Boundary Model

1. Was ist eine Boundary?1. What is a Boundary?

Eine Boundary ist ein spezifizierter Zugangskontroll-Mechanismus, der festlegt, welche Actors ein Target (Artefakt, Zustand, Composition, Story) wahrnehmen, damit interagieren oder verändern dürfen.

Role-based, nicht Actor-type-based: Human- und Agent-Actors respektieren identische Boundary-Regeln. Es gibt keine Sonderrechte aufgrund des Actor-Typs.

2. Die 4 Boundary-Typen2. The 4 Boundary Types

3. Boundary YAML-Schemata3. Boundary YAML Schemas

Semi-Permeable Grant (vollständig)Semi-Permeable Grant (complete)

boundary_type: semi_permeable
scope: composition_with_grants
actors_allowed:
  - role: observer_external
    actors: [stakeholder_org_x, qa_contractor_y]
    granted_at: 2024-01-01T00:00:00Z
    expires_at: 2024-12-31T23:59:59Z   # oder "never"
    granted_by: composition_lead_alice
    basis: "Audit Q1 2024 — compliance review"
  - role: reviewer_external
    actors: [auditor_z]
    granted_at: 2024-03-15T09:00:00Z
    expires_at: never

access_grant:
  perceive: true     # nur designierten Artefakten/Zuständen
  interact: true     # kann anfordern/kommentieren per Role
  modify: false      # kein Schreibzugriff

governance_model:
  grant_by: composition_lead + external_stakeholder_consent
  duration: temporary | permanent
  audit: all_access_logged_in_transaction_log
  boundary_can_shift: true  # wenn Role oder Term ändert sich

Federated Boundary (vollständig)Federated Boundary (complete)

boundary_type: federated
scope: composition_to_composition_coordination
actors_allowed:
  - role: delegate_member
    representing: composition_team_frontend
  - role: delegate_member
    representing: composition_team_backend

access_grant:
  perceive: true   # jede Composition sieht andere Delegation-Interface
  interact: true   # Delegates können koordinieren
  modify: false    # Delegates schlagen vor; Heimteam entscheidet

governance_model:
  each_composition_retains_autonomy: true
  cross_composition_decision: consensus_or_veto
  transaction_credited_to: delegating_composition
  member_detail: which_delegate_executed

4. Zugriffskontrolle — 7-Gate Check (Fail-Closed)4. Access Control — 7-Gate Check (Fail-Closed)

Jede Access-Anforderung durchläuft diese 7 Gates in Reihenfolge. Erster Fail = DENY + Log.

• G1
  Actor Exists — Anfragender Actor muss registriert sein.
  PASS: Actor bekannt → weiter  |  FAIL: Actor unbekannt → DENY
• G2
  Role Resolution — Anfrage kommt aus korrekter Role (Internal: ∈ members; Semi-perm: ∈ granted_roles; Fed: ∈ delegation_roles; Private: = self).
  FAIL: Role nicht gefunden → DENY
• G3
  Target Permission — Role hat Permission auf Target (perceive / interact / modify).
  FAIL: Permission fehlt → DENY
• G4
  Temporal Validity — Grant nicht abgelaufen.
  FAIL: Grant expired → DENY + revoke
• G5
  Composition State — Composition nicht aufgelöst.
  FAIL: Dissolved → DENY Write; Read-only Archive möglich
• G6
  Audit Assignment — Access wird in Transaction-Log geschrieben.
  FAIL: Audit-Write schlägt fehl → DENY (keine blinden Transaktionen)
• G7
  Conflict Check — Kein Role-Conflict bei ausführendem Actor.
  FAIL: Widersprüchliche Roles → DENY + alert

Fail-Closed Default: Schlägt irgendein Gate fehl, wird der Zugang VERWEIGERT und als access_denied geloggt.

5. Violations & Eskalationspfad5. Violations & Escalation Path

EskalationspfadEscalation Path

Violation Detected
  │
  ├─ CRITICAL (unauthorized external access)
  │    → sofortiges DENY
  │    → Security Alert an composition_lead + ops
  │    → temporärer Block des Actors
  │
  ├─ HIGH (permission / expiration)
  │    → DENY + Notification an Owner
  │    → Ticket/Story erstellen für Follow-Up
  │
  └─ INFO (archive access attempt)
       → DENY write
       → READ archive erlaubt
       → log (kein Alert)

6. Boundary Transitions6. Boundary Transitions

Szenario: Role-Promotion (Contributor → Reviewer)Scenario: Role Promotion (Contributor → Reviewer)

Szenario: Semi-Permeable Grant ExpiryScenario: Semi-Permeable Grant Expiry

Szenario: Composition DissolutionScenario: Composition Dissolution

7. Grant-Management Workflow7. Grant Management Workflow

Semi-Permeable Grants werden durch den folgenden kontrollierten Prozess verwaltet:

8. Boundary im Schichtenmodell8. Boundary in the Layer Model

Der Boundary Layer sitzt zwischen Transaction Layer und Skill Registry Layer — er schützt alle darunterliegenden Operationen.