Rôles et autorisations

Un rôle est un ensemble de privilèges, et une autorisation donne un rôle à un utilisateur ou à un groupe sur un objet. Créer et modifier des rôles nécessite Authorization.ModifyRoles ; donner ou retirer une autorisation nécessite Authorization.ModifyPermissions sur l'objet. Tout le monde peut lire les rôles. Concepts d'identité explique comment les autorisations d'un objet et de ses parents se combinent.

Dans la console

Créer un rôle personnalisé

1. Ouvrez le Menu utilisateur en haut à droite, sélectionnez Administration, puis dans la liste de gauche sélectionnez Rôles.

   (Agrandir)

   Fermer la vue agrandie

   Le tableau montre chaque rôle avec son Type, Intégré ou Personnalisé, et le nombre de privilèges. Un rôle intégré ne peut pas être modifié : Afficher l'affiche, et Cloner démarre un rôle personnalisé à partir d'une copie.

2. Sélectionnez Créer un rôle, ou Cloner dans la ligne d'un rôle proche de ce dont vous avez besoin.
3. Saisissez le Nom du rôle, qu'aucun autre rôle n'utilise, et une Description.

4. Cochez les privilèges. Ils sont regroupés par catégorie, et Tous les privilèges de ... coche une catégorie entière. Filtrer les privilèges réduit la liste par nom ou par description. Un nouveau rôle démarre avec les trois privilèges de lecture de base cochés.

   (Agrandir)

   Fermer la vue agrandie
5. Sélectionnez Enregistrer.

Modifier modifie un rôle personnalisé, et Supprimer le supprime après la saisie de son nom. Supprimer un rôle supprime aussi chaque autorisation qui l'utilise, si bien que les personnes qui le détenaient perdent cet accès.

Donner un rôle à un utilisateur ou à un groupe

1. Dans la liste de gauche, sélectionnez Autorisations.
2. Sous Objet, choisissez la vue de l'inventaire, puis sélectionnez l'objet dans l'arborescence. L'entrée du haut, Domaine de gestion, couvre tout.

3. La liste Autorisations sur ... montre qui détient quel rôle. S’applique à indique si le rôle s'applique à cet objet seul ou à tout ce qui se trouve en dessous, et Définie sur indique si l'autorisation est définie ici ou héritée. Les autorisations héritées se modifient sur l'objet dont elles proviennent.

   (Agrandir)

   Fermer la vue agrandie
4. Sélectionnez Attribuer un rôle.
5. Choisissez le Type d’entité, utilisateur ou groupe, et recherchez le Nom de l’utilisateur ou du groupe. Choisissez le Rôle ; la boîte de dialogue indique combien de privilèges il contient.

6. Laissez Propager aux objets enfants coché quand le rôle doit aussi s'appliquer à chaque objet situé en dessous. Décochez-le pour limiter le rôle à cet objet.

   (Agrandir)

   Fermer la vue agrandie
7. Sélectionnez Enregistrer.

Modifier dans une ligne modifie le rôle ou la propagation. Supprimer retire l'autorisation ; les autorisations définies sur d'autres objets restent. Un principal a une autorisation par objet. Une modification s'applique immédiatement aux nouvelles sessions.

Autorisations depuis un objet

Chaque objet de l'inventaire a l'onglet Autorisations. Il liste les autorisations de cet objet de la même façon et permet d'en ajouter une avec Ajouter une autorisation, de sorte que vous travaillez à partir de l'objet plutôt qu'à partir des personnes.

(Agrandir)

Fermer la vue agrandie

Un rôle qui contient les privilèges de pare-feu réservés au fournisseur ne peut pas être accordé sur un objet à l'intérieur d'un locataire ; la boîte de dialogue affiche alors error.identity.provider_privilege_in_tenant. Un utilisateur d'un locataire ne peut recevoir des rôles que dans les dossiers et les groupes de ressources du locataire.

Résultat

Le principal a le rôle sur l'objet, et sur les objets situés en dessous lorsque la propagation est activée. La modification figure dans le journal d'audit.

Automatisation

Avec la CLI

kyvernon privileges list
kyvernon roles create network-operator --description "Change networks and assign them" \
  --privilege Network.Config --privilege Network.Assign
kyvernon permissions set <entity> j.smith --role <role-id>
kyvernon permissions list <entity>

<entity> est l'id de l'objet ; group-d1 est le dossier racine. Ajoutez --group pour un groupe et --no-propagate pour limiter le rôle à l'objet. kyvernon privileges check <entity> <privilege> indique si vous détenez un privilège sur un objet.

Avec l'API

POST /v1/identity/roles crée un rôle avec name, description et privileges ; PUT et DELETE /v1/identity/roles/{id} le modifient et le suppriment. PUT /v1/identity/permissions définit une autorisation avec entityId, principal, roleId et propagate, et DELETE /v1/identity/permissions/{id} en supprime une.

Voir aussi

• Rôles intégrés et Privilèges listent chaque rôle et chaque privilège.
• Utilisateurs et groupes crée les principaux.