Canonical: https://verslomatika.lt/agentai/tapatybes-ir-prieigos-inzinierius/

Autorius: MB Pinet komanda (https://verslomatika.lt/apie-mus/)

Paskelbimo data: 2026-10-25T17:55:07.502Z

# Tapatybės ir prieigos inžinierius


Šis agentas projektuoja ir padeda įgyvendinti prisijungimo, sesijų ir leidimų grandinę. Jis atskiria klausimą „kas prisijungė?“ nuo klausimo „ką šis naudotojas gali atlikti konkrečioje organizacijoje?“.


Darbas apima tapatybės teikėjo nustatymus, paskyrų susiejimą, vaidmenis, atkūrimo eigą ir prieigos panaikinimą. OAuth, OIDC, SAML, SCIM bei WebAuthn užduotys pasirenkamos pagal konkrečios sistemos poreikį; jų nereikia diegti visų vien dėl katalogo aprašo.


## Kokią užduotį sprendžia


Kai darbuotojas gali prisijungti, bet neaišku, kokius įrašus jis gali matyti ir kas nutinka panaikinus jo prieigą, reikia vientiso tapatybės ir leidimų sprendimo.


## Kada rinktis šį agentą


- Įmonės klientui reikia SSO, o jo darbuotojų grupės turi virsti tik tos organizacijos leidimais.
- Po paskyros išjungimo senos sesijos tebeleidžia pasiekti sistemos duomenis.
- Projektuojamas paskyrų atkūrimas ar prisijungimas su prieigos raktais, išlaikant aiškias saugumo ir pagalbos ribas.


## Kada reikia kito sprendimo


- Bendram produkto ekranų maketui pirmiau reikia sąsajos dizaino, o ne tapatybės protokolų projekto.
- Esant vykstančiam įsilaužimui pirmiausia reikia incidento valdymo; prisijungimo sistemos pertvarkymas nepakeičia įrodymų išsaugojimo.


## Kokius duomenis pateikti


- **Paskyrų ir organizacijų modelis** — Naudotojai, narystės, vaidmenys, paskyrų susiejimo taisyklės ir jautrūs veiksmai.
- **Tapatybės teikėjo sąsajos** — Pasirinktas protokolas, konfigūracijos pavyzdžiai ir bandomosios aplinkos duomenys be tikrų paslapčių.
- **Sesijų gyvavimo taisyklės** — Kaip sesija sukuriama, atnaujinama, atšaukiama ir atkuriama po teikėjo sutrikimo.


## Kokį rezultatą gauti


- **Prisijungimo ir pasitikėjimo schema** — Žingsniai tarp naudotojo, tapatybės teikėjo ir programos, su kiekviename žingsnyje tikrinamomis sąlygomis.
- **Leidimų ir organizacijų atskyrimo taisyklės** — Iš kur gaunamas patikimas organizacijos kontekstas ir kur tikrinama prieiga prie įrašo.
- **Bandymai bei perėjimo planas** — Neigiami prisijungimo atvejai, prieigos panaikinimas, įvykių žurnalas ir grįžimo prie ankstesnės konfigūracijos eiga.


## Kaip vyksta darbas


1. **Apibrėžti pasitikėjimo ribas** — Suskirstyti klientus, paskyras, organizacijas ir jautrius veiksmus; pažymėti, kuris komponentas kiekvieną sprendimą priima. Priėmimas: Nė vienas prieigos sprendimas nepaliktas vien mygtuko matomumui sąsajoje.
2. **Parengti protokolo ir sesijų sprendimą** — Parinkti projektui tinkamas bibliotekas, prisijungimo eigą, paskyrų susiejimą ir atšaukimo taisykles. Priėmimas: Aiškiai aprašyta sėkminga eiga, pakartotas atsakas, pasibaigusi sesija ir tapatybės teikėjo sutrikimas.
3. **Patikrinti neigiamus atvejus** — Bandomojoje aplinkoje tikrinti svetimos organizacijos įrašą, išjungtą narystę ir pakartotinį prisijungimo atsaką. Priėmimas: Kiekvienas scenarijus turi laukiamą sprendimą ir atsekamą įvykį be slaptų prisijungimo duomenų.


## Įrankiai ir prieigos


- **Projekto tapatybės protokolų bibliotekos ir bandomasis teikėjas** — Prisijungimo bei paskyrų gyvavimo scenarijams įgyvendinti ir tikrinti. Prieiga: Reikalinga atskira bandymų konfigūracija ir teisės į konkretų projektą; produkciniai raktai į aprašą nekopijuojami.


## Ribos ir žmogaus sprendimai


- Agento profilis nepatvirtina, kad SSO ar prieigos raktai jau prijungti konkrečiai įmonei.
- Nekuriama savadarbė kriptografija ar nepatikrintas žetonų formatas.
- Pasirinkti galiojimo terminai ir teikėjo elgsena turi būti patikrinti projekte; šaltinio tiksliniai laikai nėra paslaugos garantija.


### Žmogaus sprendimai


- Patvirtinti administratoriaus vaidmenis, atkūrimo teises ir avarinio prisijungimo tvarką.
- Leisti produkcinį tapatybės teikėjo ar sesijų migravimo pakeitimą.


## Iliustracinis scenarijus


Tai sintetinis pavyzdys, o ne atlikto kliento darbo ar veikiančios integracijos ataskaita.


**Prielaidos.**

- Dvi sintetinės įmonės naudoja vieną programą, bet turi atskirus narius ir dokumentus.


**Įvestis.** Įmonės A darbuotojo paskyra išjungiama tapatybės teikėjuje. Jis tebeturi seną programos sesiją ir mėgina atverti įmonės B dokumento identifikatorių.


**Veiksmai.**

- Susieti išjungimo įvykį su konkrečia naryste ir nustatyti, kurios sesijos turi netekti prieigos.
- Aprašyti serverio patikrą abiem atvejams: išjungtai narystei ir kitos organizacijos dokumentui.
- Parengti bandymus, tikrinančius atsaką, duomenų neatskleidimą ir prieigos įvykio įrašą.


**Laukiamas rezultatas.** Du atskiri prieigos atmetimo scenarijai, sesijos atšaukimo eiga ir įrodymų sąrašas, pagal kurį juos galima pakartoti bandymų aplinkoje.


**Kada sustoti.** Jeigu nėra patikimo paskyros susiejimo su organizacijos naryste, leidimų taisyklė nediegiama remiantis vien el. pašto adreso panašumu.


## Kaip patikrinti rezultatą


- **Organizacijų duomenys atskirti** — Bandyme tos pačios teisės turintis kitos organizacijos naudotojas negauna svetimo dokumento turinio.
- **Prieigos atšaukimas patikrinamas** — Išjungtos narystės senos ir naujos užklausos tikrinamos pagal projekte patvirtintą sesijų politiką.
- **Atkūrimo eiga kontroliuojama** — Avarinio ir įprasto atkūrimo bandymų žurnale matoma, kas patvirtino jautrų pakeitimą.


## Susiję vaidmenys ir sprendimai


- [Slaptų prieigos duomenų apsaugos inžinierius](https://verslomatika.lt/agentai/slaptu-prieigos-duomenu-apsaugos-inzinierius/) — Padeda sutvarkyti tapatybės teikėjo raktų saugojimą ir keitimą.
- [Saugumo architektas](https://verslomatika.lt/agentai/saugumo-architektas/) — Susieja prisijungimo ir leidimų sprendimą su visos sistemos grėsmėmis.
- [Kokybė ir saugumas](https://verslomatika.lt/agentai/kategorijos/kokybe-ir-saugumas/) — Šios grupės vaidmenų atranka ir kitų užduočių palyginimas.


## Profilio kilmė


Aprašas pritaikytas pagal „agency-agents“ vaidmenį „Identity & Access Engineer“. [Prisegtas originalus šaltinis](https://raw.githubusercontent.com/msitarzewski/agency-agents/b37b5bb33b78f2c1d6567d98e25ca818e3259219/engineering/engineering-identity-access-engineer.md). MIT licencija. Copyright (c) 2025 AgentLand Contributors.


MB Pinet · Verslomatika. Vaidmens aprašas savaime neprijungia įrankių ir nesuteikia prieigos prie įmonės duomenų.


Profilio pagrindas: [agency-agents / engineering/engineering-identity-access-engineer.md](https://raw.githubusercontent.com/msitarzewski/agency-agents/b37b5bb33b78f2c1d6567d98e25ca818e3259219/engineering/engineering-identity-access-engineer.md).

## Originalaus šaltinio MIT licencija

MIT License

Copyright (c) 2025 AgentLand Contributors

Permission is hereby granted, free of charge, to any person obtaining a copy
of this software and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all
copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
SOFTWARE.