Aislamiento de espacios de trabajo
Un espacio de trabajo es tu cuenta con Fóir. Contiene tus proyectos, las personas de tu equipo y el plan que pagas. Nada de lo que hay en él se puede leer desde otro espacio de trabajo.
Cómo se mantienen separados los espacios de trabajo
Los espacios de trabajo comparten una base de datos, y la separación es una política en cada fila. Cada fila gobernada lleva el id del espacio de trabajo al que pertenece. La política de row-level security de su tabla compara ese id con el espacio de trabajo de la sesión de quien llama, y lo hace antes de considerar cualquier otra regla. Una consulta hecha para un espacio de trabajo no devuelve ninguna fila de otro.
Nuestras pruebas incluyen el caso directo: se crean dos espacios de trabajo y se exige que la sesión del segundo no lea nada del primero.
Quién obtiene una sesión en un espacio de trabajo
A un miembro de tu equipo se le da una sesión en un espacio de trabajo solo mientras tenga un rol vigente en él. Los roles se conceden en todo el espacio de trabajo o en un solo proyecto, y un espacio de trabajo siempre conserva al menos un administrador: se rechaza revocar al último.
Nuestro propio personal entra por una vía distinta, el acceso de soporte con aprobación.
Qué pertenece solo al espacio de trabajo
Cierta autoridad existe solo en este nivel. La facturación, crear y eliminar proyectos, invitar personas, el registro de auditoría que abarca proyectos y la exportación a Postgres requieren un rol de espacio de trabajo. Quien administra un proyecto y ejecuta una consulta contra la facturación no obtiene filas, ni por la consola, ni por la API, ni por la CLI.
Las asignaciones del plan se comparten en todo el espacio de trabajo, así que tus proyectos consumen un único conjunto de límites.
Lee el detalle
La guía de miembros del equipo cubre los roles, las concesiones, las invitaciones y cómo se aprueba el acceso de soporte.