関係性ベースアクセス制御

Zanzibar-style の relation definition と relationship tuple で ReBAC を設定します。

Admin エンドポイント

エンドポイント	メソッド	説明
/api/admin/rebac/relation-definitions	GET/POST	relation definition の一覧・作成
/api/admin/rebac/relation-definitions/:id	GET/PUT/DELETE	relation definition の管理
/api/admin/rebac/tuples	GET/POST	relationship tuple の一覧・作成
/api/admin/rebac/tuples/:id	DELETE	relationship tuple の削除
/api/admin/rebac/check	POST	デバッグ用の permission check simulation
/api/admin/rebac/object-types	GET	definition で使われている object type 一覧

Relationship tuple

{
  "relationship_type": "viewer",
  "from_type": "subject",
  "from_id": "user-123",
  "to_type": "document",
  "to_id": "doc-456",
  "permission_level": "read"
}

Runtime service

policy worker は /api/rebac/* 配下にも service-to-service API を公開します。check、batch-check、list-objects、list-users、write、tuple delete などに対応します。