2026.3.0

2026.3.0 amplía los permisos de los sistemas externos a Apache Pulsar, Apache Solr, ClickHouse, PostgreSQL y OpenSearch. Los agentes de Pulsar y Solr deciden cada solicitud dentro del sistema; los agentes de ClickHouse, PostgreSQL y OpenSearch se ejecutan junto al sistema y mantienen su propio control de acceso de acuerdo con las políticas, de modo que el sistema verifica cada solicitud por sí mismo. La lista completa de cambios está en la comparación en GitHub.

Apache Pulsar

• Un plugin de servicio de Pulsar: tenants, espacios de nombres, temas, las suscripciones bajo un tema y clústeres, con produce, consume, functions, sources, sinks y packages de Pulsar y la administración de temas, espacios de nombres y tenants; inicia sesión con un token, una contraseña, credenciales de cliente OAuth 2.0 o un certificado de cliente TLS; véase Apache Pulsar.
• Un proveedor de autorización de los brokers que decide cada verificación sucesivamente en el tenant, el espacio de nombres, el tema y la suscripción, con condiciones sobre la dirección del cliente; admin en un clúster convierte un rol en superusuario de Pulsar, y conceder permisos a través del propio Pulsar se rechaza; véase el agente de Pulsar.
• Las pruebas de integración cubren Pulsar 3.0.17, 3.3.9, 4.0.14 y 4.2.5.

Apache Solr

• Un plugin de servicio de Solr: colecciones, las rutas de solicitud dentro de ellas, como /select o /export, para que una política pueda permitir una colección y denegar un manejador, y el clúster; inicia sesión con autenticación básica o un JSON Web Token; véase Apache Solr.
• Un plugin de autorización de los nodos que clasifica las solicitudes como lo hace el plugin basado en reglas de Solr y decide cada una en su colección y su ruta de solicitud; las solicitudes de la Collections API necesitan admin_collection en cada colección que nombran, y los roles verificados de un JSON Web Token cuentan como grupos; véase el agente de Solr.
• Las pruebas de integración cubren nodos SolrCloud de Solr 9.8.1, 9.10.1, 9.11.0 y 10.0.0, bajo el gestor de seguridad de Solr 9.

ClickHouse

• Un plugin de servicio de ClickHouse: bases de datos, tablas, columnas y el servidor; la lectura y la escritura se deciden por columna, y las operaciones sobre tablas, bases de datos y el servidor con sus propios tipos de acceso, ninguno de los cuales es un grupo de privilegios, de modo que una política nunca da más de lo que nombra; véase ClickHouse.
• Un agente junto a los servidores que mantiene un rol por usuario con exactamente lo que dan las políticas, y una política de filas por cada filtro de filas; un tipo de acceso permitido en toda una base de datos sin nada restringido por debajo se concede en la base de datos, de modo que las tablas nuevas lo tienen de inmediato; véase el agente de ClickHouse.
• Los accesos se informan desde system.query_log; se informan las concesiones hechas fuera de GrantForge que dan lo que una política deniega. Las pruebas de integración cubren ClickHouse 24.8, 25.3, 25.8, 26.3 y 26.8.

PostgreSQL

• Un plugin de servicio de PostgreSQL: bases de datos, esquemas, tablas y vistas, y columnas, con los privilegios de PostgreSQL en el nivel en que PostgreSQL los concede; inicia sesión con una contraseña o un certificado de cliente TLS, con los modos TLS de libpq; véase PostgreSQL.
• Un agente junto a los servidores que mantiene un rol por usuario en cada base de datos, hasta las columnas, con el CONNECT, el USAGE de esquema y las secuencias serial que necesita, y cambia cada base de datos en una transacción; los filtros de filas se convierten en políticas restrictivas de seguridad de filas, por lo que solo restringen; véase el agente de PostgreSQL.
• Los accesos se informan desde el registro del servidor escrito con pgaudit. Las pruebas de integración cubren PostgreSQL 15, 16, 17 y 18.

OpenSearch

• Un plugin de servicio de OpenSearch: índices y flujos de datos, sus campos y el clúster; cada tipo de acceso es un grupo de acciones del plugin de seguridad; las máscaras se convierten en sus campos enmascarados y los filtros de filas en su seguridad a nivel de documento; véase OpenSearch.
• Un agente junto al clúster que mantiene un rol por usuario, asignado solo a ese usuario, escrito como parches JSON que el plugin de seguridad aplica en todo el clúster; los patrones de índices siguen siendo patrones donde todas las políticas deciden igual sobre ellos, de modo que los índices creados más tarde son accesibles de inmediato; véase el agente de OpenSearch.
• Los accesos se informan desde el registro de auditoría del plugin de seguridad; se informan los roles ajenos a GrantForge que dan lo que una política deniega. Las pruebas de integración cubren OpenSearch 2.19, 3.3, 3.6 y 3.9.

Motor de políticas y agentes

• El motor de políticas indica si algo por debajo de un recurso podría decidirse de otra forma para un usuario y un acceso, de modo que los agentes que conceden en los términos propios de un sistema pueden conceder un contenedor entero, como todas las tablas de una base de datos.
• Las instantáneas de los agentes muestran, además de sus políticas de acceso, sus políticas de enmascaramiento y de filtrado de filas y los usuarios que nombran.

Documentación y publicación

• Los plugins y agentes de Pulsar, Solr, ClickHouse, PostgreSQL y OpenSearch están documentados en los once idiomas, y cada README los enumera con las versiones que verifican las pruebas de integración.
• Las barras de desplazamiento de la documentación siguen la paleta del sitio en los temas claro y oscuro.
• Las publicaciones de GitHub llevan como título su etiqueta de versión.

Correcciones

• El plugin de Pulsar indica que un broker que rechaza conexiones es inalcanzable.
• El agente de Solr se compila contra Solr 9.10.1, que corrige avisos de seguridad de versiones anteriores.
• El agente de PostgreSQL lee abreviaturas de zona horaria como CEST en las horas del registro del servidor.
• El agente de OpenSearch mantiene SLF4J dentro de su jar, de modo que un servidor que lo incluye conserva su propio registro.
• La consola, el SDK y el sitio de documentación actualizan vite, vitest, undici y dompurify a versiones que corrigen avisos de npm.