Ruoli e permessi

Un ruolo sul tuo nodo

Ogni amministratore sul tuo nodo detiene lo stesso ruolo, operator_admin. Amministra questo server: utenti, sessioni, cronologia accessi, tentativi bloccati, organizzazioni, vault, notifiche e log.

C’è un secondo ruolo, detenuto centralmente da Trusted Codes, che possiede i controlli di federazione, entitlement e commerciali. Non è usato sul tuo nodo, e non c’è modo di raggiungerlo da qui. tc-operator add-admin è fissato su operator_admin e non può mai concedere il ruolo centrale. Il confine è verificato sul server a ogni richiesta, non solo nascosto nella console.

Il limite onesto: questo vincola lo staff a cui deleghi, non te. Tu possiedi il Postgres sulla tua stessa macchina.

Che cosa rifiuta il server

Alcune aree sono negate a operator_admin e sono nascoste dalla barra laterale del tutto: piani, entitlement, l’intero gruppo Settings (parametri di sistema e feature flag, prompt IA, configurazioni di export, tag di sistema, il registro dashboard), le schermate marketing, le schermate contenuti, le dashboard analytics, le pagine di gestione dei server federati, e le voci central-only sotto Operations (analytics chat IA, costi API, iscrizioni beta, stato del sistema). Solo Audit Log e Function Logs restano in quel gruppo.

Aprire direttamente uno di quegli indirizzi mostra una pagina intitolata Not available, che ti dice che l’area è gestita centralmente e non è disponibile agli amministratori operator.

Questo è intenzionale. Il tetto di entitlement con cui opera il tuo nodo viene concesso centralmente, e tu amministri i tuoi membri al suo interno. Non puoi alzarlo dalla tua console.

Controlli visibili a schermo che ti rifiuteranno comunque

Il filtro della barra laterale nasconde intere schermate. Non nasconde i singoli pulsanti dentro una schermata che sei autorizzato ad aprire, quindi una manciata di controlli ti sono visibili e vengono rifiutati dal server quando premuti. Aspettati un errore, non un effetto.

Su Users: Test User, Clean Tests, Import, creare un utente, eliminare un utente, eliminare utenti in blocco, bloccare e sbloccare un account, eliminare un dispositivo, esportare i dati di un altro utente, concedere o revocare i privilegi superuser, concedere o modificare un’eccezione di entitlement, e assegnare, rimuovere o ridatare un piano.

Su Organizations: Provision Business Org, deprovisioning, ed eliminare un’organizzazione.

Su Notifications → Send Bulk: l’intera schermata. Elenca e decifra i dettagli di ogni utente su un intero deployment, quindi resta central-only anche se la barra laterale la elenca.

Su Identity & Access → External Members: l’intera schermata, per lo stesso motivo — legge attraverso un’area central-only.

Sulla Dashboard: ogni scheda tranne Recent Activity. Vedi Notifiche e log.

I due permessi extra

Accanto al ruolo ci sono due permessi, concessi uno alla volta, sopra di esso. Esistono perché tu possa affidare a qualcuno un controllo di emergenza senza affidargli anche i dati personali dei tuoi membri.

can_revoke permette a chi lo detiene di tagliare fuori un server pari, in entrambe le direzioni. Il tuo primo admin lo riceve all’installazione, perché un controllo di emergenza che richiede una riga di comando nel mezzo di un incidente non è un controllo di emergenza.

can_reveal permette a chi lo detiene di smascherare un indirizzo di invito registrato alla volta, e gli permette di attivare la conservazione che fa esistere una copia recuperabile. È disattivato finché non lo concedi, perché crea nuovi dati personali.

Concedili così:

tc-operator add-admin --email someone@example.com --can-revoke
tc-operator add-admin --email someone@example.com --can-reveal

Riprendine uno con --revoke più il flag di quel permesso. --revoke da solo rimuove il ruolo ed entrambi i permessi.

Concedere can_reveal stampa un avviso che dice che la persona ora può smascherare gli indirizzi invitati. Ogni smascheramento viene registrato in modo permanente con il nome di chi legge, l’orario, e un motivo che deve digitare.

Dove ti manca uno di questi permessi, il controllo non viene offerto. Il pulsante Cut off su una riga di server riporta needs permission al suo posto, e il pulsante show accanto a un indirizzo mascherato è semplicemente assente.