Student předkládá funkční reverse proxy postavenou nad frameworkem YARP, která řeší konkrétní a v praxi často řešený problém autorizace embedovaných Grafana dashboardů vůči webové aplikaci s vlastním poskytovatelem identity. Kladně hodnotím dotaženost základní inženýrské části: nezávislost autorizační logiky na konkrétním dotazovacím jazyce datového zdroje (sekce 4.4) vyřešenou validací na úrovni proměnných dashboardu místo přepisu dotazů, vynucení kiosk režimu jako ochranu proti laterálnímu pohybu v Grafaně (sekce 4.3) a dvojici JWT s krátkou platností. Nad rámec zadání student doplnil přenos identifikátoru organizace (orgId) spolu s odpovídajícím nastavením GF_AUTH_JWT_ORG_MAPPING na straně Grafany, což umožňuje provoz jediné instance proxy nad více organizacemi (sekce 5.2 a 5.6, student tento přesah explicitně zmiňuje v Závěru), a omezovač požadavků s konfigurovatelným klouzavým oknem (sekce 5.1).

Naopak ve výsledné práci spatřuji několik nedostatků, které brání vyššímu hodnocení. Rešerše stávajícího stavu je úzká a chybí v ní srovnání s produkčně používanými alternativami, kvůli čemuž je obtížné zarámovat skutečný přínos řešení. Návrh auditní vrstvy nad nástrojem OpenTelemetry s exportem do Grafana Loki, VictoriaMetrics a Grafana Tempo (sekce 4.5) je v textu popsán pouze jako zamýšlené řešení, vlastní integrace v kapitole 5 chybí a auditní záznam je v praxi realizován jako nestrukturovaný textový log (výpis 5.5), který se obtížně zpracovává v navazujících nástrojích. Omezovač požadavků pracuje výhradně na úrovni IP adresy, což v reálném nasazení za NAT, CDN nebo zpětnou proxy přestává být efektivním ochranným prvkem; toto omezení v textu není rozebráno. Validace proměnných dashboardu regulárními výrazy nad URL parametry nezohledňuje URL kódování, opakované výskyty parametrů ani citlivost na velikost písmen, byť právě tyto detaily bývají u podobné autorizace na úrovni proxy vrstvy nejčastějším zdrojem zranitelností. Testování uživatelských rolí, izolace organizací, auditního záznamu i kompatibility s více datovými zdroji zůstalo pouze na úrovni manuálních ověření nad demonstrační aplikací (sekce 6.1, podkapitoly o testování rolí a organizací, ověření auditních záznamů a testování více datových zdrojů), což u funkcí, které student sám deklaruje jako klíčové, považuji za nepřiměřené.

S ohledem na uvedené pozitivní i negativní aspekty navrhuji práci hodnotit stupněm C jako dobrou.

Points proposed by supervisor: 72

Student ve své bakalářské práci zpracoval zadání zaměřené na návrh a implementaci autorizační vrstvy pro embedované Grafana dashboardy v rámci webových aplikací. Zadání považuji za splněné ve všech jeho bodech. Práce prokazuje dobrou orientaci studenta v problematice integrace systému Grafana, autentizace a autorizace webových aplikací a návrhu bezpečné middleware vrstvy.

Za nejsilnější část práce považuji realizační výstup. Implementovaná reverse proxy představuje funkční a prakticky využitelné řešení, které umožňuje jemně granulární řízení přístupu k dashboardům a jejich proměnným. Pozitivně hodnotím také větší množství testovacích scénářů pokrývajících pozitivní i negativní případy a důraz na bezpečnost navrženého řešení. Oceňuji rovněž bezstavový návrh proxy vrstvy, který umožňuje jednoduché horizontální škálování výsledného řešení.

Dílčí slabiny spatřuji především v prezentační úrovni technické zprávy. Kapitoly věnované autentizaci a autorizaci v prostředí .NET a protokolu OpenID Connect by si zasloužily podrobnější a přesnější zpracování. Některé koncepty jsou vysvětleny pouze povrchově a v textu se objevují i faktické nepřesnosti, které mohou být pro čtenáře matoucí. Práce rovněž obsahuje několik jazykových a typografických nedostatků v podobě překlepů, gramatických chyb a nekonzistentního používání některých technických pojmů. Mírné výhrady mám také k provedení zátěžových testů, kde chybí přímé porovnání latence aplikace s proxy vrstvou a bez ní.

Navzdory uvedeným nedostatkům považuji práci za kvalitní inženýrský výstup s praktickým přínosem. Výsledná aplikace bude využita v rámci aplikací vyvíjených skupinou NES@FIT. Práci proto hodnotím stupněm C.

Points proposed by reviewer: 75