Yandex DataLens через API и MCP: 96 методов, закрытый обмен OAuth-токена и почему выпуск ключа переехал в Go

Обзор

DataLens — BI-платформа Yandex Cloud: подключения к источникам данных, датасеты, чарты трёх видов, дашборды, отчёты, всё это организовано воркбуками и коллекциями. У платформы есть Public API — RPC-стиль, один хост, JSON-тело, — и мы подключили его целиком: 96 методов в 24 разделах.

Собирая коннектор, мы наткнулись на вещь, которая касается не только Миры: самый очевидный способ получить доступ к DataLens программно — обменять OAuth-токен Яндекса на IAM-токен — перестал работать для новых подключений с 1 июня 2026 года. Документация Yandex Cloud говорит об этом прямо, но неочевидно, если вы уже писали интеграцию по старой схеме.

Что изменилось с доступом

У Yandex Cloud исторически было три способа получить IAM-токен без похода внутрь виртуальной машины:

1. Обменять OAuth-токен Яндекса. Человек получает OAuth-токен на странице Яндекса, обменивает его на IAM-токен одним запросом. Самый простой путь — ровно поэтому его выбирали чаще всего.
2. API-ключ сервисного аккаунта. Работает без похода за IAM-токеном вовсе — но только для части сервисов: AI Studio, Functions, Monitoring, Postbox, Search API, Serverless Containers, SpeechKit и ещё нескольких. DataLens в этот список не входит.
3. JWT сервисного аккаунта. Сервисный аккаунт подписывает JWT своим приватным ключом, JWT обменивается на IAM-токен. Больше шагов, зато работает для всех сервисов Yandex Cloud, включая DataLens.

Первый путь больше не годится для новых интеграций:

Starting June 1, 2026, the authentication service no longer accepts new OAuth tokens received via YandexID. Tokens issued before June 1, 2026 will remain valid until their expiration date.

Если вы сегодня получите свежий OAuth-токен и попробуете обменять его на IAM, Yandex Cloud ответит отказом сразу. Токены, выпущенные до этой даты, доживут до истечения — но новых больше не будет никогда.

Второй путь для DataLens закрыт с самого начала: список сервисов, принимающих Authorization: Api-Key, в документации DataLens не значится.

Остаётся третий — единственный рабочий сегодня. Дороже в реализации, но дешевле в поддержке: он не исчезнет так же внезапно, как обмен OAuth-токена, потому что это основной путь Yandex Cloud для автоматизации.

Что доступно через API

Устройство отличается от других коннекторов Mira

У большинства площадок, которые мы уже подключили — Авито, Ozon, Wildberries, — методы бьются на разделы с разными адресами, query- параметрами и телом вперемешку. У DataLens всё однороднее: один хост (api.datalens.tech), один глагол — POST, один вид тела — JSON целиком, имя метода в самом адресе (/rpc/<метод>). Это упростило разбор, но поставило другой вопрос: часть тел — это вся сущность целиком (датасет, дашборд, чарт), а не десяток простых полей.

Разбирать такое тело по отдельным полям в нашей же таблице означало бы дублировать спецификацию поставщика внутри кода — и расходиться с ней при первом же изменении. Вместо этого для таких методов Mira просто пересылает то, что попросила модель, и явно советует: сначала прочитать существующую сущность через get-метод, отредактировать копию, и только потом сохранить — не собирать с нуля. У самого DataLens к тому же есть известная особенность: прямая правка существующего датасета часто отвечает отказом DATASET_REVISION_MISMATCH независимо от присланной версии — это сторона поставщика, а не наша ошибка сборки запроса, и обходится пересозданием, а не редактированием в лоб.

Что защищено от случайного действия

Из 96 методов 56 меняют данные — но ни один не тратит деньги напрямую: DataLens не берёт оплату за действие внутри себя, только подписка на облако в целом. Тем не менее барьер записи закрывает все 56: создание и удаление любой сущности, перемещение, выдачу и отзыв доступа, публикацию для встраивания без входа, блокировки правки, лицензии, фоновый экспорт и импорт.

Источник, подключённый на чтение, физически не может ничего изменить — запрос не уходит поставщику. Признак «меняет данные» хранится рядом с адресом метода в одной таблице, а не отдельным списком — разойтись им негде.

Как это выглядит через MCP

Какие дашборды есть в воркбуке «Продажи»?

Claude получает список записей воркбука одним вызовом, без похода в консоль DataLens.

Собери новый датасет на основе того, что подключён к ClickHouse, и назови поля своими словами

Модель сначала читает существующий датасет как образец, затем создаёт новый — а не пытается угадать полную схему с нуля.

Кому выдан доступ на эту коллекцию?

Ответ придёт из listCollectionAccessBindings без ручного похода в настройки прав.

Как подключить

1. В консоли Yandex Cloud создайте сервисный аккаунт (если его ещё нет) и выдайте ему роль datalens.editor или выше на организации/папке с DataLens.
2. Identity and Access Management → Сервисные аккаунты → нужный аккаунт → «Создать новый ключ» → «Авторизованный ключ». Скачается файл authorized_key.json.
3. В Mira: проект → источники → Yandex DataLens → вставьте ID организации (виден в консоли Yandex Cloud) и содержимое скачанного файла целиком — разбирать JSON на части не нужно.

IAM-токен по этому ключу Mira выпускает и обновляет сама, каждые несколько часов, без вашего участия — токен живёт не больше 12 часов, и вы этого не заметите.