joungmin/vpd-permission-poc
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

[Architect] #617 define runtime DDS authorization

Browse Source
This commit is contained in:
devmrko
2026-07-03 10:05:26 +09:00
parent ef1331be4b
commit b77966abaf
8 changed files with 233 additions and 104 deletions
Download Patch File Download Diff File Expand all files Collapse all files

4
docs/adr/0001-dds-mcp-service-identity.md
View File

@@ -4,11 +4,11 @@
## 결정
OCI IAM Confidential Application의 client-credentials token을 database-access token으로 사용한다. MCP 요청자는 기존 opaque Bearer → `CB_APP_USER` 매핑으로 판정하고, 그 사용자를 local DDS `END USER`로 attach한다.
OCI IAM Confidential Application의 client-credentials token을 database-access token으로 사용한다. MCP 요청자는 기존 opaque Bearer → `CB_APP_USER` 매핑으로 판정하고, 그 사용자를 local DDS `END USER`로 attach한다. 업무 권한의 런타임 판정 방식은 [ADR-0002](0002-dds-runtime-permission-source.md)를 따른다.
## 근거
client-credentials token의 `client_id`/`sub`는 서비스 애플리케이션이다. 이를 업무 사용자로 사용하면 모든 MCP 요청이 같은 사람 권한으로 해석되는 오류가 생긴다. 서비스 승인과 업무 사용자 신원을 분리하면 기존 사용자·그룹·권한 관리 모델을 유지하면서 DDS가 사용자별 `DATA ROLE`/`DATA GRANT`를 집행한다.
client-credentials token의 `client_id`/`sub`는 서비스 애플리케이션이다. 이를 업무 사용자로 사용하면 모든 MCP 요청이 같은 사람 권한으로 해석되는 오류가 생긴다. 서비스 승인과 업무 사용자 신원을 분리하면 기존 사용자·그룹·권한 관리 모델을 유지하면서 DDS가 local END USER Context와 `DATA GRANT` predicate로 권한을 집행한다.
## 검증