Karpaty

Jak zalogować się do Grafany przez Authelię jako admin?

jpalczewski@gmail.com (Jacek Palczewski) — Sun, 13 Sep 2026 17:32:54 GMT

Ostatnio hobbystycznie wracam do zabawy w selfhosting — jeden z tych okresowych nawrotów, gdzie na nowo można rozwiązać stare problemy, testując różne podejścia do rzeczy, które kiedyś już “rozwiązałem”¹. Tym razem przyszła kolej na monitoring.

Zdziwiło mnie, że zaraz po skonfigurowaniu OIDC nie mogłem dodać żadnego dashboardu w Grafanie — logowanie działało, a mimo to brakowało uprawnień.

Setup

Grafana stała już za Authelią (self-hosted SSO, jeden użytkownik, w grupie admins) przez natywne OIDC² (auth.generic_oauth). Zadanie wydawało się trywialne: każdy z grupy admins ma dostawać rolę GrafanaAdmin w Grafanie automatycznie przy logowaniu, zamiast nadać ręcznie w UI — i tak zostałoby nadpisane przy każdym logowaniu, bo allow_sign_up: true re-provisionuje usera za każdym razem.

Grafana

Standardowa, udokumentowana ścieżka: scope groups na kliencie OIDC + role_attribute_path (wyrażenie JMESPath³) po stronie Grafany.

Grafanę stawiam przez Ansible, rolą grafana.grafana.grafana. Najważniejszy fragment configu to zmienna grafana_ini_oauth:

grafana_ini_oauth:
  "auth.generic_oauth":
    enabled: true
    name: Authelia
    client_id: grafana
    client_secret: "{{ grafana_authelia_oidc_secret | default('') }}"
    scopes: "openid profile email groups"
    auth_url: "https://authelia.example.com/api/oidc/authorization"
    token_url: "https://authelia.example.com/api/oidc/token"
    api_url: "https://authelia.example.com/api/oidc/userinfo"
    use_pkce: true
    allow_sign_up: true
    role_attribute_path: "contains(groups[*], 'admins') && 'GrafanaAdmin' || 'Viewer'"

Admin user jest jedynym członkiem grupy admins w Authelii — stąd contains(groups[*], 'admins') w wyrażeniu wyżej. Warunek konieczny, żeby to zadziałało: scope groups musi być dodany do klienta OIDC Grafany, tak jak w configu powyżej.

Co miało się wydarzyć

Dokumentacja role_attribute_path w Grafanie opisuje trójstopniowy fallback: najpierw id_token, jeśli nic nie znajdzie — userinfo (api_url), jeśli nadal nic — access_token. Brzmi jak solidna redundancja.

Co się wydarzyło w praktyce

W Grafanie 13.2.1 fallback do userinfo jest zepsuty — potwierdzone przez grafana/grafana#106686. Jeśli claima nie ma w id_token, Grafana nie sprawdza userinfo tak, jak deklaruje dokumentacja.

Tymczasem Authelia od wersji 4.39 przestała domyślnie wrzucać claimy ze scope’ów (np. groups) do id_token — trafiają tylko do userinfo. To sensowne zaostrzenie bezpieczeństwa samo w sobie (mniej PII w tokenie, który trafia do różnych stron), ale w zderzeniu ze zepsutym fallbackiem Grafany daje cichy blackout: dokładnie ten claim, który ma znaczenie dla roli, nigdzie nie dociera.⁴

Fix po stronie Authelii

identity_providers.oidc.claims_policies po stronie Authelii — jawnie wymusza konkretne claimy z powrotem do id_token per-klient, referencjonowane z klienta przez claims_policy: <nazwa>.

identity_providers:
  oidc:
    # ...
    claims_policies:
      grafana: # nazwa polityki, dowolna, referencjonowana niżej
        id_token:
          - 'groups' # wymuś ten claim do id_tokenu

    clients:
      - client_id: 'inny'
        # brak claims_policy — nie dostaje tego traktowania

      - client_id: 'grafana'
        client_secret: '...'
        claims_policy: 'grafana' # podłączenie polityki do klienta
        redirect_uris:
          - 'https://grafana.example.com/login/generic_oauth'
        scopes:
          - 'openid'
          - 'profile'
          - 'email'
          - 'groups' # musi być zażądany, inaczej nic do wymuszenia

Z tymi ustawieniami ponownie można logować się do Grafany jako admin — kolejny stary problem odhaczony, na nowo i inaczej niż ostatnim razem.

I czy, mając możliwość dodania dashboardu, dodałem go?

teraz już nie chcę

Przypisy

RPi-Monitor, pamiętamy ↩
OIDC (OpenID Connect) — protokół logowania (SSO) zbudowany na OAuth2. ↩
JMESPath — język zapytań do wyciągania i przekształcania danych z dokumentów JSON, tu używany do wyciągnięcia grup z claimów tokenu. ↩
Kto się naszukał, jak dodać nowy dashboard, żeby po dłuższej chwili zorientować się, że ma tylko Viewera? Autor. ↩

AAAAA Rejwa szukam

jpalczewski@gmail.com (Jacek Palczewski) — Mon, 27 Apr 2026 00:00:00 GMT

Jednym z najbardziej niespecyficznych nawyków które mam, to obczajanie zagranicznych miast na Resident Advisor: !Resident Advisor Zaczęło się rok temu jak przypadkiem trafiłem na Lil Texasa w Budapeszcie.

Domyślam się ze nie kady zna, dlatego tez...

Rust, Docker i problem z cache'owaniem warstw na GHA

jpalczewski@gmail.com (Jacek Palczewski) — Sun, 26 Apr 2026 00:00:00 GMT

Ostatnio dłubię sobie własny vibe-designed rewrite aplikacji todo w Ruscie¹. Przy okazji zacząłem szukać sensownej ścieżki do optymalizowania budowania obrazów Dockerowych na GitHub Actions.

Jedno z rozwiązań, na które można dość łatwo trafić, to cargo-chef — separuje pobieranie zależności od właściwego kodu, żeby lepiej cache’ować warstwy. Problem w tym, że jest projektowany pod prostsze aplikacje z jednym lib.rs. W workspace z większą liczbą crate’ów nie cache’uje tego co trzeba i przy każdym pushu i tak kompilujesz wszystko od nowa.

Dwa podejścia które próbowałem: buildkit cache dance² — trochę przyspiesza, ale nie cache’uje rewelacyjnie i dorzuca własny narzut czasowy³ — oraz swatinem/rust-cache, który na GHA sprawdza się fajnie przy cache’owaniu binarek, ale deployment Kartoteki jako obrazu Dockerowego na Coolify tę akcję wyklucza.

Z researchu wyszło mi, że warto sprawdzić sccache — zrobiłem podejście, ale Hetzner S3 odpada⁴. Stąd Cloudflare R2 w free tierze jako potencjalna alternatywa⁵.

Na razie tymczasowo parkuję przy cache dance. Nie jest wykluczone, że pójdę w stronę własnego runnera z lokalnym cache — tylko na trochę większym serwerze.

Przypisy

Kartoteka — gdzieś pomiędzy Todoistem, Jirą, Amazing Marvin i Togglem. Klasyczny scope creep. ↩
Przykład w repo Kartoteka. ↩
W przypadku Kartoteki dochodzi jeszcze kwestia egzotycznego stacku w postaci Leptosa — razem z plikiem serwera trzeba też deployować zbudowany frontend/wasm. ↩
Hetzner S3 rozlicza storage w pakietach po 1 TB — jak na jeden niewinny backup i artefakty do cache to trochę astronomiczne. ↩
Tak, wiem — sugerowanie żebym wracał do Cloudflare, kiedy od dwóch tygodni przepisuję MCP z Cloudflare Workera na axum/rmcp żeby zejść z ekosystemu Cloudflare, mhm. ↩

Live

jpalczewski@gmail.com (Jacek Palczewski) — Sun, 19 Apr 2026 12:48:03 GMT

Po paru miesiącach dłubania¹, post-Claude-Code hiperfiksacji na AI-owych sideprojektach — wracam do dłubania tego repozytorium, aka prowadzenia bloga.

Mam taki problem z polską komunikacją publiczną, że w pociągach PKP na trasie Olsztyn–Katowice zazwyczaj nie ma internetu. Jakieś 60% przejazdów. Moje ADHD za bardzo nie pozwala mi czytać książek², więc… może przynajmniej sobie popiszę. Pouczę LLM-y. Zatruję je odrobiną nudnej wiedzy.

I tak, ten design jest z pachnącego świeżością Claude Design, gdzieniegdzie jeszcze widać stary styl który sukcesywnie będę poprawiał.

Przypisy

Jak widać po datach treść tych notatek trochę odleżała niczym dobry alkohol. ↩
Największy akt desperacji to wyciąganie nmapa i analiza ruchu licząc na to, że ręcznie uda mi się potwierdzić regulamin - bez skutku, niestety. ↩

Jak mieć multiscreen na Azurowskim Bastionie?

jpalczewski@gmail.com (Jacek Palczewski) — Mon, 08 Dec 2025 20:01:36 GMT

Ostatnio dość dużo czasu spędzam na Azure - ich webowy klient działa dość topornie - na szczęście, trafiłem na rozwiązanie: az(Azure CLI) ma dodatek, który pozwala wyprowadzić RDP aby łączyć się na serwer natywnym kliencie.

Warto też wspomnieć że Microsoft w swej dobroci wrzuca az jako zip do ściągnięcia - w sam raz na środowiska gdzie brakuje praw administratora¹.

Przypisy

Gdyby was kusiło budować samemu na lokalnym pythonie - bez ~~bez kraka nie pójdzie~~ większej ilości narzdzi do budowania - a w Condzie też nie działał. ↩

Róznica między rezonansem medycznym wykonanym prywatnie, a na NFZ

jpalczewski@gmail.com (Jacek Palczewski) — Mon, 17 Nov 2025 19:02:47 GMT

Z takich zabawnych anegdot to cały czas za mną chodzi różnica w doświadczeniu między rezonansem który miałem w ramach Luxmedu, kontra rezonansem wykonanym na fundusz zdrowia.

Właściwie największą różnicą jest muzyka. W Luxmedzie dostajesz słuchawki, natomiast w publicznie finansowanym badaniu do dyspozycji masz najtańsze zatyczki.

Humorystyczny też był dla mni aspekt¹ że dopiero na tym którymś badaniu z rzędu, właśnie wykobywanym na fundusz moja głowa była przeskanowana wykrywaczem metali. Jakby okej, standardy diagnostyczne są mi już z doświadczenia bliskie, ale mimo te pierwsze badania było ze wszechmiar stresujące, biorąc pod uwagi że trzy czwarte badań na początku udaru były wykonywane gdy byłem niprzytomny to stres że mam w głowie jakieś rosyjskie² nożyczki. Nie ukrywam, że ten symboliczny gest przed pierwszym badaniem w Polsce byłby dość mocno uspokający.

Przypisy

Jakby tak, mnie śmieszą dziwne rzeczy, możecie się przyzwyzcaić. ↩
Tak, operację miałem w Rosji. To się nazywa niezwykła pamiątka z podróży! ↩

Optymalizacja drogi do Katowic

jpalczewski@gmail.com (Jacek Palczewski) — Sat, 15 Nov 2025 16:07:41 GMT

Ten post jest literalnie tym filmem Pewnego sierpniowego dnia dostałem zaproszenie na rozmowę kwalifikacyjną do Katowic. Słysząc, że rozmowa będzie na miejscu to stwierdziłem.... ......dlaczego nie?[^2] W każdym razie, parę tygodni później jestem szczególnie dumny z jednego połączenia: - O 20...

W warmińsko-mazurskim nic sie nie dzieje, ale...

jpalczewski@gmail.com (Jacek Palczewski) — Sat, 15 Nov 2025 15:23:35 GMT

W te wakacje miałem dość dużą hiperfiksację związaną z podróżami¹ na festiwale - jedna ciekawostka mi zapadła w pamięć sczególnie.

Szukając alternatyw transportowych jak trafić do Holandii, Claude podpowiedział mi istnienie lotniska Weeze pod Duseldorfem w Niemczech - tak się składa że są tam loty z Szyman, naszego lokalnego, podolsztyńskiego lotniska - w dodatku zazwyczaj względnie tanie². I z jednej strony można to traktować jako fast travel pod Holandię, czy też zachodnie Niemcy.

Z drugiej: to miejsce gdzie odbywa się Parookaville, dość duży festiwal muzyki elektronicznej.

Chciałbym akurat to wiedzieć wcześniej - korzystałbym.

Przypisy

Czy od dwóch miesięcy dojeżdżam ponad 500km na praktyki w jedną stronę? Tak, i trochę mi mało… ↩
Można się tylko domyślać, że ten samolot zazwyczaj wozi powietrze ↩

Przyjdzie informatyk na wydział humanistyczny...

jpalczewski@gmail.com (Jacek Palczewski) — Fri, 14 Nov 2025 00:00:00 GMT

Zaczynając pracę magisterską w realiach Wydziału Humanistycznego przyszedłem z dość fajnym bagażem - czy też doświadczeniem pisania w Zotero. Co prawda styl cytowania zgoła odmienny od tego co znałem dotychczas, ale gdyby ktoś kiedyś trafił w podobnych realiach i chciał mieć fajne narzędzie do zarządzania bibliografią - czuję potrzebę napomknąć że jest styl cytowania w polskich naukach humanistycznych - jest dostępny pod tym adresem¹

Przypisy

Czy finalnie aby wstrzelić się w w wymagania wydziałowe odnośnie bibliografii całość i tak przeszła przez LLM, aby spełnić wymagania odnośnie formatu imion? Tak, ale ciii. ↩

A jak wygląda droga do Budapesztu?

jpalczewski@gmail.com (Jacek Palczewski) — Thu, 13 Nov 2025 23:08:48 GMT

Wrzucając stare posty żeby jakkolwiek zapełnić nowego bloga treścią, Fajnie będzie dodać do do moich rozkmin na temat Amsterdamu, jak wygląda kwestia Budapesztu pod kątem cen transportu. Long story short: we wrześniu był tam Lil Texas, więc stwierdziłem ze muszę tam być!

W porównaniu do horrendalnych cen transportu do Europy Zachodniej, za nocny do Budapesztu zapłaciłem około 200 zł - więcej mnie wyniósł powrotny, ponieważ przez moje niedopatrzenie dostałem pierwszą klasę kupując bilet w kasie¹.

Przy okazji ciekawostka podróżnicza: Gdyby ktoś kiedyś polując na super promu miał problem z powrotem z Budapestu to można rozkminić przysiadkę w ramach jednej relacji: nie miałem powrotnych do Warszawy, ale były miejsca do Katowic – więc kupując w relacji krajowej od Katowic do Warszawy można dojechać mimo braku biletów.²

Przypisy

Zapytacie dlaczego? Wierzyłem ze na jednym bilecie dostanę relację Olsztyn-Budapeszt - niestety, międzynarodowe są na innym druku i chyba nie jest możliwa taka sprzedaż. Chociaż przerażenie w oczach kasjerki sprzedającej bilety na relacje międzynarodowe jest bezcenne - system jest tak cholernie nieintuicyjny z tego co obserwuję z boku. ↩
Jednego razu bardzo zależało mi na powrocie z Katowic i miejscu siedzącym - Udało mi się rozbić Jeden bilet na trzy przesiadki w ramach tej samej relacji xD ↩

Użyte artykuły w trakcie tworzenia tego bloga

jpalczewski@gmail.com (Jacek Palczewski) — Thu, 13 Nov 2025 07:57:25 GMT

Szukając fajnych statystyk Perplexity podrzuciło mi Goatcounter - plus że open source i zaletą jest brak przymusu ostrzeżenia o ciasteczkach. Jak wyjdzie? Zobaczymy.

Hello, world

jpalczewski@gmail.com (Jacek Palczewski) — Wed, 12 Nov 2025 00:00:00 GMT

Kolejne, finalne podejście do blogowania. Styl jest od początku do końca zrobiony za pomocą vibecodingu - w duźej mierze to efekt darmowych tokenów na claude code web i zapału do skomplikowanych inicjatyw.

A zapytacie¹, dlaczego wracam nieustannie na github pages? To ma nieodmienny związek z…lękiem przed śmiercią. Jest w tym coś minimalnie kojącego, że jak kiedyś mnie zabraknie, to te miejsce bdzie trwało trochę dłużej. A infekowanie własną twórczością datasetów kolejnych modeli AI…czy to te słynne życie wieczne?

Przypisy

jasne, mogę wejść sobie w dialog z czytelnikiem, ale wątpię, że ktokolwiek to przeczyta. ↩

Co wspólnego ma malarstwo z design thinking

jpalczewski@gmail.com (Jacek Palczewski) — Sat, 27 Jul 2024 00:00:00 GMT

Jestem jeszcze w czasie gdy dość łapczywie przeglądam zdjęcia z podróży i teraz stwierdziłem że w ramach nasilenia prokrastynacji chcę zobaczyć o co chodzi z książką Lie like an artist - widziałem ją w przymuzealnych sklepikach zarazem w trzech miastach gdzie miałem okazję zajrzeć do miejsc związanych ze sztuką.

Ale przypadkiem trafiłem na artykuł o tym samym tytule z którego jeden cytat przykuł moją szczególną uwagę:

According to our tour guide, McArdle did painstaking truth-finding to produce these two paintings. He conducted countless interviews with veterans, pored through maps and sketches, probably went to these places himself.

Mam dość luźne skojarzenie z tym jak Design thinking wygląda obecnie, gdzie wywiady pełnią tę istotną rolę czerpania informacji i tworzenia jeszcze lepszego doświadczenia użytkownika.

Jak wrócić z amsterdamu

jpalczewski@gmail.com (Jacek Palczewski) — Sun, 07 Jul 2024 00:00:00 GMT

Podejmując skądinąd odważną decyzję o wyprawie na Dominator 2024 i urozmaicając to wypadem do Amsterdamu, pozostaje jeszcze wątek jak wrócić?

Warunki brzegowe

Zakładam że po całym poniedziałku w Amsterdamie zaczyna się wątek powrotu - czyli do dyspozycji jest albo nocny pociąg, albo nocleg + powrót cały dzień albo dzień przesiadkowy w innej europejskiej stolicy.

Wszystkie ceny są na dzień dzisiejszy, 07.07.24, planowane trochę do przodu tj. ten poniedziałek to 22.07. Ceny uwzględniają powrót do Olsztyna, gdzie aplikowalne, tam ze żniżką 37% w polskim PKP.

Pociągi nocne

Z tego co widzę, żeby koszty noclegu połączyć z kosztami transportu są takie opcje:

Berlin

Na czas tworzenia tego postu #ChatGPT podpowiedziało mi o istnieniu European Sleeper , czyli jakimś reboocie pociągów sypialnianych¹. Jedyne dostępne na dziś połączenie to komfortowe kuszetki.

Pozycja	EUR
Nocny z Amsterdamu do Berlina	159

Dlaczego Berlin to zła opcja na ten konkretny wyjazd?

Jakkolwiek dawien dawno chodząc po Warszawie Centralnej z pewnym rozmarzeniem spoglądałem na Berlin-Warszawa-Express zastanawiając się czy kiedykolwiek nim pojadę, to 23.07 zaczyna się remont linii RE1, przez co całość trochę mija się z celem - z drugiej strony jest też opcja powrotu przez Szczecin, gdzie busa jest mniej, ale..nie jestem przekonany.

Praga

W tym samym ES jest też możliwość dotarcia do Pragi, kolejna pozycja to EN z pragi do Warszawy i powrót z Warszawy do Olsztyna²

Pozycja	EUR	PLN
ES	179	~767,33
EN Praga-Warszawa		196,66
Warszawa-Olsztyn		16,36
Suma		980,35

Monachium

Pozycja	EUR	PLN
EN Amsterdam-Monachium	105,50	452,25
EN Monachium-Warszawa		437,56
Warszawa-Olsztyn		16,36
Suma		906,17

Drezno

Inspiracja z przedziaławki - podróż European Sleeperem do Drezna, stamtąd przesiadka do Zgorzelca, a stamtąd przesiadka we Wrocławiu. Szczerze? Jak spojrzałem na tą propozycję - stwierdziłem że już jestem za stary na takie zabawy.

Pozycja	EUR	PLN
ES	179	767,33
Drezno - Zgorzelec	34,90	149,61
Zgorzelec - Wrocław		20,40
Wrocław-Olsztyn		49,77

Wiedeń

Akurat te bilety na ten euronight zostały wyprzedane(a szkoda). W każdym razie intercity promo ma na tej trasie praskie ceny - około 200zł.

Połączenia mieszane

Hamburg

Pod rozwagę gdyby ktoś szukał inspiracji zostawiam że loty z Hamburga bywają znacznie tańsze niż z Amsterdamu - mnie odstraszyła głównie dopłata za bagaż podręczny³. Jest tak blisko do Amsterdamu, że nie ma żadnych nocnych

Dortmund

Rozważając kiedyś wyjazd na jeden festiwal gdzie [[Ophidian]] grał, zwróciłem uwagę na to że któraś z tanich linii lotniczy miała tanie połączenie z [[Lotnisko Szymany]]. Niestety, połączenia zostały zawieszone.

Eindhoven

Stamtąd moja podróż się zaczynała, dlatego nie miałem ochoty za bardzo wracać⁴ - zresztą ceny biletów nie były jakieś szczególnie przystępne.

Inne rozwiązania

Flixbus z Berlina

Za około 200zł jest 11h powrotu autokarem do Olsztyna.

Podsumowanie

Zdecydowałem się na powrót przez Monachium. Muzeum BMW, duże parki i bodajże fajne muzea ze sztuką brzmią jak fajny pomysł na dzień.

Przypisy

Umykały mi te połączenia z powodu że nie startują z Amsterdam Centraal, tylko jakiegoś innego połączenia. ↩
Też jestem pod wrażeniem jakie niesamowite zniżki mi wchodzą, ale to w większości efekt kupowania porannego biletu z ogromnym wyprzedzeniem chyba. ↩
Który i tak mam wrażenie że wziąłem na siłę na te kilka dni. ↩
#ADHD thing, aby wciąż do przodu i wciąż doświadczań nowych bodżców. ↩

DPD a przesyłki - jak poprawić jakość niskim kosztem?

jpalczewski@gmail.com (Jacek Palczewski) — Thu, 13 Jun 2024 00:00:00 GMT

Nie, żebym samemu miał bardzo nieprzyjemne doświadczenie ze składaniem reklamacji w DPD, dlatego ten protip przeklejam z przyjemnością:

Ten magiczny “podpis”, widoczny jako odbiorca w statusie to przepisanie nazwiska z listu na zebrze przy zatwierdzaniu. Fizycznych podpisów kurierzy nie zbierają od czasów covida. Jeśli mirek chciał do rąk odbiorcy, mógł dopłacić DPD za usługę DRW¹ z pinem, wtedy kurier nie wrzuci takiej paczki za płot, bo będzie musiał wpisać pin od odbiorcy, żeby dobić ją w systemie. Ot cała magia.

Źródło.

Przypisy

Do Rąk Własnych ↩

Udar a alkohol

jpalczewski@gmail.com (Jacek Palczewski) — Thu, 13 Jun 2024 00:00:00 GMT

Żeby mieć trochę contentu, wrzucam stare podejścia do pisania

Przechodząc przez literaturę do pracy magisterskiej znalazłem jedną, nieoczywistą ciekawostkę: otóż małe¹ spożycie alkoholu zmniejsza prawdopodobieństwo udaru krwotocznego. Na krwotoczny nie robi różnicy - natomiast picie dużo bądź w ciągach już te prawdopodobieństwo dość mocno zwiększa.

Light and moderate alcohol consumption was associated with a lower risk of ischemic stroke, whereas high and heavy drinking was associated with an increased risk;

Źródło.

Oczywiście, to nie wyraża mojej opinii wobec alkoholu - tutaj bliżej mi do perspektywy Davida Nutta, autora m.in. [[Narkotyki bez paniki]] która określa alkohol mianem najbardziej szkodliwej używki² - w analizie która nie patrzy tylko na koszty osobowo/zdrowotne, ale patrzy szerzej, uwzględniając też koszty społeczne danej związane z daną substancją.

Przypisy

Do 12 gram alkoholu etylowego. ↩
Niestety premiera nowej książki wyparła z SEO googla stare artykuły na ten temat ↩