Grafana / المتقدم: الوصول والاعتماديات والأدلة / الدرس 13

المصادقة والأدوار وصلاحيات الموارد

راجع هوية المستخدم ونطاق المؤسسة أو الحزمة وصلاحيات الموارد وضوابط الطبعة، دون خلط ظهور اللوحة بعزل البيانات.

وقت القراءة التقريبي: 4 دقيقةتاريخ مراجعة المحتوى 2026-10-28

في هذه الصفحة

أهداف الدرس

ميّز المصادقة من التفويض.
حدد الأدوار الأساسية والفرق ونطاق الموارد.
سمِّ قدرات RBAC الخاصة بـEnterprise وCloud صراحة.

هوية الدخول بداية سؤال الوصول

تثبت المصادقة من يسجل الدخول عبر الآلية المهيأة، بينما يتحكم التفويض في الأفعال المسموحة ونطاق الموارد. تختلف قدرات الدخول وSSO المدعومة بحسب المزود والطبعة والاستضافة والنسخة؛ فلا تعرض خاصية Enterprise أو Cloud كسلوك OSS عام. راجع ربط الهوية ومزامنة المجموعات ودورة الجلسة والمصدر الفعلي للأدوار. لا يثبت دخول ناجح المؤسسة أو الفريق أو المنح المقصودة. أبق إدارة الحساب وتغييرات الوصول داخل المسار المخول للمؤسسة؛ فهذه الدورة لا تنشئ هوية أو حساباً ولا تفحص أياً منهما.

افصل الدور الأساسي من المنح الخاصة بالمورد

تشارك الأدوار الأساسية للمؤسسة والفرق وصلاحيات اللوحات والمجلدات وميزات RBAC المتاحة في نموذج الوصول الفعلي. يميز التوثيق الثابت قدرات OSS من ضوابط Enterprise الإضافية؛ وتحتاج عروض Cloud مراجعة استحقاق وإعداد خاصة بها. قد تبسط عضوية الفريق المنح، لكنها لا تثبت أقل امتياز. قد ينتمي مستخدم إلى فرق أو مجموعات متعددة، لذا افحص الصلاحيات الفعلية لا تسمية دور واحدة. افصل إدارة الخادم والمؤسسة وتحرير الموارد وحقوق استعلام المصدر، بدلاً من افتراض أن صلاحية لوحة تصفها كلها.

لا يقيد منع لوحة استعلام المصدر تلقائياً

يصف مرجع الأدوار استعلام المصادر الافتراضي بنطاق أوسع من اللوحات المرتبطة، مع قدرات صلاحيات إضافية ضمن الطبعات الموثقة. لذلك ليس إخفاء لوحة أو مجلد أو متغير استراتيجية عزل مستأجر. راجع تفويض المخزن الموثوق وضبط المصدر المدعوم في Grafana معاً. قد يستعلم اعتماد مشترك نطاقاً واسعاً رغم عرض مسار واحد. عرّف ما يجوز للقارئ استعلامه، لا الصفحة التي يفتحها فقط. لا تستخدم وصف route أو team ادعاء تفويض.

اكتب الأفعال المقصودة قبل اختيار الضبط

يسجل JSON هوية افتراضية للقراءة فقط ويسمي نطاق اللوحة والبيانات منفصلين. ليس صياغة RBAC أو حمولة API أو منحاً. يوضح فحص الأفعال أن القراءة لا تعني التحرير في سياسة نموذجية معلنة، ولا يعيد صلاحيات Grafana الفعلية أو الوراثة أو الطبعة. تحتاج المراجعة حالات قبول ورفض بالآلية المخولة. أدرج الاستعلام المباشر وAPI وحساب الخدمة حيث يلزم، لأن مسار متصفح ضيق لا يثبت الحد الكامل.

json سجل تحريري لقصد الوصول

{"identity":"synthetic-transit-reader","intended_actions":["read-view"],"dashboard_scope":"transit-lab-folder","data_scope":"separately-enforced-lab-data"}

الحقول عقد تعليمي لا معرفات صلاحيات Grafana. لا يمنح السجل دوراً أو عضوية أو رمزاً أو وصول مصدر.

python فحص محلي للأفعال المقصودة

allowed_actions = {"read-view"}
for action in ["read-view", "edit-view", "query-all-data"]:
    print(action, action in allowed_actions)

الناتج المتوقع

read-view True
edit-view False
query-all-data False

المجموعة الثابتة هي السياسة النموذجية كلها. لا تنفذ مصادقة أو تفويض Grafana أو وراثة صلاحيات أو فحص حساب.

تحقق من النطاق الفعلي دون كشف أسرار

ينبغي أن تسجل مراجعة وصول مخولة مصدر الهوية والمنح الفعلية ونطاق الموارد والطبعة والنسخة ونتائج السماح والرفض المتوقعة. لا تلصق رموزاً أو مواد جلسات أو أسماء مستخدمين خاصة أو قوائم وصول حقيقية في درس عام. تحتاج حسابات الخدمة ورموزها نطاقاً ودورة حياة وملكية مراجعة؛ ولا تستنتج صلاحياتها من عنوان لوحة. لا يحلل هذا الدرس سياسة فعلية، وينفذ فحص عضوية مجموعة ثابتة فقط. لا يغير دوراً أو فريقاً أو مجلداً أو إعداد مصادقة أو رمزاً أو حساباً، ولا يدعي تحقق أمن أي تثبيت.

الأخطاء الشائعة وإصلاحها

يُعد الدخول الناجح تفويضاً صحيحاً.

لماذا يحدث؟: حل إثبات الهوية محل المنح الفعلية.
كيف تصلحه؟: راجع النطاق والأفعال مستقلة.
كيف تتجنب تكراره؟: اختبر السماح والرفض المتوقعين.

يسمى تقييد مجلد عزلاً كاملاً للبيانات.

لماذا يحدث؟: أُهمل استعلام المصدر والاعتماد المشترك.
كيف تصلحه؟: راجع المخزن وصلاحيات المصدر المدعومة.
كيف تتجنب تكراره؟: أدرج المسارات خارج اللوحة.

يفترض توفر ضبط Enterprise في OSS.

لماذا يحدث؟: أُغفلت الطبعة والاستحقاق.
كيف تصلحه؟: افحص توثيق المنتج والنسخة المختارين.
كيف تتجنب تكراره؟: سجل القدرة اللازمة قبل التنفيذ.

اختبر فهمك

1. هل يمكن افتراض أن Viewer الممنوع من فتح لوحة لا يستطيع استعلام مصدر بياناتها الأساسي؟

اعرض الحل المشروح

لا. ظهور اللوحة وتفويض استعلام المصدر مسألتان منفصلتان. راجع السلوك الافتراضي والمهيأ للطبعة المختارة ونطاق اعتماد المخزن. اختبر المسارات المسموحة الفعلية بتفويض، ولا تعتبر إخفاء عرض محفوظ دليلاً على عزل البيانات.

2. ماذا تثبت عينة الأفعال المحلية عن صلاحيات Grafana الفعلية؟