2026.4.0

2026.4.0 étend les autorisations des systèmes externes à Elasticsearch, Apache Doris, MongoDB, ainsi qu’à Redis et Valkey. Les quatre agents s’exécutent à côté du système et alignent son propre contrôle d’accès sur les politiques. Côté identité et autorisation, cette version ajoute la synchronisation de l’organisation depuis DingTalk, les autorisations directes des utilisateurs, ainsi que l’export et l’import du catalogue des ressources. Toutes les modifications figurent dans la comparaison sur GitHub.

Elasticsearch

• Plug-in de service Elasticsearch : index et flux de données, leurs champs et le cluster ; connexion par mot de passe, clé d’API ou certificat client TLS ; voir Elasticsearch.
• Agent à côté du cluster : maintient pour chaque utilisateur un rôle Elasticsearch propre, attribué aux utilisateurs natifs et, par des mappages de rôles, aux utilisateurs des autres realms, avec la sécurité au niveau des champs et des documents lorsque la licence le permet ; les motifs d’index restent des motifs, de sorte que les nouveaux index sont accessibles aussitôt ; voir Agent Elasticsearch.
• Les accès proviennent des fichiers du journal d’audit. Les tests d’intégration couvrent Elasticsearch 8.19, 9.3, 9.4 et 9.5.

Apache Doris

• Plug-in de service Doris : catalogues, bases de données, tables, colonnes et groupes de charge de travail ; se connecte à un ou plusieurs FE et s’authentifie par mot de passe ; voir Apache Doris.
• Agent à côté du cluster : les politiques deviennent les rôles propres de Doris, des droits sur les colonnes, des droits sur les groupes de charge de travail et des politiques de lignes, accordés à chaque identité de l’utilisateur ; une base de données ou un catalogue entier n’est accordé que si Doris n’en donnerait pas davantage ; voir Agent Apache Doris.
• Les accès proviennent de la table du journal d’audit de Doris. Les tests d’intégration couvrent Doris 2.1, 3.1, 4.0 et 4.1.

MongoDB

• Plug-in de service MongoDB : bases de données et collections ; se connecte à un replica set ou à un cluster shardé et s’authentifie par SCRAM, certificat client, LDAP ou Kerberos ; voir MongoDB.
• Agent à côté du déploiement : maintient un rôle MongoDB par utilisateur et remplace ses privilèges en une seule étape ; à partir des privilèges hérités que MongoDB indique, il signale ce que les rôles intégrés et personnalisés hors de GrantForge accordent réellement ; voir Agent MongoDB.
• Les accès proviennent des fichiers du journal d’audit d’Enterprise ou de Percona, ou du profileur. Les tests d’intégration couvrent MongoDB 6.0, 7.0, 8.0 et 9.0, et Kerberos est vérifié sur Percona Server for MongoDB.

Redis et Valkey

• Plug-in de service Redis : clés, canaux et nœuds ; se connecte à un serveur seul et à ses réplicas ou à un cluster, et s’authentifie comme utilisateur ACL, éventuellement via TLS ; voir Redis.
• Agent à côté du déploiement : aligne sur chaque nœud les sélecteurs ACL de chaque utilisateur sur les politiques et les remplace par une seule commande ; les droits racine restent du ressort des exploitants, et l’agent demande à Redis avec ACL DRYRUN s’ils permettent des accès que les politiques refusent ; voir Agent Redis.
• Les refus proviennent du journal ACL de chaque nœud. Les tests d’intégration couvrent Redis 7.2, 7.4, 8.2 et 8.10, Valkey 8.1 et 9.1, ainsi qu’un cluster Redis 8.10.

Agents

• Les agents ClickHouse, PostgreSQL et OpenSearch et les nouveaux agents de cette version qui s’exécutent à côté d’un système partagent le nouveau cœur grantforge-agent-sync : lancement, réglages, minuteries, boucle de synchronisation, positions de lecture de l’audit et suivi des fichiers journaux. Chaque agent ne garde que ce qui est propre à son système ; les formats des réglages et des journaux ne changent pas.

Identité et organisation

• Sources de données : la synchronisation de l’organisation se configure à part des sources d’identité, et le premier adaptateur est DingTalk, avec son SDK serveur officiel ; après une connexion SSO, les utilisateurs sont associés automatiquement à leurs départements et à leur département principal grâce à leur adresse e-mail de confiance ; les tables migrent sur les six bases de données prises en charge, SQL Server et Oracle compris ; voir Sources d’identité (LDAP et OIDC).
• Les sources d’identité OpenID Connect peuvent synchroniser le numéro de téléphone et l’avatar et ajouter des paramètres à la requête d’autorisation (comme provider_hint pour Casdoor) ; les paramètres propres au protocole ne peuvent pas être remplacés.

Autorisation et catalogue des ressources

• Autorisations directes des utilisateurs : autorisent pour un seul utilisateur des menus, pages, boutons ou API d’une application métier, éventuellement jusqu’à une date d’expiration ; elles se cumulent avec les autorisations des rôles, et un refus venant d’un rôle reste prioritaire ; voir Utilisateurs.
• Le catalogue des ressources peut exporter l’arbre des ressources d’une application en JSON et l’importer dans une autre application : l’import est d’abord vérifié, et rien n’est appliqué en cas de conflit ; les administrateurs de la plateforme peuvent vider les arbres d’application éligibles ; voir Catalogue des ressources et des API.

Serveur

• Au démarrage, le serveur affiche une bannière GrantForge avec sa version et celle de Java au lieu de la bannière de Spring Boot.

Documentation et publication

• L’onglet des plug-ins s’ouvre sur une vue d’ensemble, regroupe les systèmes par nature dans une barre latérale repliable et indique pour chacun le mode d’application, la prise en charge des filtres de lignes et du masquage et les versions vérifiées ; tous les README présentent les composants dans le même ordre.
• La CI vérifie que chaque page est entièrement traduite dans chaque langue : mêmes paragraphes, titres, tableaux, blocs de code et liens que la page chinoise, aucun texte dans l’écriture d’une autre langue et rien de recopié de la page anglaise ; les 11 README subissent les mêmes vérifications par rapport au README anglais. Toutes les traductions manquantes repérées par la vérification ont été complétées.
• La vérification des versions tient à jour le badge de version de chaque README.
• Les workflows de publication de la documentation et des versions ne s’exécutent plus sur les forks.
• Le serveur grantforge-server n’est plus publié dans les dépôts Maven : il embarque tous les plug-ins et dépasse leur limite de taille ; il est livré dans l’archive de version et l’image.

Corrections

• Changer le type d’une ressource dans l’éditeur de ressource efface le code de ressource qui ne convient plus.
• Le dernier bloc de code du guide d’intégration JavaScript n’avale plus le texte qui le suit, et l’adresse de la console sur les pages Docker et de démarrage rapide ne transforme plus le texte suivant en lien.
• Dépendances mises à niveau vers des versions qui corrigent des avis de sécurité : MariaDB Connector/J 3.5.11, OpenTelemetry 1.67.0, Guava 33.7.2, Snappy 1.1.10.9, ainsi que vue-i18n, glob et minimatch dans la console et le SDK.