Isolamento dei dati

Mirox è gestito come piattaforma condivisa per molti clienti. La tua organizzazione è il tuo tenant: tutto ciò che le appartiene — impianti, portfolio, misure, file, eventi, ticket, report, regole di allarme, membri e token API — è separato da ogni altra organizzazione. Questa pagina descrive come funziona questa separazione e qual è l'unico modo autorizzato per attraversarla.

Tre meccanismi realizzano la separazione, ciascuno per un diverso tipo di dati:

Misure: un tenant tutto tuo

Ogni organizzazione riceve il proprio tenant nel database delle serie temporali al momento della sua creazione. Gli agenti dei tuoi impianti consegnano le loro misure in quel tenant e in nessun altro posto: un agente si autentica come il dispositivo registrato per il suo impianto, e quella registrazione stabilisce in quale impianto — e quindi in quale tenant — vengono scritti i suoi dati.

Nel percorso inverso, ogni lettura parte dall'impianto che richiedi. La piattaforma risolve l'organizzazione dell'impianto, e con essa il tenant, prima che la query venga costruita; la query viene poi eseguita all'interno di quel solo tenant. Non esiste alcuna forma di richiesta che legga "tutti i tenant" o "tutti gli impianti" — un grafico, un KPI, un report o un'esportazione nominano sempre i propri impianti, e ciascuno di essi viene prima verificato rispetto ai tuoi permessi.

Questo vale anche per l'accesso grezzo alle misure. L'Esportazione dati, la Metric Export API e le dashboard Grafana non dialogano direttamente con il database. Passano attraverso un proxy che autentica la richiesta, risolve gli impianti che il chiamante può vedere, riscrive la query in modo che possa corrispondere solo a quegli impianti e solo allora la inoltra. Una query che nomina un impianto che non puoi vedere non restituisce nulla per quell'impianto — il proxy non confida nel fatto che tu chieda gentilmente.

Dati di configurazione e operativi: un controllo a ogni accesso

Impianti, portfolio, membri, eventi, ticket, report, regole di allarme e tutta l'altra configurazione sono conservati in un unico database relazionale, e il confine tra le organizzazioni viene applicato dal sistema di permessi a ogni singola richiesta:

• La richiesta viene prima autenticata; una richiesta senza una sessione valida o un token API valido viene respinta prima che qualsiasi dato venga toccato.
• Il sistema di permessi decide poi per ogni risorsa. Un impianto viene verificato rispetto ai tuoi ruoli; tutto ciò che appartiene a un impianto — i suoi componenti, eventi, ticket, file, commenti, contratti — viene verificato rispetto a quell'impianto, mai rispetto al solo elemento secondario.
• Gli elenchi vengono filtrati, non nascosti: un elenco di impianti, eventi o report viene costruito solo a partire dalle risorse che puoi vedere. Non esiste un percorso "mostra tutto" che venga poi ristretto nel browser.
• Il controllo viene eseguito all'interno della stessa transazione del database che legge o modifica i dati. Un risultato non può mai essere assemblato da righe che il controllo non ha coperto.

Ciò che non puoi vedere non esiste per te nemmeno in nessun'altra forma: non compare nei risultati di ricerca, nelle notifiche, nelle risposte dell'assistente AI né nelle esportazioni. L'assistente e i wizard agentici lavorano esattamente con i permessi della persona che li utilizza.

File

Documenti, immagini ed esportazioni generate sono memorizzati nell'object storage sotto l'impianto o l'organizzazione a cui appartengono. Non vengono mai serviti direttamente dallo storage: un download viene richiesto attraverso la piattaforma, che esegue lo stesso controllo dei permessi previsto per l'impianto stesso e poi consegna un link firmato che scade. Un link non può essere indovinato né riutilizzato per un altro impianto.

Dashboard

Ogni organizzazione ottiene la propria organizzazione all'interno di Grafana, con la propria sorgente dati. Dashboard, cartelle e query salvate di un cliente non sono visibili nell'organizzazione Grafana di un altro, e ogni query inviata da una dashboard passa comunque attraverso il proxy descritto sopra — l'organizzazione Grafana è un confine di comodo sopra quello reale, non un suo sostituto.

Agenti

Ogni impianto ha il proprio agente Mirox. Gli agenti funzionano in modo decentralizzato su cluster di agenti, in regioni diverse da quelle della piattaforma stessa. Gli agenti non condividono mai un servizio, una regione di memoria o un tunnel, e un agente può consegnare dati solo per l'impianto a cui è registrato. Le opzioni di distribuzione descrivono come gli agenti sono isolati l'uno dall'altro sui cluster di agenti.

Attraversare il confine intenzionalmente

Esiste esattamente un modo perché qualcuno al di fuori della tua organizzazione veda i tuoi dati, ed è deliberato, visibile e revocabile:

• Una cooperazione concede a un'altra organizzazione l'accesso a impianti o portfolio specifici. Viene creata da un Admin o da un Moderatore della tua organizzazione, elenca ciò che viene condiviso e termina nel momento in cui viene revocata. Nulla viene copiato — il partner legge gli stessi dati sotto gli stessi controlli, e il suo accesso è delimitato dalle restrizioni di cooperazione.
• Un membro Esterno viene invitato nella tua organizzazione con un ruolo limitato e vede solo ciò che quel ruolo consente.
• Un token API può solo restringere i permessi dell'utente che lo ha creato, mai estenderli.

Tutto il resto — un altro cliente, una ricerca, un identificatore indovinato, una query costruita ad arte — si ferma al confine. Il registro di audit degli accessi registra chi ha avuto accesso a quale impianto, così puoi verificarlo per la tua organizzazione in qualsiasi momento.

Domande frequenti

Un altro cliente Mirox può mai vedere i miei impianti? No. Le sue richieste vengono eseguite con i suoi permessi e all'interno del suo tenant; i tuoi impianti non fanno parte di nessuno dei due.

Una cooperazione copia i miei dati al partner? No. Una cooperazione è un permesso, non una copia. Il partner legge in tempo reale gli impianti condivisi, e dalla sua parte non resta nulla dopo che la cooperazione è stata revocata.

La separazione è la stessa per l'API e per l'app web? Sì. L'app web, l'app mobile, l'API e l'assistente AI passano tutti attraverso lo stesso backend e gli stessi controlli. Non esiste un secondo percorso con regole più deboli.

Come posso verificare chi ha avuto accesso ai miei dati? Apri il registro di audit degli accessi della tua organizzazione. Elenca ogni accesso ai tuoi impianti, inclusi quelli tramite cooperazioni.

Pagine correlate

• Sistema di permessi — i ruoli e i livelli che decidono ogni accesso
• Cooperazioni e Restrizioni di cooperazione — il modo autorizzato per attraversare il confine
• Audit Logging degli Accessi — la registrazione di ogni accesso
• Panoramica del cloud — come è costruita la piattaforma