ограничить доступ для модификации к этой группе процессов

Question

Создал группу процессов, которая содержит пользовательский процессор и несколько процессоров по умолчанию и добавил его в корзину.

Я хочу ограничить доступ для модификации к этой группе процессов.

Пользователь sys_admin может добавить группу на холст и изменить ее и ее процессоры.

Пользователь test_user должен иметь возможность только добавлять его на холст, но не изменять его (или его процессоры).

Но это не работает.

Пользователь test_user имеет разрешение на чтение только для корзины.

Но пользователь test_user может добавить группу процессоров, войти и изменить ее.

Есть ли способ ограничения доступа на уровне сегмента?

То есть пользователь может только добавить что-то из корзины, но никогда не изменять его?

Или я могу установить глобальное ограничение для группы процессоров?

Я хочу, чтобы эта группа процессоров изменялась только пользователем sys_admin.

Любая помощь приветствуется!

Answer 1

Здесь есть две разные модели безопасности: одна на стороне реестра NiFi, а другая на стороне NiFi.

На стороне реестра NiFi - контроль разрешений корзины, который может читать и записывать в корзину.Это относится только к извлечению потока из корзины или сохранению новой версии потока в корзину.

На стороне NiFi управление разрешениями группы процессов может создавать и изменять компоненты.

Поскольку test_user имеет доступ на чтение к корзине в реестре, они могут импортировать этот поток в любую группу процессов в NiFi, где у них есть доступ для записи.После того, как они импортируют его, они могут делать с ним все, что захотят, в NiFi, поскольку все это локальные изменения на стороне NiFi, но они не смогут сохранить новую версию в реестре, поскольку у них нет прав на запись в систему.ведро.

В настоящее время я не уверен, что есть способ достичь того, что вы просите.Скорее всего, потребуется разделить некоторые разрешения.В настоящее время возможность импорта потока основана на наличии разрешений на запись в группе процессов, в которую вы хотите импортировать ее, но разрешения на запись также означают, что вы можете изменять что-либо в этой группе.