引言
在現代雲端應用架構中，存取控制（Access Control）與授權（Authorization）的設計與實作，直接影響系統的安全性與可維護性。隨著企業規模擴張與服務複雜度提升，傳統存取控制系統常因歷史包袱導致權限邏輯分散、耦合度高，進而造成管理與擴展困難。本文探討如何透過 Open FGA 這項 CNCF 沙盒專案，實現從混沌到控制的遷移策略，並深入解析其核心特性與實作方法。
技術與工具定義
Open FGA 的核心概念
Open FGA（Open Flexible Groups Authorization）是基於 Google Zanzibar 授權模型的模組化授權系統，提供聲明式授權模型（Declarative Authorization Model），支援跨應用程式統一存取控制。其核心特性包括：
- 聲明式授權模型：透過聲明性語法定義用戶與資源的關聯、角色繼承等權限關係。
- 多租戶支援：透過「store」機制實現租戶資料隔離，確保不同租戶間的權限資料不互相干擾。
- 靈活的權限組合：支援聯集（union）、交集（intersection）、否定（negation）等邏輯運算，提升權限表達能力。
- 與 Kubernetes 結合：作為 CNCF 沙盒專案，提供 Kubernetes 集成支援，實現容器化部署與自動化管理。
遷移策略與實作步驟
現有系統挑戰
- 歷史包袱：14 年的存取控制功能導致系統耦合度高，權限邏輯分散。
- 資源類型複雜：包含用戶、團隊、資料夾、看板等實體，需統一管理。
- 權限模型缺乏標準化：原有系統缺乏統一模型，導致權限邏輯難以維護。
遷移步驟
- 選擇代表性資源：從資料夾與看板開始，逐步擴展至其他資源。
- 權限聲明建模：
- 定義用戶與資源的關聯（如用戶為資料夾管理員）。
- 支援通配符（wildcard）與繼承機制，簡化權限配置。
- 多租戶實現：
- 使用 Open FGA 的「store」機制，為每個租戶建立獨立資料庫。
- 透過中間件將請求路由至正確租戶的 store。
技術考量
- 權限數量與效能：儘管 Open FGA 支援大量權限聲明（tuples），但需避免過度複雜的權限模型影響查詢效能。
- 資料庫性能差異：Open FGA 支援多種資料庫（PostgreSQL、SQLite 等），但不同資料庫的優化程度不同，需根據實際場景選擇。
- 遷移策略：
- 特徵切換（Feature Toggles）：避免一次性遷移，逐步切換功能。
- 雙路徑驗證：在遷移期間，同時支援舊系統與新系統，確保權限一致性。
- 資料同步驗證：定期檢查舊系統與新系統的狀態，避免資料不同步。
多租戶與資料遷移
租戶隔離
- 每個租戶資料存儲於獨立 store，透過命名空間（namespacing）實現資料分離。
- 透過中間件動態映射請求至正確租戶 store，並並行執行多個 Open FGA 群集（Cluster），依地區部署以降低延遲。
資料遷移風險管控
- 功能開關（Feature Toggles）：避免單一遷移操作，需同時維護新舊路徑行為，確保狀態一致性。
- 升級與降級週期：採用逐步驗證機制，確保舊系統穩定運行。
- 影子調用（Shadow Calls）：新舊系統同時處理請求，驗證回應一致性，避免遷移後的意外問題。
權限搜尋與資料處理
搜尋與檢查策略
- 小型資料集：直接查詢資料庫並逐一驗證權限，適用於結果數量少、過濾條件嚴格的場景。
- 大型資料集：當搜尋結果超過 1,000 項時，改用 本地搜尋索引（Local Search Index） 預過濾，並透過 Open FGA 的 watch 端點監控更新。
- 實際應用策略：利用 Open ID Token 中的 stack ID 或租戶資訊，在搜尋階段即過濾非目標租戶資料，減少後續權限驗證負擔。
部署工具與架構
開發工具包
- Grafana DSKit：支援雲端與本地部署，提供兩種模式：
- 單一二進位檔（Single Binary）：透過 gRPC 與 Go Channel 進行進程內通訊。
- 分離部署（Separate Deployment）：獨立運行存取控制引擎，支援獨立擴展。
- 離線庫（Offlib）：提供認證工具包，包含緩存、金鑰交換等功能，簡化開發團隊的權限驗證流程。
總結
遷移存取控制系統的關鍵在於標準化與逐步驗證。Open FGA 提供聲明式模型與多租戶支援，有效解決權限邏輯分散與資料隔離問題。實作時需從簡單資源開始建模，並透過雙路徑驗證與影子調用確保遷移穩定性。未來可持續優化權限模型與資料庫性能，以支援更複雜的授權場景。