DataHub 访问令牌Access Token管理实战基于 GraphQL API 的创建、查询与吊销全指南【免费下载链接】datahubThe Context Platform for your Data and AI Stack项目地址: https://gitcode.com/GitHub_Trending/da/datahub导读DataHub 以 GraphQL API 形式提供了一整套访问令牌Access Token管理能力涵盖令牌的生成createAccessToken、分页查询listAccessTokens与吊销revokeAccessToken三类核心操作。本文以仓库 docs/api/graphql/token-management.md 为主体骨架结合 auth.graphql 中的真实 Schema 与datahub-graphql-core中的 Resolver 实现逐层讲解令牌的权限模型、入参约束、配置项与底层调用链。读完本文你将掌握如何通过 GraphQL 与 CURL 两种方式为自身或其他用户签发、检索、撤销访问令牌并理解 DataHub 如何用 Policy策略与平台级配置守护这些高危操作。一、访问令牌与 DataHub 的权限保护模型DataHub 提供的graphql端点用于管理 Access Token。调用者既可以管理自己的令牌也可以在拥有足够权限时管理他人的令牌——具体能做什么完全取决于调用者所持有的特权privilege。一个关键前提是这套 API 依赖 DataHub Policies 来防止越权使用。默认情况下除非用户至少拥有Generate Personal Access Tokens生成个人访问令牌特权否则完全无法与这套 API 交互。也就是说能不能生成令牌、能不能看别人的令牌、能不能撤销别人的令牌 都是通过策略系统动态判定的而不是硬编码的。从源码结构看datahub-graphql-core模块在 resolvers/auth 目录下为每个端点提供了独立的 Resolver并在GmsGraphQLEngine中完成注册。整个令牌体系还依赖StatefulTokenService有状态令牌服务生成的令牌会被哈希后以accessToken实体形式写入元数据存储从而支持后续的查询、撤销与过期管理——这正是listAccessTokens、revokeAccessToken能够按实体检索的依据。二、生成访问令牌createAccessToken2.1 端点与 Schema 定义生成令牌的端点是createAccessToken(input: CreateAccessTokenInput!): AccessToken。它在 auth.graphql 中定义为 Mutation接收的输入结构CreateAccessTokenInput包含以下字段字段类型是否必填说明typeAccessTokenType!是令牌类型枚举值为PERSONAL个人访问令牌或SERVICE_ACCOUNT服务账号令牌actorUrnString!是与该令牌关联的 Actor URN例如urn:li:corpuser:datahubdurationAccessTokenDuration二选一预定义时长枚举见下表与durationIso恰好只能提供一个durationIsoString二选一ISO-8601 时长字符串例如P30D、PT1H、P1Y与duration恰好只能提供一个nameString!是令牌名称用于事后识别descriptionString否令牌描述可选其中AccessTokenDuration枚举在 auth.graphql 中定义共 8 个取值。结合 AccessTokenUtil.java 中的时长映射实现其对应的实际有效期如下枚举值含义映射时长毫秒ONE_HOUR1 小时3,600,000ONE_DAY1 天86,400,000ONE_WEEK1 周604,800,0007 天ONE_MONTH1 个月2,592,000,00030 天THREE_MONTHS3 个月7,776,000,00090 天SIX_MONTHS6 个月15,552,000,000180 天ONE_YEAR1 年31,536,000,000365 天NO_EXPIRY永不过期无受开关控制见下文注意ONE_MONTH固定按 30 天、ONE_YEAR固定按 365 天近似换算这是源码 AccessTokenUtil.java 的既定行为配置ACCESS_TOKEN_ALLOWED_DURATIONS时也应使用相同口径。2.2 时长约束duration 与 durationIso 的互斥与白名单文档明确指出duration枚举与durationIsoISO-8601 字符串二选一且恰好必须提供一个。这一约束在 AccessTokenDurationPolicy.java 中被硬编码两者都传或都不传会抛出IllegalArgumentExceptionExactly one of duration or durationIso must be provided when creating an access token。传入durationIso时会先由IsoDurationParser解析为毫秒再检查是否命中ACCESS_TOKEN_ALLOWED_DURATIONS白名单。传入duration枚举时同样会被映射为毫秒后检查白名单不命中会提示选择ACCESS_TOKEN_ALLOWED_DURATIONS中允许的取值。两个环境变量承担了双重职责ACCESS_TOKEN_ALLOW_NO_EXPIRY默认false。只有设为true时才允许创建NO_EXPIRY永不过期令牌即使关闭已存在的永不过期令牌仍可继续使用只是无法再新建。ACCESS_TOKEN_ALLOWED_DURATIONS默认值为PT1H,P1D,P7D,P30D,P90D,P180D,P365D逗号分隔的 ISO-8601 时长列表。创建令牌时的有效期必须命中该列表UI 中的可选时长也由它驱动。两者的默认值可以在 application.yaml 中核实accessTokens.allowNoExpiry: ${ACCESS_TOKEN_ALLOW_NO_EXPIRY:false}、accessTokens.allowedDurations: ${ACCESS_TOKEN_ALLOWED_DURATIONS:PT1H,P1D,P7D,P30D,P90D,P180D,P365D}。2.3 示例为 datahub 用户签发个人令牌为datahubcorp user 生成一个 1 小时有效期的个人访问令牌As GraphQLmutation { createAccessToken( input: { type: PERSONAL actorUrn: urn:li:corpuser:datahub duration: ONE_HOUR name: my personal token } ) { accessToken metadata { id name description } } }As CURLcurl --location --request POST http://localhost:8080/api/graphql \ --header X-DataHub-Actor: urn:li:corpuser:datahub \ --header Content-Type: application/json \ --data-raw { query:mutation { createAccessToken(input: { type: PERSONAL, actorUrn: \urn:li:corpuser:datahub\, duration: ONE_HOUR, name: \my personal token\ } ) { accessToken metadata { id name description} } }, variables:{}}返回的AccessToken对象包含两部分accessToken令牌字符串本身调用方必须立即保存之后无法再次读取明文metadata用于事后识别该令牌的元数据。从 CreateAccessTokenResolver.java 的实现可以看到元数据中的urn实际由令牌的哈希_statefulTokenService.hash(accessToken)构成即urn:li:accessToken:tokenHash类型为EntityType.ACCESS_TOKEN。如需使用 ISO-8601 时长把duration: ONE_HOUR替换为durationIso: PT1H即可需要更长有效期时可改用P30D30 天等命中白名单的取值。2.4 底层授权逻辑源码佐证生成令牌并非谁都能给任何人发。在 CreateAccessTokenResolver.java 中授权按令牌类型分流PERSONAL 类型调用者满足以下任一条件即可签发——拥有Manage All Access Tokens平台特权AuthorizationUtils.canManageTokens或者actorUrn等于调用者自身且调用者拥有Generate Personal Access Tokens特权。SERVICE_ACCOUNT 类型仅当调用者拥有Manage All Service Accounts特权AuthorizationUtils.canManageServiceAccounts时允许且会先校验actorUrn确实是一个已注册的服务账号CreateAccessTokenResolver.java。未经授权时抛出AuthorizationException错误信息为 Unauthorized to perform this action. Please contact your DataHub administrator.。三、列出访问令牌listAccessTokens3.1 端点与 Schema 定义列出令牌的端点是listAccessTokens(input: ListAccessTokenInput!): ListAccessTokenResult!。其输入与返回结构定义在 auth.graphqlListAccessTokenInputstart起始偏移默认 0、count返回条数默认 20、filtersFacetFilterInput列表用于筛选。ListAccessTokenResultstart、count、total结果总数与tokensAccessTokenMetadata数组。AccessTokenMetadata是实现了Entity接口的实体类型auth.graphql除urn、id外还提供name、description、actorUrn与令牌关联的 Actor、ownerUrn创建该令牌的 Actor、owner对应的 CorpUser 实体、createdAt、expiresAt等字段这些字段均映射到dataHubAccessTokenInfoaspect。3.2 列出自己拥有的令牌列出令牌最典型的场景是查看我自己名下的令牌。文档给出的做法是在filters中用{field: ownerUrn, values: your user urn}指定归属者。As GraphQL{ listAccessTokens( input: { start: 0 count: 100 filters: [{ field: ownerUrn, values: urn:li:corpuser:datahub }] } ) { start count total tokens { urn id actorUrn } } }As CURLcurl --location --request POST http://localhost:8080/api/graphql \ --header X-DataHub-Actor: urn:li:corpuser:datahub \ --header Content-Type: application/json \ --data-raw { query:{ listAccessTokens(input: {start: 0, count: 100, filters: [{field: \ownerUrn\, values: \urn:li:corpuser:datahub\}]}) { start count total tokens {urn id actorUrn} } }, variables:{}}从源码 ListAccessTokensResolver.java 看授权判定为拥有Manage All Access Tokens平台特权或者调用者拥有Generate Personal Access Tokens特权且请求中的filters恰好包含ownerUrn 调用者自身 URN的条件isListingSelfTokens方法。换句话说普通用户只能列出自己创建的令牌而且必须显式用ownerUrn过滤出自己的 URN——不能省略过滤器去看全平台。3.3 管理员列出他人令牌平台管理员可以列出其他用户拥有的令牌前提是拥有Manage All Access Tokens平台特权。此时可以传入空的filters数组查询全量令牌As GraphQL{ listAccessTokens(input: { start: 0, count: 100, filters: [] }) { start count total tokens { urn id actorUrn } } }As CURLcurl --location --request POST http://localhost:8080/api/graphql \ --header X-DataHub-Actor: urn:li:corpuser:datahub \ --header Content-Type: application/json \ --data-raw { query:{ listAccessTokens(input: {start: 0, count: 100, filters: []}) { start count total tokens {urn id actorUrn} } }, variables:{}}3.4 过滤条件与排序行为除了ownerUrn还支持其他过滤字段。凡是DataHubAccessTokenInfoaspect 中的属性都可作为筛选条件该 aspect 的定义可参阅仓库中实体文档。常见的可过滤字段包括actorUrn与令牌关联的 actor、expiresAt过期时间等。底层实现ListAccessTokensResolver.java有两个值得注意的行为查询以expiresAt字段按降序排序SortOrder.DESCENDING即越晚过期的令牌排在越前面便于审计即将过期的令牌检索走的是 fulltext 搜索withSearchFlags(flags - flags.setFulltext(true))因此结果集是搜索式的total反映的是匹配总数start/count控制分页游标。四、吊销访问令牌revokeAccessToken4.1 端点与调用示例吊销令牌使用revokeAccessToken(tokenId: String!): Boolean!Mutation定义见 auth.graphql。需要传入tokenId——即令牌元数据中的id例如从listAccessTokens的结果中获取。As GraphQLmutation { revokeAccessToken(tokenId: HnMJylxuowJ1FKN74BbGogLvXCS4wfsd3MZdI358A) }As CURLcurl --location --request POST http://localhost:8080/api/graphql \ --header X-DataHub-Actor: urn:li:corpuser:datahub \ --header Content-Type: application/json \ --data-raw {query:mutation {revokeAccessToken(tokenId: \HnMJylxuowJ1FKN74BbGogLvXCS4wfsd3MZdI358A\)},variables:{}}}该端点返回一个布尔值表示操作是否成功失败时会返回错误信息说明原因例如令牌不存在、无权操作等。4.2 底层授权逻辑源码佐证吊销是破坏性操作权限判定同样严格。在 RevokeAccessTokenResolver.java 中允许吊销的调用者需满足二选一拥有Manage All Access Tokens平台特权AuthorizationUtils.canManageTokens是目标令牌的创建者本人通过getV2拉取accessToken实体与accessTokenInfoaspect比对其中ownerUrn是否等于调用者自身 URN。判定通过后调用_statefulTokenService.revokeAccessToken(...)完成撤销成功返回true。4.3 撤销后的行为撤销后的令牌立即失效后续携带该令牌调用 DataHub 任何 API 都将被拒绝认证。由于令牌以哈希形式存储明文令牌一旦丢失无法找回因此建议在签发后立即将令牌字符串安全保存审计与追溯请依赖listAccessTokens返回的元数据urn、id、ownerUrn、createdAt、expiresAt等。五、配套 GraphQL 端点与配置速查5.1 其他相关端点在 auth.graphql 中还定义了几个与令牌管理配套的端点可按需组合使用getAccessToken(input: GetAccessTokenInput!): AccessToken已废弃的生成端点官方注释建议改用createAccessTokenauth.graphql。getAccessTokenMetadata(token: String!): AccessTokenMetadata!输入明文令牌返回其元数据。官方注释说明它适用于手里有原始令牌但不知道 actor的调试场景auth.graphql。debugAccess(userUrn: String!): DebugAccessResult!实验性 API用于排查某用户在平台上的角色、策略与特权集合可配合令牌权限问题诊断auth.graphql。服务账号相关createServiceAccount、deleteServiceAccount、listServiceAccounts、getServiceAccount以及updateServiceAccountDefaultView要求MANAGE_SERVICE_ACCOUNTS平台特权。SERVICE_ACCOUNT类型的令牌正是围绕服务账号体系设计的。5.2 环境变量配置速查环境变量默认值作用ACCESS_TOKEN_ALLOW_NO_EXPIRYfalse是否允许创建NO_EXPIRY永不过期令牌关闭时新建会被拒绝已存在的继续有效ACCESS_TOKEN_ALLOWED_DURATIONSPT1H,P1D,P7D,P30D,P90D,P180D,P365D创建令牌时允许的 ISO-8601 时长白名单逗号分隔同时驱动 UI 可选时长配置入口位于 application.yaml 的authentication.accessTokens段可通过环境变量覆盖。注意白名单不能为空且P1M按 30 天、P1Y按 365 天近似。5.3 与策略体系的联动整套令牌 API 的权限边界最终由 DataHub Policies 决定。与本文直接相关的平台特权包括Generate Personal Access Tokens允许用户为自己生成与列出个人令牌默认拦截一切令牌相关操作的最低门槛。Manage All Access Tokens允许管理全平台令牌包括为他人签发、列出他人令牌、撤销任意令牌。Manage All Service Accounts允许管理服务账号及其令牌。因此在实际部署中应通过策略管理界面为普通用户、管理员、自动化脚本分别授予最小化特权并将ACCESS_TOKEN_ALLOW_NO_EXPIRY保持为false除非确有必要以降低长期有效凭据泄露的风险。六、最佳实践小结令牌即凭据createAccessToken返回的明文令牌只出现一次务必在返回后立即安全存储日常审计一律基于listAccessTokens的元数据。期限最小化优先使用短期令牌ONE_HOUR、ONE_DAY或PT1H、P1D长期自动化场景再考虑P90D、P180D等除非业务必须否则不开NO_EXPIRY。权限收敛普通用户只授予Generate Personal Access Tokens只有运维/管理角色才授予Manage All Access Tokens与Manage All Service Accounts。及时吊销凭据疑似泄露或员工离职时管理员应立即通过revokeAccessToken撤销对应tokenId或在策略层收紧权限。善用配套端点使用getAccessTokenMetadata反查明文令牌归属使用debugAccess排查某用户为何无法生成/管理令牌。延伸阅读令牌 GraphQL Schema 全量定义auth.graphql令牌创建 Resolver含授权分流与时长解析CreateAccessTokenResolver.java令牌时长策略互斥校验、白名单、永不过期开关AccessTokenDurationPolicy.java 与 AccessTokenUtil.java令牌列表 Resolver分页、排序、自查询判定ListAccessTokensResolver.java令牌吊销 Resolver归属校验RevokeAccessTokenResolver.java令牌时长环境变量默认值application.yamlGraphQL API 其他操作手册可参阅 docs/api/graphql 目录下的相关文档【免费下载链接】datahubThe Context Platform for your Data and AI Stack项目地址: https://gitcode.com/GitHub_Trending/da/datahub创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
DataHub 访问令牌Access Token管理实战基于 GraphQL API 的创建、查询与吊销全指南【免费下载链接】datahubThe Context Platform for your Data and AI Stack项目地址: https://gitcode.com/GitHub_Trending/da/datahub导读DataHub 以 GraphQL API 形式提供了一整套访问令牌Access Token管理能力涵盖令牌的生成createAccessToken、分页查询listAccessTokens与吊销revokeAccessToken三类核心操作。本文以仓库 docs/api/graphql/token-management.md 为主体骨架结合 auth.graphql 中的真实 Schema 与datahub-graphql-core中的 Resolver 实现逐层讲解令牌的权限模型、入参约束、配置项与底层调用链。读完本文你将掌握如何通过 GraphQL 与 CURL 两种方式为自身或其他用户签发、检索、撤销访问令牌并理解 DataHub 如何用 Policy策略与平台级配置守护这些高危操作。一、访问令牌与 DataHub 的权限保护模型DataHub 提供的graphql端点用于管理 Access Token。调用者既可以管理自己的令牌也可以在拥有足够权限时管理他人的令牌——具体能做什么完全取决于调用者所持有的特权privilege。一个关键前提是这套 API 依赖 DataHub Policies 来防止越权使用。默认情况下除非用户至少拥有Generate Personal Access Tokens生成个人访问令牌特权否则完全无法与这套 API 交互。也就是说能不能生成令牌、能不能看别人的令牌、能不能撤销别人的令牌 都是通过策略系统动态判定的而不是硬编码的。从源码结构看datahub-graphql-core模块在 resolvers/auth 目录下为每个端点提供了独立的 Resolver并在GmsGraphQLEngine中完成注册。整个令牌体系还依赖StatefulTokenService有状态令牌服务生成的令牌会被哈希后以accessToken实体形式写入元数据存储从而支持后续的查询、撤销与过期管理——这正是listAccessTokens、revokeAccessToken能够按实体检索的依据。二、生成访问令牌createAccessToken2.1 端点与 Schema 定义生成令牌的端点是createAccessToken(input: CreateAccessTokenInput!): AccessToken。它在 auth.graphql 中定义为 Mutation接收的输入结构CreateAccessTokenInput包含以下字段字段类型是否必填说明typeAccessTokenType!是令牌类型枚举值为PERSONAL个人访问令牌或SERVICE_ACCOUNT服务账号令牌actorUrnString!是与该令牌关联的 Actor URN例如urn:li:corpuser:datahubdurationAccessTokenDuration二选一预定义时长枚举见下表与durationIso恰好只能提供一个durationIsoString二选一ISO-8601 时长字符串例如P30D、PT1H、P1Y与duration恰好只能提供一个nameString!是令牌名称用于事后识别descriptionString否令牌描述可选其中AccessTokenDuration枚举在 auth.graphql 中定义共 8 个取值。结合 AccessTokenUtil.java 中的时长映射实现其对应的实际有效期如下枚举值含义映射时长毫秒ONE_HOUR1 小时3,600,000ONE_DAY1 天86,400,000ONE_WEEK1 周604,800,0007 天ONE_MONTH1 个月2,592,000,00030 天THREE_MONTHS3 个月7,776,000,00090 天SIX_MONTHS6 个月15,552,000,000180 天ONE_YEAR1 年31,536,000,000365 天NO_EXPIRY永不过期无受开关控制见下文注意ONE_MONTH固定按 30 天、ONE_YEAR固定按 365 天近似换算这是源码 AccessTokenUtil.java 的既定行为配置ACCESS_TOKEN_ALLOWED_DURATIONS时也应使用相同口径。2.2 时长约束duration 与 durationIso 的互斥与白名单文档明确指出duration枚举与durationIsoISO-8601 字符串二选一且恰好必须提供一个。这一约束在 AccessTokenDurationPolicy.java 中被硬编码两者都传或都不传会抛出IllegalArgumentExceptionExactly one of duration or durationIso must be provided when creating an access token。传入durationIso时会先由IsoDurationParser解析为毫秒再检查是否命中ACCESS_TOKEN_ALLOWED_DURATIONS白名单。传入duration枚举时同样会被映射为毫秒后检查白名单不命中会提示选择ACCESS_TOKEN_ALLOWED_DURATIONS中允许的取值。两个环境变量承担了双重职责ACCESS_TOKEN_ALLOW_NO_EXPIRY默认false。只有设为true时才允许创建NO_EXPIRY永不过期令牌即使关闭已存在的永不过期令牌仍可继续使用只是无法再新建。ACCESS_TOKEN_ALLOWED_DURATIONS默认值为PT1H,P1D,P7D,P30D,P90D,P180D,P365D逗号分隔的 ISO-8601 时长列表。创建令牌时的有效期必须命中该列表UI 中的可选时长也由它驱动。两者的默认值可以在 application.yaml 中核实accessTokens.allowNoExpiry: ${ACCESS_TOKEN_ALLOW_NO_EXPIRY:false}、accessTokens.allowedDurations: ${ACCESS_TOKEN_ALLOWED_DURATIONS:PT1H,P1D,P7D,P30D,P90D,P180D,P365D}。2.3 示例为 datahub 用户签发个人令牌为datahubcorp user 生成一个 1 小时有效期的个人访问令牌As GraphQLmutation { createAccessToken( input: { type: PERSONAL actorUrn: urn:li:corpuser:datahub duration: ONE_HOUR name: my personal token } ) { accessToken metadata { id name description } } }As CURLcurl --location --request POST http://localhost:8080/api/graphql \ --header X-DataHub-Actor: urn:li:corpuser:datahub \ --header Content-Type: application/json \ --data-raw { query:mutation { createAccessToken(input: { type: PERSONAL, actorUrn: \urn:li:corpuser:datahub\, duration: ONE_HOUR, name: \my personal token\ } ) { accessToken metadata { id name description} } }, variables:{}}返回的AccessToken对象包含两部分accessToken令牌字符串本身调用方必须立即保存之后无法再次读取明文metadata用于事后识别该令牌的元数据。从 CreateAccessTokenResolver.java 的实现可以看到元数据中的urn实际由令牌的哈希_statefulTokenService.hash(accessToken)构成即urn:li:accessToken:tokenHash类型为EntityType.ACCESS_TOKEN。如需使用 ISO-8601 时长把duration: ONE_HOUR替换为durationIso: PT1H即可需要更长有效期时可改用P30D30 天等命中白名单的取值。2.4 底层授权逻辑源码佐证生成令牌并非谁都能给任何人发。在 CreateAccessTokenResolver.java 中授权按令牌类型分流PERSONAL 类型调用者满足以下任一条件即可签发——拥有Manage All Access Tokens平台特权AuthorizationUtils.canManageTokens或者actorUrn等于调用者自身且调用者拥有Generate Personal Access Tokens特权。SERVICE_ACCOUNT 类型仅当调用者拥有Manage All Service Accounts特权AuthorizationUtils.canManageServiceAccounts时允许且会先校验actorUrn确实是一个已注册的服务账号CreateAccessTokenResolver.java。未经授权时抛出AuthorizationException错误信息为 Unauthorized to perform this action. Please contact your DataHub administrator.。三、列出访问令牌listAccessTokens3.1 端点与 Schema 定义列出令牌的端点是listAccessTokens(input: ListAccessTokenInput!): ListAccessTokenResult!。其输入与返回结构定义在 auth.graphqlListAccessTokenInputstart起始偏移默认 0、count返回条数默认 20、filtersFacetFilterInput列表用于筛选。ListAccessTokenResultstart、count、total结果总数与tokensAccessTokenMetadata数组。AccessTokenMetadata是实现了Entity接口的实体类型auth.graphql除urn、id外还提供name、description、actorUrn与令牌关联的 Actor、ownerUrn创建该令牌的 Actor、owner对应的 CorpUser 实体、createdAt、expiresAt等字段这些字段均映射到dataHubAccessTokenInfoaspect。3.2 列出自己拥有的令牌列出令牌最典型的场景是查看我自己名下的令牌。文档给出的做法是在filters中用{field: ownerUrn, values: your user urn}指定归属者。As GraphQL{ listAccessTokens( input: { start: 0 count: 100 filters: [{ field: ownerUrn, values: urn:li:corpuser:datahub }] } ) { start count total tokens { urn id actorUrn } } }As CURLcurl --location --request POST http://localhost:8080/api/graphql \ --header X-DataHub-Actor: urn:li:corpuser:datahub \ --header Content-Type: application/json \ --data-raw { query:{ listAccessTokens(input: {start: 0, count: 100, filters: [{field: \ownerUrn\, values: \urn:li:corpuser:datahub\}]}) { start count total tokens {urn id actorUrn} } }, variables:{}}从源码 ListAccessTokensResolver.java 看授权判定为拥有Manage All Access Tokens平台特权或者调用者拥有Generate Personal Access Tokens特权且请求中的filters恰好包含ownerUrn 调用者自身 URN的条件isListingSelfTokens方法。换句话说普通用户只能列出自己创建的令牌而且必须显式用ownerUrn过滤出自己的 URN——不能省略过滤器去看全平台。3.3 管理员列出他人令牌平台管理员可以列出其他用户拥有的令牌前提是拥有Manage All Access Tokens平台特权。此时可以传入空的filters数组查询全量令牌As GraphQL{ listAccessTokens(input: { start: 0, count: 100, filters: [] }) { start count total tokens { urn id actorUrn } } }As CURLcurl --location --request POST http://localhost:8080/api/graphql \ --header X-DataHub-Actor: urn:li:corpuser:datahub \ --header Content-Type: application/json \ --data-raw { query:{ listAccessTokens(input: {start: 0, count: 100, filters: []}) { start count total tokens {urn id actorUrn} } }, variables:{}}3.4 过滤条件与排序行为除了ownerUrn还支持其他过滤字段。凡是DataHubAccessTokenInfoaspect 中的属性都可作为筛选条件该 aspect 的定义可参阅仓库中实体文档。常见的可过滤字段包括actorUrn与令牌关联的 actor、expiresAt过期时间等。底层实现ListAccessTokensResolver.java有两个值得注意的行为查询以expiresAt字段按降序排序SortOrder.DESCENDING即越晚过期的令牌排在越前面便于审计即将过期的令牌检索走的是 fulltext 搜索withSearchFlags(flags - flags.setFulltext(true))因此结果集是搜索式的total反映的是匹配总数start/count控制分页游标。四、吊销访问令牌revokeAccessToken4.1 端点与调用示例吊销令牌使用revokeAccessToken(tokenId: String!): Boolean!Mutation定义见 auth.graphql。需要传入tokenId——即令牌元数据中的id例如从listAccessTokens的结果中获取。As GraphQLmutation { revokeAccessToken(tokenId: HnMJylxuowJ1FKN74BbGogLvXCS4wfsd3MZdI358A) }As CURLcurl --location --request POST http://localhost:8080/api/graphql \ --header X-DataHub-Actor: urn:li:corpuser:datahub \ --header Content-Type: application/json \ --data-raw {query:mutation {revokeAccessToken(tokenId: \HnMJylxuowJ1FKN74BbGogLvXCS4wfsd3MZdI358A\)},variables:{}}}该端点返回一个布尔值表示操作是否成功失败时会返回错误信息说明原因例如令牌不存在、无权操作等。4.2 底层授权逻辑源码佐证吊销是破坏性操作权限判定同样严格。在 RevokeAccessTokenResolver.java 中允许吊销的调用者需满足二选一拥有Manage All Access Tokens平台特权AuthorizationUtils.canManageTokens是目标令牌的创建者本人通过getV2拉取accessToken实体与accessTokenInfoaspect比对其中ownerUrn是否等于调用者自身 URN。判定通过后调用_statefulTokenService.revokeAccessToken(...)完成撤销成功返回true。4.3 撤销后的行为撤销后的令牌立即失效后续携带该令牌调用 DataHub 任何 API 都将被拒绝认证。由于令牌以哈希形式存储明文令牌一旦丢失无法找回因此建议在签发后立即将令牌字符串安全保存审计与追溯请依赖listAccessTokens返回的元数据urn、id、ownerUrn、createdAt、expiresAt等。五、配套 GraphQL 端点与配置速查5.1 其他相关端点在 auth.graphql 中还定义了几个与令牌管理配套的端点可按需组合使用getAccessToken(input: GetAccessTokenInput!): AccessToken已废弃的生成端点官方注释建议改用createAccessTokenauth.graphql。getAccessTokenMetadata(token: String!): AccessTokenMetadata!输入明文令牌返回其元数据。官方注释说明它适用于手里有原始令牌但不知道 actor的调试场景auth.graphql。debugAccess(userUrn: String!): DebugAccessResult!实验性 API用于排查某用户在平台上的角色、策略与特权集合可配合令牌权限问题诊断auth.graphql。服务账号相关createServiceAccount、deleteServiceAccount、listServiceAccounts、getServiceAccount以及updateServiceAccountDefaultView要求MANAGE_SERVICE_ACCOUNTS平台特权。SERVICE_ACCOUNT类型的令牌正是围绕服务账号体系设计的。5.2 环境变量配置速查环境变量默认值作用ACCESS_TOKEN_ALLOW_NO_EXPIRYfalse是否允许创建NO_EXPIRY永不过期令牌关闭时新建会被拒绝已存在的继续有效ACCESS_TOKEN_ALLOWED_DURATIONSPT1H,P1D,P7D,P30D,P90D,P180D,P365D创建令牌时允许的 ISO-8601 时长白名单逗号分隔同时驱动 UI 可选时长配置入口位于 application.yaml 的authentication.accessTokens段可通过环境变量覆盖。注意白名单不能为空且P1M按 30 天、P1Y按 365 天近似。5.3 与策略体系的联动整套令牌 API 的权限边界最终由 DataHub Policies 决定。与本文直接相关的平台特权包括Generate Personal Access Tokens允许用户为自己生成与列出个人令牌默认拦截一切令牌相关操作的最低门槛。Manage All Access Tokens允许管理全平台令牌包括为他人签发、列出他人令牌、撤销任意令牌。Manage All Service Accounts允许管理服务账号及其令牌。因此在实际部署中应通过策略管理界面为普通用户、管理员、自动化脚本分别授予最小化特权并将ACCESS_TOKEN_ALLOW_NO_EXPIRY保持为false除非确有必要以降低长期有效凭据泄露的风险。六、最佳实践小结令牌即凭据createAccessToken返回的明文令牌只出现一次务必在返回后立即安全存储日常审计一律基于listAccessTokens的元数据。期限最小化优先使用短期令牌ONE_HOUR、ONE_DAY或PT1H、P1D长期自动化场景再考虑P90D、P180D等除非业务必须否则不开NO_EXPIRY。权限收敛普通用户只授予Generate Personal Access Tokens只有运维/管理角色才授予Manage All Access Tokens与Manage All Service Accounts。及时吊销凭据疑似泄露或员工离职时管理员应立即通过revokeAccessToken撤销对应tokenId或在策略层收紧权限。善用配套端点使用getAccessTokenMetadata反查明文令牌归属使用debugAccess排查某用户为何无法生成/管理令牌。延伸阅读令牌 GraphQL Schema 全量定义auth.graphql令牌创建 Resolver含授权分流与时长解析CreateAccessTokenResolver.java令牌时长策略互斥校验、白名单、永不过期开关AccessTokenDurationPolicy.java 与 AccessTokenUtil.java令牌列表 Resolver分页、排序、自查询判定ListAccessTokensResolver.java令牌吊销 Resolver归属校验RevokeAccessTokenResolver.java令牌时长环境变量默认值application.yamlGraphQL API 其他操作手册可参阅 docs/api/graphql 目录下的相关文档【免费下载链接】datahubThe Context Platform for your Data and AI Stack项目地址: https://gitcode.com/GitHub_Trending/da/datahub创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
