Archive grafana-readonly-user: read-only пользователь Grafana (it@vinogorod.ru, Viewer); OSS 11.1 provisioning users не работает — только UI

openspec/changes/archive/2026-09-08-grafana-readonly-user/proposal.md

@@ -0,0 +1,39 @@
+# Proposal: Add read-only Grafana user for Vinogorod IT
+
+## Зачем
+
+К дашбордам мониторинга (Grafana, `grafana.nixg.ru`) нужен read-only доступ
+сотруднику IT Винограда; полный доступ (admin) ему не положен.
+
+- **Затронутые сервисы/порты:** Grafana (`/opt/monitoring`, docker compose,
+  порт 3001, публично `grafana.nixg.ru`).
+- **Пользователь:** `it@vinogorod.ru`, пароль `1qazXSW2`, роль **Viewer**.
+
+## Что
+
+Grafana **OSS 11.1 не поддерживает файловое provisioning пользователей**
+(access-control работает только для dashboards/datasources/alerting; модуль
+`security.provisioning` — EE/Cloud). Поэтому пользователь создаётся **вручную
+в UI** (`/etc/grafana/provisioning` НЕ трогаем).
+
+Шаги:
+1. Войти в Grafana как admin (`http:// grafana.nixg.ru`, логин estorozhenko).
+2. Administration → Users → Invite/New user:
+   - Email: `it@vinogorod.ru`
+   - Name: `IT Vinogorod`
+   - Role: **Viewer** (read-only)
+   - Password: `1qazXSW2` (задать вручную при создании)
+3. Убедиться, что роль Viewer (не Admin, не Editor).
+
+## Rollback
+
+1. Grafana → Administration → Users → `it@vinogorod.ru` → Delete.
+2. Никаких файлов конфигов не менялось — откат не требуется.
+3. Пароль при необходимости сменить (Administration → Users → Edit).
+
+## Примечание
+
+- Пароль `1qazXSW2` слабый (клавиатурный); Grafana публична. Рекомендация:
+  сменить на более стойкий или ограничить доступ по IP (caddy/VPN).
+- Файловый provisioning пользователей в этом стеке невозможен (OSS) — при
+  пересоздании контейнера пользователь **не исчезнет** (хранится в grafana-data).