OpenMetadata 如何配置 Bot 的 allowImpersonation 与 Impersonate 策略实现操作归属到真实用户【免费下载链接】OpenMetadataThe Open Context Layer for Data and AI , OpenMetadata is the open platform for building trusted data context and business semantics for humans, AI assistants, and agents.项目地址: https://gitcode.com/GitHub_Trending/op/OpenMetadataOpenMetadata 中的 Bot采集流水线、自动化任务等执行写操作时实体的updatedBy会记录 Bot 名无法看出实际是哪位用户触发了这次变更。本任务的目标是给 Bot 授予allowImpersonation能力并用Impersonate操作策略限定它可冒充的目标用户范围使 Bot 代用户操作后实体上的updatedBy记录真实用户、impersonatedBy记录执行操作的 Bot同时权限校验使用被冒充用户的权限而不是 Bot 的权限。以下内容依据 设计文档v1.12026-06-12以及当前仓库中的实现核对只覆盖 Bot 冒充用户bot-to-user这一方向用户之间的互相冒充不在支持范围内。allowImpersonation 与 Impersonate 策略的分工设计文档把代操作impersonation的控制拆成两层二者回答不同的问题问题机制这个 Bot 是否允许代操作Bot 用户上的allowImpersonation布尔值——仅管理员可在 Bot 创建时设置授权判断独立于 RBAC它可代操作哪些用户以目标用户为资源的Impersonate操作策略评估条件、deny 规则、团队、域两层缺一不可即使Impersonate权限通过某条宽泛策略意外进入了 Bot 的有效权限没有 flag 就无法代操作反之有 flag 但策略拒绝目标用户时同样被拒。设计文档明确拒绝用纯 RBAC 替代 flag原因是 RBAC 编辑权限通常下放给非管理员而 flag 是唯一的、仅管理员可写的能力开关见 ImpersonationAuthorizer 的实现先校验 Bot 用户同时满足isBottrue与allowImpersonationtrue再走标准策略评估。代操作生效后的归属结果是updatedBy 被冒充的真实用户impersonatedBy 执行操作的 Bot权限检查基于被冒充用户的角色与策略因此 Bot 不能借此获得目标用户没有的权限。在创建 Bot 时授予 allowImpersonationallowImpersonation是 createBot.json 中的可选布尔字段且只能在 Bot 创建时授予。用管理员 token 调用POST /v1/botscurl -X POST https://localhost:8585/api/v1/bots \ -H Authorization: Bearer admin-token \ -H Content-Type: application/json \ -d { name: ingestion-bot, botUser: ingestion-bot, allowImpersonation: true }其中admin-token替换为管理员的 tokenhttps://localhost:8585/api替换为你的 OpenMetadata 服务地址name与botUser为必填字段botUser是 Bot 执行操作所对应的 Bot 用户名ingestion-bot沿用设计文档示例的命名。该字段是三态语义schema 无默认值字段缺省即为null缺省null保持 Bot 用户当前值。采集任务通过PUT /v1/bots重复应用 Bot 时省略该字段不会撤销已授予的能力true授予。仅管理员、且仅限 Bot 创建时。对已存在的 Bot 开启会被拒绝400因为既有 token 已分发事后翻转 flag 会静默提升所有持有者的权限设计文档要求必须新建 Bot 新 token 管理员的明确动作false撤销。仅管理员任意时间允许降权操作。授权成功时服务端会把 flag 落到 Bot 用户实体上BotResource 中注明 Bot 用户是单一事实来源并自动附加种子角色BotImpersonationRole撤销时移除 flag 并解绑该角色。两个容易踩到的限制对已有 Bot 尝试开启会收到 400消息为Bot impersonation can only be enabled when the bot is created. Delete and re-create the bot with allowImpersonation set to true.删除并以allowImpersonation: true重建User.allowImpersonation在用户 API 上实际只读PATCH /v1/users修改它返回 400user attribute allowImpersonation cant be modifiedPUT /v1/users会原样保留已存值不会把它清空。用 Impersonate 策略限定可冒充的目标用户默认行为是宽松的授予时自动附加的BotImpersonationRole绑定 BotImpersonationPolicy其规则是对user资源 allowImpersonate、无条件——即刚授权的 Bot 可以冒充任何用户包括管理员。这是刻意的向后兼容静默拒绝管理员冒充会破坏依赖该行为的现有工作流。禁止冒充管理员可选分支如果不想让 Bot 冒充管理员文档指出管理员无法被 RBAC 限制冒充管理员属于提权风险把 Bot 的角色从BotImpersonationRole换成BotNonAdminImpersonationRole或直接使用 BotNonAdminImpersonationPolicy其规则为 allow 外加一条 deny{ name: BotNonAdminImpersonationPolicy-DenyAdminUsers, description: Deny impersonating admin users., resources: [user], operations: [Impersonate], effect: deny, condition: isAdminUser() }自定义更细的范围Impersonate已注册为user资源上的操作策略编辑器会提供它可用条件函数在/v1/policies/functions中查看。设计文档给出的目标判别函数函数条件成立时isAdminUser()目标用户是管理员isBotUser()目标用户是 BotmatchTeam()/hasDomain()/matchAnyTag()按团队 / 域 / 标签缩小范围策略走标准评估路径deny 优先于 allow支持 SpEL 条件。另外注意Impersonate是显式授权操作——它被排除在ALL/EditAll/ViewAll的包含式授予之外operations: [All]的宽泛策略既不会授予冒充能力也不会让权限列表看起来像已授予只有明确点名Impersonate的规则才算数。让 Bot 携带 X-Impersonate-User 头发起请求当前实现中 Bot 不需要换取额外 token用 Bot 自己的标准 JWT token 请求任意 API并附加X-Impersonate-User头即可。JwtFilter 读取该头常量IMPERSONATE_USER_HEADER解析目标用户并当场完成授权然后把会话主体替换为目标用户createBot.json 中对该字段的描述也写明代操作通过X-Impersonate-User头生效。以更新一张表的描述为例{table-id}替换为目标表 IDbot-token替换为 Bot 自己的 tokenalice替换为要冒充的目标用户用户名curl -X PATCH https://localhost:8585/api/v1/tables/{table-id} \ -H Authorization: Bearer bot-token \ -H X-Impersonate-User: alice \ -H Content-Type: application/json-patchjson \ -d [{op: add, path: /description, value: Updated via impersonation}]代操作是逐请求的头在哪个请求上哪个请求就以目标用户身份执行并留下归属记录。两类请求会被直接拒绝非 Bot 用户携带该头返回 403Only bot users can impersonate other usersJwtFilter 中的显式检查冒充会话访问身份类端点ImpersonationRestrictionFilter 维护了一个拒绝名单v1/users/generatetoken、v1/users/revoketoken、v1/users/changepassword、v1/users/logout等身份相关端点命中时抛Impersonated requests cannot access identity endpoint ...防止把一次性的请求级授权变成长期凭据。验证 updatedBy 与 impersonatedBy 的归属结果请求成功后返回的实体会同时携带两个字段以下为设计文档示例输出{ id: ..., name: dim_customer, updatedBy: alice, impersonatedBy: ingestion-bot, updatedAt: 1699120000000 }进一步核对可以按文档给出的搜索接口查询# 查由该 Bot 代操作产生的实体 curl -X GET https://localhost:8585/api/v1/search/query?qimpersonatedBy:ingestion-bot \ -H Authorization: Bearer admin-token # 查该真实用户的全部操作含被代操作的 curl -X GET https://localhost:8585/api/v1/search/query?qupdatedBy:alice \ -H Authorization: Bearer admin-token活动流feed条目中同样带userName与impersonatedBy两个字段文档示例{ type: entityUpdated, userName: alice, impersonatedBy: ingestion-bot, changeDescription: { fieldsUpdated: [ { name: description, oldValue: ..., newValue: Updated via impersonation } ] } }updatedBy是真实用户、impersonatedBy是 Bot即表示配置已按预期工作。按 403/400 错误定位配置问题错误现象原因处理403Only bot users can impersonate other users携带X-Impersonate-User头的不是 Bot换用 Bot 的 token403Bot {name} does not have impersonation enabledBot 用户没有allowImpersonationtrue删除 Bot 并以allowImpersonation: true重建403Bot {name} is not authorized to impersonate user {target}策略拒绝该目标用户如 deny 规则、域/团队条件不满足检查 Bot 角色绑定的策略规则与条件400Bot impersonation can only be enabled when the bot is created...对已有 Bot 尝试开启按消息提示删除并重建400user attribute allowImpersonation cant be modified试图经PATCH /v1/users修改该字段改走POST /v1/bots创建时授予或 PUT 置false撤销Impersonated requests cannot access identity endpoint ...冒充会话访问了身份端点拒绝名单身份操作不能用代操作身份发起边界与限制仅支持 Bot 冒充用户用户冒充用户、以及把代操作用于认证环节均不在范围内设计文档 Non-Goals。权限使用被冒充用户的Bot 不能借此提权目标用户没有的权限代操作一样会被拒。默认策略允许冒充管理员属于刻意保留的向后兼容行为收紧必须显式换成BotNonAdminImpersonationRole/BotNonAdminImpersonationPolicy或自定义 deny 规则。这些种子策略与角色为本次变更新增采用 insert-if-missing 加载新装与升级都会直接拿到当前 JSON无需 Flyway 迁移或启动期对账。设计文档的后续增强方向冒充审批流、委托模式等仍标注为 Future Enhancements当前版本未提供。实现与文档的对照点能力门 ImpersonationAuthorizer、头部解析与主体替换 JwtFilter、身份端点限制 ImpersonationRestrictionFilter、Bot 创建与授权 BotResource以及 Bot 用户上的字段定义 user.json。【免费下载链接】OpenMetadataThe Open Context Layer for Data and AI , OpenMetadata is the open platform for building trusted data context and business semantics for humans, AI assistants, and agents.项目地址: https://gitcode.com/GitHub_Trending/op/OpenMetadata创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
OpenMetadata 如何配置 Bot 的 allowImpersonation 与 Impersonate 策略实现操作归属到真实用户【免费下载链接】OpenMetadataThe Open Context Layer for Data and AI , OpenMetadata is the open platform for building trusted data context and business semantics for humans, AI assistants, and agents.项目地址: https://gitcode.com/GitHub_Trending/op/OpenMetadataOpenMetadata 中的 Bot采集流水线、自动化任务等执行写操作时实体的updatedBy会记录 Bot 名无法看出实际是哪位用户触发了这次变更。本任务的目标是给 Bot 授予allowImpersonation能力并用Impersonate操作策略限定它可冒充的目标用户范围使 Bot 代用户操作后实体上的updatedBy记录真实用户、impersonatedBy记录执行操作的 Bot同时权限校验使用被冒充用户的权限而不是 Bot 的权限。以下内容依据 设计文档v1.12026-06-12以及当前仓库中的实现核对只覆盖 Bot 冒充用户bot-to-user这一方向用户之间的互相冒充不在支持范围内。allowImpersonation 与 Impersonate 策略的分工设计文档把代操作impersonation的控制拆成两层二者回答不同的问题问题机制这个 Bot 是否允许代操作Bot 用户上的allowImpersonation布尔值——仅管理员可在 Bot 创建时设置授权判断独立于 RBAC它可代操作哪些用户以目标用户为资源的Impersonate操作策略评估条件、deny 规则、团队、域两层缺一不可即使Impersonate权限通过某条宽泛策略意外进入了 Bot 的有效权限没有 flag 就无法代操作反之有 flag 但策略拒绝目标用户时同样被拒。设计文档明确拒绝用纯 RBAC 替代 flag原因是 RBAC 编辑权限通常下放给非管理员而 flag 是唯一的、仅管理员可写的能力开关见 ImpersonationAuthorizer 的实现先校验 Bot 用户同时满足isBottrue与allowImpersonationtrue再走标准策略评估。代操作生效后的归属结果是updatedBy 被冒充的真实用户impersonatedBy 执行操作的 Bot权限检查基于被冒充用户的角色与策略因此 Bot 不能借此获得目标用户没有的权限。在创建 Bot 时授予 allowImpersonationallowImpersonation是 createBot.json 中的可选布尔字段且只能在 Bot 创建时授予。用管理员 token 调用POST /v1/botscurl -X POST https://localhost:8585/api/v1/bots \ -H Authorization: Bearer admin-token \ -H Content-Type: application/json \ -d { name: ingestion-bot, botUser: ingestion-bot, allowImpersonation: true }其中admin-token替换为管理员的 tokenhttps://localhost:8585/api替换为你的 OpenMetadata 服务地址name与botUser为必填字段botUser是 Bot 执行操作所对应的 Bot 用户名ingestion-bot沿用设计文档示例的命名。该字段是三态语义schema 无默认值字段缺省即为null缺省null保持 Bot 用户当前值。采集任务通过PUT /v1/bots重复应用 Bot 时省略该字段不会撤销已授予的能力true授予。仅管理员、且仅限 Bot 创建时。对已存在的 Bot 开启会被拒绝400因为既有 token 已分发事后翻转 flag 会静默提升所有持有者的权限设计文档要求必须新建 Bot 新 token 管理员的明确动作false撤销。仅管理员任意时间允许降权操作。授权成功时服务端会把 flag 落到 Bot 用户实体上BotResource 中注明 Bot 用户是单一事实来源并自动附加种子角色BotImpersonationRole撤销时移除 flag 并解绑该角色。两个容易踩到的限制对已有 Bot 尝试开启会收到 400消息为Bot impersonation can only be enabled when the bot is created. Delete and re-create the bot with allowImpersonation set to true.删除并以allowImpersonation: true重建User.allowImpersonation在用户 API 上实际只读PATCH /v1/users修改它返回 400user attribute allowImpersonation cant be modifiedPUT /v1/users会原样保留已存值不会把它清空。用 Impersonate 策略限定可冒充的目标用户默认行为是宽松的授予时自动附加的BotImpersonationRole绑定 BotImpersonationPolicy其规则是对user资源 allowImpersonate、无条件——即刚授权的 Bot 可以冒充任何用户包括管理员。这是刻意的向后兼容静默拒绝管理员冒充会破坏依赖该行为的现有工作流。禁止冒充管理员可选分支如果不想让 Bot 冒充管理员文档指出管理员无法被 RBAC 限制冒充管理员属于提权风险把 Bot 的角色从BotImpersonationRole换成BotNonAdminImpersonationRole或直接使用 BotNonAdminImpersonationPolicy其规则为 allow 外加一条 deny{ name: BotNonAdminImpersonationPolicy-DenyAdminUsers, description: Deny impersonating admin users., resources: [user], operations: [Impersonate], effect: deny, condition: isAdminUser() }自定义更细的范围Impersonate已注册为user资源上的操作策略编辑器会提供它可用条件函数在/v1/policies/functions中查看。设计文档给出的目标判别函数函数条件成立时isAdminUser()目标用户是管理员isBotUser()目标用户是 BotmatchTeam()/hasDomain()/matchAnyTag()按团队 / 域 / 标签缩小范围策略走标准评估路径deny 优先于 allow支持 SpEL 条件。另外注意Impersonate是显式授权操作——它被排除在ALL/EditAll/ViewAll的包含式授予之外operations: [All]的宽泛策略既不会授予冒充能力也不会让权限列表看起来像已授予只有明确点名Impersonate的规则才算数。让 Bot 携带 X-Impersonate-User 头发起请求当前实现中 Bot 不需要换取额外 token用 Bot 自己的标准 JWT token 请求任意 API并附加X-Impersonate-User头即可。JwtFilter 读取该头常量IMPERSONATE_USER_HEADER解析目标用户并当场完成授权然后把会话主体替换为目标用户createBot.json 中对该字段的描述也写明代操作通过X-Impersonate-User头生效。以更新一张表的描述为例{table-id}替换为目标表 IDbot-token替换为 Bot 自己的 tokenalice替换为要冒充的目标用户用户名curl -X PATCH https://localhost:8585/api/v1/tables/{table-id} \ -H Authorization: Bearer bot-token \ -H X-Impersonate-User: alice \ -H Content-Type: application/json-patchjson \ -d [{op: add, path: /description, value: Updated via impersonation}]代操作是逐请求的头在哪个请求上哪个请求就以目标用户身份执行并留下归属记录。两类请求会被直接拒绝非 Bot 用户携带该头返回 403Only bot users can impersonate other usersJwtFilter 中的显式检查冒充会话访问身份类端点ImpersonationRestrictionFilter 维护了一个拒绝名单v1/users/generatetoken、v1/users/revoketoken、v1/users/changepassword、v1/users/logout等身份相关端点命中时抛Impersonated requests cannot access identity endpoint ...防止把一次性的请求级授权变成长期凭据。验证 updatedBy 与 impersonatedBy 的归属结果请求成功后返回的实体会同时携带两个字段以下为设计文档示例输出{ id: ..., name: dim_customer, updatedBy: alice, impersonatedBy: ingestion-bot, updatedAt: 1699120000000 }进一步核对可以按文档给出的搜索接口查询# 查由该 Bot 代操作产生的实体 curl -X GET https://localhost:8585/api/v1/search/query?qimpersonatedBy:ingestion-bot \ -H Authorization: Bearer admin-token # 查该真实用户的全部操作含被代操作的 curl -X GET https://localhost:8585/api/v1/search/query?qupdatedBy:alice \ -H Authorization: Bearer admin-token活动流feed条目中同样带userName与impersonatedBy两个字段文档示例{ type: entityUpdated, userName: alice, impersonatedBy: ingestion-bot, changeDescription: { fieldsUpdated: [ { name: description, oldValue: ..., newValue: Updated via impersonation } ] } }updatedBy是真实用户、impersonatedBy是 Bot即表示配置已按预期工作。按 403/400 错误定位配置问题错误现象原因处理403Only bot users can impersonate other users携带X-Impersonate-User头的不是 Bot换用 Bot 的 token403Bot {name} does not have impersonation enabledBot 用户没有allowImpersonationtrue删除 Bot 并以allowImpersonation: true重建403Bot {name} is not authorized to impersonate user {target}策略拒绝该目标用户如 deny 规则、域/团队条件不满足检查 Bot 角色绑定的策略规则与条件400Bot impersonation can only be enabled when the bot is created...对已有 Bot 尝试开启按消息提示删除并重建400user attribute allowImpersonation cant be modified试图经PATCH /v1/users修改该字段改走POST /v1/bots创建时授予或 PUT 置false撤销Impersonated requests cannot access identity endpoint ...冒充会话访问了身份端点拒绝名单身份操作不能用代操作身份发起边界与限制仅支持 Bot 冒充用户用户冒充用户、以及把代操作用于认证环节均不在范围内设计文档 Non-Goals。权限使用被冒充用户的Bot 不能借此提权目标用户没有的权限代操作一样会被拒。默认策略允许冒充管理员属于刻意保留的向后兼容行为收紧必须显式换成BotNonAdminImpersonationRole/BotNonAdminImpersonationPolicy或自定义 deny 规则。这些种子策略与角色为本次变更新增采用 insert-if-missing 加载新装与升级都会直接拿到当前 JSON无需 Flyway 迁移或启动期对账。设计文档的后续增强方向冒充审批流、委托模式等仍标注为 Future Enhancements当前版本未提供。实现与文档的对照点能力门 ImpersonationAuthorizer、头部解析与主体替换 JwtFilter、身份端点限制 ImpersonationRestrictionFilter、Bot 创建与授权 BotResource以及 Bot 用户上的字段定义 user.json。【免费下载链接】OpenMetadataThe Open Context Layer for Data and AI , OpenMetadata is the open platform for building trusted data context and business semantics for humans, AI assistants, and agents.项目地址: https://gitcode.com/GitHub_Trending/op/OpenMetadata创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
![[Topic] - Quick Brief](http://pic.xiahunao.cn/yaotu/[Topic] - Quick Brief)
