{ "version": "https:\/\/jsonfeed.org\/version\/1.1", "title": "Yuriy Gavrilov: posts tagged Python", "_rss_description": "Welcome to my personal place for love, peace and happiness 🤖 Yuiry Gavrilov", "_rss_language": "en", "_itunes_email": "yvgavrilov@gmail.com", "_itunes_categories_xml": "", "_itunes_image": "https:\/\/gavrilov.info\/pictures\/userpic\/userpic-square@2x.jpg?1643451008", "_itunes_explicit": "no", "home_page_url": "https:\/\/gavrilov.info\/tags\/python\/", "feed_url": "https:\/\/gavrilov.info\/tags\/python\/json\/", "icon": "https:\/\/gavrilov.info\/pictures\/userpic\/userpic@2x.jpg?1643451008", "authors": [ { "name": "Yuriy Gavrilov - B[u]g - for charity.gavrilov.eth", "url": "https:\/\/gavrilov.info\/", "avatar": "https:\/\/gavrilov.info\/pictures\/userpic\/userpic@2x.jpg?1643451008" } ], "items": [ { "id": "345", "url": "https:\/\/gavrilov.info\/all\/upravlenie-dostupom-v-dashbordah-s-marimo-i-opa-prostoe-reshenie\/", "title": "Управление доступом в дашбордах с Marimo и OPA: простое решение для сложных политик", "content_html": "

В современном мире данных всё чаще требуется не только предоставлять пользователям интерактивные инструменты для анализа, но и жёстко контролировать, кто и к каким данным может обращаться. Классический подход — встраивать логику доступа прямо в код приложения — быстро становится негибким и трудно поддерживаемым. На помощь приходят специализированные решения: Marimo<\/b> для построения дашбордов и OPA<\/b> (Open Policy Agent) для централизованного управления политиками доступа.<\/p>\n

В этой статье мы разберём, как написать простое приложение на Marimo, которое проверяет права пользователя через OPA, а затем обсудим, как эта связка может быть расширена на полноценный дашборд, работающий с Trino и управляющий доступом к данным на разных уровнях.<\/p>\n

\n

Что такое Marimo и OPA?<\/h3>\n

Marimo<\/b> (https:\/\/github.com\/marimo-team\/marimo)<\/a> — это современный интерактивный блокнот для Python, который сочетает в себе удобство Jupyter с реактивностью и возможностью превращать блокнот в веб-приложение. В отличие от классических блокнотов, Marimo автоматически пересчитывает ячейки при изменении входных данных, что делает его идеальным для создания дашбордов и инструментов анализа.<\/p>\n

OPA<\/b> (Open Policy Agent: https:\/\/www.openpolicyagent.org)<\/a> — это универсальный движок политик с открытым исходным кодом. Он позволяет описывать правила доступа на языке Rego (декларативном, похожем на JSON) и принимать решения на основе входных данных (input). OPA работает как отдельный сервис, принимающий запросы и возвращающий разрешено или запрещено действие. Такой подход отделяет политики от кода приложения, упрощая их изменение, аудит и повторное использование.<\/p>\n

\n\"\"\n<\/div>\n
\n

Простой пример: проверка доступа в Marimo<\/h3>\n

Представьте, что у нас есть дашборд, в котором разные пользователи могут видеть разные разделы. Вместо того чтобы хардкодить условия в Python, мы выносим логику в OPA.<\/p>\n

Ниже приведён фрагмент кода на Marimo, который реализует минимальный интерфейс для проверки доступа:<\/p>\n

Запускаем OPA<\/p>\n

podman run -d --name opa-server -p 8181:8181 openpolicyagent\/opa \\                \n  run --server --addr=0.0.0.0:8181 --log-level debug<\/code><\/pre>
Создаем политику Rego<\/p>\n
nano policy.rego<\/p>\n
package app.authz\ndefault allow = false\nallow if {\n    input.user.role == "admin"\n}<\/code><\/pre>
Отправляем политику в OPA:<\/p>\n
curl -X PUT --data-binary @policy.rego http:\/\/localhost:8181\/v1\/policies\/my_policy<\/code><\/pre>
Далее запускаем новый блокнот Marimo<\/p>\n
mkdir marimo-opa\ncd marimo-opa\nuv init \nuv add marimo requests\nuv run marimo edit app.py<\/code><\/pre>
а теперь само приложение Marimo<\/p>\n
import marimo as mo\nimport requests\n\n# Элементы управления\nuser_role = mo.ui.dropdown(["user", "admin"], value="user", label="Роль пользователя:")\nresource = mo.ui.text(value="dashboard", label="Ресурс:")\nsubmit = mo.ui.button(label="Проверить доступ")\n\nmo.hstack([user_role, resource, submit])<\/code><\/pre>
После нажатия кнопки код отправляет запрос к OPA:<\/p>\n
mo.stop(not submit.value, mo.md("*Нажмите кнопку для проверки прав*"))\n\nopa_url = "http:\/\/localhost:8181\/v1\/data\/app\/authz\/allow"\npayload = {\n    "input": {\n        "user": {"role": user_role.value},\n        "resource": resource.value\n    }\n}\n\ntry:\n    response = requests.post(opa_url, json=payload).json()\n    is_allowed = response.get("result", False)\n    status = mo.md("**Доступ разрешен**") if is_allowed else mo.md("**Доступ запрещен**")\nexcept Exception as e:\n    status = mo.md(f"**Ошибка подключения к ОРА:** {e}")\n\nstatus<\/code><\/pre>
Что здесь происходит?<\/p>\n