SmartExchange · .NET 10 · Chapter 08
Deployment and validation
Kontrola runtime bez zmien dňa 2026-10-27: aks-smartcloud-nonprod / dev-authorization. Pri tejto úprave dokumentácie sa konfigurácia klastra ani policies nemenili.
Nainštalované resource policies
| ConfigMap | Aktuálne runtime správanie | Zhoda s kódom |
|---|---|---|
| policy-person | exportAdmin + staršie Person/Company atribúty. | Nová Person policy nad grants je v kóde, ešte nie je nasadená. |
| policy-company | exportAdmin + staršie Company atribúty. | Nová Company policy nad grants je v kóde, ešte nie je nasadená. |
| policy-interested-party | Nové read scopes + import Project Scope roly; pôvodné export pravidlá zachované. | Nová read cesta zodpovedá spoločnému grants kontraktu. |
| policy-investor | exportAdmin/export má explicitne EFFECT_DENY. | Runtime sa líši od ALLOW v repozitári; túto úpravu treba zachovať/preveriť. |
| policy-cash-flow | exportAdmin/export EFFECT_ALLOW. | Nasadené. |
Osem nasadených derived-role sets
| ConfigMap / YAML snapshot | Derived role | Import v runtime resource policy |
|---|---|---|
derived-role-company-person-read | company_with_readable_person | — |
derived-role-interested-party-investor-read | interested_party_with_readable_investor | — |
derived-role-interested-party-project-read | interested_party_with_readable_project | — |
derived-role-interested-party-project-scope | interested_party_in_project_scope | InterestedParty/read |
derived-role-investor-interested-party-read | investor_with_readable_interested_party | — |
derived-role-investor-project-read | investor_with_readable_project | — |
derived-role-person-company-read | person_with_readable_company | — |
derived-role-project-interested-party-read | project_with_readable_interested_party | — |
Prvých sedem definícií vyjadruje prístup cez read grant súvisiaceho resource. Sú nainštalované, ale dnešné resource policies ich neimportujú. Ôsmy Project Scope importuje InterestedParty. Samotná definícia neudeľuje akciu. Automatické generovanie YAML pri zmene CRM nie je zapojené do registry/build.
Pripojenie spoločné pre aplikácie
{
"Authorization": {
"Cerbos": {
"Address": "http://cerbos.dev-authorization.svc.cluster.local:3593",
"TimeoutSeconds": 5
}
}
}Pripojenie je uložené v microapp-config v dev-microapps a dev-web. AuthorizationOptions.Cerbos obsahuje Address a TimeoutSeconds; centrálny Mode tu nie je. gRPC používa 3593; HTTP API/health používa 3592.
MicroApplication.OnInitialization() načíta sekciu a vytvorí CerbosAuthorizationPolicyClient. Balík dnes preberá options; automatické spoločné načítanie konfigurácie ešte chýba. Zapnutie autorizácie určuje aplikácia.
Overenie a ďalšie kroky
- 2026-10-27: kontrola runtime ConfigMaps, pod 2/2 Ready a kompilácia pripojených policies cez
cerbos compile --skip-tests /policies. - 2026-10-26: Project Scope overenie zaznamenalo 27 runtime API scenárov a 51 record/action rozhodnutí. Je to overenie policy, nie databázový export test.
- Zostáva: zostaviť/spustiť posledné aplikačné zmeny, publikovať spoločné balíky, zosúladiť staršie runtime policies, overiť reálne adapter → Cerbos → SQL vykonanie a integrovať Web API.
Každá policy/derived-role set má vlastnú ConfigMap pripojenú do Cerbos podu. Sync kontajner publikuje zmeny do sledovaného policy adresára. Policies z repozitára nesmieme plošne aplikovať cez runtime úpravy. WebManager kód zobrazuje oba typy odlišnými ikonami. DEV aktuálne používa image 20261026.2; UI správanie sme pri tejto dokumentačnej kontrole znovu neoverovali.
YAML downloady sú datované runtime snapshots, nie inštalačné manifesty ani pokyn na prepísanie živej konfigurácie.
Rovnocenné príklady, presne označený stav nasadenia
| Artefakt | Person export | InterestedParty export |
|---|---|---|
| CRM relation / registry | Implementované | Implementované |
| Derived-role set | person_company_read · nasadený | interested_party_project_scope · nasadený |
| presentation-demo policy | Iba dokumentácia; nenasadená | Iba dokumentácia; nenasadená |
| Aktuálne default zapojenie | Inline vzťah nad grants v kóde; runtime policy používa staršie atribúty. | Scoped rola povoľuje read. Export zatiaľ používa zachované staršie cesty. |
| Overenie export ukážky | Očakávaný AST/SQL; žiadny nový reálny export. | Očakávaný AST/SQL; zaznamenané read kontroly neoverujú export. |
Dvojica príkladov je návrh, ktorý znovu používa nasadené definície rolí, nie tvrdenie o zhodných runtime default policies. Táto úprava dokumentácie ich nenasadzuje ani nemení ACL assignments.