RBAC și chei API cu domeniu — AiHummer Documentație

AiHummer protejează suprafața sa de administrare cu control al accesului bazat pe roluri și chei API cu domeniu. Rolurile decid cine are voie să fie o persoană; cheile cu domeniu îți permit să dai unei automatizări doar privilegiile de care are nevoie cu adevărat, în loc de o cheie care poate face totul.

Roluri

Accesul la API-ul de administrare și la interfața de administrare este guvernat de roluri. Un rol determină ce grupuri de resurse poate vizualiza un principal și pe care le poate modifica.

Rolurile se gestionează pe pagina „Roluri” a interfeței de administrare. Din start există roluri integrate — owner (totul), admin, operator și member — disponibile doar pentru citire (marcate cu badge-ul „Integrat”, nu pot fi modificate sau șterse). Pe lângă ele poți crea roluri proprii: în formularul rolului se setează numele, descrierea și grila de drepturi — checkbox-uri citire/scriere pentru fiecare dintre cele ~19 domenii de resurse (agenți, conversații, instrumente, secrete, pluginuri, setări, aprobări, chei API etc.; „scriere” include automat „citire”). La fiecare rol se afișează câți subiecți îl folosesc; un rol atribuit cuiva nu poate fi șters până când atribuirile nu sunt eliminate.

Combină rolurile cu celelalte controale de pe acest site — lista de IP-uri permise, SSO enterprise și jurnalul de audit — astfel încât fiecare acțiune de administrare să fie atât autorizată, cât și înregistrată.

Chei API de administrare cu domeniu

Cheile API de administrare poartă domenii care constrâng ce poate face cheia. Există trei domenii:

Domeniu	Acordă
`admin:read`	Acces doar pentru citire la resursele de administrare (vizualizare setări, conversații, analize etc.).
`admin:write`	Acces de citire și scriere la resursele de administrare.
`admin:*`	Acces complet de administrare (echivalent cu toate domeniile de administrare).

Domeniile au fost introduse prin migrarea 0073. Cheile existente continuă să funcționeze; cheile noi pot fi emise cu un domeniu îngust, astfel încât, de exemplu, un dashboard care citește doar metrici să nu dețină niciodată o cheie care ar putea schimba setări.

[!TIP] Aplică privilegiul minim: o integrare de monitorizare sau raportare ar trebui să primească o cheie admin:read, nu admin:write sau admin:*. Rezervă admin:* pentru cheile care au cu adevărat nevoie să modifice fiecare grup de resurse.

Alegerea domeniului potrivit

Integrări doar pentru citire (dashboarduri, exportatoare, verificări de stare) → admin:read.
Automatizare care creează sau editează resurse (agenți de provisioning, importarea de cunoștințe, gestionarea programărilor) → admin:write.
Break-glass / administrare completă → admin:*, deținut de cât mai puține chei posibil și rotit regulat.

[!WARNING] O cheie cu domeniu este totuși o credențială pentru API-ul de administrare. Stocheaz-o în vault-ul de secrete sau în propriul tău manager de secrete, niciodată în controlul codului sursă, și rotește-o dacă ar fi putut fi expusă.

Cum sunt gestionate cheile

Cheile API de administrare sunt gestionate prin API-ul de administrare (/v1/admin/apikeys) și interfața de administrare, unde emiți o cheie, îi atribui domeniul și o revoci când nu mai este necesară. Deoarece API-ul de administrare în sine este protejat de OIDC și lista de IP-uri permise, emiterea unei chei este o operațiune autentificată și auditată.

Unde mergi mai departe

SSO enterprise — autentifică oamenii din spatele rolurilor prin SAML, LDAP, SCIM sau OIDC.
Rețea, audit și air-gapped — restrânge de unde poate fi accesat API-ul de administrare și păstrează o pistă de audit.
Vault de secrete — unde să păstrezi cheile pe care le emiți.