2026.4.0

2026.4.0 распространяет права внешних систем на Elasticsearch, Apache Doris, MongoDB, а также Redis и Valkey. Все четыре агента работают рядом с системой и согласуют её собственный контроль доступа с политиками. В части идентификации и авторизации добавлены синхронизация оргструктуры из DingTalk, прямые права пользователей, а также экспорт и импорт каталога ресурсов. Все изменения — в сравнении на GitHub.

Elasticsearch

• Плагин сервиса Elasticsearch: индексы и потоки данных, их поля и кластер; вход по паролю, ключу API или клиентскому сертификату TLS; см. Elasticsearch.
• Агент рядом с кластером: ведёт для каждого пользователя собственную роль Elasticsearch, назначает её встроенным пользователям, а пользователям других realm — через сопоставление ролей; если позволяет лицензия, добавляет безопасность на уровне полей и документов; шаблоны индексов остаются шаблонами, поэтому новые индексы доступны сразу; см. Агент Elasticsearch.
• Записи о доступе берутся из файлов журнала аудита. Интеграционные тесты охватывают Elasticsearch 8.19, 9.3, 9.4 и 9.5.

Apache Doris

• Плагин сервиса Doris: каталоги, базы данных, таблицы, столбцы и группы рабочей нагрузки; подключается к одному или нескольким FE и входит по паролю; см. Apache Doris.
• Агент рядом с кластером: политики становятся собственными ролями Doris, правами на столбцы, правами на группы рабочей нагрузки и политиками строк и выдаются каждой идентичности пользователя; база данных или каталог целиком выдаются, только если Doris не даст этим больше; см. Агент Apache Doris.
• Записи о доступе берутся из таблицы журнала аудита Doris. Интеграционные тесты охватывают Doris 2.1, 3.1, 4.0 и 4.1.

MongoDB

• Плагин сервиса MongoDB: базы данных и коллекции; подключается к набору реплик или шардированному кластеру и входит через SCRAM, клиентский сертификат, LDAP или Kerberos; см. MongoDB.
• Агент рядом с развёртыванием: ведёт для каждого пользователя одну роль MongoDB и заменяет её привилегии за один шаг; по унаследованным привилегиям, которые сообщает MongoDB, показывает, что на деле дают встроенные и пользовательские роли вне GrantForge; см. Агент MongoDB.
• Записи о доступе берутся из файлов журнала аудита Enterprise или Percona либо из профилировщика. Интеграционные тесты охватывают MongoDB 6.0, 7.0, 8.0 и 9.0, Kerberos проверен на Percona Server for MongoDB.

Redis и Valkey

• Плагин сервиса Redis: ключи, каналы и узлы; подключается к отдельному серверу с его репликами или к кластеру и входит как пользователь ACL, при желании по TLS; см. Redis.
• Агент рядом с развёртыванием: на каждом узле согласует селекторы ACL каждого пользователя с политиками и заменяет их одной командой; корневые права по-прежнему ведут операторы, а агент спрашивает Redis через ACL DRYRUN, не разрешают ли они доступ, запрещённый политиками; см. Агент Redis.
• Записи об отказах берутся из журнала ACL каждого узла. Интеграционные тесты охватывают Redis 7.2, 7.4, 8.2 и 8.10, Valkey 8.1 и 9.1, а также кластер Redis 8.10.

Агенты

• Агенты ClickHouse, PostgreSQL и OpenSearch и новые агенты этого выпуска, работающие рядом с системой, используют общее новое ядро grantforge-agent-sync: запуск, настройки, таймеры, цикл синхронизации, позиции чтения аудита и слежение за файлами журналов. Каждый агент оставляет себе только то, что относится к его системе; форматы настроек и журналов не изменились.

Идентификация и оргструктура

• Источники данных: синхронизация оргструктуры настраивается отдельно от источников идентификации, первый адаптер — DingTalk на его официальном серверном SDK; после входа через SSO пользователи по доверенной почте автоматически привязываются к подразделениям и основному подразделению; таблицы мигрируют на всех шести поддерживаемых базах данных, включая SQL Server и Oracle; см. Источники идентификации (LDAP и OIDC).
• Источники идентификации OpenID Connect могут синхронизировать номер телефона и аватар и добавлять параметры в запрос авторизации (например, provider_hint для Casdoor); собственные параметры протокола переопределить нельзя.

Авторизация и каталог ресурсов

• Прямые права пользователей: разрешают одному пользователю меню, страницы, кнопки или API бизнес-приложения, при необходимости до заданного срока; учитываются вместе с правами ролей, и запрет в роли по-прежнему важнее; см. Пользователи.
• Каталог ресурсов может экспортировать дерево ресурсов приложения в JSON и импортировать его в другое приложение: импорт сначала проверяется, а при конфликте ничего не применяется; администраторы платформы могут очищать подходящие деревья приложений; см. Каталог ресурсов и каталог API.

Сервер

• При запуске сервер выводит баннер GrantForge со своей версией и версией Java вместо баннера Spring Boot.

Документация и выпуск

• Вкладка плагинов открывается обзором, группирует системы по виду в сворачиваемой боковой панели и показывает для каждой системы способ применения, поддержку фильтров строк и маскирования и проверенные версии; все README перечисляют компоненты в том же порядке.
• CI проверяет, что каждая страница полностью переведена на каждый язык: те же абзацы, заголовки, таблицы, блоки кода и ссылки, что и на китайской странице, никакого текста в чужой письменности и ничего, скопированного с английской страницы; 11 README проходят те же проверки относительно английского README. Все недостающие переводы, найденные проверкой, восполнены.
• Проверка версий поддерживает актуальным значок версии в каждом README.
• Процессы публикации документации и выпуска больше не запускаются в форках.
• Сервер grantforge-server больше не публикуется в репозитории Maven: он включает все плагины и превышает их ограничение на размер; сервер поставляется в архиве выпуска и образе.

Исправления

• При смене типа ресурса в редакторе ресурса очищается код ресурса, который больше не подходит.
• Последний блок кода в руководстве по интеграции на JavaScript больше не поглощает следующий за ним текст, а адрес консоли на страницах Docker и быстрого старта больше не превращает последующий текст в ссылку.
• Зависимости обновлены до версий, исправляющих уязвимости из бюллетеней безопасности: MariaDB Connector/J 3.5.11, OpenTelemetry 1.67.0, Guava 33.7.2, Snappy 1.1.10.9, а также vue-i18n, glob и minimatch в консоли и SDK.