Пользователи и права

Первого системного администратора клиент создаёт в терминальном мастере установки. Дальше он управляет пользователями в разделе Доступ кабинета. Новый пользователь получает временный пароль и должен сменить его при первом входе.

Роли

Роль	Значение
system.admin	Управление клиентским стеком и доступ ко всем наборам
catalog.list	Доступ к каталогу данных
dataset.read.<schema>.<name>	Чтение конкретной таблицы или представления
settings.manage	Изменение клиентских настроек и секретов

Для обычного пользователя назначьте catalog.list и отдельные роли dataset.read.* для нужных наборов. Администратор может назначить system.admin; отзыв этой роли через кабинет пока заблокирован. Одни и те же ресурсные права работают для кабинета, HTTP API и MCP.

Keycloak отвечает за вход и выдачу JWT. KrakenD проверяет пользовательский токен на входе в HTTP API, а Go core повторно проверяет ресурсные роли. Для MCP JWT проверяется MCP-сервером и затем Go core. Значения секретов источников не становятся частью JWT и не выдаются обычным пользователям.

Отзыв доступа

Уже выданный JWT может оставаться действительным до истечения срока его жизни. Немедленный отзыв потребует отдельной политики интроспекции.