ワークスペースの分離
ワークスペースは、Fóirでのアカウントです。プロジェクト、チームのメンバー、契約しているプランを保持します。中にあるものは、ほかのワークスペースから読み取れません。
ワークスペースを分ける仕組み
ワークスペースはデータベースを共有しており、分離はすべての行に対するポリシーで実現しています。管理対象の各行には、所属するワークスペースのidが付いています。そのテーブルの行レベルセキュリティポリシーは、このidを呼び出し元のセッションのワークスペースと比較し、ほかのどのルールよりも先に行います。1つのワークスペース向けのクエリが、別のワークスペースの行を返すことはありません。
当社のテストには、直接のケースも含まれています。2つのワークスペースを作成し、2つ目のセッションが1つ目から何も読み取れないことを要件としています。
ワークスペースでセッションを得る人
チームのメンバーは、ワークスペースで有効なロールを持っている間だけ、そのワークスペースのセッションを与えられます。ロールはワークスペース全体、または1つのプロジェクトに付与でき、ワークスペースには常に1人以上の管理者がいます。最後の1人を取り消す操作は拒否されます。
当社のスタッフは、別の経路である承認制のサポートアクセスから入ります。
ワークスペースだけに属するもの
一部の権限は、このレベルにしかありません。請求、プロジェクトの作成と削除、人の招待、プロジェクトをまたぐ監査証跡、Postgresへのエクスポートには、ワークスペースのロールが必要です。1つのプロジェクトを管理している人が請求に対してクエリを実行しても、コンソール、API、CLIのいずれからも、行は返りません。
プランの割り当て量はワークスペース全体でプールされるため、プロジェクトは1つの上限を共有して使います。
詳細を読む
チームメンバーのガイドでは、ロール、付与、招待、サポートアクセスの承認方法を説明しています。