search

etalab / admin_api_entreprise

Site vitrine / backoffice de API Entreprise
https://entreprise.api.gouv.fr
MIT License
9 stars 5 forks source link

Flip le model scopes et mettre ça en dur #684

Closed skelz0r closed 1 year ago

skelz0r commented 2 years ago

Bonjour, rage issue.

Il nous manque des scopes en db (tout le cnous), du coup j'ai des jetons sans scopes en prod, ce qui est un peu problématique.

Je suis pour mettre ça dans un jsonb du model Token, et potentiellement faire une validation avec une liste fixe (imo pas vraiment besoin vu que c'est l'API qui contrôle les accès + ça peut faire des unsync entre les 2 apps + tout est géré via les webhooks sécurisés dtf).

skelz0r commented 1 year ago

Bonjour, c'est la police du process "beaucoup trop long d'ajouter un scope",

J'ai du ajouter un scope à la main en db, c'est relou 🤷

Le plan de tout coller en jsonb sans aucune validation me paraît très bien, vu qu'in fine c'est DataPass via les webhooks et API Entreprise via les policies que c'est filtré, c'est safe.

Haelle commented 1 year ago

oui pourquoi pas, j'ai pas (plus) trop d'avis sur la question.

skelz0r commented 1 year ago

@Un3x bon ticket ça aussi

skelz0r commented 1 year ago

En ouvrant https://github.com/etalab/admin_api_entreprise/issues/942 je me suis dit "tiens mais en fait, pour notifier les users impactés, ça serait bien de lier les scopes aux fiches métiers".

Donc ici renseigner les scopes sur les endpoints. Ce mapping existe déjà côté siade https://github.com/etalab/siade/blob/develop/config/authorizations.yml

Un3x commented 1 year ago

Chose a faire dans le cadre du ticket :