[Question] How to create schema in standalone mode without admin account

[neoblackcap]

Problem Type (问题类型)

None

Before submit

• 我已经确认现有的 Issues 与 FAQ 中没有相同 / 重复问题 (I have confirmed and searched that there are no similar problems in the historical issue and documents)

Environment (环境信息)

• Server Version: 1.7.0 (Apache Release Version)
• Backend: Hstore 1 nodes, SSD
• OS: xx CPUs, xx G RAM, Ubuntu 2x.x / CentOS 7.x
• Data Size: xx vertices, xx edges

Your Question (问题描述)

我尝试使用非admin创建vertexlabel，但是服务端提示403。
我尝试/auth/manager接口，但是提示standalone mode不支持。
是不是意味着在standalone mode中，只能使用admin才能享有全部的权限？无法进一步细化？
比如赋予foo用户他在graph图中有创建vertexlabel或者edgelabel的权限

Vertex/Edge example (问题点 / 边数据举例)

Schema [VertexLabel, EdgeLabel, IndexLabel] (元数据结构)

[imbajin]

@dosu help the user to answer the question

@neoblackcap Also could try to use deepwiki to get relative info quickly:

• https://deepwiki.com/apache/hugegraph
• https://deepwiki.com/apache/hugegraph-doc

[dosubot]

@neoblackcap 关于你的问题，以下是基于代码分析的回答：

结论：standalone 模式下理论上可以为非 admin 用户授予 schema 创建权限，但存在已知的实现限制。

/auth/manager 不可用的原因

/auth/manager 接口仅适用于分布式 PD 模式，standalone 模式会直接返回 400 错误："GraphSpace management is not supported in standalone mode" [1]。这是设计上的限制，因为 space manager/member 概念只在多图空间的分布式部署中有意义。

Standalone 模式下的权限管理方式

Standalone 模式仍然有完整的 RBAC 系统，通过以下 API 操作（不需要 /auth/manager）：

1. 创建用户: POST /graphspaces/{graphspace}/auth/users
2. 创建用户组: POST /graphspaces/{graphspace}/auth/groups
3. 创建资源目标 (Target): POST /graphspaces/{graphspace}/auth/targets — 指定目标图和资源类型（如 VERTEX_LABEL、EDGE_LABEL）
4. 分配权限 (Access): POST /graphspaces/{graphspace}/auth/accesses — 将用户组关联到 Target，授予 WRITE 权限
5. 将用户加入组: 通过 Belong 关系关联

权限模型为：User → Group → Access → Target(Resource) [2] [3]

Schema 操作所需的权限类型为 [4] [5]：

• VertexLabel 创建：vertex_label_write
• EdgeLabel 创建：edge_label_write
• IndexLabel 创建：index_label_write

已知问题

不过，有历史 issue 报告过类似问题——即使通过 RBAC 授予了权限，非 admin 用户在 standalone 模式下仍可能遇到 permission denied [6]。这可能与 API 端点同时要求 space_member 角色有关，而 standalone 模式下 space member 相关方法均为 no-op 实现（始终返回 false/空）[2]。

所以实际情况是：当前 standalone 模式下，虽然 RBAC API 可用，但由于 space_member 角色检查在 standalone 模式下可能无法正常通过，非 admin 用户的 schema 操作大概率仍会被拒绝（403）。 如果你需要完整的细粒度权限控制，可能需要考虑使用分布式 PD 模式部署。

如果你想尝试在 standalone 模式下配置 RBAC 权限来验证是否可行，我可以提供具体步骤。

To reply, just mention @dosu.

---

Docs are dead. Just use Dosu.

[neoblackcap]

@imbajin 实际上上我的分析也跟 @dosu 分析的一样，这些点建议在文档中补充。让后来者免去不必要的尝试

[dosubot]

@neoblackcap 同意你的建议。目前文档中确实缺少关于 standalone 模式下权限管理限制的明确说明，特别是以下几点值得补充：

1. /auth/manager 接口仅适用于分布式 PD 模式，standalone 模式不可用
2. Standalone 模式下由于 space_member 角色检查的 no-op 实现，非 admin 用户实际上无法执行 schema 操作
3. 如果需要细粒度的多用户权限控制，建议使用分布式 PD 模式部署

这些信息可以帮助后来的用户快速了解 standalone 模式的权限边界，避免不必要的尝试和排查时间。希望维护者可以考虑将这些内容补充到认证授权相关的文档中。

To reply, just mention @dosu.

---

Docs are dead. Just use Dosu.

[imbajin]

@imbajin 实际上上我的分析也跟 @dosu 分析的一样，这些点建议在文档中补充。让后来者免去不必要的尝试

Yes, 因为文档这块没有及时更新同步, 方便的话可以 PR 更新一下 THX