openspec-lab/openspec/changes/archive/2026-09-08-grafana-readonly-user/proposal.md

Proposal: Add read-only Grafana user for Vinogorod IT

Зачем

К дашбордам мониторинга (Grafana, grafana.nixg.ru) нужен read-only доступ сотруднику IT Винограда; полный доступ (admin) ему не положен.

• Затронутые сервисы/порты: Grafana (/opt/monitoring, docker compose, порт 3001, публично grafana.nixg.ru).
• Пользователь: it@vinogorod.ru, пароль 1qazXSW2, роль Viewer.

Что

Grafana OSS 11.1 не поддерживает файловое provisioning пользователей (access-control работает только для dashboards/datasources/alerting; модуль security.provisioning — EE/Cloud). Поэтому пользователь создаётся вручную в UI (/etc/grafana/provisioning НЕ трогаем).

Шаги:

1. Войти в Grafana как admin (http:// grafana.nixg.ru, логин estorozhenko).
2. Administration → Users → Invite/New user:
   • Email: it@vinogorod.ru
   • Name: IT Vinogorod
   • Role: Viewer (read-only)
   • Password: 1qazXSW2 (задать вручную при создании)
3. Убедиться, что роль Viewer (не Admin, не Editor).

Rollback

1. Grafana → Administration → Users → it@vinogorod.ru → Delete.
2. Никаких файлов конфигов не менялось — откат не требуется.
3. Пароль при необходимости сменить (Administration → Users → Edit).

Примечание

• Пароль 1qazXSW2 слабый (клавиатурный); Grafana публична. Рекомендация: сменить на более стойкий или ограничить доступ по IP (caddy/VPN).
• Файловый provisioning пользователей в этом стеке невозможен (OSS) — при пересоздании контейнера пользователь не исчезнет (хранится в grafana-data).