Authzed/SpiceDB 命令行管理工具镜像

镜像概述和主要用途

本镜像提供了用于管理Authzed和SpiceDB的命令行工具，旨在简化与SpiceDB权限系统的交互。SpiceDB是一个开源的分布式权限系统，用于管理和查询应用程序中的细粒度权限，而Authzed是SpiceDB的商业托管版本。该工具通过命令行界面提供对SpiceDB实例的全面管理能力，支持权限配置、数据查询、状态监控等核心操作。

核心功能和特性

• 多环境连接：支持连接到本地、开发、测试及生产环境的SpiceDB实例
• 权限关系管理：创建、更新和删除权限关系（如用户-资源-权限三元组）
• 权限状态查询：检查特定主体对资源的权限是否存在
• 模式管理：定义、验证和部署权限模式（Schema）
• 配置持久化：支持保存常用连接配置，简化重复操作
• 输出格式化：支持JSON、表格等多种输出格式，便于集成到自动化流程

使用场景和适用范围

• 开发环境：快速测试和验证权限模型配置
• 生产环境：管理SpiceDB实例的日常权限操作
• 自动化集成：嵌入CI/CD流程，实现权限配置的自动化部署
• 权限审计：定期查询和记录权限状态，满足合规要求
• 故障排查：诊断权限相关问题，验证权限配置是否生效

使用方法和配置说明

基本使用示例

通过Docker运行命令行工具：

docker run --rm authzed/cli [command] [options]

连接到SpiceDB实例

需通过环境变量或命令行参数指定SpiceDB连接信息：

docker run --rm \
  -e SPICEDB_ENDPOINT=grpc://spicedb:50051 \
  -e SPICEDB_TOKEN=your-auth-token \
  authzed/cli check permission user:alice view document:doc1

常用命令示例

• 查看工具版本：

  docker run --rm authzed/cli version
  

• 部署权限模式：

  docker run --rm \
    -e SPICEDB_ENDPOINT=grpc://spicedb:50051 \
    -v $(pwd)/schema.zed:/schema.zed \
    authzed/cli schema write /schema.zed
  

• 添加权限关系：

  docker run --rm \
    -e SPICEDB_ENDPOINT=grpc://spicedb:50051 \
    authzed/cli relationship create user:alice document:doc1 writer
  

环境变量配置

持久化配置

如需保存常用配置，可挂载配置目录到容器：

docker run --rm \
  -v ~/.authzed:/root/.authzed \
  authzed/cli config set default.endpoint grpc://spicedb-prod:50051

之后可直接使用已保存的配置：

docker run --rm -v ~/.authzed:/root/.authzed authzed/cli check permission ...

注意事项

• 生产环境中建议通过--user参数指定非root用户运行容器
• 敏感信息（如SPICEDB_TOKEN）建议通过Docker Secrets或环境变量文件注入，避免明文暴露
• 工具版本需与SpiceDB服务版本兼容，具体兼容性信息请参考官方文档