Source groupit

Source group on nimetty lähdeaineistokokoelma, kuten pricing, contracts-2026, hr-policies tai product-specs. Sen avulla kerrot VeraFramelle, mitä dataa vasten pyyntö pitää verifioida.

Jokainen verifiointi rajataan yhteen tai useampaan source groupiin. Tämä tuo:

Relevanssia — AI ja validatori katsovat samaa rajattua aineistoa
Auditointikelpoisuutta — jälkikäteen voidaan osoittaa mitä lähteitä käytettiin

Enterprise JWT/OIDC -ympäristöissä source group voi toimia myös access-control boundaryna. Ryhmälle voidaan määritellä sallitut roolit, jolloin VeraFrame hakee dataa siitä vain, jos käyttäjän identity-providerin roolit tai claimit leikkaavat ryhmän allowed_roles-listan kanssa.

Kaksi tyyppiä

S3-backed groups

Yleisin tyyppi SaaS Cloudissa. Ryhmään ladataan tiedostoja, jotka VeraFrame indeksoi tenant-kohtaisesti.

API-backed groups

Tämä tyyppi ei tallenna tiedostoja, vaan kutsuu REST-endpointia pyynnön hetkellä. Palautettu data toimii kyseisen pyynnön lähdeaineistona.

API-backed ryhmät kuuluvat Integration-tasoon.

Source group -käyttöoikeudet

Asiakaskohtaisissa enterprise-deploymenteissa ryhmälle voidaan määritellä allowed roles. Nämä eivät ole samoja kuin VeraFramen app-roolit (admin, user, viewer), vaan erillisiä data-access-rooleja, jotka luetaan JWT/OIDC-identiteettimallista.

Käyttäytyminen:

jos allowed_roles puuttuu, ryhmä on sallittu kaikille
jos se on määritelty, VeraFrame käyttää ryhmää vain kun käyttäjän data-access-roolit leikkaavat listan kanssa
sama rajoitus enforceataan server-side ennen retrievaliä

Tämä kontrolli on tarkoituksella karkearakeinen source group -tasolla. VeraFrame ei pyri mallintamaan omaan konfiguraatioonsa kaikkia mahdollisia dokumentti- tai tietuetason oikeussääntöjä. Jos ympäristössä tarvitaan hienojakoisempia käyttöoikeuspäätöksiä, tavallinen enterprise-ratkaisu on tuoda dokumentit downstream REST API:n kautta ja antaa sen soveltaa organisaation nykyistä autorisointilogiikkaa per dokumentti tai tietue.

Default-ryhmät

Ryhmä voidaan merkitä oletukseksi, jolloin se on valmiiksi valittuna pyynnöissä.

Tenant-eristys

Source groupit ja niiden tiedostot elävät tenant-kohtaisessa bucketissa. Pyyntöketju ei koskaan ylitä tenant-rajoja.