cx-platform-admin

平台管理员技能

使用此技能管理 Coralogix 中的访问、身份验证和授权。内容涵盖 API 密钥管理、角色和范围定义、用户管理、团队组以及 IP 访问限制。

---

破坏性操作安全

所有写入操作（create、update、delete、set-idp、set-active、set-status）都需要交互式确认。CLI 会在执行前提示。若要在脚本中跳过提示，请传入 --yes。

重要：未经用户明确批准，绝不可传入 --yes。 执行任何写入操作前：

1. 向用户说明具体操作（将创建、修改或删除什么）
2. 等待用户确认
3. 只有在此之后，才使用 --yes 执行

只读操作（list、get、search、system、sp-params、send-data-keys）无需确认，可自由执行。

只读模式

使用 --read-only（或 CX_READ_ONLY=1）可在 CLI 层面阻止所有写入操作。此模式适用于安全探索——你可以查询任何 IAM 资源，而不必担心意外修改。

Agent 模式

在 AI Agent（Claude Code、Cursor、Codex 等）中运行时，cx 会自动检测 Agent 环境，并在写入操作时快速失败，而不会卡在 stdin 提示上。错误消息会提示你先获取用户确认，然后使用 --yes 重新运行。

---

CLI 命令

API 密钥

对于 RUM（浏览器/移动端）密钥和 SDK 设置，请使用 cx-rum-setup 技能。

命令	用途
cx iam api-keys list	列出所有 API 密钥
cx iam api-keys get <id>	获取单个 API 密钥
cx iam api-keys create --from-file	创建 API 密钥
cx iam api-keys update --from-file <id>	更新 API 密钥
cx iam api-keys delete <id>	删除 API 密钥
cx iam api-keys send-data-keys	列出发送数据用的 API 密钥
cx iam api-keys admin list	列出所有团队成员的密钥
cx iam api-keys admin delete --ids <id1> <id2>	批量删除密钥
cx iam api-keys admin set-status --ids <id1> --active true/false	激活/停用密钥

角色与范围

命令	用途
cx iam roles list	列出自定义角色
cx iam roles get <id>	获取角色定义
cx iam roles create --from-file	创建自定义角色
cx iam roles update --from-file <id>	更新自定义角色
cx iam roles delete <id>	删除自定义角色
cx iam roles system	列出系统（内置）角色
cx iam scopes list	列出所有范围
cx iam scopes get <id>	获取范围定义
cx iam scopes create --from-file	创建范围
cx iam scopes update --from-file	更新范围
cx iam scopes delete <id>	删除范围

用户与组

命令	用途
cx iam users search	搜索用户（可选参数 --query、--status）
cx iam users get <user-id>	获取单个用户
cx iam users create --from-file	创建用户
cx iam users update --from-file	更新用户
cx iam users set-status --user-ids <id> --status ACTIVE/INACTIVE	激活/停用用户
cx iam groups list	列出所有团队组
cx iam groups get <id>	按 ID 获取组
cx iam groups get-by-name <name>	按名称获取组
cx iam groups users <group-id>	列出组中的用户
cx iam groups create --from-file	创建组
cx iam groups update --from-file <id>	更新组
cx iam groups delete <id>	删除组

IP 访问

命令	用途
cx iam ip-access get	获取 IP 访问设置
cx iam ip-access create --from-file	创建 IP 访问规则
cx iam ip-access update --from-file	更新 IP 访问规则
cx iam ip-access delete	删除 IP 访问设置

所有命令均支持 -o json 以输出结构化数据，并支持 -p <profile> 以选择配置文件。

---

访问审计工作流

使用此工作流生成全面的访问报告：

步骤 1：列出所有用户

cx iam users search -o json
cx iam users search -o json | jq '[.[] | {id, name: .user_name, status, role_ids}]'

步骤 2：列出角色

cx iam roles list -o json
cx iam roles system -o json

交叉比对用户角色 ID 与角色定义，以了解权限。

步骤 3：列出群组及其成员

cx iam groups list -o json
cx iam groups list -o json | jq '[.[] | {id, name, member_count: (.members | length)}]'

检查每个群组的成员：

cx iam groups users <group-id> -o json

步骤 4：清点 API 密钥

cx iam api-keys list -o json
cx iam api-keys admin list -o json
cx iam api-keys send-data-keys -o json

找出旧密钥或未使用的密钥：

cx iam api-keys list -o json | jq '[.[] | {id, name, created_at, active}] | sort_by(.created_at)'

步骤 5：检查 IP 限制

cx iam ip-access get -o json

步骤 6：交叉比对

生成摘要：哪些用户拥有管理员角色、哪些 API 密钥已过期、哪些群组拥有广泛的访问权限。

---

API 密钥轮换

安全的密钥轮换工作流：

1. 列出现有密钥： cx iam api-keys list -o json
2. 找出需要轮换的密钥： 按使用年限或名称筛选
3. 创建替代密钥： cx iam api-keys create --from-file new-key.json --yes（获得用户批准后）
4. 将新密钥部署到所有使用旧密钥的系统
5. 验证新密钥在所有集成中都能正常工作
6. 删除旧密钥： cx iam api-keys delete <old-key-id> --yes（获得用户批准后）

**WARNING：**在替代密钥部署并验证之前，切勿删除 API 密钥。删除正在使用的密钥会立即导致所有使用该密钥的集成中断。

---

安全提示

删除 API 密钥会立即导致任何使用该密钥的集成中断。务必先创建替代密钥。

停用用户（cx iam users set-status --status INACTIVE）会立即生效。用户将失去访问权限，且没有宽限期。

删除 IP 访问规则（cx iam ip-access delete）会立即移除所有 IP 限制，可能使账户暴露于风险之中。

---

关键原则

• 先审计，再修改——进行更改前，先运行完整的访问审计工作流
• 没有替代密钥时，切勿删除密钥——创建新密钥 → 部署 → 验证 → 删除旧密钥
• 使用 -o json 生成结构化报告——支持使用 jq 进行筛选，以精准分析访问权限
• 使用多配置文件进行跨环境审计——使用 -p <profile> 或 --all-profiles 审计 staging 和 production
• 基于现有内容创建模板——创建新角色前，运行 cx iam roles get <id> -o json > role.json

---

相关技能

• cx-cost-optimization——检查 API 密钥的用途，以及它们是否仍有必要
• cx-rum-setup——创建 RUM API 密钥，并将 RUM SDK 接入应用