00bb, \u0430 \u0430\u0434\u0430\u043f\u0442\u0435\u0440 \u043f\u043e\u0432\u0435\u0440\u0445 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u0430.<\/p>\n<p><strong>\u00ab\u041f\u043e\u0447\u0435\u043c\u0443 \u043d\u0435 Kyverno? \u041e\u043d \u0442\u043e\u0436\u0435 CNCF graduated, \u0438 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0443 \u043d\u0435\u0433\u043e \u043f\u0440\u043e\u0449\u0435 Rego\u00bb<\/strong><\/p>\n<p>Kyverno \u2014 \u0441\u0438\u043b\u044c\u043d\u044b\u0439 \u0434\u0432\u0438\u0436\u043e\u043a \u0434\u043b\u044f \u0442\u043e\u0433\u043e, \u0434\u043b\u044f \u0447\u0435\u0433\u043e \u043e\u043d \u0441\u043e\u0437\u0434\u0430\u043d: <strong>admission-\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c Kubernetes<\/strong> (\u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044f \u0438 \u043c\u0443\u0442\u0430\u0446\u0438\u044f \u043c\u0430\u043d\u0438\u0444\u0435\u0441\u0442\u043e\u0432, \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f \u043e\u0431\u0440\u0430\u0437\u043e\u0432, cleanup). \u0421 \u043c\u0430\u0440\u0442\u0430 2026 \u2014 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0442\u043e\u0436\u0435 CNCF graduated. \u0411\u044b\u043b\u0430 \u0431\u044b \u0437\u0430\u0434\u0430\u0447\u0430 \u00ab\u043d\u0435 \u043f\u0443\u0441\u043a\u0430\u0442\u044c \u0432 \u043a\u043b\u0430\u0441\u0442\u0435\u0440 \u043f\u043e\u0434 \u0431\u0435\u0437 resource limits\u00bb \u2014 \u0432\u0437\u044f\u043b\u0438 \u0431\u044b Kyverno \u0438 \u044d\u0442\u043e\u0439 \u0441\u0435\u0440\u0438\u0438 \u0431\u044b \u043d\u0435 \u0431\u044b\u043b\u043e.<\/p>\n<p>\u041d\u043e \u0442\u043e\u0447\u043a\u0430 \u043f\u0440\u0438\u043d\u044f\u0442\u0438\u044f \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0437\u0434\u0435\u0441\u044c \u0434\u0440\u0443\u0433\u0430\u044f: \u00ab\u043c\u043e\u0436\u0435\u0442 \u043b\u0438 <em>\u044d\u0442\u043e\u0442 \u0441\u0443\u0431\u044a\u0435\u043a\u0442<\/em> \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c <em>\u044d\u0442\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435<\/em> \u043d\u0430\u0434 <em>\u044d\u0442\u0438\u043c \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u043c<\/em> \u0441 \u044d\u0442\u0438\u043c\u0438 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0430\u043c\u0438\u00bb \u2014 \u0432\u043d\u0443\u0442\u0440\u0438 Spring-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f, \u043d\u0430 \u043a\u0430\u0436\u0434\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441, \u0441 \u0440\u0435\u0437\u043e\u043b\u0432\u043e\u043c \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u0438 \u043f\u0440\u0435\u0434\u043a\u043e\u0432 \u0438 \u0440\u043e\u043b\u0438.<\/p>\n<p>\u0427\u0442\u043e \u0443 Kyverno \u0435\u0441\u0442\u044c \u0437\u0430 \u043f\u0440\u0435\u0434\u0435\u043b\u0430\u043c\u0438 admission: JSON-\u0440\u0435\u0436\u0438\u043c <code>ValidatingPolicy<\/code> (\u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u043d\u0430 CEL \u043d\u0430\u0434 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u043c JSON) \u0438 Kyverno Authz Server \u2014 ext_authz-\u0444\u0438\u043b\u044c\u0442\u0440 \u0434\u043b\u044f Envoy. \u0412\u0442\u043e\u0440\u043e\u0435 \u0431\u043b\u0438\u0436\u0435 \u0432\u0441\u0435\u0433\u043e \u043a \u043d\u0430\u0448\u0435\u0439 \u0437\u0430\u0434\u0430\u0447\u0435, \u043d\u043e, \u0432\u043e-\u043f\u0435\u0440\u0432\u044b\u0445, \u044d\u0442\u043e <strong>\u043f\u0440\u043e\u043a\u0441\u0438-\u0441\u043b\u043e\u0439<\/strong>: \u0432 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0435 \u0438\u0437 \u0440\u0430\u0437\u0434\u0435\u043b\u0430 4 \u044d\u0442\u043e \u00ab\u0441\u043b\u043e\u0439 1\u00bb \u2014 \u0433\u0440\u0443\u0431\u044b\u0439 \u0433\u0435\u0439\u0442 \u043d\u0430 gateway, \u0430 \u043d\u0435 \u0442\u043e\u0447\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u043d\u0430 \u0440\u0435\u0441\u0443\u0440\u0441\u0435 \u0441 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0430\u043c\u0438 \u0438\u0437 \u0411\u0414. \u0412\u043e-\u0432\u0442\u043e\u0440\u044b\u0445, \u043d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u0438\u044f \u044d\u0442\u043e v0.4.0 \u0441 API <code>v1alpha1<\/code> \u0438 \u0447\u0435\u0441\u0442\u043d\u044b\u043c \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0435\u043c \u00abin development stage\u00bb \u0432 README \u2014 \u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043d\u0430 \u044d\u0442\u043e \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0441\u043b\u043e\u0439 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0434\u0430\u043a\u0448\u043d-\u0441\u0435\u0440\u0432\u0438\u0441\u0430 \u0440\u0430\u043d\u043e.<\/p>\n<p>\u0418 \u0433\u043b\u0430\u0432\u043d\u043e\u0435, \u0447\u0442\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u043b\u043e \u0432\u044b\u0431\u043e\u0440: <strong>partial evaluation<\/strong>. \u0412\u0441\u044f \u0432\u0442\u043e\u0440\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0441\u0435\u0440\u0438\u0438 \u2014 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f \u0442\u043e\u0439 \u0436\u0435 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0432 WHERE-\u0443\u0441\u043b\u043e\u0432\u0438\u044f \u0434\u043b\u044f JPA \u2014 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043f\u043e\u0442\u043e\u043c\u0443, \u0447\u0442\u043e \u0443 OPA \u0435\u0441\u0442\u044c Compile API: \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430 \u0447\u0430\u0441\u0442\u0438\u0447\u043d\u043e \u0432\u044b\u0447\u0438\u0441\u043b\u044f\u0435\u0442\u0441\u044f, \u043d\u0435\u0432\u044b\u0447\u0438\u0441\u043b\u0438\u043c\u044b\u0439 \u0431\u0435\u0437 \u0434\u0430\u043d\u043d\u044b\u0445 \u043e\u0441\u0442\u0430\u0442\u043e\u043a \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f SQL-\u0444\u0438\u043b\u044c\u0442\u0440\u043e\u043c. \u0423 Kyverno\/CEL \u044d\u043a\u0432\u0438\u0432\u0430\u043b\u0435\u043d\u0442\u0430 \u043d\u0435\u0442: CEL \u0432\u044b\u0447\u0438\u0441\u043b\u044f\u0435\u0442 \u0432\u044b\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u043d\u0430\u0434 \u043f\u043e\u043b\u043d\u044b\u043c \u0432\u0445\u043e\u0434\u043e\u043c, \u00ab\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e\u0439\u00bb \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0432 \u0444\u0438\u043b\u044c\u0442\u0440 \u0434\u0430\u043d\u043d\u044b\u0445 \u0442\u0430\u043c \u043d\u0435 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043a\u0430\u043a \u043a\u043b\u0430\u0441\u0441\u0430 \u0437\u0430\u0434\u0430\u0447. \u041f\u043b\u044e\u0441 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435: <code>opa test<\/code> \u0441 coverage \u0433\u043e\u043d\u044f\u0435\u0442 \u043d\u0430\u0448\u0438 423 policy-\u0442\u0435\u0441\u0442\u043e\u0432 \u0431\u0435\u0437 Java \u0438 \u0431\u0435\u0437 \u043a\u043b\u0430\u0441\u0442\u0435\u0440\u0430 \u2014 \u0442\u0435\u0441\u0442\u043e\u0432\u044b\u0439 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 Kyverno \u043f\u043e\u0441\u0442\u0440\u043e\u0435\u043d \u0432\u043e\u043a\u0440\u0443\u0433 Kubernetes-\u0440\u0435\u0441\u0443\u0440\u0441\u043e\u0432.<\/p>\n<p>\u0412\u044b\u0431\u043e\u0440 \u0434\u0432\u0438\u0436\u043a\u0430 \u0441\u0434\u0435\u043b\u0430\u043b\u0430 \u043d\u0435 \u0438\u0434\u0435\u043e\u043b\u043e\u0433\u0438\u044f, \u0430 \u044d\u0442\u0438 \u0434\u0432\u0435 \u0432\u0435\u0449\u0438.<\/p>\n<p><strong>\u00ab\u0423 \u0432\u0430\u0441 \u043a\u043e\u043c\u0430\u043d\u0434\u044b, membership \u0438 \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u044f \u2014 \u044d\u0442\u043e \u0436\u0435 ReBAC, \u0430 \u043d\u0435 ABAC. \u041f\u043e\u0447\u0435\u043c\u0443 \u0442\u043e\u0433\u0434\u0430 \u043d\u0435 OpenFGA\/SpiceDB?\u00bb<\/strong><\/p>\n<p>\u0420\u0430\u0437\u0432\u0435\u0434\u0451\u043c \u0442\u0435\u0440\u043c\u0438\u043d\u044b. <strong>ReBAC<\/strong> (relationship-based; \u043c\u043e\u0434\u0435\u043b\u044c Google Zanzibar, \u0434\u0432\u0438\u0436\u043a\u0438 OpenFGA \u0438 SpiceDB) \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0430 \u0432\u043e\u043f\u0440\u043e\u0441 \u00ab\u0435\u0441\u0442\u044c \u043b\u0438 \u043f\u0443\u0442\u044c \u0432 \u0433\u0440\u0430\u0444\u0435 \u043e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u0439\u00bb: \u0434\u0432\u0438\u0436\u043e\u043a \u0445\u0440\u0430\u043d\u0438\u0442 \u043a\u043e\u0440\u0442\u0435\u0436\u0438 <code>(\u0441\u0443\u0431\u044a\u0435\u043a\u0442, \u043e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u0435, \u043e\u0431\u044a\u0435\u043a\u0442)<\/code> \u0438 \u0440\u0435\u0448\u0430\u0435\u0442 \u0437\u0430\u0434\u0430\u0447\u0443 \u0434\u043e\u0441\u0442\u0438\u0436\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u043e \u043d\u0438\u043c. <strong>ABAC<\/strong> (NIST SP 800-162) \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u00ab\u0438\u0441\u0442\u0438\u043d\u0435\u043d \u043b\u0438 \u043f\u0440\u0435\u0434\u0438\u043a\u0430\u0442 \u043d\u0430\u0434 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0430\u043c\u0438 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430, \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f, \u0440\u0435\u0441\u0443\u0440\u0441\u0430 \u0438 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f\u00bb, \u043f\u0440\u0438\u0447\u0451\u043c \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u044b \u043f\u0440\u0438\u043d\u043e\u0441\u044f\u0442 \u0432 \u043c\u043e\u043c\u0435\u043d\u0442 \u0440\u0435\u0448\u0435\u043d\u0438\u044f.<\/p>\n<p>\u041e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u044f \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u043d\u0438\u043a\u0443\u0434\u0430 \u043d\u0435 \u0434\u0435\u0432\u0430\u044e\u0442\u0441\u044f: \u0447\u043b\u0435\u043d\u0441\u0442\u0432\u043e \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u0435 \u0438 \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u043f\u0440\u0435\u0434\u043a\u043e\u0432 \u2014 \u044d\u0442\u043e \u043e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u044f. \u0420\u0430\u0437\u043d\u0438\u0446\u0430 \u043d\u0435 \u0432 \u0442\u043e\u043c, \u0435\u0441\u0442\u044c \u043b\u0438 \u0432 \u043c\u043e\u0434\u0435\u043b\u0438 \u0441\u0432\u044f\u0437\u0438, \u0430 \u0432 \u0442\u043e\u043c, <strong>\u043a\u0442\u043e \u0445\u0440\u0430\u043d\u0438\u0442 \u0433\u0440\u0430\u0444 \u0438 \u043a\u0442\u043e \u043f\u043e \u043d\u0435\u043c\u0443 \u0445\u043e\u0434\u0438\u0442<\/strong>.<\/p>\n<p>\u0423 \u043d\u0430\u0441 \u0433\u0440\u0430\u0444 \u0445\u0440\u0430\u043d\u0438\u0442 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u2014 \u0442\u0430\u043c, \u0433\u0434\u0435 \u043e\u043d \u0438 \u0442\u0430\u043a \u0436\u0438\u0432\u0451\u0442: \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u044f \u2014 ltree-\u043f\u0443\u0442\u044c \u0432 Postgres, membership \u2014 \u0442\u0430\u0431\u043b\u0438\u0446\u0430 user-service. \u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442 \u043e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u044f \u0432 <strong>\u0430\u0442\u0440\u0438\u0431\u0443\u0442\u044b \u0432\u0445\u043e\u0434\u0430<\/strong> (<code>resource.ancestors<\/code>; <code>role_definition<\/code>, \u0440\u0435\u0437\u043e\u043b\u0432\u043d\u0443\u0442\u043e\u0435 \u043f\u043e membership \u043d\u0430 governing root), \u0430 OPA \u0432\u044b\u0447\u0438\u0441\u043b\u044f\u0435\u0442 \u0447\u0438\u0441\u0442\u044b\u0439 \u043f\u0440\u0435\u0434\u0438\u043a\u0430\u0442 \u043d\u0430\u0434 \u044d\u0442\u0438\u043c \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u043e\u043c. \u0422\u0430\u043a \u0447\u0442\u043e \u0447\u0435\u0441\u0442\u043d\u044b\u0439 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 \u00ab\u0447\u0442\u043e \u0442\u0443\u0442 \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043e\u00bb: <strong>ABAC-\u0434\u0432\u0438\u0436\u043e\u043a \u043f\u043e\u0432\u0435\u0440\u0445 relationship-derived \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u043e\u0432<\/strong>.<\/p>\n<p>\u00ab\u041a\u043e\u043c\u0430\u043d\u0434\u0430 \u0438\u043c\u0435\u0435\u0442 \u0440\u043e\u043b\u044c \u043d\u0430 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435\u00bb \u2014 \u043a\u043e\u043d\u0446\u0435\u043f\u0442\u0443\u0430\u043b\u044c\u043d\u043e \u044d\u0442\u043e ReBAC-\u0441\u0432\u044f\u0437\u044c, \u043d\u043e \u0432\u044b\u0447\u0438\u0441\u043b\u044f\u0435\u0442 \u0435\u0451 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 (\u043e\u0434\u043d\u043e \u0438\u043d\u0434\u0435\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0447\u0442\u0435\u043d\u0438\u0435 \u043f\u0443\u0442\u0438 + \u043e\u0434\u0438\u043d \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0439 \u0432\u044b\u0437\u043e\u0432), \u0430 \u043d\u0435 \u0433\u0440\u0430\u0444\u043e\u0432\u044b\u0439 \u043f\u043e\u0438\u0441\u043a \u0432\u043d\u0443\u0442\u0440\u0438 \u0434\u0432\u0438\u0436\u043a\u0430.<\/p>\n<p>\u041f\u043e\u0447\u0435\u043c\u0443 \u043d\u0435 Zanzibar: OpenFGA\/SpiceDB \u0445\u043e\u0440\u043e\u0448\u043e \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0442, \u043a\u043e\u0433\u0434\u0430 \u0433\u0440\u0430\u0444 \u0433\u043b\u0443\u0431\u043e\u043a\u0438\u0439, \u0433\u0435\u0442\u0435\u0440\u043e\u0433\u0435\u043d\u043d\u044b\u0439 \u0438 \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0441\u0430\u043c\u0438\u043c\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c\u0438 \u2014 \u0448\u0435\u0440\u0438\u043d\u0433 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0445 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432 \u0432 \u0441\u0442\u0438\u043b\u0435 Google Docs. \u0426\u0435\u043d\u0430 \u2014 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0435 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0435 \u043a\u043e\u0440\u0442\u0435\u0436\u0435\u0439, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043d\u0430\u0434\u043e <strong>\u0441\u0438\u043d\u0445\u0440\u043e\u043d\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c<\/strong> \u043a\u0430\u0436\u0434\u043e\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u0438 \u0438 membership (\u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 dual-write; \u0432 Zanzibar \u043d\u0435 \u0437\u0440\u044f \u043f\u0440\u0438\u0434\u0443\u043c\u0430\u043b\u0438 zookie \u0440\u0430\u0434\u0438 \u043a\u043e\u043d\u0441\u0438\u0441\u0442\u0435\u043d\u0442\u043d\u043e\u0441\u0442\u0438).<\/p>\n<p>\u0423 \u043d\u0430\u0441 \u0432\u0438\u0434\u043e\u0432 \u043e\u0442\u043d\u043e\u0448\u0435\u043d\u0438\u0439 \u0434\u0432\u0430, \u043e\u0431\u0430 \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u043e\u0439 \u0444\u043e\u0440\u043c\u044b, \u043e\u0431\u0430 \u0443\u0436\u0435 \u043b\u0435\u0436\u0430\u0442 \u0432 Postgres \u2014 \u0432\u0442\u043e\u0440\u0430\u044f \u0431\u0430\u0437\u0430 \u0441 \u043a\u043e\u043f\u0438\u0435\u0439 \u0433\u0440\u0430\u0444\u0430 \u2014 \u0447\u0438\u0441\u0442\u044b\u0439 \u043e\u0432\u0435\u0440\u0445\u0435\u0434. \u0414\u0430\u043b\u044c\u0448\u0435 \u2014 \u0443\u0441\u043b\u043e\u0432\u0438\u044f \u043f\u043e \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0430\u043c: \u00ab\u0432\u0438\u0434\u0438\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u043e\u0432\u0430\u0440\u044b \u0441 \u0442\u0435\u0433\u043e\u043c <code>department: appliances<\/code>\u00bb \u0434\u043b\u044f ReBAC-\u0434\u0432\u0438\u0436\u043a\u043e\u0432 \u2014 \u043f\u0440\u0438\u0441\u0442\u0440\u043e\u0439\u043a\u0430 (conditions \u0432 OpenFGA, caveats \u0432 SpiceDB), \u0430 \u0434\u043b\u044f ABAC \u2014 \u0441\u0430\u043c\u0430 \u043c\u043e\u0434\u0435\u043b\u044c. \u0418 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435 \u2014 \u0441\u043f\u0438\u0441\u043a\u0438: tuple-\u0434\u0432\u0438\u0436\u043a\u0438 \u043e\u0442\u0432\u0435\u0447\u0430\u044e\u0442 \u043d\u0430 \u00ab\u0447\u0442\u043e \u0432\u0438\u0434\u043d\u043e\u00bb \u0440\u0435\u0432\u0435\u0440\u0441-\u0438\u043d\u0434\u0435\u043a\u0441\u043e\u043c (ListObjects \u2192 \u043d\u0430\u0431\u043e\u0440 id \u2192 <code>WHERE id IN (\u2026)<\/code>), \u0430 \u043d\u0430\u0448 \u043a\u043b\u044e\u0447\u0435\u0432\u043e\u0439 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0439 \u2014 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f <em>\u043f\u0440\u0435\u0434\u0438\u043a\u0430\u0442\u0430<\/em> \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0432 SQL (partial evaluation, \u0447\u0430\u0441\u0442\u044c 2), \u0433\u0434\u0435 \u0443\u0441\u043b\u043e\u0432\u0438\u0435 \u043f\u043e \u0442\u0435\u0433\u0430\u043c \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0432 WHERE \u0432\u044b\u0440\u0430\u0436\u0435\u043d\u0438\u0435\u043c, \u0430 \u043d\u0435 \u043f\u0435\u0440\u0435\u0447\u0438\u0441\u043b\u0435\u043d\u0438\u0435\u043c \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432.<\/p>\n<p>\u0415\u0441\u043b\u0438 \u0432\u0430\u0448 \u043f\u0440\u043e\u0434\u0443\u043a\u0442 \u2014 \u0448\u0435\u0440\u0438\u043d\u0433 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0445 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432 \u043c\u0435\u0436\u0434\u0443 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u043c\u0438 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430\u043c\u0438, \u0431\u0435\u0440\u0438\u0442\u0435 OpenFGA\/SpiceDB \u0438 \u043d\u0435 \u043c\u0443\u0447\u0430\u0439\u0442\u0435\u0441\u044c. \u0415\u0441\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f \u2014 \u044d\u0442\u043e \u00ab\u0440\u043e\u043b\u044c \u043d\u0430 \u043a\u043e\u0440\u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0435\u0432\u0430 + \u0443\u0441\u043b\u043e\u0432\u0438\u044f \u043f\u043e \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0430\u043c\u00bb, ABAC \u0441 relationship-derived \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0430\u043c\u0438 \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0437\u0430\u0434\u0430\u0447\u0443 \u0431\u0435\u0437 \u0432\u0442\u043e\u0440\u043e\u0433\u043e \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0430.<\/p>\n<p><strong>\u00ab\u0412\u044b \u0434\u043e\u0431\u0430\u0432\u0438\u043b\u0438 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0432\u044b\u0437\u043e\u0432 \u0432 \u043a\u0430\u0436\u0434\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441. \u0421\u043a\u043e\u043b\u044c\u043a\u043e \u044d\u0442\u043e \u0441\u0442\u043e\u0438\u0442?\u00bb<\/strong><\/p>\n<p>\u0417\u0430\u043c\u0435\u0440\u0435\u043d\u043e, \u0430 \u043d\u0435 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u043e: k6 \u0447\u0435\u0440\u0435\u0437 gateway, \u043e\u0434\u0438\u043d \u0438 \u0442\u043e\u0442 \u0436\u0435 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0441 \u0433\u0435\u0439\u0442\u043e\u043c \u0438 \u0431\u0435\u0437 \u2014 <strong>+0,79 \u043c\u0441 (+15 %) \u043d\u0430 p50<\/strong>, \u0445\u0432\u043e\u0441\u0442 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u043b\u043e\u0441\u043a\u0438\u0439. \u041c\u0435\u0442\u043e\u0434\u0438\u043a\u0430 \u0438 \u0441\u044b\u0440\u044b\u0435 \u0446\u0438\u0444\u0440\u044b \u2014 \u0432 <a href=\"https:\/\/github.com\/Void3110\/spring-boot-starter-opa-abac\/blob\/main\/PERFORMANCE.md\">PERFORMANCE.md<\/a> \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f. \u0414\u043b\u044f \u0441\u043f\u0438\u0441\u043a\u043e\u0432 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u043d\u0435 per-row, \u0430 \u043e\u0434\u043d\u043e\u0439 \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0435\u0439 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0432 WHERE-\u0443\u0441\u043b\u043e\u0432\u0438\u044f (\u043e\u0431 \u044d\u0442\u043e\u043c \u2014 \u0447\u0430\u0441\u0442\u044c 2).<\/p>\n<p><strong>\u00ab\u0410 \u043a\u043e\u0433\u0434\u0430 OPA \u0443\u043f\u0430\u0434\u0451\u0442 \u2014 \u0443 \u0432\u0430\u0441 \u043b\u044f\u0436\u0435\u0442 \u0432\u0435\u0441\u044c \u0434\u043e\u0441\u0442\u0443\u043f?\u00bb<\/strong><\/p>\n<p>\u0414\u0430 \u2014 \u0438 \u044d\u0442\u043e \u00abby design\u00bb. Fail-closed: \u043d\u0435\u0442 \u043e\u0442\u0432\u0435\u0442\u0430 \u043e\u0442 OPA \u2014 \u0437\u0430\u043f\u0440\u043e\u0441 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 deny, \u0442\u0438\u043f\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 403 problem+json, \u043d\u0435 5xx \u0438 \u043d\u0435 \u0437\u0430\u0432\u0438\u0441\u0430\u043d\u0438\u0435 (\u0442\u0430\u0439\u043c\u0430\u0443\u0442 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d). \u0412 fault-\u0434\u0440\u0430\u0439\u0432\u0435 \u0441 \u0436\u0451\u0441\u0442\u043a\u043e \u043f\u043e\u0434\u0432\u0435\u0448\u0435\u043d\u043d\u044b\u043c OPA: \u0432\u0441\u0435 \u043e\u0442\u043a\u0430\u0437\u044b \u0442\u0438\u043f\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u044b, \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u043f\u043e\u0441\u043b\u0435 \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430 OPA \u2014 <strong>0,36 \u0441<\/strong>. \u0410\u043b\u044c\u0442\u0435\u0440\u043d\u0430\u0442\u0438\u0432\u0430 \u2014 fail-open, \u00ab\u043f\u0440\u0438 \u0441\u0431\u043e\u0435 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0443\u0441\u043a\u0430\u0442\u044c \u0432\u0441\u0435\u0445\u00bb \u2014 \u0434\u043b\u044f \u0441\u043b\u043e\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043d\u0435 \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0435\u0442\u0441\u044f.<\/p>\n<p><strong>\u00ab\u041e\u0448\u0438\u0431\u043a\u0430 \u0432 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0435 \u2014 \u0438 \u0443 \u0432\u0430\u0441 \u0434\u044b\u0440\u0430 \u0432 \u043f\u0440\u043e\u0434\u0435?\u00bb<\/strong><\/p>\n<p>\u0423 \u043e\u0448\u0438\u0431\u043a\u0438 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0434\u0432\u0430 \u0438\u0441\u0445\u043e\u0434\u0430: \u043b\u0438\u0448\u043d\u0438\u0439 \u0437\u0430\u043f\u0440\u0435\u0442 \u0438 \u043b\u0438\u0448\u043d\u0438\u0439 \u0434\u043e\u0441\u0442\u0443\u043f. \u041f\u0435\u0440\u0432\u044b\u0439 \u2014 \u00ab\u0448\u0443\u043c\u043d\u044b\u0439\u00bb (\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0432\u0438\u0434\u0438\u0442 403 \u0438 \u0437\u0430\u0432\u043e\u0434\u0438\u0442 \u0442\u0438\u043a\u0435\u0442), \u0432\u0442\u043e\u0440\u043e\u0439 \u2014 \u00ab\u0442\u0438\u0445\u0438\u0439\u00bb (\u043d\u0438\u043a\u0442\u043e \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0437\u0430\u043c\u0435\u0447\u0430\u0435\u0442). \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u043a\u0430\u0436\u0434\u044b\u0439 \u0434\u0435\u0444\u043e\u043b\u0442 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0432\u044b\u0431\u0438\u0440\u0430\u0435\u0442 \u00ab\u0448\u0443\u043c\u043d\u044b\u0439\u00bb \u0438\u0441\u0445\u043e\u0434: <code>default allow := false<\/code>; \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0439 \u0442\u043e\u043a\u0435\u043d \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0438 \u043f\u0440\u0430\u0432 \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u043f\u0443\u0441\u0442\u043e\u0435 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e, \u0430 \u043d\u0435 \u0438\u0433\u043d\u043e\u0440\u0438\u0440\u0443\u0435\u0442\u0441\u044f; \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0442\u0435\u0441\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u043a\u0430\u043a \u043a\u043e\u0434 (<code>opa test<\/code>, \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 423 policy-\u0442\u0435\u0441\u0442\u043e\u0432, \u0433\u043e\u043d\u044f\u044e\u0442\u0441\u044f \u0432 CI). \u041b\u043e\u0436\u043d\u044b\u0439 deny \u0447\u0438\u043d\u0438\u0442\u0441\u044f \u0437\u0430 \u0447\u0430\u0441\u044b; \u0442\u0438\u0445\u0438\u0439 allow \u0436\u0438\u0432\u0451\u0442 \u0434\u043e \u0430\u0443\u0434\u0438\u0442\u0430.<\/p>\n<p><strong>\u00ab\u0410 \u043c\u043e\u0439 \u0432\u043e\u043f\u0440\u043e\u0441 \u0432\u044b \u043d\u0435 \u043f\u0440\u0435\u0434\u0432\u043e\u0441\u0445\u0438\u0442\u0438\u043b\u0438\u00bb<\/strong><\/p>\n<p>\u0422\u043e\u0433\u0434\u0430 \u043e\u043d \u2014 \u043b\u0443\u0447\u0448\u0438\u0439 \u0438\u0437 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0445. \u041f\u0438\u0448\u0438\u0442\u0435 \u0432 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f\u0445: \u043a\u0430\u043a\u043e\u0439 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442 \u043d\u0435 \u0443\u0431\u0435\u0434\u0438\u043b, \u043a\u0430\u043a\u0443\u044e \u0430\u043b\u044c\u0442\u0435\u0440\u043d\u0430\u0442\u0438\u0432\u0443 \u044f \u043e\u0431\u043e\u0448\u0451\u043b, \u0433\u0434\u0435 \u0432\u044b \u0431\u044b \u0441\u0434\u0435\u043b\u0430\u043b\u0438 \u0438\u043d\u0430\u0447\u0435. \u041d\u0430 \u0441\u0430\u043c\u044b\u0435 \u0441\u0438\u043b\u044c\u043d\u044b\u0435 \u0432\u043e\u0437\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u043e\u0442\u0432\u0435\u0447\u0443 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u043c \u0440\u0430\u0437\u0434\u0435\u043b\u043e\u043c \u0432\u043e \u0432\u0442\u043e\u0440\u043e\u0439 \u0447\u0430\u0441\u0442\u0438 \u2014 \u0441 \u043a\u043e\u0434\u043e\u043c, \u0430 \u043d\u0435 \u043e\u0431\u0449\u0438\u043c\u0438 \u0441\u043b\u043e\u0432\u0430\u043c\u0438.<\/p>\n<p><a class=\"anchor\" name=\"next\" id=\"next\"><\/a><\/p>\n<h3>\u0427\u0442\u043e \u0434\u0430\u043b\u044c\u0448\u0435<\/h3>\n<p>\u0422\u043e\u0447\u0435\u0447\u043d\u0430\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u00ab\u043c\u043e\u0436\u043d\u043e \u043b\u0438 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0443 X \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 Y \u043d\u0430\u0434 \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u043c Z\u00bb \u2014 \u044d\u0442\u043e \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u0430 ABAC. \u0412\u0442\u043e\u0440\u0430\u044f \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u0430 \u2014 \u0441\u043f\u0438\u0441\u043a\u0438: <code>GET \/products<\/code> \u0434\u043e\u043b\u0436\u0435\u043d \u0432\u0435\u0440\u043d\u0443\u0442\u044c <strong>\u0442\u043e\u043b\u044c\u043a\u043e \u0432\u0438\u0434\u0438\u043c\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438<\/strong>, \u0444\u0438\u043b\u044c\u0442\u0440\u043e\u043c \u0432 SQL.<\/p>\n<p>\u0412\u043e \u0432\u0442\u043e\u0440\u043e\u0439 \u0447\u0430\u0441\u0442\u0438 \u2014 \u043a\u0430\u043a \u0442\u0430 \u0436\u0435 Rego-\u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430 \u0447\u0435\u0440\u0435\u0437 <strong>partial evaluation<\/strong> (Compile API) \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u0432 JPA <code>Specification<\/code>, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0441 \u043d\u0435\u0439 \u0432 SQL \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u043d\u0435\u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0438\u043c\u044b\u0439 \u043e\u0441\u0442\u0430\u0442\u043e\u043a \u0434\u043e\u043b\u0436\u0435\u043d \u0440\u043e\u043d\u044f\u0442\u044c \u0437\u0430\u043f\u0440\u043e\u0441, \u0430 \u043d\u0435 \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u0441\u0442\u0440\u043e\u043a\u0438.<\/p>\n<p>\u0412 \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u2014 \u0447\u0442\u043e \u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f, \u043a\u043e\u0433\u0434\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0449\u0438\u0439 \u2014 \u043d\u0435 \u0447\u0435\u043b\u043e\u0432\u0435\u043a, \u0430 AI-\u0430\u0433\u0435\u043d\u0442 \u0441 MCP-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438, \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u044d\u0442\u043e \u0434\u0432\u0430 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430 \u0432 \u043e\u0434\u043d\u043e\u043c bearer-\u0442\u043e\u043a\u0435\u043d\u0435.<\/p>\n<hr\/>\n<p><strong>\u0411\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430:<\/strong> <code>dev.dmitriikonovalov:opa-abac-spring-boot-starter<\/code> (Maven Central) \u00b7<br \/> <a href=\"https:\/\/github.com\/Void3110\/spring-boot-starter-opa-abac\">github.com\/Void3110\/spring-boot-starter-opa-abac<\/a> \u00b7<br \/> Spring Boot 4.0 \/ Java 25 \/ OPA 1.x \u00b7 Apache-2.0<\/p>\n<\/div>\n<p>\u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/1081304\/\">https:\/\/habr.com\/ru\/articles\/1081304\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u041f\u0440\u0438\u0432\u0435\u0442! \u041c\u0435\u043d\u044f \u0437\u043e\u0432\u0443\u0442 \u0414\u043c\u0438\u0442\u0440\u0438\u0439 \u041a\u043e\u043d\u043e\u0432\u0430\u043b\u043e\u0432, \u044f \u0440\u0430\u0437\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0443 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 (Internal Developer Platform, IDP) \u0432 \u0418\u0422-\u043a\u043e\u043c\u0430\u043d\u0434\u0435 \u00ab\u0421\u0435\u0432\u0435\u0440\u0441\u0442\u0430\u043b\u0438\u00bb. \u0417\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u0435\u0442 \u043c\u043d\u043e\u0433\u043e\u0435 \u043f\u043e\u043c\u0435\u043d\u044f\u043b\u043e\u0441\u044c \u2014 \u0438 \u0432 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0435, \u0438 \u0432 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u041d\u043e \u043e\u0434\u043d\u0443 \u0432\u0435\u0449\u044c \u0437\u0430 \u0432\u0441\u0451 \u044d\u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043d\u0438 \u0440\u0430\u0437\u0443 \u043d\u0435 \u043f\u0435\u0440\u0435\u043f\u0438\u0441\u044b\u0432\u0430\u043b\u0438 \u0441 \u043d\u0443\u043b\u044f, \u043e\u043d\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u044d\u0432\u043e\u043b\u044e\u0446\u0438\u043e\u043d\u0438\u0440\u043e\u0432\u0430\u043b\u0430: \u043c\u043e\u0434\u0435\u043b\u044c \u0434\u043e\u0441\u0442\u0443\u043f\u0430. \u0422\u0435\u043c\u0430 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u043d\u0430\u0441\u0442\u043e\u043b\u044c\u043a\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0439, \u0447\u0442\u043e \u044f \u0441\u0434\u0435\u043b\u0430\u043b \u0441\u0432\u043e\u0439 open-source Spring Boot starter \u2014 \u043e \u043d\u0451\u043c \u0438 \u0445\u043e\u0447\u0443 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0432 \u0441\u0435\u0440\u0438\u0438 \u0441\u0442\u0430\u0442\u0435\u0439.\u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435\u041a\u0435\u0439\u0441, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0432\u0441\u0451 \u043b\u043e\u043c\u0430\u0435\u0442\u0441\u044f\u041f\u043e\u0447\u0435\u043c\u0443 \u043d\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u043e, \u0447\u0442\u043e \u0443\u0436\u0435 \u0435\u0441\u0442\u044c \u2014 @PreAuthorize + SpEL, Spring Security ACL\u041f\u043e\u0447\u0435\u043c\u0443 OPA \u2014 \u0442\u0440\u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430, \u043d\u0435 \u043e\u0431\u0437\u043e\u0440\u0410\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430: \u043f\u0443\u0442\u044c \u043e\u0434\u043d\u043e\u0433\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0430\u0427\u0442\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e \u043f\u0438\u0448\u0435\u0442 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u2014 \u0430\u043d\u043d\u043e\u0442\u0430\u0446\u0438\u044f, \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u0430\u043a\u0442, \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430\u0418\u0435\u0440\u0430\u0440\u0445\u0438\u044f: \u0433\u0440\u0430\u043d\u0442 \u043d\u0430 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u0435 \u2014 \u0432 Rego, \u043d\u0435 \u0432 Java\u0424\u0435\u0439\u043b: \u043a\u0430\u043a \u043c\u044b \u0443\u0431\u0440\u0430\u043b\u0438 \u0437\u0430\u043f\u0430\u0441\u043d\u043e\u0439 \u043f\u0443\u0442\u044c \u2014 \u0438 \u043b\u0435\u0433\u043b\u0438 \u0432\u0441\u0435 type-level \u0433\u0435\u0439\u0442\u044b\u0417\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0437\u0430 \u043f\u044f\u0442\u044c \u043c\u0438\u043d\u0443\u0442\u041f\u0440\u0435\u0434\u0432\u043e\u0441\u0445\u0438\u0449\u0430\u044f \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0438 \u2014 Keycloak\/Cerbos\/OpenFGA \u00b7 Kyverno \u00b7 ReBAC vs ABAC \u00b7 \u043b\u0430\u0442\u0435\u043d\u0442\u043d\u043e\u0441\u0442\u044c \u00b7 OPA \u0443\u043f\u0430\u043b \u00b7 \u043e\u0448\u0438\u0431\u043a\u0430 \u0432 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0435\u0427\u0442\u043e \u0434\u0430\u043b\u044c\u0448\u04351. \u041a\u0435\u0439\u0441, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0432\u0441\u0451 \u043b\u043e\u043c\u0430\u0435\u0442\u0441\u044f\u041f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u044c\u0442\u0435 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 B2B-\u0441\u0435\u0440\u0432\u0438\u0441 \u2014 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0442\u043e\u0432\u0430\u0440\u043e\u0432. \u0422\u0440\u0438 \u0443\u0440\u043e\u0432\u043d\u044f: \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u2192 \u0434\u0435\u0440\u0435\u0432\u043e \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0439 \u2192 \u0442\u043e\u0432\u0430\u0440.\u0422\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f \u043e\u0442 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430 \u0437\u0432\u0443\u0447\u0430\u0442 \u0431\u0443\u0434\u043d\u0438\u0447\u043d\u043e:\u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u00ab\u042d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u0438\u043a\u0430\u00bb \u0434\u043e\u043b\u0436\u043d\u0430 \u0432\u0438\u0434\u0435\u0442\u044c \u0438 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u0441\u0432\u043e\u0439 \u043a\u0430\u0442\u0430\u043b\u043e\u0433. \u0414\u0440\u0443\u0433\u0438\u0445 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u0432 \u0434\u043b\u044f \u043d\u0435\u0451 \u043a\u0430\u043a \u0431\u0443\u0434\u0442\u043e \u043d\u0435 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u2014 \u043d\u0438 \u0432 \u0441\u043f\u0438\u0441\u043a\u0430\u0445, \u043d\u0438 \u043f\u043e \u043f\u0440\u044f\u043c\u043e\u0439 \u0441\u0441\u044b\u043b\u043a\u0435;\u043f\u0440\u0430\u0432\u0430 \u0432\u044b\u0434\u0430\u044e\u0442\u0441\u044f \u043d\u0430 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435, \u043d\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u044e\u0442 \u043d\u0430 \u0432\u0441\u0451\u043c \u043f\u043e\u0434\u0434\u0435\u0440\u0435\u0432\u0435. \u0413\u0440\u0430\u043d\u0442 \u00ab\u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430\u00bb \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u043f\u0440\u0430\u0432\u043e \u043f\u0440\u0430\u0432\u0438\u0442\u044c \u043b\u044e\u0431\u0443\u044e \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u044e \u0438 \u0442\u043e\u0432\u0430\u0440 \u043f\u043e\u0434 \u043d\u0438\u043c \u2014 \u043d\u0430 \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0443\u0433\u043e\u0434\u043d\u043e \u0443\u0440\u043e\u0432\u043d\u0435\u0439 \u0432\u0433\u043b\u0443\u0431\u044c;\u0443 \u0440\u043e\u043b\u0435\u0439 \u0431\u044b\u0432\u0430\u044e\u0442 \u0443\u0441\u043b\u043e\u0432\u0438\u044f \u043f\u043e \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0430\u043c: \u0440\u043e\u043b\u044c \u00ab\u043a\u043e\u043d\u0442\u0435\u043d\u0442-\u043c\u0435\u043d\u0435\u0434\u0436\u0435\u0440 \u043f\u043e \u0431\u044b\u0442\u043e\u0432\u043e\u0439 \u0442\u0435\u0445\u043d\u0438\u043a\u0435\u00bb \u0432\u0438\u0434\u0438\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u043e\u0432\u0430\u0440\u044b \u0441 \u0442\u0435\u0433\u043e\u043c department: appliances;\u0438 \u0441\u0430\u043c\u043e\u0435 \u0432\u0435\u0441\u0451\u043b\u043e\u0435: GET \/catalogs\/{id}\/categories \u0434\u043e\u043b\u0436\u0435\u043d \u0432\u0435\u0440\u043d\u0443\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u044d\u0442\u043e\u043c\u0443 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0443 \u043c\u043e\u0436\u043d\u043e \u0432\u0438\u0434\u0435\u0442\u044c. \u041d\u0435 403 \u043d\u0430 \u0432\u0441\u044e \u043a\u043e\u043b\u043b\u0435\u043a\u0446\u0438\u044e, \u0430 \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u0439 \u043e\u0442\u0444\u0438\u043b\u044c\u0442\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a \u2014 \u0436\u0435\u043b\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0440\u044f\u043c\u043e \u0444\u0438\u043b\u044c\u0442\u0440\u043e\u043c \u0432 SQL, \u0430 \u043d\u0435 \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u043e\u0439 \u0432\u0441\u0435\u0439 \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u0441 \u043f\u043e\u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043f\u0440\u043e\u0441\u0435\u0438\u0432\u0430\u043d\u0438\u0435\u043c.\u041a\u0430\u0436\u0434\u043e\u0435 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0440\u0435\u0448\u0430\u0435\u043c\u043e. \u0412\u0441\u0435 \u0432\u043c\u0435\u0441\u0442\u0435 \u2014 \u044d\u0442\u043e \u0443\u0436\u0435 ABAC (attribute-based access control) \u043f\u043e\u0432\u0435\u0440\u0445 \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0440\u0435\u0441\u0443\u0440\u0441\u0430 \u0441 \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0435\u0439 \u0434\u0430\u043d\u043d\u044b\u0445. \u0418 \u0432\u043e\u0442 \u044d\u0442\u043e\u0433\u043e \u0438\u0437 \u043a\u043e\u0440\u043e\u0431\u043a\u0438 \u0432 Spring-\u044d\u043a\u043e\u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043d\u0435\u0442.2. \u041f\u043e\u0447\u0435\u043c\u0443 \u043d\u0435 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u043e, \u0447\u0442\u043e \u0443\u0436\u0435 \u0435\u0441\u0442\u044c@PreAuthorize + SpEL@PreAuthorize(&#171;hasRole(&#8216;CATALOG_EDITOR&#8217;) and @catalogGuard.canEdit(#catalogId, principal)&#187;)\u0422\u0440\u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b, \u0438 \u0432\u0441\u0435 \u0442\u0440\u0438 \u2014 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u043d\u044b\u0435\u041b\u043e\u0433\u0438\u043a\u0430 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u0440\u0430\u0437\u043c\u0430\u0437\u0430\u043d\u0430 \u043f\u043e \u0430\u043d\u043d\u043e\u0442\u0430\u0446\u0438\u044f\u043c. \u041f\u0440\u0430\u0432\u0438\u043b\u043e \u00ab\u043a\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u044e\u00bb \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u0432 \u0441\u0442\u043e\u043b\u044c\u043a\u0438\u0445 \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0430\u0445, \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u043e\u0432 \u0435\u0451 \u043a\u0430\u0441\u0430\u044e\u0442\u0441\u044f. \u0410\u0443\u0434\u0438\u0442\u043e\u0440\u0443 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043f\u0440\u0438\u0434\u0451\u0442\u0441\u044f \u043f\u0440\u043e\u0440\u0435\u0432\u044c\u044e\u0438\u0442\u044c \u0432\u0441\u0435 Spring MVC-\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u043b\u0435\u0440\u044b.SpEL \u043d\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043a\u0430\u043a \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430. \u041c\u043e\u0436\u043d\u043e \u043f\u043e\u0434\u043d\u044f\u0442\u044c \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442 \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0446\u0435\u043b\u0438\u043a\u043e\u043c, \u043d\u043e \u043d\u0435\u043b\u044c\u0437\u044f \u0432\u0437\u044f\u0442\u044c \u0441\u0430\u043c\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0438 \u043f\u0440\u043e\u0433\u043d\u0430\u0442\u044c \u043f\u043e \u043d\u0435\u043c\u0443 \u0442\u0430\u0431\u043b\u0438\u0446\u0443 \u043a\u0435\u0439\u0441\u043e\u0432 \u00ab\u0441\u0443\u0431\u044a\u0435\u043a\u0442 \u00d7 \u0440\u0435\u0441\u0443\u0440\u0441 \u00d7 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435\u00bb.\u0418\u0435\u0440\u0430\u0440\u0445\u0438\u0438 \u0438 \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u0441\u043f\u0438\u0441\u043a\u043e\u0432 \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435\u0442. hasRole \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0437\u043d\u0430\u0435\u0442 \u043f\u0440\u043e \u00ab\u0433\u0440\u0430\u043d\u0442 \u043d\u0430 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u00bb. \u0410 \u0434\u043b\u044f \u0437\u0430\u0434\u0430\u0447\u0438 \u00ab\u0432\u0435\u0440\u043d\u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438\u00bb SpEL \u0431\u0435\u0441\u0441\u0438\u043b\u0435\u043d \u2014 \u043e\u043d \u0443\u043c\u0435\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u0430 \u0438\u043b\u0438 \u043d\u0435\u0442 \u043d\u0430 \u0432\u0435\u0441\u044c \u0432\u044b\u0437\u043e\u0432.Spring Security ACL\u0424\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e \u0432 ACL-\u043c\u043e\u0434\u0443\u043b\u0435 \u0435\u0441\u0442\u044c per-object \u043f\u0440\u0430\u0432\u0430 \u0438 \u0434\u0430\u0436\u0435 \u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435. \u041d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435 \u044d\u0442\u043e \u0447\u0435\u0442\u044b\u0440\u0435 \u0442\u0430\u0431\u043b\u0438\u0446\u044b ACL_*, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u0435\u043a\u0430\u0440\u0442\u043e\u0432\u043e \u043f\u0440\u043e\u0438\u0437\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u00ab\u043e\u0431\u044a\u0435\u043a\u0442 \u00d7 \u0441\u0443\u0431\u044a\u0435\u043a\u0442 \u00d7 \u043f\u0440\u0430\u0432\u043e\u00bb.\u041d\u043e\u0432\u044b\u0439 \u0442\u043e\u0432\u0430\u0440 \u2014 \u043d\u043e\u0432\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 \u0432 ACL. \u041f\u043e\u043c\u0435\u043d\u044f\u043b\u0438 \u0440\u043e\u043b\u044c \u2014 \u043a\u0430\u0441\u043a\u0430\u0434 \u0430\u043f\u0434\u0435\u0439\u0442\u043e\u0432. \u041a\u043e\u0433\u0434\u0430 \u0442\u043e\u0432\u0430\u0440\u043e\u0432 \u043c\u0438\u043b\u043b\u0438\u043e\u043d, \u0430 \u0434\u043e\u0441\u0442\u0443\u043f \u0435\u0449\u0451 \u0438 \u043e\u0442 \u0442\u0435\u0433\u0430 \u0437\u0430\u0432\u0438\u0441\u0438\u0442 (\u0438 \u044d\u0442\u043e\u0442 \u0442\u0435\u0433 \u043c\u043e\u0436\u043d\u043e \u043c\u0435\u043d\u044f\u0442\u044c), ACL \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u0432 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 ETL-\u043a\u043e\u043d\u0432\u0435\u0439\u0435\u0440 \u0441\u0438\u043d\u0445\u0440\u043e\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u0430\u0432. \u041a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044b\u0447\u043d\u043e \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f \u0434\u043e\u0433\u043d\u0430\u0442\u044c \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u0438 \u043f\u0440\u043e\u0438\u0433\u0440\u044b\u0432\u0430\u0435\u0442.3. \u041f\u043e\u0447\u0435\u043c\u0443 OPA \u2014 \u0442\u0440\u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430, \u043d\u0435 \u043e\u0431\u0437\u043e\u0440Open Policy Agent \u2014 CNCF graduated \u0434\u0432\u0438\u0436\u043e\u043a \u043f\u043e\u043b\u0438\u0442\u0438\u043a. \u041f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u043f\u0438\u0448\u0443\u0442\u0441\u044f \u043d\u0430 \u044f\u0437\u044b\u043a\u0435 Rego, \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0441\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u0435\u0442 \u043f\u043e HTTP: \u00ab\u041c\u043e\u0436\u043d\u043e \u043b\u0438?\u00bb, OPA \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u0440\u0435\u0448\u0435\u043d\u0438\u0435\u043c.\u041f\u043e\u0447\u0435\u043c\u0443 \u0438\u043c\u0435\u043d\u043d\u043e \u043e\u043d, \u0430 \u043d\u0435 \u0441\u0432\u043e\u0439 \u043c\u0438\u043a\u0440\u043e\u0441\u0435\u0440\u0432\u0438\u0441 \u043f\u0440\u0430\u0432\u0438\u043b:\u041f\u043e\u043b\u0438\u0442\u0438\u043a\u0430 \u2014 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u0442\u0435\u0441\u0442\u0438\u0440\u0443\u0435\u043c\u044b\u0439 \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442. opa test \u0433\u043e\u043d\u044f\u0435\u0442 \u044e\u043d\u0438\u0442-\u0442\u0435\u0441\u0442\u044b \u043f\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c \u0441 coverage, \u0431\u0435\u0437 Java-\u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0430. \u0412 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 423 policy-\u0442\u0435\u0441\u0442\u043e\u0432 \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0442 \u0437\u0430 \u0434\u043e\u043b\u0438 \u0441\u0435\u043a\u0443\u043d\u0434\u044b. \u0418 \u044d\u0442\u043e \u0442\u0435\u0441\u0442\u044b \u0438\u043c\u0435\u043d\u043d\u043e \u043f\u0440\u0430\u0432\u0438\u043b: \u00ab\u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440 \u0441 \u0442\u0435\u0433\u043e\u043c X \u043d\u0435 \u0432\u0438\u0434\u0438\u0442 \u0442\u043e\u0432\u0430\u0440 \u0431\u0435\u0437 \u0442\u0435\u0433\u0430\u00bb, \u0430 \u043d\u0435 \u00ab\u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0432\u0435\u0440\u043d\u0443\u043b 403\u00bb.Decision log \u0438\u0437 \u043a\u043e\u0440\u043e\u0431\u043a\u0438. \u041a\u0430\u0436\u0434\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u2014 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435: \u043a\u0442\u043e, \u0447\u0442\u043e, \u043d\u0430\u0434 \u0447\u0435\u043c, \u043f\u043e\u0447\u0435\u043c\u0443. \u0414\u043b\u044f \u0430\u0443\u0434\u0438\u0442\u0430 \u044d\u0442\u043e \u0440\u0430\u0437\u043d\u0438\u0446\u0430 \u043c\u0435\u0436\u0434\u0443 \u00abgrep \u043f\u043e \u043b\u043e\u0433\u0430\u043c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439\u00bb \u0438 \u00ab\u0432\u044b\u0433\u0440\u0443\u0437\u043a\u0430 \u043f\u043e\u0442\u043e\u043a\u0430 \u0440\u0435\u0448\u0435\u043d\u0438\u0439\u00bb.\u041e\u0434\u0438\u043d \u044f\u0437\u044b\u043a \u043f\u043e\u043b\u0438\u0442\u0438\u043a \u043d\u0430 \u0432\u0441\u0435\u0445 \u0443\u0440\u043e\u0432\u043d\u044f\u0445. \u0422\u043e\u0442 \u0436\u0435 Rego, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0435\u0448\u0430\u0435\u0442 \u00ab\u043c\u043e\u0436\u043d\u043e \u043b\u0438 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u043e\u0432\u0430\u0440\u00bb, \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043d\u0430 API-gateway (\u0433\u0440\u0443\u0431\u0430\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u00ab\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u043b\u0438 \u0432\u043e\u043e\u0431\u0449\u0435\u00bb), \u0432 \u0441\u0435\u0440\u0432\u0438\u0441\u0435 (\u0442\u043e\u0447\u043d\u0430\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043d\u0430 \u0440\u0435\u0441\u0443\u0440\u0441\u0435), \u0430 \u0432 \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0447\u0430\u0441\u0442\u0438 \u0441\u0435\u0440\u0438\u0438 \u043e\u043d \u0436\u0435 \u0431\u0443\u0434\u0435\u0442 \u0440\u0435\u0448\u0430\u0442\u044c, \u043a\u0430\u043a\u0438\u0435 MCP-\u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b AI-\u0430\u0433\u0435\u043d\u0442\u0443.4. \u0410\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430: \u043f\u0443\u0442\u044c \u043e\u0434\u043d\u043e\u0433\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0430\u042d\u0442\u043e \u043e\u0431\u0449\u0430\u044f \u0442\u043e\u043f\u043e\u043b\u043e\u0433\u0438\u044f \u0441\u0442\u0435\u043d\u0434\u0430 (\u0432 \u043d\u0435\u0439 \u0443\u0436\u0435 \u0432\u0438\u0434\u0435\u043d MCP-\u0441\u0435\u0440\u0432\u0435\u0440 \u0438\u0437 \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0447\u0430\u0441\u0442\u0438). \u0410 \u0432\u043e\u0442 \u043f\u0443\u0442\u044c \u043e\u0434\u043d\u043e\u0433\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0447\u0435\u0440\u0435\u0437 \u0434\u0432\u0430 \u0441\u043b\u043e\u044f \u0440\u0435\u0448\u0435\u043d\u0438\u0439:PUT \/catalogs\/{cid}\/categories\/{id}   \u2502   \u25bcAPISIX (gateway) \u2500\u2500\u2500\u2500 OIDC: \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044f JWT (Keycloak)   \u2502                \u2514\u2500 OPA, \u0441\u043b\u043e\u0439 1: \u0433\u0440\u0443\u0431\u0430\u044f \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430 (gateway.rego) \u2014   \u2502                   \u00ab\u044d\u0442\u043e\u043c\u0443 \u0442\u0438\u043f\u0443 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430 \u043d\u0430 \u044d\u0442\u043e\u0442 \u043c\u0430\u0440\u0448\u0440\u0443\u0442 \u043c\u043e\u0436\u043d\u043e \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435?\u00bb   \u25bccatalog-management-service (Spring Boot)   \u2502  @OpaPreAuthorize \u043d\u0430 \u043c\u0435\u0442\u043e\u0434\u0435 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u043b\u0435\u0440\u0430   \u2502    \u2514\u2500 AuthorizationManager \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442: \u0441\u0443\u0431\u044a\u0435\u043a\u0442 \u0438\u0437 JWT,   \u2502       \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435, \u0440\u0435\u0441\u0443\u0440\u0441 + \u0435\u0433\u043e \u043f\u0440\u0435\u0434\u043a\u0438, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0440\u043e\u043b\u0438   \u2502    \u2514\u2500 POST \/v1\/data\/category \u2192 OPA, \u0441\u043b\u043e\u0439 2: \u0442\u043e\u0447\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435   \u2502       (category.rego: \u0433\u0440\u0430\u043d\u0442\u044b, \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u044f, \u0442\u0435\u0433\u0438, deny-overrides)   \u25bcPostgreSQL \u2014 \u0430 \u0434\u043b\u044f \u0441\u043f\u0438\u0441\u043a\u043e\u0432 \u0435\u0449\u0451 \u0438 \u0441\u043b\u043e\u0439 2b: \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430, \u0441\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0430\u044f             \u0432 WHERE-\u0443\u0441\u043b\u043e\u0432\u0438\u044f (partial evaluation \u2192 JPA Specification, \u0447\u0430\u0441\u0442\u044c 2)\u0414\u0432\u0430 \u0441\u043b\u043e\u044f \u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u2014 \u043d\u0435 \u0434\u0443\u0431\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435. Gateway \u043e\u0442\u0441\u0435\u043a\u0430\u0435\u0442 \u0433\u0440\u0443\u0431\u043e\u0435 (\u00ab\u0430\u043d\u043e\u043d\u0438\u043c\u0443\u0441\u0443 \u0432 \u0430\u0434\u043c\u0438\u043d-API \u043d\u0435\u043b\u044c\u0437\u044f\u00bb), \u0441\u0435\u0440\u0432\u0438\u0441 \u0440\u0435\u0448\u0430\u0435\u0442 \u0442\u043e\u0447\u043d\u043e\u0435 (\u00ab\u044d\u0442\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u043d\u0430\u0434 \u044d\u0442\u0438\u043c \u0442\u043e\u0432\u0430\u0440\u043e\u043c \u0441 \u044d\u0442\u0438\u043c\u0438 \u0442\u0435\u0433\u0430\u043c\u0438\u00bb). \u041f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u043e\u0431\u043e\u0438\u0445 \u0441\u043b\u043e\u0451\u0432 \u043b\u0435\u0436\u0430\u0442 \u0440\u044f\u0434\u043e\u043c, \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u044f\u0437\u044b\u043a\u0435, \u0442\u0435\u0441\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u043c.5. \u0427\u0442\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e \u043f\u0438\u0448\u0435\u0442 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0410\u043d\u043d\u043e\u0442\u0430\u0446\u0438\u044f\u0412\u043e\u0442 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u043b\u0435\u0440 ProductController.java (\u0441\u043e\u043a\u0440\u0430\u0449\u0435\u043d\u043e; \u043f\u043e\u043b\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u2014 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438, example-catalog-management-service\/src\/main\/java\/dev\/dmitriikonovalov\/example\/catalog\/web):@OpaPreAuthorize(action = &#171;product:view&#187;, resourceType = &#171;&#8216;product'&#187;, resourceId = &#171;#productId&#187;)public ResponseEntity&lt;Product&gt; getProduct(UUID catalogId, UUID categoryId, UUID productId) { &#8230; }@OpaPreAuthorize(action = &#171;product:list&#187;, resourceType = &#171;&#8216;product'&#187;,        roleResourceType = &#171;&#8216;catalog'&#187;, roleResourceId = &#171;#catalogId&#187;)public ResponseEntity&lt;ProductPage&gt; listProducts(UUID catalogId, UUID categoryId, &#8230;) { &#8230; }\u0410\u0442\u0440\u0438\u0431\u0443\u0442\u044b \u2014 SpEL (\u043e\u0442\u0441\u044e\u0434\u0430 \u043a\u0430\u0432\u044b\u0447\u043a\u0438 \u0432 &#171;&#8216;product'&#187;: \u0441\u0442\u0440\u043e\u043a\u043e\u0432\u044b\u0439 \u043b\u0438\u0442\u0435\u0440\u0430\u043b, \u0430 #productId \u2014 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u043c\u0435\u0442\u043e\u0434\u0430). \u041d\u043e \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435, \u0447\u0435\u0433\u043e \u0437\u0434\u0435\u0441\u044c \u043d\u0435\u0442: \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430. \u0410\u043d\u043d\u043e\u0442\u0430\u0446\u0438\u044f \u0434\u0435\u043a\u043b\u0430\u0440\u0438\u0440\u0443\u0435\u0442 \u0432\u043e\u043f\u0440\u043e\u0441 (\u00ab\u043c\u043e\u0436\u0435\u0442 \u043b\u0438 \u0441\u0443\u0431\u044a\u0435\u043a\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c product:view \u043d\u0430\u0434 \u044d\u0442\u0438\u043c \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u043c?\u00bb), \u0430 \u043e\u0442\u0432\u0435\u0442 \u0446\u0435\u043b\u0438\u043a\u043e\u043c \u0436\u0438\u0432\u0451\u0442 \u0432 Rego.\u041f\u0430\u0440\u0430 roleResourceType \/ roleResourceId \u0432\u043e \u0432\u0442\u043e\u0440\u043e\u043c \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u2014 \u043f\u043e\u0434\u0441\u043a\u0430\u0437\u043a\u0430 \u00ab\u0440\u043e\u043b\u044c \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430 \u0438\u0449\u0438 \u043d\u0430 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435\u00bb: \u0443 \u0441\u043f\u0438\u0441\u043a\u0430 \u0442\u043e\u0432\u0430\u0440\u043e\u0432 \u043d\u0435\u0442 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0433\u043e \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0430, \u0430 \u0433\u0440\u0430\u043d\u0442 \u0436\u0438\u0432\u0451\u0442 \u043d\u0430 \u043a\u043e\u0440\u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0435\u0432\u0430 (\u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u2014 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u043f\u0440\u043e \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u044e \u0438 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u043f\u0440\u043e \u0444\u0435\u0439\u043b \u043d\u0438\u0436\u0435).\u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u0430\u043a\u0442AuthorizationManager \u0437\u0430 \u0430\u043d\u043d\u043e\u0442\u0430\u0446\u0438\u0435\u0439 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 AbacContext \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0435\u0433\u043e \u0432 OPA \u043a\u0430\u043a input:{  &#171;input&#187;: {    &#171;subject&#187;:  { &#171;id&#187;: &#171;u-42&#187;, &#171;roles&#187;: [&#171;\u2026&#187;], &#171;attributes&#187;: { \u2026 } },    &#171;action&#187;:   &#171;product:view&#187;,    &#171;resource&#187;: {      &#171;type&#187;: &#171;product&#187;,      &#171;id&#187;: &#171;p-1001&#187;,      &#171;attributes&#187;: { &#171;department&#187;: &#171;appliances&#187;, \u2026 },      &#171;ancestors&#187;: [                        \/\/ root-first, \u0431\u0435\u0437 \u0441\u0430\u043c\u043e\u0433\u043e \u043b\u0438\u0441\u0442\u0430        { &#171;type&#187;: &#171;catalog&#187;,  &#171;id&#187;: &#171;c-7&#187; },        { &#171;type&#187;: &#171;category&#187;, &#171;id&#187;: &#171;cat-33&#187; }      ]    },    &#171;role_definition&#187;: { \u2026 }               \/\/ \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0440\u043e\u043b\u0438 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430 \u043d\u0430 governing root  }}\u042d\u0442\u043e \u0438 \u0435\u0441\u0442\u044c \u0432\u0435\u0441\u044c \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u0430\u043a\u0442: \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u0437\u0430 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u044b (\u043a\u0442\u043e, \u0447\u0442\u043e, \u043d\u0430\u0434 \u0447\u0435\u043c, \u0432 \u043a\u0430\u043a\u043e\u043c \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0438), \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0430 \u2014 \u0437\u0430 \u0440\u0435\u0448\u0435\u043d\u0438\u0435.\u041e\u0442\u043a\u0443\u0434\u0430 \u0431\u0435\u0440\u0443\u0442\u0441\u044f \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u044b:\u0441\u0443\u0431\u044a\u0435\u043a\u0442 \u2014 \u0438\u0437 JWT;\u0440\u0435\u0441\u0443\u0440\u0441 \u0438 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0435 \u0441\u0443\u0449\u043d\u043e\u0441\u0442\u0438 \u2014 \u0438\u0437 \u0411\u0414 \u0447\u0435\u0440\u0435\u0437 SPI-\u0440\u0435\u0437\u043e\u043b\u0432\u0435\u0440 (\u0434\u043b\u044f \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u0438 \u2014 \u043e\u0434\u043d\u043e \u0438\u043d\u0434\u0435\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0447\u0442\u0435\u043d\u0438\u0435 ltree-\u043f\u0443\u0442\u0438, \u043d\u0435 \u0440\u0435\u043a\u0443\u0440\u0441\u0438\u0432\u043d\u044b\u0439 \u043e\u0431\u0445\u043e\u0434);\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 \u0440\u043e\u043b\u0438 \u2014 \u0438\u0437 user-service (\u0440\u043e\u043b\u044c \u2194 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u2194 \u0440\u0435\u0441\u0443\u0440\u0441).\u041f\u043e\u043b\u0438\u0442\u0438\u043a\u0430\u042f\u0434\u0440\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0433\u043e product.rego (\u0441\u043e\u043a\u0440\u0430\u0449\u0435\u043d\u043e; \u043f\u043e\u043b\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u2014 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438, infra\/opa\/policies\/):package productimport data.permissionsdefault allow := false          # \u0437\u0430\u043f\u0440\u0435\u0442 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u2014 \u044f\u0432\u043d\u044b\u0439# \u0438\u0442\u043e\u0433: \u0433\u0440\u0430\u043d\u0442 (\u043f\u0440\u044f\u043c\u043e\u0439 \u0438\u043b\u0438 \u0443\u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u043d\u044b\u0439), \u041d\u0415 \u043f\u0435\u0440\u0435\u043a\u0440\u044b\u0442\u044b\u0439 \u0437\u0430\u043f\u0440\u0435\u0442\u043e\u043callow if {    granted    not denied}# \u043f\u0440\u044f\u043c\u043e\u0439 \u0433\u0440\u0430\u043d\u0442: verb \u0432\u0445\u043e\u0434\u0438\u0442 \u0432 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u044b\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0440\u043e\u043b\u0438 \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0442\u0438\u043f\u0430 \u0440\u0435\u0441\u0443\u0440\u0441\u0430direct_grant if {    verb in permissions.effective_actions(input.role_definition, input.resource.type)    tags_satisfied}# \u0437\u0430\u043f\u0440\u0435\u0442-\u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435: \u044f\u0432\u043d\u044b\u0439 deny \u043d\u0430 \u043b\u0438\u0441\u0442\u0435 \u043f\u043e\u0431\u0435\u0436\u0434\u0430\u0435\u0442 \u043b\u044e\u0431\u043e\u0439 \u0433\u0440\u0430\u043d\u0442denied if {    input.resource.attributes.abac_deny == true}\u0420\u043e\u043b\u044c \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0430 \u043d\u0435\u0441\u0451\u0442 \u0433\u0440\u0443\u0431\u044b\u0435 \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0438 \u043f\u0440\u0430\u0432 (READ \/ WRITE \/ TAG \/ GRANT \/ CONTROL) \u043f\u043e \u0442\u0438\u043f\u0430\u043c \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u0432. \u041e\u0431\u0449\u0438\u0439 \u043c\u043e\u0434\u0443\u043b\u044c permissions \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442 \u0438\u0445 \u0432 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043f\u043e \u0442\u0430\u0431\u043b\u0438\u0446\u0435:{ &#171;READ&#187;:    [&#171;view&#187;, &#171;list&#187;, &#171;list-members&#187;],  &#171;WRITE&#187;:   [&#171;create&#187;, &#171;update&#187;, &#171;delete&#187;],  &#171;TAG&#187;:     [&#171;define-tags&#187;, &#171;assign-tags&#187;],  &#171;GRANT&#187;:   [&#171;assign-roles&#187;],  &#171;CONTROL&#187;: [&#171;add-member&#187;, &#171;change-role&#187;, &#171;remove-member&#187;] }\u2026\u0438 \u0441\u0443\u0436\u0430\u0435\u0442 \u0447\u0435\u0440\u0435\u0437 denied_actions. \u041d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0439 \u0442\u043e\u043a\u0435\u043d \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0438 \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0432 \u043f\u0443\u0441\u0442\u043e\u0435 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u2014 \u043e\u043f\u0435\u0447\u0430\u0442\u043a\u0430 \u0432 \u0434\u0430\u043d\u043d\u044b\u0445 \u0440\u043e\u043b\u0438 \u043d\u0435 \u043c\u043e\u0436\u0435\u0442 \u0434\u0430\u0442\u044c \u043b\u0438\u0448\u043d\u0438\u0445 \u043f\u0440\u0430\u0432, \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u0442\u043d\u044f\u0442\u044c (fail-closed).6. \u0418\u0435\u0440\u0430\u0440\u0445\u0438\u044f: \u0433\u0440\u0430\u043d\u0442 \u043d\u0430 \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u0435 \u2014 \u0432 Rego, \u043d\u0435 \u0432 Java\u0422\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u0435 \u00ab\u0440\u0435\u0434\u0430\u043a\u0442\u043e\u0440 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u0443\u0435\u0442 \u0432\u0441\u0451 \u043f\u043e\u0434\u0434\u0435\u0440\u0435\u0432\u043e\u00bb \u2014 \u044d\u0442\u043e \u0440\u043e\u0432\u043d\u043e \u0434\u0432\u0430 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0438 \u043e\u0434\u043d\u0430 \u0434\u0435\u043a\u043b\u0430\u0440\u0430\u0446\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445:# \u0443\u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0433\u0440\u0430\u043d\u0442: \u0440\u043e\u043b\u044c \u043d\u0435\u0441\u0451\u0442 \u044d\u0442\u043e\u0442 verb \u043d\u0430 \u043f\u0440\u0435\u0434\u043a\u0435, \u0447\u0435\u0439 \u0442\u0438\u043f \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d \u043d\u0430\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u044b\u043cinherited_grant if {    some ancestor in input.resource.ancestors    data.product.inheritable[input.resource.type][ancestor.type]   # \u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u2014 opt-in    verb in permissions.effective_actions(input.role_definition, ancestor.type)}{ &#171;product&#187;: { &#171;inheritable&#187;: { &#171;product&#187;: { &#171;category&#187;: true, &#171;catalog&#187;: true } } } }\u0421\u0432\u043e\u0439\u0441\u0442\u0432\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0434\u0430\u043b\u0438\u0441\u044c \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u043e:opt-in, \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d\u043e. \u041d\u0435\u0442 \u0434\u0435\u043a\u043b\u0430\u0440\u0430\u0446\u0438\u0438 \u0432 data.*.inheritable \u2014 \u043d\u0435\u0442 \u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f. \u041f\u043e\u043b\u0438\u0442\u0438\u043a\u0430 \u0432\u0435\u0434\u0451\u0442 \u0441\u0435\u0431\u044f \u0440\u043e\u0432\u043d\u043e \u043a\u0430\u043a \u0434\u043e-\u0438\u0435\u0440\u0430\u0440\u0445\u0438\u0447\u0435\u0441\u043a\u0430\u044f. \u041d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442\u0441\u044f \u0434\u0430\u043d\u043d\u044b\u043c\u0438, \u043d\u0435 \u043a\u043e\u0434\u043e\u043c;deny-overrides. \u042f\u0432\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u0435\u0442 \u043d\u0430 \u043b\u0438\u0441\u0442\u0435 (abac_deny) \u043f\u043e\u0431\u0435\u0436\u0434\u0430\u0435\u0442 \u043b\u044e\u0431\u043e\u0439 \u0433\u0440\u0430\u043d\u0442 \u043f\u0440\u0435\u0434\u043a\u0430 \u2014 \u043f\u0440\u0430\u0432\u0438\u043b\u043e not denied \u0441\u0442\u043e\u0438\u0442 \u041d\u0410\u0414 \u043e\u0431\u043e\u0438\u043c\u0438 \u043f\u0443\u0442\u044f\u043c\u0438 \u0433\u0440\u0430\u043d\u0442\u0430;fail-closed. \u0415\u0441\u043b\u0438 \u0446\u0435\u043f\u043e\u0447\u043a\u0430 \u043f\u0440\u0435\u0434\u043a\u043e\u0432 \u043d\u0435 \u043f\u0440\u0438\u0448\u043b\u0430 \u0432\u043e \u0432\u0445\u043e\u0434\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0438\u043b\u0438 \u043d\u0435 \u043f\u0440\u043e\u0448\u043b\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443, \u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u2014 \u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u044f\u043c\u043e\u0439 \u0433\u0440\u0430\u043d\u0442 \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0440\u0435\u0441\u0443\u0440\u0441\u0435. \u041e\u0448\u0438\u0431\u043a\u0430 \u0432 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441\u0443\u0436\u0430\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u043f, \u0430 \u043d\u0435 \u0440\u0430\u0441\u0448\u0438\u0440\u044f\u0435\u0442 \u0435\u0433\u043e;\u0432 Java-\u043a\u043e\u0434\u0435 \u043f\u0440\u043e \u0438\u0435\u0440\u0430\u0440\u0445\u0438\u044e \u2014 \u043d\u043e\u043b\u044c \u0441\u0442\u0440\u043e\u043a: \u0441\u0435\u0440\u0432\u0438\u0441 \u043b\u0438\u0448\u044c&#8230;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-494391","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/494391","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=494391"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/494391\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=494391"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=494391"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=494391"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}