AiHummer
Polski▾
Zaloguj sięKonto
v1.0.x▾
v1.2.xstablev1.1.xstablev1.0.xstable
{ }Swagger
Bezpieczeństwo/RBAC i klucze API o ograniczonym zakresie

RBAC i klucze API o ograniczonym zakresie

v1.0.x · zaktualizowany 2026-07-07

AiHummer chroni swoją powierzchnię administracyjną za pomocą kontrola dostępu oparta na rolach i klucze API o określonym zakresie. Role decydują, kim osoba może być; klucze o określonym zakresie pozwalają przyznać fragmentowi automatyzacji tylko te uprawnienia, których faktycznie potrzebuje, zamiast klucza, który może wszystko.

Role

Dostęp do interfejsu API administratora i interfejsu użytkownika administratora jest regulowany przez role. Rola określa, które grupy zasobów dany podmiot może przeglądać i które może zmieniać.

Role są zarządzane w interfejsach administracyjnych Role strona. Po wyjęciu z pudełka są wbudowane role — owner (wszystko), admin, operator i member — które są tylko do odczytu (oznaczone jako „Wbudowane”; nie można ich edytować ani usuwać). Poza nimi możesz tworzyć niestandardowe role: formularz roli przyjmuje nazwę, opis i siatkę uprawnień — czytać/zapisywać pola wyboru dla każdego z ~19 obszarów zasobów (agenci, konwersacje, narzędzia, sekrety, wtyczki, ustawienia, zatwierdzenia, klucze API i tak dalej; „zapisywanie” automatycznie oznacza „odczyt”). Każda rola pokazuje, ile podmiotów jej używa; roli przypisanej do kogokolwiek nie można usunąć, dopóki przypisania nie zostaną usunięte.

Połącz role z innymi kontrolkami na tej stronie — Lista dozwolonych adresów IP, SSO dla przedsiębiorstw i dziennik audytu — tak aby każda akcja administratora była zarówno autoryzowana, jak i rejestrowana.

Klucze API z ograniczonym zakresem

Klucze API niosą zakresy które ograniczają, co klucz może zrobić. Zdefiniowane zakresy to:

Zakres Dotacje
chat Końcowy punkt kompatybilny z OpenAI dla użytkownika końcowego (starszy domyślny dla istniejących kluczy).
admin:read Dostęp tylko do odczytu do zasobów administracyjnych (GET /v1/admin/*: ustawienia, rozmowy, analizy itp.).
admin:write Mutujące wywołania API administracyjne (POST/PUT/DELETE /v1/admin/*).
mcp Opublikowany punkt końcowy MCP (POST /v1/mcp).
a2a Opublikowany punkt końcowy Agent-to-Agent (POST /a2a/message).
* Pełny dostęp do wszystkiego (prawdziwy zakres pełnego dostępu).

Ponadto, ogólny <area>:* działa symbol wieloznaczny: admin:*, na przykład dotacje każde działanie administracyjne ale robi nie udzielać chat, mcp lub a2a — to nie jest osobno zdefiniowany zakres, to po prostu przypadek symbolu wieloznacznego. Tylko * udziela pełnego dostępu do wszystkich powierzchni.

Klucze wydane przed istnieniem zakresów nadal działają bez ograniczeń; nowe klucze mogą być wydawane z wąskim zakresem, tak aby na przykład panel, który tylko odczytuje metryki, nigdy nie posiadał klucza, który mógłby zmieniać ustawienia.

[!TIP] Stosuj zasadę najmniejszych uprawnień: integracja monitorująca lub raportująca powinna otrzymać admin:read klucz, nie admin:write — nie mówiąc już o *. Rezerwa * na klucze które naprawdę potrzebują dostępu do każdej powierzchni.

Wybór odpowiedniego zasięgu

  • Klienci czatu (wywołanie punktu końcowego zgodnego z OpenAI) → chat.
  • Integracje tylko do odczytu (pulpity nawigacyjne, eksporterzy, kontrole statusu) → admin:read.
  • Automatyzacja, która tworzy lub edytuje zasoby (agenci udostępniania, importowanie wiedza, zarządzanie harmonogramami) → admin:write.
  • Klienci MCP i A2A → mcp i a2a odpowiednio.
  • Dostęp awaryjny / pełny dostęp → *, trzymany przy jak najmniejszej liczbie klawiszy i regularnie obracany.

[!WARNING] Klucz o określonym zakresie jest nadal poświadczeniem do API administracyjnego. Przechowuj go w skarbiec sekretów lub własny menedżer sekretów, nigdy w kontrola źródła i jego wymiana, jeśli mogło dojść do jego narażenia.

Jak zarządza się kluczami

Klucze API administratora są zarządzane przez API administratora (/v1/admin/apikeys) oraz interfejs administracyjny, w którym tworzysz klucz, przypisujesz mu zakres i unieważniasz go, gdy nie jest już potrzebny. Ponieważ sam interfejs API administracyjny jest chroniony przez OIDC i lista dozwolonych adresów IP, wybicie klucza jest operacją uwierzytelnioną i audytowaną.

Dokąd dalej