ErtisAuth, platform farketmeksizin web, native, mobil, Web API gibi tüm uygulamalarınızda ve servislerinizde kimlik doğrulamak ve yetkilendirmek için merkezi, ölçeklenebilir, güvenli bir çözüm sunar. Token'lar, üyelik alanları, roller, ayrıntılı ve esnek yetki yönetimi, dinamik kullanıcı tür yönetimi, OAuth entegrasyonları; hepsi tek çatı altında.
Tek servis, tek veri tabanı. JVM yok, ayrı bir yönetim sunucusu yok, SQL migration'ları yok.
Membership'ler, kullanıcılar, roller, sağlayıcılar ve hook'lar, token'ları üreten aynı REST API üzerinden yönetilir.
Her membership izole bir alandır. Birden fazla mecrayı ve ürün ekosistemini tek servis altında güvenle birbirlerinden izole şekilde yönetebilirsiniz.
MIT lisanslı. Ücretsiz, herhangi bir kısıtlama olmadan; verileriniz kendi veritabanınızda kalır.
Özellikler
ErtisAuth, kimlik ve yetki yönetiminden olay tabanlı entegrasyonlara kadar hesap yaşam döngüsünün tamamını kapsar.
Kullanıcılar için JWT bearer, uygulamalar için Basic token'lar; varsayılan olarak tek kullanımlık refresh token'lar, oturum bazında ya da tüm cihazlarda iptal ve yetkilerin bir alt kümesiyle sınırlı scoped token'lar üretebilirsiniz.
Birbirinden izole üyelik alanları; her birinin kendi kullanıcıları, rolleri, uygulamaları, gizli anahtarı, token süreleri ve mail ayarları vardır.
İzin ve yasak kuralları içeren roller için RBAC (Role Based Access Control) ve üstüne kullanıcı ve uygulama bazında UBAC (User Based Access Control) istisnalar. Aynı model kendi API'lerinizi de korur.
Google, Apple (web ve native), Facebook ve Microsoft ile giriş. Sağlayıcı token'ları sunucuda doğrulanır; istemciden gelen kimliğe asla tek başına güvenilmez.
Kullanıcıların özel alanlarını çalışma zamanında JSON şemasıyla tanımlayarak kendi kullanıcı türlerinizi oluşturun. Doğrulama, varsayılan değerler, tekil alanlar, kalıtım, nesne ve dizi şablonları; üstelik kod değiştirmeden.
Akıllı TV'ler, kiosk'lar ve CLI araçları için güvenli kod akışı: cihaz kısa bir kod gösterir, giriş yapmış bir kullanıcı onaylar, cihaz token'ını alır.
E-posta ile aktivasyon, tek kullanımlık token'larla şifre sıfırlama, tek kullanımlık şifreler (OTP) hesap dondurma veya tüm token'larını tek seferde iptal etme.
Membership bazında seçilen Argon2id ve PBKDF2. Eski algoritmalar da desteklenir; mevcut kullanıcı veritabanları içeri aktarılabilir.
Her işlem bir olay olarak kaydedilir. Webhook'lar arka plandaki bir kuyruktan endpoint'lerinizi çağırır, mail hook'lar ile SMTP sunucunuz üzerinden veya SendGrid, MailChimp gibi sağlayıcılar üzerinden hook postaları gönderebilirsiniz.
Scalar ile OpenAPI referansı, Prometheus metrikleri, Application Insights monitoring, health check'ler ve root olmayan kullanıcıyla çalışan bir Docker imajı.
Yetki modeli
RBAC, kimin hangi kaynak üzerinde ne yapabileceğini söyleyen bir ifadedir. Joker karakterler ve kısa yazımlar rolleri sade tutar; aynı ifadeler kendi servislerinizi de korur. Basit ve kapsayıcı.
Önce, eşleşen bir kullanıcı ya da uygulama için tanımlı bir yetki tanımı (izin veya yasak) olup olmadığı kontrol edilir.
Yoksa kullanıcı ya da uygulamanın bağlı olduğu role göre karar verilir; rolün yasak kuralı her zaman kazanır.
Rol yasaklamadıkça kullanıcılar kendi kayıtlarını okuyabilir ve güncelleyebilir.
Sınırlı bir scoped token'ın scope'ları da isteği kapsamalıdır.
İstek
GET users/42
Kullanıcı: u-7 · Rol: editor
Gereken yetki
Kullanıcı yetkileri (u-7)
Rol yetkileri (editor)
Güvenlik
Bir kimlik servisi, varsayılan ayarları kadar güvenlidir. Bu korumalar ErtisAuth'ta her membership'in bir parçası ve ilk kurulumdan itibaren açık, ayrıca etkinleştirmeniz gereken bir şey yok.
TLS, açık endpoint'lerde rate limiting ve ağ erişimi, gateway'inizin ve altyapınızın sorumluluğundadır.
.NET geliştiricileri için
ErtisAuth.Sdk, ErtisAuth API'si için tipli bir istemcidir. ErtisAuth.Sdk.AspNetCore ise kendi ASP.NET Core servislerinize sadece birkaç basit adımda kimlik doğrulama ve yetki kontrolü ekler.
Kaynağı, işlemi ve nesneyi attribute'larla tanımlayın; placeholder'lar route değerlerini, query parametrelerini, header'ları ve ortam değişkenlerini okuyabilir.
Pakete dahil Roslyn analyzer'ı ile hatalı yetki attribute'larını derleme sırasında farkedin.
.NET kullanmıyor musunuz? Sorun değil, ErtisAuth'taki her özellik bir REST endpoint'i; tüm dillerde ve platformlardaki tüm uygulamalarınızda HTTP üzerinden kimlik doğrulayabilir ve yetki kontrol edebilirsiniz.
[Authorized]
[RbacResource("orders")]
[Route("orders")]
public class OrdersController : ControllerBase
{
[HttpGet("{id}")]
[RbacObject("{id}")]
[RbacAction(Rbac.CrudActions.Read)]
public IActionResult Get(string id)
{
// Yalnızca çağıranın token'ı *.orders.read.{id} yetkisini veriyorsa buraya ulaşılır
...
}
}Karşılaştırma
ErtisAuth, büyük platformlar gibi merkezi ve kurulduğu gibi çalışan bir sunucudur; ama kendi servislerinizin yanında çalışacak kadar hafiftir.
Kapsamlı bir sunucu ama ağır bir Java uygulaması ve ayarlarının çoğu yönetim konsolunda. ErtisAuth realm fikrini (membership'ler) korur ve tamamen API üzerinden yönetilen küçük bir .NET servisi olarak sunar.
Sizin yerinize yönetilir, ama aktif kullanıcı başına ücretlendirilir ve kullanıcı verileriniz üçüncü bir platformda durur. ErtisAuth kendi sunucunuzda çalışır: veriler veritabanınızda kalır.
Kendi sunucunuzu yazmanız için bir framework ve çoğu şirket için ticari lisans gerektirir. ErtisAuth, MIT lisanslı ve kurulduğu gibi çalışan bir sunucudur.
Her uygulamaya gömülen bir kütüphane. ErtisAuth ise merkezi bir servistir: farklı dillerde yazılmış pek çok uygulama aynı kullanıcıları ve yetkileri dağıtık bir yapıda paylaşabilir.
Başlangıç
ErtisAuth'u ve MongoDB'yi Docker Compose ile başlatın, tek seferlik setup endpoint'iyle ilk membership'i oluşturun ve giriş yapın.
Repo'nun kök dizininden. API varsayılan olarak 9716 portunda çalışır, API referansı /docs adresindedir.
$ git clone https://github.com/ertugrulozcan/ErtisAuth.git
$ cd ErtisAuth
$ docker compose up -d --buildVeritabanına bir setup token'ı ekleyin, ardından ilk membership'i, rolü ve yöneticiyi oluşturmak için /setup'ı bir kez çağırın.
$ openssl rand -hex 32
$ docker compose exec mongo mongosh auth \
--eval 'db.setup.insertOne({ token: "<setup_token>" })'
$ curl -X POST http://localhost:9716/setup \
-H 'X-Setup-Token: <setup_token>' \
-H 'Content-Type: application/json' \
-d '{ "membership": { … }, "user": { … } }'Yönetici kullanıcıyla giriş yapın ve access token'ı herhangi bir endpoint'te kullanın.
$ curl -X POST http://localhost:9716/generate-token \
-H 'X-Ertis-Alias: <membership_id>' \
-H 'Content-Type: application/json' \
-d '{ "username": "admin", "password": "<password>" }'ErtisAuth, MIT lisansıyla ücretsiz ve açık kaynaklı bir özgür yazılım projesidir. Repo'ya yıldız verin, dokümantasyonu okuyun ya da bir issue açın.