Teamrollen (RBAC)
Cliqer bepaalt via teamrollen wat elk lid van je team kan beheren.
Rollen maken deel uit van het Enterprise-abonnement, of van de Enterprise-add-on bij Presenter, Studio HD, Studio 4K en Studio 8K, en worden beheerd via
Dashboard → Team → Beveiliging (/dash/team/security).
Rollen bepalen de acties voor teambeheer: leden uitnodigen, branding bewerken, beveiliging beheren, API-sleutels en aangepaste domeinen. Ze worden server-side afgedwongen: elk beheer-endpoint controleert de rechten van het handelende lid voordat het iets doet, dus een recht dat niet is toegekend, kan niet worden gebruikt, ook niet via de API.
Rechten
Elke rol kent elke gewenste combinatie van deze rechten toe:
| Recht | Staat toe |
|---|---|
| Leden beheren | Teamleden uitnodigen, verwijderen en een andere rol geven |
| Branding beheren | De whitelabel-branding van het team bewerken |
| Beveiliging beheren | SSO-providers, SCIM-tokens, SSO-afdwinging, aangepaste rollen |
| API-sleutels beheren | Selfservice-API-sleutels aanmaken en intrekken |
| Aangepaste domeinen beheren | Aangepaste domeinen toevoegen, verifiëren en verwijderen |
Ingebouwde rollen
Elk team heeft drie ingebouwde rollen:
| Rol | Rechten |
|---|---|
| Eigenaar | Altijd alle rechten. De eigenaar is ook het break-glass-account voor SSO. |
| Beheerder | Leden, branding en beveiliging beheren |
| Lid | Geen beheerrechten (kan het product gebruiken, maar het team niet beheren) |
API-sleutels en aangepaste domeinen zijn standaard voorbehouden aan de eigenaar of een aangepaste rol: beheerders beheren ze niet, tenzij je dat via een aangepaste rol toekent.
Aangepaste rollen
Als de ingebouwde rollen niet volstaan, maak je een aangepaste rol met precies de rechten die je wilt en wijs je die toe aan een lid. Een aangepaste rol kan nooit meer toekennen dan de eigenaar al heeft.
- Maak, bewerk en verwijder aangepaste rollen onder Team → Beveiliging → Teamrollen.
- Wijs een aangepaste rol toe aan een lid; die overschrijft de ingebouwde rol van dat lid.
- Verwijder je een aangepaste rol, dan valt elk lid met die rol automatisch terug op de eigen ingebouwde rol.
Zo werkt de afdwinging
Endpoints voor teambeheer bepalen de effectieve rechten van het handelende lid
(eigenaar: alle rechten; aangepaste rol: de expliciete lijst; anders de standaardrechten van de ingebouwde rol) en
weigeren het verzoek als het vereiste recht ontbreekt. Dit is dezelfde controle
(security.manage, members.manage, …) die in het hele dashboard wordt gebruikt, dus wat je
in de interface ziet, komt precies overeen met wat de server toestaat.