Connector · OpenMetadata (Metadaten-Katalog)

OpenMetadata (Metadaten-Katalog)

OpenMetadata läuft lokal (Docker Compose) und ist der zentrale Metadaten-Katalog — Datenbanken, Tabellen, Lineage, Data-Quality-Tests. Angebunden über die REST-API (`/api/v1) und den MCP-Server (/mcp`, Streamable HTTP).

Integrations-Vorgehensweise

1. Credential hinterlegen — das Bot-JWT liegt in

~/.simosphere/secrets/openmetadata.json unter bots.simo-teammate.jwt (chmod 600). Es wird zur Laufzeit geladen, nie hartkodiert, nie geloggt.

2. Verbindungstest — GET /api/v1/system/version mit

Authorization: Bearer <bot-jwt>. Antwortet die API mit version/revision, steht die Verbindung.

3. Datenzugriff (P1, read-only) — MCP-Tools search_metadata,

semantic_search, get_entity_details, get_entity_lineage, get_test_definitions, root_cause_analysis.

Berechtigungsmodell

• Auth-Schema: Authorization: Bearer <jwt> (Bot-JWT je Bot-Identität).
• Bot simo-teammate: read-only, Rolle DataConsumer — darf Metadaten

lesen und suchen, aber nichts anlegen oder ändern.

• P1-Grenze: Schreib-Tools (create_*, patch_entity, create_lineage)

sind in Phase 1 VERBOTEN. Der Connector bietet daher bewusst kein Auto-Provisioning und keine Schreib-Funktionen an.

Auto-Provisioning: nicht unterstützt (angeleitete Schritte)

Das Anlegen eines Bots samt JWT erfordert OpenMetadata-Admin-Rechte und läuft über die Admin-UI (Settings → Bots → Add Bot → Rolle zuweisen → JWT erzeugen). Das erzeugte JWT anschließend in ~/.simosphere/secrets/openmetadata.json unter bots.<bot-id>.jwt hinterlegen (chmod 600) und hier den Verbindungstest ausführen.

Sicherheit: das Bot-JWT liegt ausschließlich in der geschützten

Secret-Datei und wird nie im Klartext angezeigt oder geloggt.