AI App Permissions

Конфигурация сбора данных содержит конфигурации для сбора снимков разрешений локальных AI-агентов Claude Code и Codex с помощью Smart Monitor Data Collector и Smart Beat Manager.

Модель данных

Данные нормализуются в индекс gen_ai_permissions. Сборщики читают реальные конфигурационные файлы агентов и формируют событие permission_config_snapshot: для Claude Code — approval_mode, allow_list, deny_list, ask_list; для Codex — approval_policy, sandbox_mode, network_access, approved_prefixes.

Покомандные события «запрос/одобрение действия» (permission_request) в нативных логах Claude Code и Codex в готовом виде не фиксируются, поэтому из локальных файлов не извлекаются.

Состав конфигурации сбора данных

1. sm_data_collector_pipelines – конфигурационный файл pipeline Smart Monitor Data Collector:
   • ai_app_permissions.conf – снимки конфигурации разрешений → gen_ai_permissions.
2. opensearch – шаблон индекса gen_ai_permissions.
3. sample – примеры исходных (original) и разобранных (expected) данных.
4. SmartBeatManager – приложения Scriptbeat:
   • scriptbeat_claude_permissions – collect_claude_permissions.py (снимок ~/.claude/settings.json);
   • scriptbeat_codex_permissions – collect_codex_permissions.py (снимок ~/.codex/config.toml).

Предварительные требования

Предполагается, что ПО установлено по стандартным путям:

/app/logstash/
/app/smartBeatManager/
/app/smartBeat/

При нестандартных путях проверьте конфигурационные файлы и скорректируйте пути вручную.

1. Настройка Smart Monitor Data Collector

Разместите файл из sm_data_collector_pipelines/ в /app/logstash/config/conf.d и подключите в /app/logstash/config/pipelines.yml:

### AI App Permissions

- pipeline.id: ai_app_permissions
  path.config: "/app/logstash/config/conf.d/ai_app_permissions.conf"

В logstash.keystore должен присутствовать ключ ES_PWD (пароль пользователя logstash). В ai_app_permissions.conf замените HOST:PORT (OpenSearch) и PORT (порт beats).

Затем перезапустите Logstash:

systemctl restart logstash

2. Настройка индексов OpenSearch

Выполните шаблон opensearch/gen_ai_permissions_template.json и при необходимости привяжите индекс к политике ISM.

3. Настройка Smart Beat Manager

Разместите приложения из SmartBeatManager/apps/ в /app/smartBeatManager/apps, дистрибутив Scriptbeat — в /app/smartBeatManager/binaries, добавьте группы в serverclasses.yml и перезапустите smartBeatManager.

В конфигурациях Beat замените HOST:PORT на адрес и порт Smart Monitor Data Collector. Снимки разрешений запускаются по расписанию cron и читают конфиг-файлы агента на хосте.

Переменные окружения:

• CLAUDE_SETTINGS_PATH — путь к settings.json Claude Code;
• CODEX_CONFIG_PATH — путь к config.toml Codex;
• AGENT_HOST_NAME, AGENT_USER_ID, AGENT_OS_TYPE — переопределение метаданных хоста/пользователя.

Поток данных

Соответствие конфигов и индексов

Кто использует данные