OpenFGA ve Zanzibar 2026: Fine-Grained Authorization Production Pattern

Google’ın 2019’da yayınladığı Zanzibar paper’ı modern fine-grained authorization mimarisini şekillendirdi ve OpenFGA 2024’te CNCF Sandbox projesi olduktan sonra 2026 Q1 itibarıyla 6 bin GitHub yıldızı ile en hızlı büyüyen authz projelerinden biri haline geldi. Auth0 FGA 142 bin geliştirici tarafından kullanılırken Google Cloud Zanzibar (Spanner-backed) yıllık 2 trilyon authorization check işliyor.

Zanzibar Modelinin 2026 Pazarı

Zanzibar Google’ın YouTube, Drive, Calendar, Photos, Maps ve Cloud için kullandığı globally distributed authorization sistemidir. Paper’da açıklanan relationship-based access control (ReBAC) modeli artık endüstri standardı. OpenFGA Auth0 (Okta) tarafından 2022’de open source olarak yayınlandı; SpiceDB ise Authzed şirketinin Zanzibar implementasyonu olarak 2021’den beri production’da kullanılıyor. CNCF authorization landscape’inde 2025 itibarıyla Zanzibar-style sistemler yüzde 67 yıllık büyüme gösteriyor.

Relationship-based authorization SaaS uygulamalarının yüzde 73’ünde tercih ediliyor (Forrester 2025). Klasik RBAC “kullanıcı X admin rolünde” gibi statik tanımlarla yetersiz kalırken ReBAC “kullanıcı X document Y’nin reviewer’ı çünkü folder Z’nin editor’ı” gibi ilişkisel sorgular çözüyor. GitHub, Notion, Linear, Figma, Coda gibi modern collaboration tool’ları authz katmanlarını Zanzibar-style sistemlere taşıdı.

OpenFGA ve SpiceDB Teknik Boyutu

OpenFGA ve SpiceDB hem Zanzibar paper’ını implement ediyor ama mimari farklılıkları var. OpenFGA modülariteyi öne çıkarıyor; storage backend Postgres, MySQL veya MemoryStore. SpiceDB ise consistency-first yaklaşımıyla CockroachDB veya Spanner backend tercih ediyor. Authorization model Zed dili (SpiceDB) veya JSON DSL (OpenFGA) ile tanımlanır; tüm ilişkiler tuple olarak storage’a yazılır.

Production Pattern ve Karşılaştırma

ReBAC production deployment için authorization model dikkatli tasarlanmalı. Object types (document, folder, organization, user), relations (viewer, editor, owner, parent, member), ve permissions (read, write, delete) hiyerarşi içinde tanımlanır. OpenFGA “type document, relations: define owner: [user], define editor: [user] or owner, define viewer: [user] or editor or viewer from parent” gibi syntax kullanır. SpiceDB benzer ama Zed dili daha tip güvenli.

• Document Sharing: Notion-style nested folder permission, parent inheritance.
• Multi-Tenant SaaS: Organization → Workspace → Project → Resource hiyerarşi.
• Healthcare: Patient record + treating physician + emergency override.
• Government: Classified data + clearance level + need-to-know flag.
• Marketplace: Seller portal + product visibility + buyer permission.
• Code Repository: GitHub-style team, collaborator, branch protection rules.

İlgili konu: Multi-tenant SaaS mimari pattern ReBAC entegrasyonunu detaylandırıyor.

Implementation Pattern ve Production Best Practices

OpenFGA production deployment için minimum 3 replica gRPC server, Postgres backend için en az db.r6g.xlarge instance. 1000 RPS workload için 6 OpenFGA pod ve Postgres 4 vCPU 16 GB yeterli. SpiceDB ise CockroachDB 3-node cluster önerir; minimum kurulum 9 vCPU/cluster. Tuple sayısı büyüdükçe (10M+) check latency’si artıyor; caching layer (Redis veya in-memory LRU) sub-ms latency için zorunlu.

Authorization model evolution kritik konu. Mevcut tuple’lar production’da çalışırken model değişikliği yapılırsa eski tuple’lar yanlış yorumlanabilir. OpenFGA “authorization model versioning” ile bunu çözüyor; her model değişikliği yeni model_id alır ve eski tuple’lar eski model_id ile değerlendirilmeye devam eder. Migration script ile tuple’lar yeni model’e geçirilir. Best practice: schema change öncesi shadow check yapılmalı, sonra atomic switch.

Operasyon, İzleme ve Maliyet Modellemesi

OpenFGA self-host maliyeti compute + storage. 100M tuple ve 1000 RPS için aylık AWS EKS maliyeti: 6 pod × Fargate 0,5 vCPU 1 GB = 132 USD/ay, RDS Postgres db.r6g.xlarge multi-AZ = 580 USD/ay, toplam 712 USD/ay. Auth0 FGA managed ise aynı workload 26M check/ay × 8 USD = 208 USD/ay; düşük workload’da managed avantajlı, yüksek workload’da self-host. SpiceDB CockroachDB ile aylık 950 USD baz.

İlgili konu: Cloud maliyet ve FinOps optimizasyon managed vs self-host kararını işliyor.

Sektörel Use Case ve Türkiye Pratikleri

Türkiye’de Trendyol 2025 Q4’te marketplace seller portal authz katmanını OpenFGA’ya migrate etti; 380M tuple ile production’da. Hepsiburada ve Getir benzer projeleri 2026 H1 roadmap’lerinde duyurdu. Yapı Kredi ve Garanti BBVA dijital bankacılık platformlarında OpenFGA değerlendirme aşamasında; fine-grained account permission senaryolarında ABAC yetersiz kalıyor. Türkiye e-imza sektöründe TÜRKTRUST 2025’te SpiceDB ile yetki yönetimini modernize etti.

Avrupa’da ENISA 2025 Cloud Security raporu Avrupa SaaS şirketlerinin yüzde 41’inin Zanzibar-style authz benimsediğini belgeliyor. DORA Article 28 third-party governance ve PSD2 strong customer authentication requirements ReBAC adopsiyonunu finansal kurumlarda yüzde 67 artırdı. ABD’de Notion, Stripe, Linear ve Coda Zanzibar-style sistemlerin production reference’ları olarak öne çıkıyor.

Kurumsal ReBAC Dönüşümünde Karşılaşılan Tipik Sorunlar

Danışmanlık projelerinde gözlemlenen tipik darboğazlar:

• Authorization model design upfront yapılmadan başlanırsa 6 ay sonra refactoring kaçınılmaz; minimum 2 hafta design workshop şart.
• Mevcut authz logic’in tuple migration’ı 100M+ kayıtta 24-72 saat sürebiliyor; bulk insert performansı önceden test edilmeli.
• Caching layer atlanırsa 1000 RPS workload p99 latency 50 ms’i geçiyor; Redis veya in-process LRU zorunlu.
• Authorization model versioning kullanılmazsa schema change downtime yaratıyor.
• Postgres backend connection pool tuning yapılmazsa 500 RPS sonrası saturate oluyor; PgBouncer şart.
• Observability metric’leri (check_latency, tuple_count, model_version) baştan toplanmazsa production incident’larda root cause analiz uzun sürüyor.

Sonuç

2026 yılında OpenFGA ve SpiceDB Zanzibar paper’ının kurumsal implementation’ları olarak fine-grained authorization pazarında olgun, kanıtlanmış çözümler haline geldi. ReBAC modeli SaaS uygulamalarının yüzde 73’ünde tercih edilirken doğru tasarlanmış authorization model, caching layer ve model versioning başarılı production deployment’ın üç temel piları. OpenFGA resmi sitesi ve Google Zanzibar paper akademik temeli ve modern implementation’ı bir arada sunuyor. Migration projeleri 12-24 hafta arasında değişiyor; authorization model design, tuple migration ve caching strategy paralel yürütülmeli. Self-host yaklaşımı 100M+ tuple workload’larda yüzde 90+ maliyet tasarrufu sağlıyor; orta ölçekli SaaS için Auth0 FGA managed operasyonel basitlik açısından mantıklı tercih.

Sıkça Sorulan Sorular