私の理解では、/site/settings.json への管理者アクセスを必須とし、/site.json にある一部の情報にアクセスすることは、Discourse の標準的な動作です。
Discussion Bridge や同様の統合機能は、日常的な診断、計画、同期のために、限られたセットのサイト構成情報が必要です。現在、これは管理者に関連付けられた API キーを使用することを必要とする場合があります。読み取り専用の管理者キーは書き込みを防ぎますが、管理者が読み取れるすべての情報を依然として公開してしまいます。グローバルな管理者キーは、日常的なマシン操作に対して不必要に大きなリスクをもたらします。
Discourse は以下のいずれかを提供できますか？
- 非管理者の統合ユーザーに、
/site.jsonと/site/settings.jsonの適切で安全なサブセットへの読み取りアクセスを付与する、細粒度の API キースコープ；または - 統合機能が一般的に必要とする非機密の構成情報を含む別のエンドポイント？
Discourse はすでに通常ユーザー用のユーザー API キーをサポートしていますが、これはこのケースを解決しません：キーは、関連付けられたユーザーがすでに持っている権限のみを実行できます。したがって、このリクエストは、統合機能が必要とする限られたサイト構成データへの、安全な非管理者認証を具体的に求めています。単なる別のキー生成方法ではありません。
目的は、プライベートな管理者設定を公開することではありません。権限を持つ非管理者の統合アカウントが、日常的な管理者レベルの資格情報を必要とせずに、必要なサイト構造と運用設定を確認できるようにすることです。
これにより、資格情報のリスクを低減し、最小権限の統合をサポートし、機械間ツールをより安全に運用しやすくします。