AiHummer
Кыргызча▾
Кирүү
v1.0.x▾
v1.0.xstable
{ }Swagger
Коопсуздук/RBAC жана чектелген API ачкычтар

RBAC жана чектелген API ачкычтар

v1.0.x · жаңыланды 2026-07-07

AiHummer өзүнүн admin бетин ролго негизделген мүмкүнчүлүк башкаруу (RBAC) жана чектелген API ачкычтар менен коргойт. Роллор адамдын ким боло аларын чечет; чектелген ачкычтар бардыгын жасай алган ачкычтын ордуна автоматташтыруунун бир бөлүгүнө ага чындап керектүү артыкчылыктарды гана берүүгө мүмкүндүк берет.

Роллор

Admin API’ге жана admin UI’ге мүмкүнчүлүк роллор менен башкарылат. Роль принципал кайсы ресурс топторун көрө аларын жана кайсыларын өзгөртө аларын аныктайт.

Роллор админ UI’дин «Роллор» барагында башкарылат. Кутудан чыгары курулуштагы роллор бар — owner (баары), admin, operator жана member — алар окуу үчүн гана («Курулуштагы» значогу менен белгиленген; аларды түзөтүүгө же жоготууга болбойт). Алардан тышкары сиз өз роллоруңузду түзө аласыз: ролдун формасы ат, сүрөттөмө жана укуктар тордун — ~19 ресурс домени боюнча окуу/жазуу чекбокстору (агенттер, маектер, куралдар, сырлар, плагиндер, жөндөөлөр, бекитүүлөр, API ачкычтары ж.б.; «жазуу» автоматтык түрдө «окууну» камтыйт) сурайт. Ар бир ролдо аны канча субъект колдонору көрсөтүлөт; кимдир бирине дайындалган ролду дайындоолор алынганга чейин жоготууга болбойт.

Роллорду ушул сайттагы башка көзөмөлдөр менен айкалыштырыңыз — IP уруксат тизмеси, корпоративдик SSO жана аудит журналы — ошондо ар бир admin аракети уруксат берилген да, жаздырылган да болот.

Чектелген API ачкычтар

API ачкычтары ачкыч эмне кыла аларын чектеген scope’торду алып жүрөт. Аныкталган scope’тор:

Scope Берет
chat OpenAI-шайкеш акыркы колдонуучу эндпоинти (учурдагы ачкычтар үчүн мурас демейки).
admin:read Admin ресурстарына окуу гана мүмкүнчүлүк (GET /v1/admin/*: жөндөөлөр, маектер, аналитика ж.б.).
admin:write Admin API’нин өзгөртүүчү чакырыктары (POST/PUT/DELETE /v1/admin/*).
mcp Жарыяланган MCP эндпоинти (POST /v1/mcp).
a2a Жарыяланган Agent-to-Agent эндпоинти (POST /a2a/message).
* Бардыгына толук мүмкүнчүлүк (чыныгы full-access scope).

Мындан тышкары, жалпы <чөйрө>:* wildcard’ы иштейт: мисалы, admin:* бардык admin аракеттерин берет, бирок chat, mcp же a2a бербейт — бул өзүнчө аныкталган scope эмес, wildcard’дын жеке учуру гана. Бардык беттерге толук мүмкүнчүлүктү * гана берет.

Scope’тор миграция 0073 менен киргизилген. Учурдагы ачкычтар иштей берет; жаңы ачкычтар тар scope менен жасалышы мүмкүн, ошондуктан, мисалы, метриканы гана окуган панель эч качан жөндөөлөрдү өзгөртө ала турган ачкычты кармабайт.

[!TIP] Эң аз артыкчылыкты колдонуңуз: мониторинг же отчёт интеграциясы admin:read ачкычын алышы керек, admin:write же тим кетсе * эмес. *’ти чындап ар бир бетке мүмкүнчүлүгү керек болгон ачкычтар үчүн калтырыңыз.

Туура scope’ту тандоо

  • Чат клиенттери (OpenAI-шайкеш эндпоинтке кайрылуучу) → chat.
  • Окуу гана интеграциялар (панелдер, экспорттоочулар, статус текшерүүлөр) → admin:read.
  • Ресурстарды түзгөн же оңдогон автоматташтыруу (камсыздоо агенттери, билим импорттоо, графиктерди башкаруу) → admin:write.
  • MCP жана A2A клиенттери → тиешелүүлүгүнө жараша mcp жана a2a.
  • Авариялык / толук мүмкүнчүлүк → *, мүмкүн болушунча аз ачкыч кармайт жана үзгүлтүксүз айланат.

[!WARNING] Чектелген ачкыч дагы эле admin API’ге эсептик маалымат болуп саналат. Аны сырлар сейфинде же өзүңүздүн сыр менеджериңизде сактаңыз, эч качан булак көзөмөлдө эмес, жана ал ачылган болушу мүмкүн болсо аны айлантыңыз.

Ачкычтар кантип башкарылат

Admin API ачкычтары admin API (/v1/admin/apikeys) жана admin UI аркылуу башкарылат, ал жерде сиз ачкычты жасайсыз, анын scope’ун дайындайсыз жана ал керек болбой калганда жокко чыгарасыз. Admin API’нин өзү OIDC жана IP уруксат тизмеси менен корголгондуктан, ачкычты жасоо аутентификацияланган, аудиттелген операция болуп саналат.

Кийинки кадам