Construire des produits SaaS centrés sur les permissions
Pourquoi les frontières de rôles, l'auditabilité et l'accès au moindre privilège doivent être conçus tôt.
Les permissions sont souvent traitées comme une couche ajoutée après le fonctionnement du produit principal. Pour les logiciels métier, cela crée un risque. Un SaaS centré sur les permissions définit qui peut faire quoi avant que les workflows sensibles deviennent difficiles à démêler.
Les rôles ne sont que le début
Le RBAC donne aux équipes des modèles de rôles compréhensibles, mais les vrais produits ont aussi besoin de contrôles autour des actions, des enregistrements, des adhésions aux entreprises et des frontières administratives.
- Séparer les utilisateurs de la plateforme des utilisateurs d'entreprise.
- Valider l'adhésion à l'entreprise sur chaque requête métier.
- Utiliser des valeurs par défaut au moindre privilège pour les nouveaux rôles et fonctionnalités.
- Journaliser les actions sensibles dans une piste d'audit.
Rendre l'autorisation cohérente
L'autorisation ne doit pas être dupliquée différemment dans chaque fonctionnalité. Des règles partagées rendent le produit plus facile à tester et aident les futures apps, API et synchronisations desktop à utiliser le même langage de sécurité.