cmdb-insight/docs/AZURE-ACR-PERMISSIONS.md

Azure Container Registry - Role Assignment Permissions Mode

🎯 Aanbeveling voor Jouw Situatie

Voor CMDB Insight (20 gebruikers, corporate tool, productie):

✅ RBAC Registry Permissions (Aanbevolen) ⭐

Waarom:

• ✅ Eenvoudiger te beheren
• ✅ Voldoende voor jouw use case
• ✅ Minder complexiteit
• ✅ Standaard keuze voor de meeste scenario's

---

📊 Opties Vergelijking

Optie 1: RBAC Registry Permissions ⭐ AANBEVOLEN

Hoe het werkt:

• Permissions worden ingesteld op registry niveau
• Alle repositories binnen de registry delen dezelfde permissions
• Gebruikers hebben toegang tot alle repositories of geen

Voordelen:

• ✅ Eenvoudig - Minder complexiteit
• ✅ Makkelijk te beheren - Eén set permissions voor de hele registry
• ✅ Voldoende voor de meeste scenario's - Perfect voor jouw situatie
• ✅ Standaard keuze - Meest gebruikte optie

Nadelen:

• ❌ Minder flexibel - Kan niet per repository permissions instellen
• ❌ Alle repositories hebben dezelfde toegang

Wanneer gebruiken:

• ✅ Jouw situatie - 20 gebruikers, corporate tool
• ✅ Kleine tot middelgrote teams
• ✅ Alle repositories hebben dezelfde toegangsvereisten
• ✅ Eenvoudige permission structuur gewenst

Voorbeeld:

• Alle developers hebben toegang tot alle repositories
• Alle CI/CD pipelines hebben toegang tot alle repositories
• Geen per-repository verschillen nodig

---

Optie 2: RBAC Registry + ABAC Repository Permissions

Hoe het werkt:

• Permissions op registry niveau (RBAC)
• Extra permissions op repository niveau (ABAC - Attribute-Based Access Control)
• Kan per repository verschillende permissions instellen

Voordelen:

• ✅ Flexibeler - Per repository permissions mogelijk
• ✅ Granular control - Verschillende teams kunnen verschillende repositories hebben
• ✅ Enterprise features - Voor complexe organisaties

Nadelen:

• ❌ Complexer - Meer configuratie nodig
• ❌ Moeilijker te beheren - Meerdere permission levels
• ❌ Meer overhead - Meer tijd nodig voor setup en onderhoud

Wanneer gebruiken:

• ✅ Grote organisaties met meerdere teams
• ✅ Verschillende repositories hebben verschillende toegangsvereisten
• ✅ Compliance requirements die granular control vereisen
• ✅ Multi-tenant scenarios

Voorbeeld:

• Team A heeft alleen toegang tot repository A
• Team B heeft alleen toegang tot repository B
• CI/CD pipeline heeft toegang tot alle repositories
• Externe partners hebben alleen toegang tot specifieke repositories

---

🔍 Jouw Situatie Analyse

Jouw setup:

• 2 repositories: cmdb-insight/backend en cmdb-insight/frontend
• 20 gebruikers (klein team)
• Corporate tool (interne gebruikers)
• Productie omgeving

Permission vereisten:

• ✅ Alle teamleden hebben toegang tot beide repositories
• ✅ CI/CD pipeline heeft toegang tot beide repositories
• ✅ Geen per-repository verschillen nodig
• ✅ Eenvoudige beheer gewenst

Conclusie: ✅ RBAC Registry Permissions is perfect!

---

📋 Checklist: Welke Keuze?

Kies RBAC Registry Permissions als:

• Je <50 gebruikers hebt ✅
• Alle repositories dezelfde toegang hebben ✅
• Je eenvoudige beheer wilt ✅
• Je geen per-repository verschillen nodig hebt ✅
• Je een klein tot middelgroot team hebt ✅

→ Jouw situatie: ✅ Kies RBAC Registry Permissions!

Kies RBAC Registry + ABAC Repository Permissions als:

• Je >100 gebruikers hebt
• Verschillende repositories verschillende toegang nodig hebben
• Je granular control nodig hebt
• Je multi-tenant scenario hebt
• Je compliance requirements hebt die granular control vereisen

---

🔄 Kan Ik Later Wisselen?

⚠️ Belangrijk:

• Deze keuze is permanent en kan niet meer worden gewijzigd na aanmaken van de registry!
• Als je later ABAC nodig hebt, moet je een nieuwe registry aanmaken

Aanbeveling:

• Start met RBAC Registry Permissions (eenvoudigst)
• Als je later granular control nodig hebt, overweeg dan een nieuwe registry met ABAC
• Voor jouw situatie is RBAC Registry Permissions voldoende

---

💡 Permission Rollen (RBAC Registry Permissions)

Met RBAC Registry Permissions kun je deze rollen toewijzen:

AcrPull (Lezen)

• Images pullen
• Voor: Developers, CI/CD pipelines

AcrPush (Schrijven)

• Images pushen
• Voor: CI/CD pipelines, build servers

AcrDelete (Verwijderen)

• Images verwijderen
• Voor: Administrators, cleanup scripts

Owner (Volledig beheer)

• Alles + registry beheer
• Voor: Administrators

Voor jouw situatie:

• Developers: AcrPull (images pullen)
• CI/CD Pipeline: AcrPush (images pushen)
• Administrators: Owner (volledig beheer)

---

🎯 Mijn Aanbeveling

Voor CMDB Insight:

✅ Kies RBAC Registry Permissions ⭐

Waarom:

1. ✅ Eenvoudig - Minder complexiteit, makkelijker te beheren
2. ✅ Voldoende - Alle repositories hebben dezelfde toegang (wat je nodig hebt)
3. ✅ Standaard - Meest gebruikte optie, goed gedocumenteerd
4. ✅ Perfect voor jouw situatie - 20 gebruikers, 2 repositories, corporate tool

Je hebt niet nodig:

• ❌ Per-repository permissions (alle repositories hebben dezelfde toegang)
• ❌ Complexe permission structuur (klein team)
• ❌ Multi-tenant scenarios (corporate tool)

Setup:

1. Kies RBAC Registry Permissions
2. Wijs rollen toe aan gebruikers/groepen:
   • Developers → AcrPull
   • CI/CD → AcrPush
   • Admins → Owner

Klaar! ✅

---

📚 Meer Informatie

• Azure Container Registry RBAC
• ACR Permissions Best Practices
• ABAC Repository Permissions

---

🎯 Conclusie

Kies: RBAC Registry Permissions ⭐

Dit is de beste keuze voor:

• ✅ 20 gebruikers
• ✅ Corporate tool
• ✅ 2 repositories (backend + frontend)
• ✅ Eenvoudige beheer gewenst
• ✅ Alle repositories hebben dezelfde toegang

Je kunt altijd later een nieuwe registry aanmaken met ABAC als je granular control nodig hebt, maar voor jouw situatie is dat niet nodig.