2026.4.0

2026.4.0 estende i permessi dei sistemi esterni a Elasticsearch, Apache Doris, MongoDB, Redis e Valkey. Tutti e quattro gli agenti girano accanto al sistema e ne mantengono il controllo degli accessi allineato alle policy. Sul fronte di identità e autorizzazione arrivano la sincronizzazione dell’organizzazione da DingTalk, le autorizzazioni dirette degli utenti e l’esportazione e importazione del catalogo delle risorse. Tutte le modifiche sono nel confronto su GitHub.

Elasticsearch

• Plug-in di servizio Elasticsearch: indici e flussi di dati, i loro campi e il cluster; accesso con password, chiave API o certificato client TLS; vedi Elasticsearch.
• Agente accanto al cluster: mantiene per ogni utente un ruolo proprio di Elasticsearch, assegnato agli utenti nativi e, tramite mappature dei ruoli, agli utenti di altri realm, con sicurezza a livello di campo e di documento dove la licenza lo consente; i pattern di indice restano pattern, così i nuovi indici sono subito raggiungibili; vedi Agente Elasticsearch.
• Gli accessi provengono dai file del log di audit. I test di integrazione coprono Elasticsearch 8.19, 9.3, 9.4 e 9.5.

Apache Doris

• Plug-in di servizio Doris: cataloghi, database, tabelle, colonne e gruppi di carico di lavoro; si collega a uno o più FE e accede con password; vedi Apache Doris.
• Agente accanto al cluster: le policy diventano ruoli propri di Doris, permessi sulle colonne, permessi sui gruppi di carico di lavoro e policy di riga, concessi a ogni identità dell’utente; un intero database o catalogo viene concesso solo quando Doris non darebbe di più; vedi Agente Apache Doris.
• Gli accessi provengono dalla tabella del log di audit di Doris. I test di integrazione coprono Doris 2.1, 3.1, 4.0 e 4.1.

MongoDB

• Plug-in di servizio MongoDB: database e collezioni; si collega a un replica set o a un cluster con sharding e accede con SCRAM, certificato client, LDAP o Kerberos; vedi MongoDB.
• Agente accanto al deployment: mantiene un ruolo MongoDB per utente e ne sostituisce i privilegi in un solo passaggio; dai privilegi ereditati che MongoDB riporta, indica che cosa concedono davvero i ruoli integrati e personalizzati esterni a GrantForge; vedi Agente MongoDB.
• Gli accessi provengono dai file del log di audit di Enterprise o Percona, oppure dal profiler. I test di integrazione coprono MongoDB 6.0, 7.0, 8.0 e 9.0, con Kerberos verificato su Percona Server for MongoDB.

Redis e Valkey

• Plug-in di servizio Redis: chiavi, canali e nodi; si collega a un server singolo con le sue repliche o a un cluster e accede come utente ACL, facoltativamente via TLS; vedi Redis.
• Agente accanto al deployment: su ogni nodo allinea alle policy i selettori ACL di ogni utente e li sostituisce con un solo comando; i permessi radice restano agli operatori, e l’agente chiede a Redis con ACL DRYRUN se consentono accessi che le policy negano; vedi Agente Redis.
• I rifiuti provengono dal log ACL di ogni nodo. I test di integrazione coprono Redis 7.2, 7.4, 8.2 e 8.10, Valkey 8.1 e 9.1 e un cluster Redis 8.10.

Agenti

• Gli agenti di ClickHouse, PostgreSQL e OpenSearch e i nuovi agenti di questa versione che girano accanto a un sistema condividono il nuovo nucleo grantforge-agent-sync: avvio, impostazioni, timer, ciclo di sincronizzazione, posizioni di lettura dell’audit e lettura continua dei file di log. Ogni agente tiene solo ciò che è proprio del suo sistema; i formati di impostazioni e log non cambiano.

Identità e organizzazione

• Origini dati: la sincronizzazione dell’organizzazione si configura separatamente dalle fonti di identità, e il primo adattatore è DingTalk, con il suo SDK server ufficiale; dopo un accesso SSO, gli utenti vengono collegati automaticamente ai propri reparti e al reparto principale tramite l’indirizzo e-mail attendibile; le tabelle migrano su tutti e sei i database supportati, SQL Server e Oracle compresi; vedi Fonti di identità (LDAP e OIDC).
• Le fonti di identità OpenID Connect possono sincronizzare il numero di telefono e l’avatar e aggiungere parametri alla richiesta di autorizzazione (come provider_hint di Casdoor); i parametri propri del protocollo non si possono sovrascrivere.

Autorizzazione e catalogo delle risorse

• Autorizzazioni dirette degli utenti: consentono a un solo utente menu, pagine, pulsanti o API di un’applicazione di business, facoltativamente fino a una scadenza; si sommano ai permessi dei ruoli, e un divieto da un ruolo resta prioritario; vedi Utenti.
• Il catalogo delle risorse può esportare l’albero delle risorse di un’applicazione in JSON e importarlo in un’altra applicazione: l’importazione viene prima verificata e, in caso di conflitto, non si applica nulla; gli amministratori della piattaforma possono svuotare gli alberi di applicazione idonei; vedi Catalogo di risorse e API.

Server

• All’avvio il server mostra un banner GrantForge con la propria versione e quella di Java al posto del banner di Spring Boot.

Documentazione e pubblicazione

• La scheda dei plug-in si apre con una panoramica, raggruppa i sistemi per tipo in una barra laterale comprimibile e indica per ciascun sistema come applica le policy, il supporto ai filtri di riga e al mascheramento e le versioni verificate; tutti i README elencano i componenti nello stesso ordine.
• La CI verifica che ogni pagina sia tradotta per intero in ogni lingua: gli stessi paragrafi, titoli, tabelle, blocchi di codice e link della pagina cinese, nessun testo nella scrittura di un’altra lingua e niente copiato dalla pagina inglese; gli 11 README passano gli stessi controlli rispetto al README inglese. Tutte le traduzioni mancanti trovate dal controllo sono state completate.
• Il controllo delle versioni mantiene aggiornato il badge di versione di ogni README.
• I workflow di pubblicazione della documentazione e delle versioni non girano più sui fork.
• Il server grantforge-server non viene più pubblicato nei repository Maven: include tutti i plug-in e supera il loro limite di dimensione; è distribuito nell’archivio della release e nell’immagine.

Correzioni

• Cambiare il tipo di una risorsa nell’editor delle risorse cancella il codice di risorsa che non è più adatto.
• L’ultimo blocco di codice della guida all’integrazione JavaScript non inghiotte più il testo che lo segue, e l’indirizzo della console nelle pagine di Docker e dell’avvio rapido non trasforma più in link il testo successivo.
• Dipendenze aggiornate a versioni che correggono avvisi di sicurezza: MariaDB Connector/J 3.5.11, OpenTelemetry 1.67.0, Guava 33.7.2, Snappy 1.1.10.9, oltre a vue-i18n, glob e minimatch nella console e nell’SDK.