社内CSサービスを支える権限管理について

Mercari CS/CRE Tech Talk #1

Transcript

1. 1 社内CSサービスを支える権限管理について Mercari CS/CRE Tech Talk #1 ISHII Reo @hukurou
2. 2 2020/04 新卒でメルカリに入社
 
 CRE CSTool Team
 Software Engineer / Scrum Master
 石井 怜央 / ISHII Reo

3. 3 Authorization Tool • 社内の情報・オペレーション を扱える権限を管理する サービス これから話すこと
4. 4 権限管理のマイクロサービス CS tool MOD tool Contact tool Authz tool CS tool その他CS tool 機能 お問い合せ 返信機能 MOD機能 権限管理機能
5. 5 なぜAuthzを作っているか 権限管理の仕組みが初期の頃からあまり変わっていない • RBAC(Role-based access control)っぽい方式 ◦ Roleで付与できる権限を制限 ◦ Roleに許可されている権限の中で、必要な権限を適宜追加 旧CSToolの権限管理 メンバー 管理者 権限 権限 ロール 権限
6. 6 なぜAuthzを作っているか • 現在の組織の構造が考慮されていない ◦ CSの規模の拡大（複数に部署）、Merpayなど ◦ 権限の管理者が全メンバーの権限を設定する必要がある ◦ 組織やメンバーごとの厳密な権限管理のためには 大量の権限とRoleが必要 • Microservice化にともない、複数のサービスの権限管理が必要になった 何を解決したいか
7. 7 • サーバーサイド ◦ Go ◦ gqlgen • フロントエンド ◦ TypeScript ◦ React ◦ @apollo/client ▪ GraphQL client ◦ graphql-codegen ▪ GraphQL Schemaから型定義を生成するツール ◦ Graphql-tag ▪ GraphQL queryをパースしてくれるリテラルを提供してくれる Authzの開発
8. 8 admin-graphqlとの関係 admin-graphql 各MSのbackend 各MSのfrontend Old CSTool（一部API） Old API 権限を確認 Authz backend Authz frontend
9. 9 Authzでの権限管理の構造 管理者がグループを作成し利用可能な権限を設定 • グループ管理者: 自分のグループのメンバー管理とロールとの紐付け • ロール管理者: 特定のグループに属さず、各グループにロールを作成 グループ メンバー 管理者 権限 権限 ロール 権限 ロール管理者 グループ管理者 グループごとに使用 できる権限を制限
10. 10 Graphqlでの権限管理 Custom directiveを定義しschemaに権限情報を付与 directive @hasPermission(permission: [String!]!) on FIELD_DEFINITION Query { itemCase(id: ID!): ItemCase @hasPermission(permission: [“case:read”]) } type ItemCase { id: ID! name: String! item: Item! @hasPermission(permission: ["item:read"]) } Schemaのイメージ :
11. 11 処理の流れ admin-graphql backend frontend Authz backend ①Gatewayで認証し tokenを取得 ② middlewareで Tokenを使って ユーザー情報を取得 ③ “case:read”の権限を 持っていることを確認 ④ 権限を持っているので resolverで処理 query ItemCase{ itemCase(id: 1) { id name } } { permissions: [“case:read”] }
12. 12 処理の流れ admin-graphql backend frontend Authz backend ①Gatewayで認証し tokenを取得 ② middlewareで Tokenを使って ユーザー情報を取得 ⑤ "item:read"の権限を 持っていないので Permission Denied ④ ItemCaseの Resolverを処理 query ItemCase{ itemCase(id: 1) { id 　item{ id } } } { permissions: [“case:read”] } ③ “case:read”の権限を 持っていることを確認
13. 13 なぜAuthzにGraphqlを使用しているのか Admin graphqlとの相性 • 将来的にFederation gatewayの子サービスになることを想定 ◦ 他サービスからも権限の取得がしやすい ▪ 権限ごとの画面の情報の出し分けなど Schemaに権限が書かれることによるドキュメントとしての意味
14. 14 federationのイメージ federation gateway backend frontend Authz backend admin-graphql 権限を確認
15. 15 まとめ • RBAC+グループという形で、CS組織の構造に合わせた 権限管理サービスを開発 • Graphqlのdirectiveを用いた権限情報 ◦ Schemaにメタ情報として付与 ◦ Gateway的なサービスのところでAPIへのアクセスを制限
16. 16 ありがとうございました