Grafana能否通过HTTP API基于AD组动态配置文件夹仪表盘权限？

结论：完全支持。你需要的基于AD组做文件夹、仪表盘级的非全局动态权限分配能力，不需要修改静态配置文件，通过Grafana原生HTTP API就能全流程自动化实现，和你已知的通过配置文件给AD组分配全局Viewer/Editor/Admin角色的能力互不冲突。

具体实现逻辑和对应操作如下：

• 前置依赖：先完成Grafana与AD的LDAP集成配置，保证用户登录时能正常同步所属AD组的成员关系即可，不需要额外做组到本地团队的手动映射。
• 第一步：自动创建目标文件夹，调用POST /api/folders接口，传入自定义的文件夹名称、唯一UID参数即可完成创建，新创建的文件夹默认仅管理员有权限，其他用户无任何访问权限。
• 第二步：给AD组绑定文件夹权限，调用POST /api/folders/{folder_uid}/permissions接口更新文件夹权限规则，在提交的权限列表中新增对应条目即可：
  • 主体类型指定为Group
  • 主体ID填写对应AD组的完整可分辨名称（DN），格式和你LDAP配置里的组标识保持一致
  • 权限等级按需配置：传View即为读取权限，传Edit即为编辑权限
• 如果需要对文件夹下的单个仪表盘配置更细粒度的独立权限，可调用POST /api/dashboards/uid/{dashboard_uid}/permissions接口，参数逻辑和文件夹权限配置完全一致，同样支持直接绑定AD组作为授权主体。

踩坑提醒：别照搬老版本教程里先把AD组同步成Grafana本地自建团队再赋权的方案，多一层同步逻辑很容易出现AD组人员变更后权限不更新的问题，直接在权限接口里绑定AD组DN是目前最稳定的实现方式：用户所属AD组变更后下次登录就会自动匹配最新的组关系更新权限，不需要额外触发同步操作，完全适配你说的用户提交AD组信息后自动开通对应文件夹权限的自动化流程。

API配置的文件夹、仪表盘级权限是叠加在全局角色之上的细粒度控制，不会覆盖你之前通过配置文件给AD组分的全局角色，权限逻辑符合最小权限分配原则。

内容的提问来源于stack exchange，提问作者Johnyb