AiHummer
Română▾
AutentificareCont personal
v1.0.x▾
v1.2.xstablev1.1.xstablev1.0.xstable
{ }Swagger
Securitate/RBAC și chei API cu domeniu limitat

RBAC și chei API cu domeniu limitat

v1.0.x · actualizat 2026-07-07

AiHummer își protejează suprafața de administrare cu controlul accesului bazat pe roluri și chei API cu domeniu restrâns. Rolurile decid cine este permis să fie o persoană; cheile limitate vă permit să dați unei părți a automatizării doar privilegiile de care are nevoie efectiv, în loc de o cheie care poate face totul.

Roluri

Accesul la API-ul de administrare și la interfața de administrare este guvernat de roluri. Un rol determină ce grupuri de resurse poate vizualiza și ce grupuri poate modifica un principiu.

Rolurile sunt gestionate în interfața de administrare Roluri pagină. Din cutie există roluri încorporate — owner (totul), admin, operator și member — care sunt doar în citire (marcate cu un badge „Built-in”; nu pot fi editate sau șterse). Dincolo de acestea, poți crea roluri personalizate: formularul rolului primește un nume, o descriere și o grilă de permisiuni — bife de citire/scriere pentru fiecare dintre cele ~19 domenii de resurse (agenți, conversații, unelte, secrete, pluginuri, setări, aprobări, chei API și așa mai departe; „scriere” implică automat „citire”). Fiecare rol arată câți subiecți îl utilizează; un rol care este atribuit cuiva nu poate fi șters până când atribuțiile nu sunt eliminate.

Combină rolurile cu celelalte controale de pe acest site — Lista de permisiuni IP, autentificare unică pentru întreprindere și jurnal de audit — astfel încât fiecare acțiune de administrator să fie atât autorizată, cât și înregistrată.

Chei API cu domeniu limitat

Cheile API poartă domenii care limitează ce poate face cheia. Domeniile definite sunt:

Domeniu Subvenții
chat Endpoint-ul compatibil OpenAI pentru utilizatorul final (implicitul vechi pentru cheile existente).
admin:read Acces doar în citire la resursele de administrare (GET /v1/admin/*: setări, conversații, analize, etc.).
admin:write Apeluri API de administrare care mută (POST/PUT/DELETE /v1/admin/*).
mcp Punctul final MCP publicat (POST /v1/mcp).
a2a Punctul final Agent-la-Agent publicat (POST /a2a/message).
* Acces complet la tot (adevărata sferă de acces complet).

În plus, un generic <area>:* caracterul universal funcționează: admin:*, de exemplu, subvenții fiecare acțiune a administratorului dar face nu subvenție chat, mcp sau a2a — nu este un domeniu definit separat, ci doar un caz al caracterului comodin. Doar * oferă acces complet la toate suprafețele.

Cheile emise înainte ca scope-urile să existe continuă să funcționeze fără restricții; cheile noi pot fi emise cu un scope restrâns astfel încât, de exemplu, un tablou de bord care doar citește metrici să nu dețină niciodată o cheie care ar putea modifica setările.

[!TIP] Aplică principiul privilegiului minim: o integrare de monitorizare sau raportare ar trebui să primească un admin:read cheie, nu admin:write — ca să nu mai vorbim de *. Rezerva * pentru chei care au nevoie cu adevărat de acces la fiecare suprafață.

Alegerea domeniului potrivit

  • Clienți de chat (apelarea endpoint-ului compatibil cu OpenAI) → chat.
  • Integrări doar în citire (tabouri de bord, exportatori, verificări de stare) → admin:read.
  • Automatizare care creează sau editează resurse (agenți de aprovizionare, import) cunoștințe, gestionarea programelor) → admin:write.
  • Clienții MCP și A2A → mcp și a2a respectiv.
  • Spargere sticlă / acces complet → *, ținut de cât mai puține chei posibil și rotit în mod regulat.

[!WARNING] O cheie cu domeniu specificat rămâne tot o acreditare pentru API-ul de administrare. Depoziteaz-o în seif de secrete sau propriul tău manager secret, niciodată în controlează sursa și rotește-o dacă ar fi putut fi expusă.

Cum sunt gestionate cheile

Cheile API de administrator sunt gestionate prin API-ul de administrator (/v1/admin/apikeys) și interfața de administrare, unde creezi o cheie, îi atribui domeniul de aplicare și o revoci când nu mai este necesară. Deoarece API-ul de administrare în sine este protejat de OIDC și lista de permisiuni IP, crearea unui chei este o operațiune autentificată și auditată.

Unde următor?