TFP-5952 AntiABAC fase 1, regler og struktur #1408
Conversation
| import no.nav.vedtak.sikkerhet.kontekst.AnsattGruppe; | ||
|
|
||
| public record PopulasjonInternRequest(UUID ansattOid, | ||
| Set<AnsattGruppe> kreverGrupper, |
There was a problem hiding this comment.
Hva er det fptilgang skal bruke kreverGrupper til?
There was a problem hiding this comment.
Sjekke om oid er med i grupper. Tilgang har Entra-grensesnitt
Fiirst cut er at naiserator bare inneholder veileder/saksbehandler/drift - ikke de øvrige.
| if (harGruppe(beskyttetRessursAttributter, AnsattGruppe.DRIFT)) { | ||
| return Tilgangsvurdering.godkjenn(); | ||
| } else { | ||
| return Tilgangsvurdering.godkjenn(AnsattGruppe.DRIFT); |
There was a problem hiding this comment.
Er det ikke feil å godkjenne hvis bruker ikke har gruppe? Samme gjelder oppgavestyrer
There was a problem hiding this comment.
Jeg kunne lagt inn en FORTSETT(gruppe) men beholdt GODKJENN(gruppe) i betydning krever gruppe.
Se i PepImpl
There was a problem hiding this comment.
Synes "godkjenn" her blir litt feil ord å bruke. For her er det ikke godkjent... men skal vurderes på et senere tidspunkt om er godkjent eller ei. fortsett(AnsattGruppe.DRIFT) eller vurderSenere(AnsattGruppe.DRIFT)? Føler det er mer beskrivende og skaper mindre forvirring.
There was a problem hiding this comment.
Vi får tenke litt på det å heller ta en reformatering senere. Tenker det er greit for nå.
|
Jeg synes det er litt vanskelig å se hvorfor det er så mange objekter som lagrer data her. Så bruker vi BeskyttetRessursAttributter og AppRessursData i vurderingen. Bare litt forvirret over hva som brukes til hva |
| if (!fagtilgang.fikkTilgang()) { | ||
| return fagtilgang; | ||
| } | ||
| kreverGrupper.addAll(fagtilgang.kreverGrupper()); |
There was a problem hiding this comment.
Kanskje endre navn til noe mer beskrivende? For dette er grupper som må valideres/sjekkes i populasjonstilgangen siden lokal vurdering ikke fant disse på tokenet.
Eksempler:
grupperSomMåValideresIPopulasjonstilgang
grupperForPopulasjonstilgang
grupperSomMåSjekkesIPopulasjonstilgang
populasjonGrupper
Fase 1
Videre arbeid i fase 1 - implementere i fptilgang og fikse tilgangsklient i denne PR så den kaller.
Deretter rulle ut i 1 app, logge, forbedre, rulle ut alle apps. Ny felles uten abac - rulle ut.
Tilbake: Flytte xacml-koden dit og la k9tilbake kalle som før. Enten med lokalVurdering eller extension av PepImpl.
Kommenter gjerne på struktur, innhold og mangler.