Gérer les groupes de sécurité et les affectations

La gestion de la sécurité et des accès de PlaidCloud est simple. L’accès d’un membre est accordé ou refusé selon les groupes auxquels il est associé. Ajouter ou modifier l’association de sécurité d’un membre se personnalise facilement.

Gérer les groupes de sécurité

Les groupes de sécurité peuvent être ajoutés, mis à jour ou supprimés.

Pour gérer les groupes de sécurité :

Ouvrez Identity.
Sélectionnez l’onglet « Security ».
Cliquez sur « Security Groups » dans le menu déroulant (un formulaire affichant les groupes existants s’ouvre).
Pour ajouter un groupe, cliquez sur « Create Security Group ».
Pour modifier les autorisations d’un groupe, cliquez sur l’icône située le plus à gauche.

Pour gérer les membres d’un groupe :

Ouvrez Identity.
Sélectionnez l’onglet « Security ».
Cliquez sur « Security Groups » dans le menu déroulant.
Cliquez sur l’icône Membre.
Faites glisser les membres souhaités de la colonne « Unassigned Members » vers la colonne « Assigned Members », ou inversement pour retirer des membres.

Gérer l’accès aux lignes

L’accès aux lignes restreint les lignes d’une table qu’un groupe de sécurité peut voir, selon la valeur d’une colonne. Par exemple, une colonne region peut restreindre l’accès : un groupe auquel East et Central sont accordés est limité aux lignes portant ces valeurs. Tout ce qui concerne un projet et une colonne — choisir la colonne, déterminer l’origine de ses valeurs et décider quel groupe voit quoi — se fait dans un seul écran, et l’enregistrement prend effet immédiatement.

La configuration et la modification de l’accès aux lignes nécessitent un Architecte du projet ou un administrateur du locataire. Toute autre personne qui ouvre l’onglet Security d’un projet est informée que l’accès aux lignes est réservé aux Architectes, et les points d’entrée ci-dessous ne s’affichent pas pour elle.

Ouvrir l’accès aux lignes

Tous les points d’entrée ouvrent le même écran d’accès aux lignes :

La barre d’outils de l’Explorateur de tables comporte un bouton Accès aux lignes, assorti d’un badge lorsque la table restreint déjà des lignes. Il s’ouvre sur la première colonne restreinte de la table, s’il y en a une, et vous pouvez passer à n’importe quelle autre colonne de la table.
Le menu de facettes d’une colonne comporte Restreindre les lignes selon cette colonne…, qui ouvre l’accès aux lignes sur cette colonne. Sur une colonne qui restreint déjà des lignes, l’élément indique Lignes restreintes par cette colonne — modifier….
L’onglet Security d’un projet liste chaque colonne restreinte du projet, avec les tables concernées, les groupes qui détiennent des droits et son état de Synchroniser. Sélectionnez une colonne pour la modifier, ou cliquez sur Restreindre une colonne… pour en démarrer une nouvelle : choisissez une table, puis une colonne. Les colonnes qui restreignent déjà des lignes sont marquées d’un cadenas.
Identity → Membre, dans l’onglet Accès aux lignes d’un membre, et Identity → Security → Groupes de sécurité, dans le résumé d’accès aux lignes d’un groupe. Ouvrir l’accès aux lignes (ou Modifier) ouvre la colonne sélectionnée ; Ajouter restreint une autre colonne dans le projet de cette ligne.

Lorsqu’il est ouvert sur une colonne, l’écran reste sur cette colonne. Lorsqu’il est ouvert avec Restreindre une colonne… ou Ajouter, il vous permet d’en choisir une.

La grille d’accès aux lignes

Pour restreindre une table selon une colonne :

Ouvrez l’accès aux lignes depuis l’un des points d’entrée ci-dessus, et choisissez la colonne si vous n’êtes pas arrivé avec l’une d’elles — le sélecteur propose les véritables colonnes de la table, pas du texte libre.
Choisissez une Source des valeurs — Colonne (les valeurs distinctes d’une colonne de table), Dimension (les nœuds d’une dimension) ou Liste (des valeurs que vous saisissez). Le type de valeur suit le type de données de la colonne.
Pour chaque groupe de sécurité, cochez les valeurs que ce groupe peut voir. La grille liste les groupes ayant accès au projet, ainsi que tout groupe détenant déjà un droit sur la colonne.
Réglez Everyone else sur sees all rows ou sees no rows — cela couvre tout groupe sans case cochée dans la grille.
Cliquez sur Enregistrer.

L’enregistrement est immédiat. Les requêtes propres à PlaidCloud suivent la modification aussitôt et vos tableaux de bord Superset en une minute environ — il n’y a pas d’étape distincte pour l’appliquer, ni de boîte de dialogue d’approbation. L’état de synchronisation de l’écran indique où en est la modification ; consultez Garder les tableaux de bord synchronisés.

La grille gère aussi les détails à votre place :

Nombreuses valeurs. Les valeurs sont triées. Lorsqu’une colonne compte plus de valeurs que l’écran ne peut en afficher, la grille indique « More values than fit here — type to search. » et la zone de filtre recherche dans toute la colonne, en conservant chaque valeur qu’un groupe détient déjà.
Valeurs vides. Une case Valeurs vides — visibles de tout groupe disposant d’un droit décide du sort des lignes sans valeur dans la colonne. Si vous la cochez, tout groupe disposant d’un droit quelconque sur la colonne voit ces lignes.
Une table qui n’est pas encore générée affiche Générez d’abord cette table (exécutez le workflow qui la crée) au lieu d’une liste vide.
L’enregistrement attend les valeurs affichées à l’écran. Pendant le chargement des valeurs — après un changement de source de valeurs, de dimension ou de table, ou après l’application d’un modèle — Enregistrer est désactivé, avec l’infobulle « Save is available once this source’s values load. » Si un chargement échoue, la grille l’indique et vous demande de choisir de nouveau la source ; rien n’est enregistré tant qu’un chargement n’a pas réussi.

Un nom de colonne, toutes les tables

Une restriction appartient au nom d’une colonne du projet, pas à une table unique. Dès que region restreint des lignes, chaque table du projet comportant une colonne nommée region est filtrée par cette restriction, dans les requêtes propres à PlaidCloud comme dans les tableaux de bord. La liste Applies to de la grille indique ces tables. Elle est en lecture seule, car c’est le nom de la colonne qui la détermine, et une table que vous ajoutez plus tard avec la même colonne est couverte dès qu’elle est publiée.

Lorsqu’aucune table du projet n’a de colonne portant ce nom, la fenêtre avertit que la restriction ne filtrera aucun tableau de bord tant qu’une table n’en aura pas, en plus d’afficher Applies to 0 tables. Ajoutez la colonne à une table, ou corrigez le nom de la colonne, et l’avertissement disparaît.

Arrêter une restriction

Arrêter la restriction, dans la grille, supprime la restriction après une confirmation en ligne — « Stop restricting rows by ‘region’? Every group’s grant on it is removed and everyone sees its rows. » L’accès aux lignes confirme alors « Rows in ‘region’ are no longer restricted. » Le jeu de données Superset de la colonne disparaît avec elle, sauf si des graphiques l’utilisent encore ; dans ce cas, l’accès aux lignes indique que le jeu de données est conservé et combien de graphiques l’utilisent.

Une colonne ne peut être ni renommée ni supprimée tant qu’elle restreint des lignes. Un Architecte est invité à d’abord arrêter sa restriction dans l’accès aux lignes ; toute autre personne est invitée à s’adresser à un Architecte du projet.

Qui peut modifier un projet qui restreint des lignes

Les workflows, les étapes et les fonctions définies par l’utilisateur d’un projet s’exécutent avec l’identité de service propre au projet, qui lit toutes les lignes. Quiconque peut les modifier pourrait faire copier à une étape des lignes auxquelles il n’a pas droit vers une table qu’il peut lire ; restreindre des lignes dans un projet restreint donc aussi qui peut modifier ce que fait le projet. Dès qu’un projet restreint au moins une colonne :

L’automatisation est réservée aux Architectes. Seuls les Architectes du projet et les administrateurs du locataire peuvent modifier les workflows, les étapes, les fonctions définies par l’utilisateur, les planifications, les variables de workflow et de projet, ainsi que les modèles d’e-mail de notification — et, pour la même raison, importer un lot de workflows, convertir un workflow Alteryx, ou importer, copier ou restaurer dans le projet, ou modifier son environnement de connexion, son compte de documents par défaut ou son mode de comptabilisation ERP. Toute autre personne peut toujours exécuter les workflows du projet : Début, Arrêter, Reprendre et Exécuter les étapes sélectionnées restent disponibles. L’éditeur d’étapes, les commandes de création du workflow, l’éditeur de fonctions définies par l’utilisateur et le formulaire de planification s’ouvrent pour elle en lecture seule, avec une bannière qui nomme les Architectes à solliciter : « This project restricts rows, so only its Architects can change workflows, steps, UDFs, schedules, variables and notify templates. You can still run them. »
Les dimensions lues par une colonne restreinte sont réservées aux Architectes. Une dimension qui détermine qui voit quelles lignes — la source des valeurs d’une colonne restreinte — ne peut être modifiée que par un Architecte du projet ou un administrateur du locataire, et par les workflows propres au projet. Cela couvre l’ajout, le déplacement, le renommage, la copie, l’effacement, le chargement et la restauration de ses nœuds, ainsi que la dimension elle-même. Toute autre personne reçoit le message « This dimension decides who sees which rows of ‘region’, so only a project Architect can change it. » Les dimensions qu’aucune restriction ne lit ne sont pas concernées.
Une table source de droits est réservée aux Architectes. Une table liée comme source de droits d’une colonne ne peut voir ses lignes modifiées, ou être supprimée, que par un Architecte du projet, un administrateur du locataire ou les workflows du projet — que ce soit via l’Éditeur de données, un import, un chargement par connecteur ou l’API.
La copie du projet est réservée aux Architectes, et la copie indique « This copy is not row-restricted. » — le nouveau projet ne comporte aucune restriction tant que vous n’en configurez pas.
La restauration d’une version antérieure est une modification comme une autre. Restaurer les paramètres propres du projet, ou une dimension citée ci-dessus, nécessite un Architecte du projet. Une restauration s’applique toujours à l’élément auquel appartient la version ; elle ne peut donc pas être dirigée vers un autre projet pour contourner cette règle — consultez Historique des versions.
La modification de données dans une table restreinte nécessite un Architecte, comme décrit dans Accès aux lignes et Éditeur de données.

Avant la restriction de la première colonne d’un projet, l’accès aux lignes vous indique qui est concerné : « Restricting rows here means only Architects can change this project’s workflows, steps, UDFs, schedules and notify templates. N members can change them today; they will still be able to run them. »

Les exécutions continuent de fonctionner exactement comme avant, y compris les exécutions planifiées, car elles s’exécutent avec l’identité de service du projet. Ce qu’une exécution produit suit la conception choisie par ses Architectes : une table de sortie sans la colonne restreinte, un fichier exporté, un e-mail de notification ou une ligne de journal n’est pas filtré pour la personne qui le lit.

Valeurs fournies au démarrage d’une exécution. Quiconque peut exécuter un workflow peut le démarrer avec ses propres valeurs pour ses variables — l’App Runner le fait avec les réponses de son formulaire, et l’API et les outils d’IA le peuvent aussi. Ces valeurs ne valent que pour cette exécution : elles ne sont jamais enregistrées dans le workflow, et aucune autre exécution, aucun export ni aucun lecteur ne les voit. Comme l’exécution s’effectue avec l’identité de service, ces valeurs peuvent modifier ce que cette exécution lit et écrit ; n’accordez donc l’autorisation d’exécuter des workflows qu’à des personnes de confiance.

Projets sans restriction de lignes. Ces règles ne prennent effet que lorsqu’un projet restreint une colonne. Dans un projet qui n’en restreint aucune, quiconque peut modifier l’automatisation du projet peut écrire une étape ou une fonction définie par l’utilisateur qui — s’exécutant avec l’identité de service du projet — modifie les accès du projet et fait de cette personne l’un de ses Architectes. C’est voulu : un tel projet ne promet aucun isolement des lignes. Réservez-y les droits de création aux personnes à qui vous feriez confiance en tant qu’Architectes, ou restreignez une colonne.

Garder les tableaux de bord synchronisés

L’accès aux lignes indique où en est une modification sur le chemin vers vos tableaux de bord, dans la grille et dans la colonne Synchroniser de l’onglet Security du projet :

État	Signification
En attente	Une modification est enregistrée et en route vers les tableaux de bord. Elle disparaît normalement en une minute environ.
Nouvelle tentative	Un envoi a échoué et est relancé. La raison de l’échec s’affiche à côté de l’état, avec Réessayer pour renvoyer immédiatement.
Pas encore appliqué	Les restrictions du projet n’ont pas encore été envoyées aux tableaux de bord.
Appliqué	La dernière tentative d’envoi des restrictions aux tableaux de bord a réussi.
Synchronisé avec les tableaux de bord	L’accès aux lignes a comparé ce que les tableaux de bord appliquent avec ce qu’il écrirait, et les deux concordent.
Les tableaux de bord diffèrent	Les tableaux de bord n’appliquent pas ce que l’accès aux lignes écrirait — une règle a été modifiée ou supprimée dans Superset, ou la vue publiée d’une table ne peut pas être vérifiée.
Erreur	L’envoi des restrictions a échoué. La raison s’affiche à côté de l’état.

Une fois qu’une modification atteint Appliqué, la grille la compare aux tableaux de bord et passe à Synchronisé avec les tableaux de bord ou à Les tableaux de bord diffèrent. Les tableaux de bord diffèrent et Erreur proposent tous deux Réessayer, qui renvoie les restrictions du projet. Si l’état ne peut pas être lu du tout, la grille indique « Vérification impossible de l’état de synchronisation. »

Une Erreur causée par une table donnée nomme la table et indique quoi faire — par exemple, une table publiée sans sa colonne restreinte (« Republish or unpublish it. »), ou une table comportant une colonne restreinte qui n’est pas publiée, que les tableaux de bord ne peuvent pas filtrer tant qu’elle ne l’est pas. L’état reste sur Erreur et nomme la table non publiée jusqu’à ce que vous la publiiez, ou que vous restreigniez plutôt la colonne d’une table publiée. Une telle table ne bloque pas le reste du projet : toutes les autres tables restent synchronisées.

Les tableaux de bord suivent les mêmes droits que les requêtes propres à PlaidCloud :

Chaque table publiée comportant la colonne est filtrée, et pas seulement la table que vous consultiez lorsque vous avez configuré la restriction.
Un groupe auquel seules certaines valeurs sont accordées est filtré même si tous les autres voient toutes les lignes, sur chaque table dont le jeu de données de tableau de bord existe.
Les changements d’appartenance aux groupes de sécurité atteignent les tableaux de bord d’eux-mêmes. Ajouter ou retirer quelqu’un d’un groupe dans PlaidCloud, désactiver ou supprimer un membre, supprimer un groupe, ou ajouter un nouveau membre qui rejoint vos groupes de sécurité par défaut met à jour ce qu’il voit dans les tableaux de bord en une minute environ, dans chaque projet qui accorde des valeurs à ce groupe, sans que personne n’ait à rouvrir l’accès aux lignes. Une modification d’appartenance effectuée en dehors de PlaidCloud — directement dans Keycloak, ou par l’authentification unique plaçant quelqu’un dans un groupe à la connexion — atteint les tableaux de bord en 15 minutes environ, sans rien à enregistrer ni à relancer.

Droits par dimension

Avec Dimension comme source des valeurs, cochez un nœud pour accorder tout ce qui se trouve en dessous. Le droit suit la dimension : un membre ajouté sous un nœud coché est accordé à ce groupe lors de la synchronisation suivant l’enregistrement de la dimension, et un membre déplacé hors de ce nœud, ou supprimé, cesse d’être accordé — personne n’a besoin de rouvrir la grille. Lorsque vous la rouvrez, les nœuds que vous aviez cochés apparaissent de nouveau cochés.

Décocher un élément situé sous un nœud coché décoche le nœud, et le groupe ne conserve que les membres encore cochés. Cocher de nouveau ce membre ne recoche pas le nœud — cliquez pour cela sur la case du nœud lui-même. Coller, Tout sélectionner et Inverser cochent des membres, jamais des nœuds.

Un membre de dimension dont le nom ne peut pas servir de valeur d’accès aux lignes est refusé lors de l’enregistrement, avec son nom. Si un tel membre apparaît plus tard, ses lignes ne sont accordées à personne, et l’état de synchronisation le nomme : « Dimension ‘…’ member ‘…’ cannot be used as a row access value, so its rows are not granted. Rename it in the dimension. »

Lier les droits à une table source

Plutôt que de cocher des valeurs à la main, vous pouvez faire pointer une colonne restreinte vers une table source qui contient déjà la réponse — une ligne par groupe et par valeur qu’il peut voir. Restreignez d’abord la colonne dans la grille, puis ajoutez une étape de workflow Définir l’accès aux lignes nommant la colonne, la table source, ainsi que les colonnes de groupe et de valeur de la table source. La première exécution de l’étape lie la colonne à cette table : les droits définis à la main sur la colonne sont effacés, et ses droits sont définis à partir des lignes de la table.

Une fois liée, la colonne est pilotée par la source : la grille d’accès aux lignes l’affiche verrouillée, avec un badge nommant la table source, et la modification manuelle de ses droits est refusée jusqu’à ce que vous cliquiez sur Supprimer la liaison.

Chaque exécution ultérieure de l’étape relit la table source et réapplique les droits — planifiez-la après le workflow qui charge ou actualise cette table, et un groupe ajouté, retiré ou réaffecté dans les données source atteint l’accès aux lignes à l’exécution suivante, sans que personne ne modifie la grille à la main.

Comme la table source détermine qui voit quoi, seuls un Architecte du projet, un administrateur du locataire ou les workflows propres au projet peuvent modifier ses lignes ou la supprimer. Toute autre personne reçoit le message « This table supplies the row access grants for ‘region’, so only a project Architect can change its rows or delete it. »

Modèles de restriction

Si vous avez construit une forme de restriction que vous souhaitez réutiliser — la même source de valeurs, le même type de valeur et le même réglage des valeurs vides — enregistrez-la une fois et appliquez-la partout où c’est nécessaire, plutôt que de la reconstruire colonne par colonne.

Enregistrer comme modèle…, depuis un écran d’accès aux lignes ouvert, enregistre la forme de la colonne actuelle sous la forme d’un modèle nommé, au niveau du locataire. Seule la forme est enregistrée — aucun droit ne l’accompagne.
Appliquer le modèle, sur la colonne d’un autre projet, démarre cette colonne à partir de la forme du modèle, les droits de chaque groupe étant vides, à vous de les renseigner.

Tout Architecte de projet peut enregistrer et appliquer des modèles. Renommer (Renommer…) et supprimer (Supprimer) un modèle nécessite un administrateur du locataire, car un modèle est partagé dans tout le locataire. La suppression d’un modèle laisse les colonnes auxquelles il a été appliqué restreintes telles quelles.

Droits issus des attributs de groupe SSO

Une colonne peut aussi tirer ses droits de votre fournisseur d’identité plutôt que de PlaidCloud. Un Architecte du projet y souscrit pour une colonne depuis l’accès aux lignes en activant Accept row-access grants from SSO group attributes.

Une fois cette option activée, l’attribut Keycloak row_access.<column> d’un groupe de sécurité définit les valeurs que ce groupe peut voir via cette colonne — définissez l’attribut sur le groupe dans Keycloak, et PlaidCloud le prend en compte automatiquement pour tout groupe ayant déjà accès au projet. Il n’y a rien d’autre à configurer dans l’accès aux lignes lui-même, et les droits restent synchronisés à la fois dans les requêtes propres à PlaidCloud et dans les tableaux de bord Superset.

Prévisualiser avant d’enregistrer

L’accès aux lignes vous montre ce que signifie une modification avant que vous ne la validiez :

Un pied de page Prévisualiser en tant que indique combien de lignes de la table un groupe verrait sur le total, avec un échantillon de ces lignes — choisissez n’importe quel groupe dans la grille pour le prévisualiser. L’aperçu s’actualise après l’enregistrement.
Avant l’enregistrement, l’accès aux lignes vous avertit de tout ce qui mérite un second regard : un groupe sans aucune case cochée, et si cela signifie qu’il voit toutes les lignes ou aucune selon votre réglage Everyone else ; des membres ayant accès au projet qui ne sont couverts par le droit d’aucun groupe ; ou des lignes dont la valeur dans cette colonne est vide (NULL) et qui ne sont accordées à aucun groupe.

Ce que voit un membre soumis à restriction

Partout où un membre soumis à restriction lit une table par son nom, il n’obtient que ses lignes — grille, facettes de colonnes et téléchargements de l’Explorateur de tables, boîte de dialogue de téléchargement de table, applications et outils qui lisent en tant que lecteur, et tableaux de bord. L’Explorateur de tables affiche Lignes limitées par votre accès dans sa barre d’outils lorsque la grille que vous consultez a été filtrée par vos droits, et le démarrage d’un téléchargement qui sera filtré affiche « Lignes limitées par votre accès. » Un Architecte, qui lit toutes les lignes, ne voit aucun de ces avis.

Accès aux lignes et requêtes que vous écrivez vous-même

L’accès aux lignes limite les lignes qu’un groupe peut voir en filtrant la table pour laquelle il est défini. Une requête qu’une personne écrit elle-même n’a pas de table unique à laquelle rattacher ce filtre — une requête peut joindre, combiner ou imbriquer autant de tables qu’elle le souhaite — si bien que, dans un projet qui restreint des lignes, PlaidCloud refuse d’exécuter une requête fournie par l’appelant plutôt que de renvoyer des lignes que rien n’a validées.

Cela s’applique à la lecture via votre propre SQL, à l’export des résultats de votre propre SQL vers un fichier ou une autre base de données, et à la saisie d’une condition de ligne dans l’aperçu « Test row 1 » d’une étape de diffusion. Cela ne s’applique pas à la lecture d’une table par son nom, qui est la manière ordinaire dont les applications et les outils lisent les données — ceux-ci appliquent les droits et renvoient les lignes auxquelles le lecteur a droit. Une facette de colonne écrite comme une simple requête sur une seule table est elle aussi lue par nom ; elle renvoie donc les valeurs propres au membre au lieu d’être refusée.

Toute personne refusée est informée du projet concerné et orientée vers les lecteurs par nom. Un Architecte du projet peut exécuter la requête telle qu’écrite, et exporter ses résultats dans n’importe quel format, car un Architecte peut déjà s’accorder toutes les valeurs de chaque colonne restreinte.

L’import d’une feuille de calcul n’est pas, en soi, une requête que vous avez écrite vous-même — un import de fichier ordinaire ne lit aucune donnée restreinte, il crée seulement la nouvelle table du projet à partir du fichier que vous avez téléversé, et n’est donc pas affecté par l’accès aux lignes. L’exception est un import dont la projection des données est fournie par l’appelant : une expression par colonne, ou un mappage Excel dynamique. Sur l’écran d’import interactif, ceux-ci sont refusés de la même manière que les surfaces SQL libre ci-dessus, et nécessitent un Architecte du projet, car une projection fournie par l’appelant pourrait lire une autre table. Un import exécuté depuis un workflow n’est affecté dans aucun cas, puisqu’il s’exécute avec l’identité de service propre au projet.

Accès aux lignes et Éditeur de données

L’Éditeur de données lit et écrit directement une table ; l’accès aux lignes s’y applique donc dans les deux sens.

L’ouverture d’une table restreinte dans l’Éditeur de données n’affiche que les lignes accordées à votre groupe de sécurité — le même filtre que celui qui vous suit dans un tableau de bord, et il s’applique même lorsque la colonne restreinte ne fait pas partie des colonnes affichées dans la grille.

L’enregistrement de vos modifications nécessite le rôle Architecte sur le projet. Un enregistrement remplace en bloc les lignes de la table au lieu de les lire, et n’est pas filtré ligne par ligne ; modifier les données d’une table restreinte est donc traité comme une action de création plutôt que comme une lecture : toute personne qui n’est pas Architecte est informée qu’elle en a besoin. Une table sans colonne restreinte se modifie comme auparavant, de même que tout projet qui ne restreint aucune ligne.

Nombres de lignes et tailles des tables

Le nombre de lignes et la taille de stockage d’une table décrivent la table entière, et non les lignes que vous pouvez voir ; ils indiqueraient donc à un lecteur soumis à restriction combien de lignes existent au-delà de ses droits. Dans un projet qui restreint des lignes, toute personne dont les lectures sont filtrées ne voit ni nombre de lignes ni taille pour aucune des tables du projet — dans les listes de tables, la recherche, les détails de table et les instantanés, ni via l’assistant IA et les outils d’IA connectés par MCP. Cela couvre toutes les tables du projet, y compris celles sans colonne restreinte. Les totaux propres au projet leur sont masqués eux aussi — le nombre total de lignes et la taille sur la page d’accueil, dans les listes et la recherche de projets, et dans les détails du projet.

Il en va de même pour l’historique d’exécution des workflows. Les lignes lues et écrites que chaque exécution et chaque étape ont enregistrées décrivent elles aussi la table entière ; pour les mêmes lecteurs, ces chiffres sont donc laissés vides — dans l’historique d’exécution d’un workflow et d’une étape, ainsi que via l’assistant IA et les outils d’IA connectés par MCP. Pour eux, Weave ne contrôle pas si les étapes présentent un nombre de lignes ou des valeurs vides différents des exécutions précédentes, car un constat leur indiquerait lui-même que le nombre de lignes de la table entière a changé.

Les Architectes du projet voient les chiffres comme auparavant, tout comme tout le monde dans un projet qui ne restreint aucune ligne.

Voir ce qu’un membre peut voir

Pour vérifier ce qu’une personne précise peut voir, plutôt que ce qu’un groupe se voit accorder : ouvrez Identity → Membre, sélectionnez le membre et ouvrez son onglet Accès aux lignes. Sa colonne Accès effectif liste, pour chaque projet et chaque colonne restreints, les valeurs que ce membre voit via l’ensemble de ses groupes — y compris les droits issus des attributs de groupe SSO et les lignes vides (NULL) lorsque le droit d’un groupe les inclut. Un Architecte du projet apparaît comme Voit toutes les lignes (Architect), puisqu’un Architecte lit toutes les lignes. C’est la même réponse que celle qu’appliquent les requêtes propres à PlaidCloud ; elle est donc utile au support et pour confirmer qu’une modification a eu l’effet voulu avant que quelqu’un ne signale un problème.

Des erreurs plus claires

Lorsque l’accès aux lignes bloque une action — une requête que vous avez écrite vous-même dans un projet restreint, une modification sans être Architecte, un changement d’automatisation, de dimension ou de table source de droits, et les autres cas décrits ci-dessus — le message nomme ce qui est restreint et ce qu’il faut faire ensuite, par exemple les Architectes à solliciter, au lieu d’un échec générique.

L’accès aux lignes est audité

Restreindre ou ne plus restreindre une colonne, et modifier les droits d’un groupe, écrivent tous une entrée dans le Journal du projet — qui a effectué la modification et quand. Ouvrez Analyze → Projects → Log sur le projet pour la consulter. Rien n’est à activer pour obtenir cette trace pour l’accès aux lignes ; elle est enregistrée de la même manière que toute autre modification suivie d’un projet.

Définir les groupes de sécurité par défaut

Pour réduire le temps nécessaire à l’ajout de nouveaux membres, identifiez un ensemble de groupes de sécurité par défaut. Cela fournit un socle de groupes de sécurité pour les nouveaux membres sans avoir à affecter chaque personne manuellement. Ce paramètre est disponible lors de l’ajout d’un nouveau groupe de sécurité si vous cochez la case située au bas de la fenêtre Security Group, intitulée « Assign to New Users by Default ».

Effectuer un audit de sécurité

La fonctionnalité d’audit de sécurité permet de voir l’appartenance aux groupes pour l’ensemble des membres et des groupes.

Pour effectuer un audit de sécurité :

Ouvrez Identity.
Sélectionnez l’onglet « Security ».
Cliquez sur « Security Group Audit » dans le menu déroulant.

Comme toutes les tables de PlaidCloud peuvent être exportées au format CSV, les associations entre groupes et membres peuvent être examinées en dehors de PlaidCloud, à des fins d’historique ou simplement pour le plaisir d’une consultation hors ligne.

Pour exporter depuis le formulaire « Security Group Audit » :

Ouvrez Identity.
Sélectionnez l’onglet « Security ».
Cliquez sur « Security Group Audit » dans le menu déroulant.
Cliquez sur la petite icône à l’extrême droite de « Username » dans la table.
Cliquez sur « Export CSV » ou « Export XLXS » selon votre préférence.

Afficher les paramètres d’autorisation disponibles

Chaque application utilisée dans l’espace de travail dispose d’autorisations spécifiques. Les autorisations des groupes de sécurité reposent sur ces autorisations d’application.

La liste complète des autorisations disponibles pour chaque application est consultable depuis le Security Bin.

Pour accéder au Security Bin :

Ouvrez Identity.
Sélectionnez « Security ».
Cliquez sur « Security Bins » dans le menu déroulant.

Pour afficher les paramètres de sécurité détaillés de chaque application, sélectionnez l’icône d’étiquettes tout à gauche.

Ces informations sur les paramètres de sécurité disponibles sont fournies à titre informatif uniquement. Pour plus de détails sur la gestion des autorisations, consultez la section Gérer les groupes de sécurité ci-dessus.