2026.4.0

2026.4.0 amplía los permisos de sistemas externos a Elasticsearch, Apache Doris, MongoDB, y a Redis y Valkey. Los cuatro agentes se ejecutan junto al sistema y mantienen su propio control de acceso de acuerdo con las políticas. En identidad y autorización, esta versión añade la sincronización de la organización desde DingTalk, los permisos directos de usuario y la exportación e importación del catálogo de recursos. Todos los cambios están en la comparación de GitHub.

Elasticsearch

• Plugin de servicio de Elasticsearch: índices y flujos de datos, sus campos y el clúster; inicia sesión con contraseña, clave de API o certificado de cliente TLS; consulta Elasticsearch.
• Agente junto al clúster: mantiene para cada usuario un rol propio de Elasticsearch, asignado a los usuarios nativos y, mediante asignaciones de roles, a los usuarios de otros realms, con seguridad a nivel de campo y de documento cuando la licencia lo permite; los patrones de índice siguen siendo patrones, así que los índices nuevos son accesibles al instante; consulta Agente de Elasticsearch.
• Los accesos proceden de los archivos del registro de auditoría. Las pruebas de integración cubren Elasticsearch 8.19, 9.3, 9.4 y 9.5.

Apache Doris

• Plugin de servicio de Doris: catálogos, bases de datos, tablas, columnas y grupos de carga de trabajo; se conecta a uno o varios FE e inicia sesión con contraseña; consulta Apache Doris.
• Agente junto al clúster: las políticas se convierten en roles propios de Doris, permisos de columna, permisos sobre grupos de carga de trabajo y políticas de filas, concedidos a cada identidad del usuario; una base de datos o un catálogo entero solo se concede cuando Doris no daría más con ello; consulta Agente de Apache Doris.
• Los accesos proceden de la tabla del registro de auditoría de Doris. Las pruebas de integración cubren Doris 2.1, 3.1, 4.0 y 4.1.

MongoDB

• Plugin de servicio de MongoDB: bases de datos y colecciones; se conecta a un replica set o a un clúster fragmentado e inicia sesión con SCRAM, certificado de cliente, LDAP o Kerberos; consulta MongoDB.
• Agente junto al despliegue: mantiene un rol de MongoDB por usuario y sustituye sus privilegios en un solo paso; con los privilegios heredados que informa MongoDB, indica lo que conceden de verdad los roles integrados y personalizados ajenos a GrantForge; consulta Agente de MongoDB.
• Los accesos proceden de los archivos del registro de auditoría de Enterprise o Percona, o del profiler. Las pruebas de integración cubren MongoDB 6.0, 7.0, 8.0 y 9.0, y Kerberos está verificado en Percona Server for MongoDB.

Redis y Valkey

• Plugin de servicio de Redis: claves, canales y nodos; se conecta a un servidor independiente con sus réplicas o a un clúster, e inicia sesión como usuario de ACL, opcionalmente por TLS; consulta Redis.
• Agente junto al despliegue: en cada nodo mantiene los selectores de ACL de cada usuario de acuerdo con las políticas y los sustituye con un único comando; los permisos raíz siguen en manos de los operadores, y el agente pregunta a Redis con ACL DRYRUN si permiten accesos que las políticas deniegan; consulta Agente de Redis.
• Las denegaciones proceden del registro de ACL de cada nodo. Las pruebas de integración cubren Redis 7.2, 7.4, 8.2 y 8.10, Valkey 8.1 y 9.1, además de un clúster de Redis 8.10.

Agentes

• Los agentes de ClickHouse, PostgreSQL y OpenSearch y los nuevos agentes de esta versión que se ejecutan junto a un sistema comparten el nuevo núcleo grantforge-agent-sync: arranque, configuración, temporizadores, ciclo de sincronización, posiciones de lectura de la auditoría y seguimiento de archivos de registro. Cada agente conserva solo lo propio de su sistema; los formatos de configuración y de registro no cambian.

Identidad y organización

• Fuentes de datos: la sincronización de la organización se configura aparte de las fuentes de identidad, y el primer adaptador es DingTalk, con su SDK oficial de servidor; tras iniciar sesión por SSO, los usuarios quedan vinculados automáticamente a sus departamentos y a su departamento principal mediante su correo de confianza; las tablas migran en las seis bases de datos admitidas, incluidas SQL Server y Oracle; consulta Fuentes de identidad (LDAP y OIDC).
• Las fuentes de identidad OpenID Connect pueden sincronizar el teléfono y el avatar y añadir parámetros a la solicitud de autorización (como provider_hint de Casdoor); los parámetros propios del protocolo no se pueden sustituir.

Autorización y catálogo de recursos

• Permisos directos de usuario: permiten a un único usuario menús, páginas, botones o API de una aplicación de negocio, opcionalmente hasta una fecha de caducidad; se calculan junto con los permisos de los roles, y una denegación de un rol sigue prevaleciendo; consulta Usuarios.
• El catálogo de recursos puede exportar el árbol de recursos de una aplicación como JSON e importarlo en otra aplicación: la importación se comprueba primero y, si hay un conflicto, no se aplica nada; los administradores de la plataforma pueden vaciar los árboles de aplicación que cumplan las condiciones; consulta Catálogo de recursos y API.

Servidor

• Al arrancar, el servidor muestra un banner de GrantForge con su versión y la de Java en lugar del banner de Spring Boot.

Documentación y publicación

• La pestaña de plugins empieza con una vista general, agrupa los sistemas por tipo en una barra lateral plegable e indica para cada sistema cómo aplica las políticas, si admite filtros de filas y enmascaramiento y qué versiones están verificadas; todos los README enumeran los componentes en el mismo orden.
• La CI comprueba que cada página está traducida por completo a cada idioma: los mismos párrafos, encabezados, tablas, bloques de código y enlaces que la página en chino, ningún texto en la escritura de otro idioma y nada copiado de la página en inglés; los 11 README pasan las mismas comprobaciones respecto al README en inglés. Se han completado todas las traducciones que faltaban y que encontró la comprobación.
• La comprobación de versiones mantiene al día la insignia de versión de cada README.
• Los flujos de publicación de la documentación y de las versiones ya no se ejecutan en los forks.
• El servidor grantforge-server ya no se publica en los repositorios de Maven: incluye todos los plugins y supera su límite de tamaño; se distribuye en el archivo de la versión y en la imagen.

Correcciones

• Al cambiar el tipo de un recurso en el editor de recursos se borra el código de recurso que ya no corresponde.
• El último bloque de código de la guía de integración con JavaScript ya no se traga el texto que lo sigue, y la dirección de la consola en las páginas de Docker y de inicio rápido ya no convierte en enlace el texto siguiente.
• Dependencias actualizadas a versiones que corrigen avisos de seguridad: MariaDB Connector/J 3.5.11, OpenTelemetry 1.67.0, Guava 33.7.2, Snappy 1.1.10.9, y vue-i18n, glob y minimatch en la consola y el SDK.