Rôles et permissions

Un seul rôle sur ton nœud

Chaque administrateur de ton nœud tient le même rôle, operator_admin. Il administre ce serveur : utilisateurs, sessions, historique de connexion, tentatives bloquées, organisations, coffres, notifications et journaux.

Il existe un second rôle, tenu par Trusted Codes de façon centrale, qui possède les contrôles de fédération, de droits et commerciaux. Il n’est pas utilisé sur ton nœud, et il n’y a aucun moyen de l’atteindre depuis ici. tc-operator add-admin est fixé à operator_admin et ne peut jamais conférer le rôle central. La frontière est vérifiée sur le serveur à chaque requête, pas seulement cachée dans la console.

La limite honnête : ceci contraint le personnel à qui tu délègues, pas toi. Tu possèdes le Postgres sur ta propre machine.

Ce que le serveur refuse

Certaines zones sont interdites à operator_admin et disparaissent complètement de la barre latérale : les formules, les droits, tout le groupe Settings (paramètres système et indicateurs de fonctionnalité, prompts IA, configurations d’export, tags système, registre du tableau de bord), les écrans marketing, les écrans de contenu, les tableaux de bord analytiques, les pages de gestion des serveurs fédérés, et les entrées réservées au centre sous Operations (analyse du chat IA, coûts d’API, inscriptions bêta, statut système). Seuls Audit Log et Function Logs restent dans ce groupe.

Ouvrir directement l’une de ces adresses donne une page intitulée Not available, qui indique que la zone est gérée de façon centrale et n’est pas disponible pour les administrateurs opérateurs.

C’est voulu. Le plafond de droits sous lequel ton nœud fonctionne est accordé de façon centrale, et tu administres tes membres à l’intérieur de ce plafond. Tu ne peux pas le relever depuis ta propre console.

Des contrôles visibles à l’écran mais toujours refusés

Le filtre de la barre latérale masque des écrans entiers. Il ne masque pas les boutons individuels à l’intérieur d’un écran que tu as le droit d’ouvrir, donc une poignée de contrôles te restent visibles et sont refusés par le serveur quand tu les actionnes. Attends-toi à une erreur, pas à un effet.

Sur Users : Test User, Clean Tests, Import, créer un utilisateur, supprimer un utilisateur, supprimer des utilisateurs en masse, bloquer et débloquer un compte, supprimer un appareil, exporter les données d’un autre utilisateur, accorder ou révoquer le superutilisateur, accorder ou modifier une dérogation de droit, et attribuer, retirer ou redater une formule.

Sur Organizations : Provision Business Org, le déprovisionnement, et la suppression d’une organisation.

Sur Notifications → Send Bulk : l’écran entier. Il énumère et déchiffre les coordonnées de chaque utilisateur sur tout le déploiement, il reste donc réservé au centre même si la barre latérale le liste.

Sur Identity & Access → External Members : l’écran entier, pour la même raison — il lit à travers une zone réservée au centre.

Sur le Dashboard : chaque carte sauf Recent Activity. Voir Notifications et journaux.

Les deux permissions supplémentaires

En plus du rôle, il existe deux permissions, accordées une à la fois, en supplément. Elles existent pour que tu puisses confier un contrôle d’urgence à quelqu’un sans lui confier aussi les données personnelles de tes membres.

can_revoke permet à son détenteur de couper un serveur pair, dans les deux sens. Ton premier administrateur la reçoit à l’installation, parce qu’un contrôle d’urgence qui exige une ligne de commande en plein incident n’est pas un contrôle d’urgence.

can_reveal permet à son détenteur de démasquer une adresse d’invitation enregistrée à la fois, et de lui permettre d’activer la rétention qui crée une copie récupérable. Elle est désactivée tant que tu ne l’accordes pas, parce qu’elle crée de nouvelles données personnelles.

Accorde-les ainsi :

tc-operator add-admin --email someone@example.com --can-revoke
tc-operator add-admin --email someone@example.com --can-reveal

Reprends-en une avec --revoke plus le drapeau de cette permission. --revoke seul retire le rôle et les deux permissions.

Accorder can_reveal affiche un avertissement indiquant que la personne peut désormais démasquer des adresses invitées. Chaque démasquage est enregistré de façon permanente avec le nom du lecteur, l’heure, et une raison qu’il doit saisir.

Là où l’une de ces permissions te manque, le contrôle n’est pas proposé. Le bouton Cut off sur une ligne de serveur affiche needs permission à la place, et le bouton show à côté d’une adresse masquée est simplement absent.