Mimari; merkezi bir kimlik kayıt kaynağının üzerine eklenmiş tek bir auth uygulaması değil, farklı kimlik türlerini yöneten domain odaklı servislerden, tutarlı policy karar düzleminden ve kanıt izinden oluşur.
| KATMAN | KAPSAM |
|---|---|
| Experience / Portals | Employee self-service, CIAM, application developer portal, privileged admin, audit, SOC ve customer console. |
| Identity Registry | Immutable identity_id, organization, link/source provenance, owner ve yaşam döngüsü. |
| Authentication | FIDO2/WebAuthn, MFA, OIDC/SAML, federation, account recovery assurance. |
| Policy & Authorization | PDP/PEP, RBAC/ABAC/ReBAC, JIT, JEA, delegation, policy as code, deny override. |
| Lifecycle/IGA/PAM | JML, approvals, attestation, SoD, connector reconciliation, vault ve session broker. |
| Trust & Proofing | KYC/document, VC/wallet, digital signature, content provenance, fraud orchestration. |
| NHI & Agent Control | SPIFFE/SPIRE, OAuth clients, token/secret lifecycle, agent registry, tool grants. |
| Detection & Response | ITDR, UEBA, identity graph attack paths, security case, session revoke. |
| Evidence & AI | Provenance audit, risk inference, supervised LLM analytics, evaluator & telemetry. |
| Operations | HA/DR, HSM/KMS, observability, tenant management, import/export, versioned APIs. |
Mimari tasarım kararları
- Trust policy kararları deterministik bir PDP tarafından üretilmeli; LLM çağrısı kimlik doğrulama zincirinin zorunlu elemanı olmamalıdır.
- Yüksek hacimli login ve token validation yüzeyi transaction store ve audit analytics katmanından ayrıştırılmalıdır.
- Farklı kimlik türleri (employee, customer, non-human, agent, document issuer) aynı ID biçimini zorunlu paylaşmaz; ilişki grafı tipli bağlantılarla kurulmalıdır.
- Identity graph için event_time / observation_time / ingested_at / effective_time ayrımı yapılmalı; role/scope değişimi tarihsel olarak izlenmelidir.
- Kritik anahtarlar HSM/KMS alt yapısında tutulmalı; passkey private key, KYC biyometrik ham veri ve OAuth client secret LLM içeriğine girmemelidir.
- Authorization kararında deny-by-default, deny override, policy provenance, replay ve test edilebilir regression kuralları aranmalıdır.