admin/0pt
5
0
Fork 0
Code Issues 9 Pull Requests 1 Actions Packages Projects Releases Wiki Activity

docs(identity): 0pt workload identity — målbild, design och blockerare #502

Merged
admin merged 1 commits from docs/workload-identity-20261107 into main 2026-11-08 23:38:28 +00:00
Conversation 0 Commits 1 Files Changed 1
+78
admin commented 2026-11-07 17:14:31 +00:00
Owner
Copy Link
Copy Source

0pt workload identity — design + blockerare

Dokumenterar vägen från delad INTERNAL_TOKEN till CL0UD-issued workload identity (aud:0pt, 10 min, capability-scope), utan att bygga en parallell identitetsplattform.

Innehåll

  • Nuläge: serverkonfigurerad tenant-allowlist (PR #494) — säkert men grovkornigt.
  • Målbild: /account/service-accounts + /workload-token, JWKS-verifiering via @siax/platform-core, capabilities per route.
  • Integrationsdesign: tenant från verifierad claim, dual-accept under övergång, negativa tester (fel aud/utgången/tenant/capability).
  • Blockerare: 307 → /login utan operator-session; Zitadel admin-PAT invalid (AUTH-7fs1e); workload-identities.ts är deklaration-only.

Ingen kodändring i auth-vägen; detta är beslutsunderlaget före provisionering.

## 0pt workload identity — design + blockerare Dokumenterar vägen från delad `INTERNAL_TOKEN` till CL0UD-issued workload identity (`aud:0pt`, 10 min, capability-scope), utan att bygga en parallell identitetsplattform. **Innehåll** - Nuläge: serverkonfigurerad tenant-allowlist (PR #494) — säkert men grovkornigt. - Målbild: `/account/service-accounts` + `/workload-token`, JWKS-verifiering via `@siax/platform-core`, `capabilities` per route. - Integrationsdesign: tenant från verifierad claim, dual-accept under övergång, negativa tester (fel aud/utgången/tenant/capability). - Blockerare: 307 → `/login` utan operator-session; Zitadel admin-PAT invalid (AUTH-7fs1e); `workload-identities.ts` är deklaration-only. Ingen kodändring i auth-vägen; detta är beslutsunderlaget före provisionering.
admin added 1 commit 2026-11-07 17:14:31 +00:00
docs(identity): 0pt workload identity — målbild, integrationsdesign och blockerare
masterplan-lock / check (push) Successful in 4s
Details
CI (SIAX Cloud) / sonar (pull_request) Skipped
Details
masterplan-lock / check (pull_request) Successful in 4s
Details
CI (SIAX Cloud) / Component conformance (blocking) (pull_request) Successful in 9s
Details
CI (SIAX Cloud) / security (pull_request) Successful in 20s
Details
Security Scan (SIAX Cloud) / security (pull_request) Successful in 22s
Details
CI (SIAX Cloud) / integration (pull_request) Successful in 30s
Details
CI (SIAX Cloud) / quality (pull_request) Successful in 10m9s
Details
8741169259 
Nuläge (delad INTERNAL_TOKEN + serverkonfigurerad tenant-allowlist) mot CL0UD:s
redan existerande service-account/workload-token-maskineri (aud:0pt, 10 min,
capabilities). Design: verifiering före route-logik, tenant från claim,
capability per route, dual-accept under övergång, negativa tester i samma svit.

Provisionering är blockerad: /account/service-accounts kräver operator-session
(307 -> /login) och Zitadel admin-PAT är invalid (AUTH-7fs1e).
CODEOWNERS rules requested review from sax3l 2026-11-07 17:14:31 +00:00
admin merged commit ebfa17028d into main 2026-11-08 23:38:28 +00:00
admin deleted branch docs/workload-identity-20261107 2026-11-08 23:38:29 +00:00
Sign in to join this conversation.
Reviewers
No Reviewers
sax3l
Labels
No items
No labels
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
siax-bot siax-ci siax-healer (siax-healer (CI self-healing agent)) admin (Simon Axelsson)
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: admin/0pt#502