Permissões baseadas em role

O que são permissões?

Uma permissão é um status que o Atlas App Services atribui a usuários individuais para controlar o que eles podem ou não fazer com os dados do seu aplicativo. Os Serviços de Aplicativos usam permissões em nível de documento e em nível de campo:

• As permissões no nível do documento controlam se um usuário pode inserir, excluir, modificar e pesquisar um documento específico em uma coleção do MongoDB.

• As permissões em nível de campo controlam se um usuário pode ler ou gravar os dados em campos específicos de um documento.

Permissões de nível de documento

As permissões em nível de documento de uma role determinam quais ações que afetam todo o documento podem ser executadas. Essas permissões sempre se aplicam a todo o documento, independentemente do conteúdo. Uma função pode ter as seguintes permissões em nível de documento:

• Inserir: você pode inserir novos documentos.

• Excluir: você pode excluir documentos existentes.

• Pesquisar: você pode pesquisar o documento usando o Atlas Search.

Permissões de nível de campo

As permissões em nível de campo de uma função determinam se um usuário pode ler ou escrever campos dentro do documento. Essas permissões afetam somente o campo ao qual se aplicam, de modo que um usuário pode ter acesso de leitura ou escrita a apenas um subconjunto de todo o documento.

Você pode definir permissões de nível de campo para campos específicos e permissões padrão de leitura/escrita para quaisquer campos adicionais que você não defina explicitamente.

Fluxograma de permissões de leitura

O diagrama a seguir mostra como o App Services determina se um usuário pode ler determinado documento:

clique para ampliar

Fluxograma de permissões de gravação

O diagrama a seguir mostra como o App Services determina se um usuário pode escrever determinado documento:

clique para ampliar

Como o App Services Atribui Funções

O App Services atribui funções em momentos diferentes, dependendo se você está usando a Device Sync (Modo Flexível) ou não.

Ao usar o Device Sync, o App Services atribui funções no início de uma sessão de sincronização para cada coleção a ser sincronizada. Uma sessão de sincronização é o período de tempo entre a abertura e o fechamento de uma conexão de sincronização.

Quando não estiver usando o Device Sync, o App Services atribui roles por documento e por solicitação.

Usando ou não o Device Sync, você pode definir um conjunto de funções específicas para coleções e funções padrão que se aplicam a qualquer outra coleção não especificada. Para atribuir uma função, o App Services avalia a expressão "aplicar quando" de cada função na ordem em que você a especificou. A primeira função cuja expressão "aplicar quando" é avaliada como verdadeira se torna a função atribuída. Se nenhuma função corresponder, o acesso será negado.

O conjunto de funções avaliadas para uma determinada solicitação ou sessão de sincronização depende da coleção que o usuário está acessando. Se você definiu alguma função em nível de coleção para a coleção, as funções em nível de coleção serão avaliadas. Caso contrário, as funções padrão da fonte de dados, se houver, serão avaliadas.

O App Services não "retorna" a funções padrão se nenhuma função em nível de coleção se aplicar. Se qualquer função de nível de coleção for definido, somente funções de nível de coleção serão avaliadas. As funções padrão são avaliadas se e somente se nenhuma função de nível de coleção foi definida.

clique para ampliar

Sem Sincronização de Dispositivos

Quando não estiver usando o Device Sync, o App Services atribui roles dinamicamente para cada documento. O usuário recebe uma função separada, ou nenhuma função, para cada documento que corresponda à consulta recebida.

Primeiro, seu App avalia e aplica filtros e depois executa a consulta.

db.restaurants.updateMany(
  { "city": "Chicago" },
  { "$set": { "city": "Chicago, IL" } }
);

Para cada documento retornado pela consulta, seu aplicativo avalia possíveis funções na ordem das funções e atribui a primeira função aplicável, se houver. Uma função se aplica a um determinado documento se sua expressão "aplicar quando" for avaliada como true quando executada no documento.

Exemplo

Um funcionário sempre estará em sua própria equipe, portanto, as funções Funcionário e Colega de equipe se aplicam a ele em seu próprio documento. No entanto, eles podem usar apenas uma função, por isso queremos usar Funcionário porque é mais específico.

Para configurar isso, especifique Funcionário antes de Colega de Equipe nas definições de função da coleção:

App Services UI

CLI de serviços de aplicativos

{
  "database": "<Database Name>",
  "collection": "<Collection Name>",
  "roles": [
    { "name": "Manager", ... },
    { "name": "Employee", ... },
    { "name": "Teammate", ... }
  ]
}

Com Sincronização de Dispositivos

Ao usar o Device Sync, o App Services atribui funções no início de cada sessão do Flexible Sync para cada coleção sincronizada. A função determina quais permissões se aplicam a cada coleção durante uma sessão.

App Services atribuem no máximo uma função por coleção. Se você não especificou funções para uma determinada coleção sincronizada, o App Services usará as funções padrão. Se nenhuma função se aplicar a uma coleção, o usuário não poderá sincronizar (ou ler ou gravar) nenhuma entrada nessa coleção.

Uma função permanece atribuída durante a sessão. Se algo relevante para a função de sessão de um usuário for alterado no meio da sessão do usuário, o usuário não receberá uma função atualizada até que inicie uma nova sessão. Por exemplo, se os metadados do usuário ou a expressão "aplicar quando" da função forem alterados, o usuário continuará a usar a função existente para essa coleção até a próxima vez que iniciar uma sessão.

Existem algumas considerações especiais ao usar o Device Sync em relação ao sistema de permissões. Consulte Permissões compatíveis com o Device Sync.

Para obter um guia sobre como configurar o Sincronização Flexível com modelos de permissões comuns, consulte o Device Sync Permissions Guide (Guia de permissões do Device Sync).

Aplicar Expressões Quando

Uma função "se aplica quando" expressão é uma expressão de regra que determina se a função deve ser atribuída.

Você pode utilizar variáveis de expressão para tornar papéis dinâmicos. Por exemplo, você pode usar a expansão %%user para se referir ao usuário específico que emitiu a solicitação. Isso permite que você personalize suas permissões de acesso a dados por usuário.

Quando não estiver usando o Device Sync, você poderá consultar o documento atual para o qual uma função está sendo atribuída. Por exemplo, você pode utilizar o %%root. Isso permite que você personalize suas permissões de acesso a dados por documento.

Filtros do documento

As expressões document_filters da função determinam se as permissões subsequentes em nível de documento e de campo da função podem ser avaliadas. Isso é necessário para o Device Sync.

Observação: o App Services avalia os filtros de documentos por documento. Eles não devem ser confundidos com os filtrosde query de nível superior.

Ordem de Função

Cada função de determinada coleção tem uma posição que determina a ordem em que são avaliadas e aplicadas. Cada função se aplica quando a expressão é avaliada em ordem de função até que uma função se aplique ou nenhuma função permaneça.

Um usuário pode ter apenas uma função por documento em uma determinada consulta. A ordem das funções determina qual função se aplica no caso de várias funções " se aplicarem quando as expressões " forem verdadeiras. Portanto, ao definir funções, coloque primeiro as funções mais específicas.

Compatibilidade de sincronização

Se o Device Sync (modo flexível) estiver ativado, uma função atribuída deverá ser compatível com a sincronização. Consulte Funções Compatíveis com Sincronização para obter detalhes.