Người dùng
Code + PKCE tại IdP; kiểm site và quyền cho từng thao tác. Logout kết thúc phiên theo thiết kế; token đã phát cần chính sách thu hồi/hết hạn riêng.
TRUSTED FACTORYFLOW
Developer Center. Tích hợp có thể đối soát.
Phân biệt request, sự kiện, quyền truy cập và kết quả nghiệp vụ trước khi kết nối thiết bị.
Trải nghiệm GoPaperless SSO, quyền tại dịch vụ miền.
Chọn phân hệ → SSO → tenant/site → role/entitlement → workspace. Danh tính ERP/MES/adapter được quản lý riêng; issuer/audience, federation và quan hệ Keycloak/WSO2 cần được chốt trong thiết kế môi trường.
Một cấu hình IAM tham chiếu xuyên suốt.
GoPaperless SSO là lối vào người dùng. Bảng dưới mô tả một phương án IAM tham chiếu; thành phần và federation áp dụng theo hồ sơ triển khai.
| Bên chịu trách nhiệm | Vai trò |
|---|---|
| Keycloak | Phát token; quản lý client, phiên và xác thực. Federation/SSO được cấu hình riêng; không suy đã liên thông VNeID. |
| WSO2 API Manager | Gắn application/subscription; kiểm token, scope, policy và giới hạn gọi theo cấu hình. |
| Dịch vụ miền | Kiểm tenant/site, đối tượng, vai trò và entitlement; không tin header client như bằng chứng quyền. |
| Adapter / Edge | Danh tính dịch vụ riêng và quyền theo profile; không tái dùng token người dùng làm danh tính thiết bị. |
Ba loại chủ thể, ba phạm vi.
ERP/MES backend
Service account/client được cấp scope theo mục đích. Giữ source ID và correlation; không nhúng secret trong browser.
Adapter thiết bị
Danh tính giới hạn theo site/profile; kiểm mTLS hoặc cơ chế xác thực phù hợp. Chỉ allowlist lệnh và nguồn được phép.
Request và event có đường riêng.
| Đường | Trình tự tham chiếu |
|---|---|
| Đồng bộ | Client → WSO2 → ủy quyền theo miền → cơ sở dữ liệu riêng → phản hồi |
| Bất đồng bộ | Giao dịch miền + outbox → Kafka → inbox consumer / khử trùng lặp → giao dịch riêng |
| Thiết bị | WCS → Fleet/Cell → Adapter/Edge → controller → callback/truy vấn → đối soát → WMS/MES |
Hết hạn, thu hồi và xoay khóa.
Token hết hạn bị từ chối; mất quyền site phải được dịch vụ miền nhận biết theo cơ chế đã chọn. Khi xoay signing key, sử dụng discovery/JWKS và cửa sổ tương thích được cấu hình; không tự đặt TTL hay cam kết thu hồi tức thời.