Speichertipp: Skalierbare Zugriffskontrolle nach dem Zanzibar-Modell SpiceDB als Autorisierungsdienst für KI-Dienste

Anbieter zum Thema

FAST LTA GmbH

SpiceDB löst das strukturelle Problem der zunehmenden Zugriffskomplexität in verteilten Anwendungen durch eine vollständige Trennung von Autorisierung und Authentifizierung. Der Dienst fungiert als zentrale Instanz für detaillierte Zugriffsprüfungen und basiert auf einem konsistenten, global skalierbaren Modell zur Auflösung von Beziehungen und Berechtigungen nach dem Zanzibar-Ansatz.

SpiceDB adressiert das strukturelle Problem wachsender Zugriffskomplexität in verteilten Anwendungen. Der Dienst trennt Autorisierung vollständig von Authentifizierung und stellt eine zentrale Entscheidungsinstanz für feingranulare Zugriffsprüfungen bereit. Grundlage bildet ein konsistentes, global skalierbares Modell für die Beziehungs- und Berechtigungsauflösung nach dem Zanzibar-Ansatz.

Architektur und konzeptionelle Grundlage

SpiceDB orientiert sich am von Google beschriebenen Zanzibar-System, das intern für die Zugriffskontrolle nahezu aller Produktdienste genutzt wird. Das Modell beschreibt Autorisierung als Graph aus Beziehungen zwischen Subjekten, Ressourcen und Relationen. Anfragen lassen sich auf die formale Frage reduzieren, ob ein Subjekt eine definierte Aktion auf einer Ressource ausführen darf. Diese Reduktion erlaubt deterministische Entscheidungen auch bei hoher Parallelität und global verteilter Infrastruktur.

Die interne Datenhaltung speichert ausschließlich Beziehungsdaten und Schema-Definitionen. Geschäftslogik, Identitätsverwaltung und Sitzungsmanagement verbleiben vollständig außerhalb des Systems. Diese strikte Fokussierung reduziert die Kopplung und vereinfacht die Integration in bestehende Architekturen mit beliebigen Identity-Providern.

Schema, Beziehungen und Abfragen

Die Arbeitsweise ähnelt einer relationalen Datenbank, verzichtet jedoch auf Tabellen im klassischen Sinn. Entwickler definieren ein formales Schema mit Objekt-Typen, Relationen und abgeleiteten Berechtigungen. Beziehungen werden als gerichtete Kanten gespeichert und bilden die Grundlage für alle Autorisierungsentscheidungen.

Neben klassischen Prüfungen lassen sich inverse Abfragen ausführen, etwa welche Aktionen einem Subjekt zustehen oder welche Subjekte Zugriff auf eine Ressource besitzen. Reverse-Indizes ermöglichen diese Abfragen ohne vollständige Graph-Traversierung. Caveated Relationships erlauben zusätzlich kontextabhängige Bedingungen und verbinden rollenbasierte und attributbasierte Konzepte innerhalb eines konsistenten Modells.

Betrieb und Deployment

SpiceDB steht als statisches Binary und als Container-Image für gängige Architekturen zur Verfügung. Container-Images basieren auf minimalen Laufzeitumgebungen und reduzieren die Angriffsfläche im Produktivbetrieb. Für Entwicklungs- und Analysezwecke existieren separate Debug-Images mit erweitertem Userspace. In produktiven Umgebungen empfiehlt sich der Betrieb auf Kubernetes. Ein dedizierter Operator automatisiert Konfiguration, Skalierung und Wiederanlauf. Für erste Tests genügt eine einzelne Instanz mit lokalem Datastore, ohne dass sich das Autorisierungsmodell später ändert.

Der Zugriff erfolgt über gRPC oder HTTP-APIs sowie über offizielle Client-Bibliotheken. Anwendungen übergeben ausschließlich strukturierte Anfragen zur Berechtigungsprüfung und erhalten eine eindeutige Entscheidung. Die Autorisierungslogik bleibt damit zentral, versionierbar und unabhängig vom Anwendungscode.

SpiceDB eignet sich für Plattformen mit vielen Diensten, Mandanten oder Ressourcentypen, bei denen klassische Rollenmodelle an ihre Grenzen stoßen. Typische Einsatzfelder umfassen SaaS-Plattformen, interne Entwicklerplattformen, Datenmarktplätze und KI-gestützte Systeme mit dynamischen Zugriffspfaden. Durch die konsequente Trennung von Autorisierung und Anwendungscode entsteht eine belastbare Grundlage für eine langfristig wartbare Zugriffskontrolle in verteilten Systemen.

Aktuelles eBook

Storage-Software als Effizienzbooster

Mit der geeigneten Storage-Software kann sich ein Unternehmen einen Effizienzbooster ins Haus holen oder in der Cloud abonnieren. Dieser Booster steigert nicht nur die Performance der geschäftskritischen Anwendungen, sondern optimiert auch die Kosten der bereits installierten Speichersysteme.

Die Themen im Überblick:

• Herausforderungen eines modernen Speichersystems
• Methoden und Technologien effizienter Speichersysteme
• Effizienter Speicher mit Pure Storage, AWS, Cohesity und Dell

eBook „Storage-Software als Effizienzbooster“ kostenlos downloaden

(ID:50684976)