---
doc_id: MAP-CK8S-DOMAIN-ACCESS-AND-ACCOUNTS
type: issue-map
title: kodex — карта Issue домена доступа и аккаунтов
status: active
owner_role: KM
created_at: 2026-04-25
updated_at: 2026-06-03
---

# Карта Issue — доступ, организации, группы и внешние аккаунты

## TL;DR

Долгоживущая карта домена `access-and-accounts`.

## Матрица

| Issue/PR | Документы | Волна | Статус | Примечание |
|---|---|---|---|---|
| #599 | `docs/domains/access-and-accounts/product/requirements.md`, `docs/domains/access-and-accounts/architecture/design.md`, `docs/domains/access-and-accounts/architecture/data_model.md`, `services/internal/access-manager/**`, `libs/go/postgres/**` | волна 7 | закрыта как выполненная | Добавлены доменные типы, миграции, подключение БД сервиса, контур членства, транзакционный PostgreSQL-репозиторий, gRPC-обработчики для организаций, групп, членства и операторского чтения `ListMembershipGraph`. Операторское чтение проверяет `CommandMeta.actor` через `CheckAccess`. |
| #600, #619 | `docs/domains/access-and-accounts/product/requirements.md`, `docs/domains/access-and-accounts/architecture/data_model.md`, `docs/domains/access-and-accounts/architecture/api_contract.md`, `services/internal/access-manager/**` | волна 7 | закрыта как выполненная | Первичная инициализация пользователя по идентичности через allowlist получила путь записи и чтения PostgreSQL; gRPC-обработчики подключены для первичной инициализации пользователя, записи allowlist, изменения статуса пользователя, отключения allowlist-записи и списка pending/blocked. Операторские действия учитывают организационную область, а список pending/blocked для организации видит пользователя через allowlist до создания membership и сортируется по последнему изменению состояния. |
| #601 | `docs/domains/access-and-accounts/product/requirements.md`, `docs/domains/access-and-accounts/architecture/design.md`, `docs/domains/access-and-accounts/architecture/data_model.md`, `docs/domains/access-and-accounts/architecture/api_contract.md`, `services/internal/access-manager/**` | волна 7 | закрыта как выполненная | Поставщики, внешние аккаунты, привязки и метаданные ссылки на секрет получили путь записи и чтения PostgreSQL; gRPC-обработчики подключены для создания, привязки, разрешения использования, обновления поставщика, изменения статуса аккаунта и отключения привязки. |
| #711 | `libs/go/secretresolver/**`, `docs/platform/architecture/secret_resolution.md`, `docs/domains/access-and-accounts/architecture/**` | междоменный срез секретов | готово | `access-manager` остаётся владельцем внешних аккаунтов и ссылок на секреты; общий resolver получает значение по разрешённой ссылке вне публичного gRPC-контракта и не раскрывает его в БД, событиях или логах. |
| #718 | `proto/kodex/access_accounts/**`, `services/internal/access-manager/**`, `docs/platform/architecture/secret_resolution.md`, `docs/domains/access-and-accounts/architecture/**`, `docs/domains/package-platform/**` | междоменный срез доступа | готово | Безопасный контракт `ListPackageInstallationSecretRefs` возвращает ссылки и статусы секретов установки без значений; `package-hub` использует его для PKG-5.3b. |
| #602 | `docs/domains/access-and-accounts/product/requirements.md`, `docs/domains/access-and-accounts/architecture/design.md`, `docs/domains/access-and-accounts/architecture/data_model.md`, `docs/domains/access-and-accounts/architecture/api_contract.md`, `services/internal/access-manager/**` | волна 7 | закрыта как выполненная | Каталог действий, правила доступа, явный запрет, аудит решений и outbox получили путь записи и чтения PostgreSQL; gRPC-обработчики подключены для `PutAccessAction`, `PutAccessRule`, `CheckAccess` и `ExplainAccess`. |
| без отдельного Issue | `docs/domains/access-and-accounts/architecture/**`, `proto/kodex/access_accounts/v1/access_manager.proto`, `services/internal/access-manager/**` | live onboarding/deploy | готово | `AccessRule` поддерживает `subject_type=service` для внутренних сервисов платформы. Межсервисные команды и onboarding runner могут получать правила доступа без подмены на пользователя, бота или внешний аккаунт; membership-модель и внешние аккаунты не меняются. |
| без отдельного Issue | `docs/domains/access-and-accounts/delivery/wave7_access_and_accounts.md`, `libs/go/grpcserver/**`, `services/internal/access-manager/**` | волна 7 | инфраструктурный срез готов | Общий gRPC-контур вынесен в `libs/go/grpcserver` до следующего доменного сервиса; доменная граница `access-manager` не смешана с общей библиотекой. |
| без отдельного Issue | `docs/platform/architecture/data_model.md`, `docs/domains/access-and-accounts/architecture/design.md`, `docs/domains/access-and-accounts/architecture/data_model.md`, `docs/domains/access-and-accounts/delivery/wave7_access_and_accounts.md`, `services/internal/access-manager/**`, `specs/asyncapi/access-manager.v1.yaml` | волна 7 | outbox-доставщик готов | Добавлены аренда outbox-записей, повтор временных ошибок, постоянные сбои без бесконечного повтора, защита отметок номером попытки и контрактная сверка реализованных `access.*` событий с AsyncAPI. Диагностический канал в лог не является MVP-доставкой и остаётся только для ручной диагностики. |
| без отдельного Issue | `docs/platform/architecture/data_model.md`, `docs/domains/access-and-accounts/architecture/design.md`, `docs/domains/access-and-accounts/architecture/data_model.md`, `docs/domains/access-and-accounts/delivery/wave7_access_and_accounts.md`, `libs/go/eventlog/**`, `services/internal/access-manager/**`, `services/internal/platform-event-log/**`, `deploy/base/postgres/**`, `deploy/base/platform-event-log/migrations.yaml.tpl` | волна 7 | MVP-доставка событий готова | Общий PostgreSQL-журнал событий и checkpoint API реализованы в `libs/go/eventlog`; миграции общего журнала вынесены в контур `platform-event-log`, подготовлены секрет времени выполнения и промышленное задание миграций, а `access-manager` публикует outbox-события через штатный канал `postgres-event-log` по отдельному DSN. Реальные бизнес-потребители добавляются в доменах-потребителях. |
| без отдельного Issue | `services/internal/access-manager/Dockerfile`, `deploy/base/access-manager/**`, `deploy/base/postgres/**`, `bootstrap/host/config.env.example`, `bootstrap/host/bootstrap_cluster.sh`, `cmd/manifest-render/**`, `scripts/build-access-manager-images.sh`, `libs/go/grpcserver/**` | волна 7 | эксплуатационный срез готов | Добавлены образ миграций, Kubernetes-манифесты сервиса и миграций, секрет времени выполнения gRPC-token/DSN, рендер шаблонов выкладки, проверочный путь готовности и корреляционные gRPC-метаданные для логов. |
