How Coinbase built a governed platform for internal operations

Coinbase · 2026 · 3. Quy mô lớn · Độ khó: Khó — bài gốc

coinbase.com chặn crawler; đọc qua trình duyệt, raw/ chỉ là placeholder. Bài cố ý bỏ tên service, schema và chi tiết nội bộ, chỉ nêu mẫu thiết kế. Là bài đầu của một series (các bài sau nói về AI trên nền tảng này).

Bối cảnh

• Support, vận hành, compliance, pháp lý, risk và engineer đều cần đọc/ghi dữ liệu khách hàng, mỗi nhóm một lý do chính đáng. Để tự nhiên thì công cụ admin sinh sôi, mỗi công cụ tự làm authorization, audit và rate limit.
• Với một công cụ, câu hỏi "ai làm được gì, trên dữ liệu của ai, và làm sao biết nó đã xảy ra" dễ trả lời; với ba mươi công cụ thì gần như không. Theo Coinbase, viết tài liệu governance rồi tin mọi team làm theo sẽ hỏng ngay khi không ai nhìn.

Thay đổi chính

• Sáu yêu cầu viết ra trước: authorization đồng nhất; least privilege mặc định (không ai giữ quyền thường trực với dữ liệu không đang xử lý); audit đầy đủ, chống sửa; thay đổi nhạy cảm cần nhiều hơn một người; nhất quán trên nhiều backend; team sản phẩm tự mở rộng được mà platform team không phải duyệt từng tính năng.
• Umbrella service "Control Center": một điểm vào trước nhiều backend theo domain. Lớp chung lo identity, authorization, rate limit, audit, approval; logic domain ở lại backend. Theo bài: phân tán năng lực, tập trung kiểm soát.
• Chuỗi kiểm tra có thứ tự mọi request đều đi qua, không nằm trong handler: chuẩn hoá lỗi (ngoài cùng) → ghi audit → authorization → rate limit → chèn identity. Người viết handler không thể quên authorize hay audit.
• Authorization theo tài nguyên: endpoint khai báo permission cần; permission gắn với năng lực chứ không với chức danh (sơ đồ tổ chức đổi, năng lực ổn định); endpoint có customer ID thì kiểm theo đúng khách đó, thiếu ID thì từ chối (fail closed).
• Truy cập just-in-time: khi một case được giao, pipeline hướng sự kiện cấp quyền có hạn giờ tới đúng những khách trong case, tự hết hạn. Theo Coinbase, đây là kiểm soát đòn bẩy cao nhất: "ai thấy được khách này" từ danh sách ngày càng dài thành một tập nhỏ tự dọn.
• Audit khai báo: mỗi endpoint khai báo các trường của bản ghi audit; bước audit chung ghi đúng các trường đó. Endpoint chưa có hợp đồng audit là endpoint chưa xong.
• Phê duyệt nhiều người cho thay đổi nhạy cảm (hoàn tiền, đổi trạng thái tài khoản, vượt hạn mức): lần gọi đầu chỉ mở một review chứa trạng thái trước/sau; đủ duyệt thì executor chạy qua hàng đợi mới thực hiện, lỗi thì để người xử lý. Tách đề xuất khỏi thực thi cho cùng lúc điểm duyệt, bước thực thi idempotent và audit cả yêu cầu lẫn hành động.
• Hai rate limiter: một giới hạn số khách khác nhau một caller chạm tới trong cửa sổ (chống scrape), một cho endpoint không có phạm vi khách (chống dò). Rate limit chỉ là throttle; ranh giới bảo mật là authorization.
• Bề mặt API sinh từ một contract (cả bên ngoài qua gateway lẫn bên trong), nên không lệch nhau. Thứ hay đổi (role, mapping nhóm, ngưỡng duyệt, luật rate limit, bật/tắt tích hợp) là cấu hình runtime; thứ cần code thì theo một công thức cố định: contract → handler → đăng ký permission → khai báo audit.

Vì sao (đánh đổi theo Coinbase)

• Authorization fail closed nên an toàn hơn uptime; cái giá là ranh giới đó phải được kiểm lại mỗi khi thêm một loại caller mới.
• Một nền tảng trung tâm là một bước nhảy mạng và một failure domain chung; họ chấp nhận để có tính nhất quán, rồi đầu tư nhiều cho độ tin cậy của đường đó.
• Hành vi dạng cấu hình làm mở rộng nhanh nhưng cấu hình phải được review, version và bảo vệ như code.
• Handler trả lỗi nghiệp vụ trong payload chứ không bằng mã lỗi transport; quyết định này lan ra gateway, dashboard, SLO (tracing dựa trên status code sẽ không thấy lỗi nếu không chủ động đẩy ra).
• Mỗi loại client mới (UI mới, batch job, agent tự động) là một điểm vào mới phải kéo vào cùng luật; governance là chi phí vận hành liên tục. Với agent, điểm đòn bẩy cao nhất là cách nó xác thực.

Bài học cho SWE

• Thuộc tính không được phép thoái lui (authorization, audit, rate limit) nên là bước bắt buộc trong đường đi của request, không phải thứ từng handler tự nhớ làm.
• Quyền gắn với việc đang làm và tự hết hạn thay cho danh sách quyền thường trực.
• Tách đề xuất khỏi thực thi cho thao tác nhạy cảm: một mẫu cho cả phê duyệt, idempotency và audit.
• Platform tập trung tránh thành nút cổ chai bằng cách để phần mở rộng phổ biến là đổi cấu hình, phần hiếm là một công thức cố định.

Liên quan

• Coinbase 2026 · Coinbase 2018 · LinkedIn 2019 · Uber 2023 · ClickHouse 2023 (quyền khẩn cấp tự hết hạn)
• Xác thực và phân quyền (authn/authz) · Nền tảng nội bộ cho service (đường ray chung)