Sicurezza SSO, API Keys & Audit Logs

Nelle architetture aziendali di grandi dimensioni, la gestione delle identità deve integrarsi con l’Identity Provider (IdP) aziendale, mentre le modifiche ai modelli devono essere tracciabili a fini di conformità normativa.

L’Admin Hub di EasyEA include moduli dedicati all’autenticazione federata, alla generazione di API Keys per automazioni esterne e agli Audit Log di sistema.

1. Single Sign-On Enterprise (OIDC & SAML 2.0)

EasyEA si integra con qualsiasi Identity Provider aziendale conforme agli standard aperti:

Microsoft Entra ID (Azure AD)
Okta Identity Cloud
Keycloak & Red Hat SSO
Google Workspace & Ping Identity

Parametri di Configurazione OIDC / SAML

Accessibili da Admin Hub ➔ Configurazione Autenticazione (auth_config.py):

ISSUER_URL: L’endpoint discovery dell’Identity Provider (es. https://login.microsoftonline.com/{tenant-id}/v2.0).
CLIENT_ID & CLIENT_SECRET: Credenziali applicative registrate sull’IdP.
ROLE_ATTRIBUTE_MAPPING: Mappatura automatica dei gruppi aziendali dell’IdP sui 5 ruoli di EasyEA (es. il gruppo AD SG-Enterprise-Architects mappa automaticamente al ruolo Enterprise Architect).

2. Enterprise API Keys per Pipeline CI/CD

Per consentire a strumenti esterni, script Python, bot o pipeline GitHub Actions/GitLab CI di interagire programmaticamente con EasyEA, gli amministratori possono emettere API Keys scoped:

# Esempio di chiamata API con Bearer token
curl -X GET https://easyea.azienda.lan/api/v1/elements \
  -H "Authorization: Bearer ea_live_7f8a9b2c3d4e5f6a..." \
  -H "X-Workspace-ID: corporate-core"

Ambito Scoped: Limitazione della chiave a specifici workspace e a determinati permessi (es. sola lettura, solo validazione SaC o scrittura modelli).
Data di Scadenza e Rotazione: Definizione di una data di scadenza automatica e revoca istantanea in un clic.
Mascheramento Sicuro: Il token completo viene mostrato solo al momento della generazione e mai più riprodotto a video.

3. Registri di Audit Governance (Audit Logs)

Ogni azione effettuata sulla piattaforma viene memorizzata in modo immutabile nella tabella di audit di sistema (audit.py):

graph LR
    User[Utente / API Key] --> Action[Operazione su Grafo o Admin]
    Action --> Log["Audit Record Immutabile"]
    Log --> Fields["Timestamp UTC | User ID | IP Address | Workspace | Entity Type | Action Type | Diff JSON"]

Eventi Tracciati nel Registro

Operazioni sugli Elementi: Creazione, modifica attributi APM, cambio di stato del ciclo di vita o cancellazione.
Operazioni sugli Schemi: Check-out (con lock), Check-in di nuova versione, ripristino di una revisione passata.
Governance ADR: Proposta, accettazione formale o deprecazione di un record decisionale.
Sicurezza & RBAC: Creazione nuovi utenti, cambio ruoli, reset password e tentativi di login falliti.

I registri possono essere esportati in formato CSV o JSON per alimentare il SIEM aziendale (Splunk, Elastic, Microsoft Sentinel).