Rôles d'équipe (RBAC)
Cliqer contrôle ce que chaque membre de votre équipe peut gérer grâce aux rôles d'équipe.
Les rôles font partie du forfait Enterprise, ou du module complémentaire Enterprise sur Presenter, Studio HD, Studio 4K et Studio 8K, et se gèrent dans
Tableau de bord → Équipe → Sécurité (/dash/team/security).
Les rôles régissent les actions de gestion de l'équipe : inviter des membres, modifier l'image de marque, gérer la sécurité, les clés API et les domaines personnalisés. Ils sont appliqués côté serveur : chaque endpoint de gestion vérifie les autorisations du membre qui agit avant de faire quoi que ce soit, si bien qu'une autorisation non accordée ne peut pas être utilisée, même via l'API.
Autorisations
Chaque rôle accorde n'importe quelle combinaison des autorisations suivantes :
| Autorisation | Permet de |
|---|---|
| Gérer les membres | Inviter et retirer des membres de l'équipe, et modifier leur rôle |
| Gérer l'image de marque | Modifier l'image de marque en marque blanche de l'équipe |
| Gérer la sécurité | Fournisseurs SSO, jetons SCIM, SSO obligatoire, rôles personnalisés |
| Gérer les clés API | Créer et révoquer des clés API en libre-service |
| Gérer les domaines personnalisés | Ajouter, vérifier et supprimer des domaines personnalisés |
Rôles intégrés
Chaque équipe dispose de trois rôles intégrés :
| Rôle | Autorisations |
|---|---|
| Propriétaire | Toutes les autorisations, en permanence. Le propriétaire est aussi le compte d'accès d'urgence SSO (break-glass). |
| Administrateur | Gérer les membres, l'image de marque et la sécurité |
| Membre | Aucune autorisation de gestion (peut utiliser le produit, mais pas administrer l'équipe) |
Par défaut, les clés API et les domaines personnalisés sont réservés au propriétaire ou à un rôle personnalisé : les administrateurs ne les gèrent pas, sauf si vous leur accordez cette autorisation via un rôle personnalisé.
Rôles personnalisés
Lorsque les rôles intégrés ne suffisent pas, créez un rôle personnalisé doté exactement des autorisations souhaitées, puis attribuez-le à un membre. Un rôle personnalisé ne peut jamais accorder plus que ce dont dispose déjà le propriétaire.
- Créez, modifiez et supprimez des rôles personnalisés dans Équipe → Sécurité → Rôles d'équipe.
- Attribuez un rôle personnalisé à un membre : il remplace son rôle intégré.
- Si vous supprimez un rôle personnalisé, tout membre qui l'utilise revient à son rôle intégré automatiquement.
Fonctionnement de l'application des autorisations
Les endpoints de gestion de l'équipe déterminent les autorisations effectives du membre qui agit
(propriétaire : toutes ; liste explicite d'un rôle personnalisé ; ou valeurs par défaut du rôle intégré), puis
rejettent la requête si l'autorisation requise manque. Il s'agit de la même vérification
(security.manage, members.manage, …) que dans tout le tableau de bord : ce que vous
voyez dans l'interface correspond donc à ce que le serveur autorise.