Thiết Kế Kiến Trúc Ủy Quyền Phân Quyền Chi Tiết Quy Mô Lớn Với OpenFGA

Giới thiệu

Các mô hình kiểm soát truy cập truyền thống như RBAC (Role-Based Access Control) và ABAC (Attribute-Based Access Control) đang dần chạm tới giới hạn trong các hệ thống phần mềm doanh nghiệp hiện đại có tính cộng tác cao. Khi hệ thống yêu cầu các phân quyền phức tạp—ví dụ như "cho phép Người dùng A chỉnh sửa Tài liệu B vì họ thuộc Nhóm C, nhóm có quyền quản lý đối với Thư mục D"—các câu truy vấn Database được viết cứng (hardcoded) và các bước kiểm tra phân quyền tại API Gateway dạng monolithic sẽ nhanh chóng trở thành những cơn ác mộng về bảo trì. Mô hình phân quyền kiểu "Google Drive" này đòi hỏi một phương pháp tiếp cận mới gọi là ReBAC (Relationship-Based Access Control - Kiểm soát truy cập dựa trên mối quan hệ).

OpenFGA (Fine-Grained Authorization), một dự án mã nguồn mở thuộc sandbox của CNCF được xây dựng dựa trên các khái niệm trong bài báo nghiên cứu Zanzibar của Google, giải quyết triệt để vấn đề này bằng cách tách biệt logic ủy quyền khỏi mã nguồn ứng dụng (decoupling authorization). Bằng cách biểu diễn các quyền dưới dạng một đồ thị có hướng của các mối quan hệ (directed graph of relationships), OpenFGA mang lại khả năng kiểm tra ủy quyền với độ trễ dưới một mili-giây (sub-millisecond) ở quy mô cực lớn.

Lợi ích cốt lõi

Tách biệt hoàn toàn Logic Ủy quyền (Decoupling): Loại bỏ mã nguồn kiểm tra phân quyền phức tạp ra khỏi Microservices, tập trung quản lý chính sách tại một nơi duy nhất.
Hiệu năng vượt trội và Khả năng mở rộng: Thực hiện các truy vấn kiểm tra quyền với độ trễ cực thấp (sub-millisecond) nhờ cấu trúc đồ thị tối ưu hóa sâu, đáp ứng hàng triệu request mỗi giây.
Mô hình ReBAC linh hoạt: Giải quyết dễ dàng các bài toán phân quyền phức tạp theo kiến trúc phân cấp (hierarchical) hoặc kế thừa (inheritance), tương tự như cách chia sẻ thư mục của Google Drive.
Kiến trúc chuẩn Cloud-Native: Được thiết kế theo chuẩn mã nguồn mở (CNCF), hỗ trợ gRPC, HTTP API, dễ dàng tích hợp vào Kubernetes và các hạ tầng hiện đại.
Audit Trail toàn diện: Mọi thay đổi về quyền đều được ghi lại dưới dạng các Tuple dữ liệu rõ ràng, hỗ trợ truy vết bảo mật và tuân thủ (compliance) tuyệt đối.

Kiến trúc & Thiết kế hệ thống

OpenFGA hoạt động dựa trên mô hình đồ thị quan hệ (relationship graph model), nơi các quyết định truy cập được xác định bằng cách kiểm tra các đường đi (paths) giữa các thực thể. Kiến trúc cốt lõi dựa trên ba thành phần chính:

Mô hình ủy quyền (Authorization Model): Một schema khai báo (được viết bằng DSL hoặc JSON) định nghĩa các kiểu thực thể (ví dụ: user, document, folder) và mối quan hệ giữa chúng (ví dụ: viewer, editor, owner).
Bộ ba quan hệ (Relationship Tuples): Các khẳng định dựa trên thực tế được lưu trữ trong OpenFGA đại diện cho trạng thái hiện tại của hệ thống (ví dụ: document:proposal#owner@user:alice).
Check API: Một công cụ truy vấn được tối ưu hóa cao nhằm duyệt qua đồ thị để trả lời câu hỏi: Thực thể X có mối quan hệ Y với đối tượng Z hay không?

[ Client / API Gateway ]
         │
         ▼ (Yêu cầu ủy quyền / Authorize request)
[ Microservice ] ──(Kiểm tra: 'bob' có quyền 'view' 'doc:123' không?)──► [ OpenFGA Engine ]
                                                                             │
                                                                 (Duyệt đồ thị trên các Tuple)
                                                                             │
                                                                             ▼
                                                                    [ Database / Store ]

Thay vì truy vấn Database giao dịch chính của bạn để kiểm tra quyền, các Microservices chỉ cần thực hiện một cuộc gọi gRPC hoặc HTTP nhanh chóng, tập trung tới OpenFGA, đảm bảo tính nhất quán của các chính sách ủy quyền trên toàn bộ hệ sinh thái phần mềm.

Quy trình triển khai kỹ thuật

Hãy cùng triển khai một mô hình ủy quyền quản lý tài liệu an toàn và có khả năng mở rộng bằng OpenFGA thông qua các bước cụ thể sau:

Bước 1: Định nghĩa Schema / Authorization Model

Đầu tiên, chúng ta định nghĩa schema trong Ngôn ngữ Cấu hình OpenFGA (DSL):

fga model schema 1.1

type user

type folder relations define viewer: [user] or owner define owner: [user]

type document relations define parent: [folder] define owner: [user] define editor: [user] or owner define viewer: [user] or editor or viewer from parent

Trong mô hình này, một người dùng có thể xem tài liệu (viewer) nếu họ được chỉ định trực tiếp làm người xem, nếu họ là người chỉnh sửa (editor), hoặc nếu họ là người xem của thư mục cha (viewer from parent) của tài liệu đó (thể hiện khả năng kế thừa mối quan hệ lồng nhau).

Bước 2: Triển khai bằng SDK (Python)

Tiếp theo, chúng ta sử dụng OpenFGA Python SDK để ghi các bộ ba quan hệ (relationship tuples) và thực hiện kiểm tra động tại thời điểm chạy (runtime check):

import openfga_sdk
from openfga_sdk.credentials import CredentialConfiguration, Credentials
from openfga_sdk.models import ClientCheckRequest, ClientWriteRequest, TupleKey

Cấu hình OpenFGA Client

configuration = openfga_sdk.Configuration( api_url="http://localhost:8080", store_id="01GCTN6VBYG0PM4BY67GJ6ET9E" )

async def check_user_access(): async with openfga_sdk.ApiClient(configuration) as api_client: fga_client = openfga_sdk.OpenFgaClient(api_client)

    # 1. Ghi bộ ba quan hệ (Relationship Tuple): Gán Alice làm người xem thư mục
    # và liên kết Tài liệu với Thư mục
    await fga_client.write(
        ClientWriteRequest(
            writes=[
                TupleKey(user="user:alice", relation="viewer", object="folder:marketing"),
                TupleKey(user="folder:marketing", relation="parent", object="document:q4_roadmap")
            ]
        )
    )

    # 2. Kiểm tra xem Alice có quyền xem tài liệu hay không
    response = await fga_client.check(
        ClientCheckRequest(
            user="user:alice",
            relation="viewer",
            object="document:q4_roadmap"
        )
    )

    print(f"Cho phép truy cập (Access Allowed): {response.allowed}")

Khi hàm check() được thực thi, OpenFGA sẽ tự động duyệt qua đường dẫn quan hệ cha từ document:q4_roadmap đến folder:marketing và phát hiện ra rằng user:alice thực sự là một người xem của thư mục cha, từ đó trả về kết quả kiểm tra ủy quyền là True.

Khuyến nghị bảo mật

Để vận hành OpenFGA thành công trong môi trường Production của doanh nghiệp, bạn phải tuân thủ nghiêm ngặt các nguyên tắc bảo mật và tối ưu hóa kiến trúc sau:

Phân tách các mối quan tâm một cách chặt chẽ (Separation of Concerns): Các ứng dụng nên ghi các bộ ba quan hệ (relationship tuples) vào OpenFGA trong cùng một giao dịch cơ sở dữ liệu (Database transaction) cập nhật dữ liệu ứng dụng. Điều này giúp ngăn chặn tình trạng bất đồng bộ dữ liệu (race conditions) và đảm bảo trạng thái ủy quyền luôn khớp với trạng thái thực tế của hệ thống.

Triển khai bộ nhớ đệm biên cục bộ (Local Edge Caching): Mặc dù OpenFGA được thiết kế cho độ trễ cực thấp, việc thực hiện các yêu cầu mạng (network requests) trên mỗi cuộc gọi API vẫn có thể làm giảm hiệu năng chung. Hãy triển khai bộ nhớ đệm có thời gian tồn tại ngắn (short-lived cache khoảng 50–100ms) cho các kết quả đánh giá check bằng cách sử dụng các khóa cache mã hóa dạng sha256(user + relation + object).
Ngăn chặn các vòng lặp quan hệ (Relation Loops): Tránh các định nghĩa vòng lặp tuần hoàn trong FGA schema của bạn (ví dụ: định nghĩa Nhóm A là thành viên của Nhóm B, và Nhóm B lại là thành viên của Nhóm A). OpenFGA giới hạn độ sâu duyệt đồ thị (traversal depth), nhưng các tham chiếu vòng lặp vẫn làm suy giảm hiệu năng trước khi chạm tới giới hạn thực thi.
Tích hợp hệ thống giám sát và lưu vết (Audit Trail Integration): Stream toàn bộ nhật ký ghi (write logs) và các thay đổi tuple của OpenFGA về hệ thống SIEM (Security Information and Event Management). Vì mọi thay đổi về quyền đều được ghi lại dưới dạng một Tuple dữ liệu, OpenFGA cung cấp một nhật ký audit log rõ ràng, trực quan để trả lời câu hỏi: ai đã cấp quyền gì cho ai, và vào lúc nào.

Kết luận

Việc tách rời cơ chế ủy quyền khỏi mã nguồn ứng dụng bằng cách sử dụng OpenFGA cho phép các đội ngũ phát triển xây dựng hệ thống kiểm soát truy cập an toàn, linh hoạt và có hiệu năng cực cao. Bằng cách chuyển dịch từ các câu truy vấn Database cứng nhắc truyền thống sang mô hình ReBAC dựa trên đồ thị trực quan, các doanh nghiệp có thể tự tin mở rộng quy mô các nền tảng cộng tác lớn trong khi vẫn duy trì nghiêm ngặt các tiêu chuẩn bảo mật Zero-Trust ở cấp độ API.