Contrôler qui voit quoi

~20 minutes · un groupe de sécurité, des membres affectés, un accès délimité

Vous venez d’être nommé administrateur d’un espace de travail PlaidCloud, et des personnes attendent d’y accéder — mais tout le monde ne doit pas tout voir. Ce tutoriel parcourt tout le chemin une fois : faire entrer les bonnes personnes dans l’espace de travail, regrouper un ensemble d’autorisations dans un groupe de sécurité, lui affecter des membres, puis restreindre ce que ce groupe peut atteindre jusqu’au projet et, là où c’est configuré, jusqu’à la ligne.

Les éléments que vous allez manipuler — organisation, espace de travail, membre, groupe de sécurité — s’articulent de manière fixe. Si ce modèle vous est nouveau, lisez d’abord Gestion des identités et des accès (IAM) ; vous y trouverez le schéma. En bref : une organisation contient des espaces de travail, un espace de travail contient des membres, et un groupe de sécurité est un ensemble d’autorisations au sein d’un seul espace de travail auquel vous affectez des membres. Rien ne passe d’un espace de travail à l’autre : chacun gère ses propres accès.

L’essentiel de ce qui suit se passe dans l’onglet Identité, sur le côté gauche de l’espace de travail. Vous avez besoin de droits d’administration suffisants pour gérer la sécurité à cet endroit.

Vous ne pouvez accorder que ce que vous détenez. Lorsque vous enregistrez les autorisations d’un groupe, PlaidCloud laisse silencieusement de côté — sans même vous les montrer — toutes les autorisations que vous ne détenez pas vous-même. Si une capacité que vous devez accorder n’apparaît pas dans la matrice, demandez à une personne qui la détient. La matrice ne modifie jamais que ce que vous contrôlez.

Étape 1 : faire entrer les bonnes personnes dans l’espace de travail

Un groupe de sécurité ne peut être affecté qu’à un membre déjà présent dans l’espace de travail ; commencez donc par là. Un membre doit faire partie de l’organisation et apparaître dans le formulaire de gestion des membres avant que vous puissiez l’ajouter à un espace de travail.

Pour ajouter un nouveau membre à l’espace de travail :

Ouvrez Identité et sélectionnez l’onglet Membre.
Cliquez sur Tous dans le menu déroulant pour afficher les membres actuels.
Cliquez sur Ajouter un membre de l’espace de travail, renseignez les champs obligatoires, puis cliquez sur Créer.

Le nouveau membre reçoit automatiquement un e-mail de bienvenue contenant ses identifiants de connexion. Pour ajouter à cet espace de travail une personne déjà présente dans votre organisation, utilisez Organization Settings (menu en haut à droite) → Workspaces → l’icône des membres, puis faites-la glisser dans l’espace de travail et cliquez sur Envoyer. Si la personne ne fait pas encore partie de l’organisation, utilisez l’icône d’invitation sur le même écran pour lui envoyer une invitation par e-mail.

L’appartenance est la porte extérieure, pas le contrôle fin. Faire partie de l’espace de travail permet à un membre d’y accéder, tout simplement. Ce qu’il peut faire une fois à l’intérieur est décidé par les groupes de sécurité auxquels il est affecté — ce qui fait l’objet des trois étapes suivantes.

Pour les procédures complètes d’ajout, d’invitation et de suppression, consultez Gestion des membres de l’espace de travail et Gestion des membres.

Étape 2 : créer un groupe de sécurité

Un groupe de sécurité est un ensemble nommé d’autorisations. Plutôt que d’accorder des capacités à une personne à la fois, vous définissez l’ensemble une fois et vous y affectez des personnes.

Ouvrez Identité et sélectionnez l’onglet Sécurité.
Cliquez sur Groupes de sécurité dans le menu déroulant. Les groupes existants apparaissent dans un formulaire.
Cliquez sur Créer un groupe de sécurité et donnez-lui un nom clair, fondé sur un rôle — Analysts, Report Viewers, Workspace Admins.
Pour définir les autorisations du groupe, cliquez sur l’icône la plus à gauche à côté du groupe afin d’ouvrir sa matrice d’autorisations, choisissez les capacités que ce groupe doit avoir, puis enregistrez.

Les autorisations disponibles dans la matrice proviennent des applications de votre espace de travail — chaque application publie son propre ensemble. Pour parcourir la liste complète de ce qu’offre une application avant de construire un groupe, cliquez sur Security Bins dans le menu déroulant Sécurité et ouvrez une application avec l’icône d’étiquettes à gauche. Cette vue est informative ; c’est dans la matrice du groupe ci-dessus que vous accordez réellement les autorisations.

Moins de groupes, pas plus. Un espace de travail autorise un nombre illimité de groupes de sécurité, mais chaque groupe supplémentaire est un élément de plus à examiner lors d’un audit. Modélisez les groupes sur les vrais rôles que des personnes partagent, et gardez leur nombre aussi bas que le travail le permet.

Étape 3 : affecter des membres au groupe

Une fois le groupe défini, ajoutez-y des personnes.

Depuis Identité → Sécurité → Groupes de sécurité, cliquez sur l’icône Membre à côté du groupe.
Faites glisser les personnes qui doivent avoir les autorisations de ce groupe de la colonne Membres non affectés vers la colonne Membres affectés. Pour retirer le groupe à quelqu’un, refaites glisser la personne dans l’autre sens.
Enregistrez.

Voilà toute l’attribution : un membre présent dans la colonne Membres affectés détient toutes les autorisations regroupées dans le groupe ; un membre qui n’y figure pas ne les détient pas.

Une affectation vide ne fait rien — volontairement. Enregistrer le groupe avec la colonne Membres affectés vide n’apporte aucune modification et vous en informe. Pour retirer les pouvoirs d’un groupe à tout le monde, supprimez ses autorisations ou supprimez le groupe — n’essayez pas de les révoquer en vidant la liste des membres.

Facultatif : faire d’un groupe un groupe par défaut pour les nouveaux membres

Si chaque nouveau membre doit démarrer avec un socle de base — par exemple l’accès en lecture aux rapports partagés — marquez un groupe comme groupe par défaut. Les nouveaux membres lui sont alors affectés automatiquement, et vous n’avez pas à y penser manuellement. Lorsque vous créez ou modifiez un groupe, cochez Affecter par défaut aux nouveaux utilisateurs en bas de la fenêtre Groupe de sécurité.

Étape 4 : délimiter ce que le groupe peut atteindre

Vous avez maintenant des membres porteurs d’un ensemble défini d’autorisations. PlaidCloud délimite les accès par couches progressives — organisation → espace de travail → projet — ce qui vous permet de resserrer de l’extérieur vers l’intérieur :

Couche	Ce qu’elle contrôle	Où la définir
Espace de travail	Si un membre accède à l’espace de travail ou non	Appartenance à l’espace de travail (étape 1)
Groupe de sécurité	Les capacités qu’il détient une fois à l’intérieur	Autorisations du groupe (étape 2)
Projet	Le rôle Architecte et les autres droits au niveau du projet	Autorisations du groupe de sécurité, par projet
Ligne (facultatif)	Les lignes d’une table gouvernée que voit un groupe	Accès aux lignes (ci-dessous)

Pour la plupart des équipes, les trois premières couches suffisent : placez les personnes dans l’espace de travail, donnez à chaque groupe uniquement les autorisations dont son rôle a besoin, et délimitez les droits au niveau du projet — comme le rôle Architecte sur un projet — via les autorisations du groupe. Un groupe sans aucun droit sur un projet ne peut tout simplement pas agir dessus.

Quand vous avez besoin d’un contrôle par ligne

Lorsque deux personnes doivent voir la même table mais des lignes différentes de celle-ci — chaque responsable régional ne voyant que sa propre région — utilisez Accès aux lignes. Cette fonction vous permet de désigner une colonne d’un projet (par exemple region) comme celle qui détermine les lignes qu’un groupe de sécurité peut voir, puis d’accorder des valeurs précises (East, Central) à des groupes précis. C’est la couche la plus fine, et elle est facultative : sans elle, un groupe voit toutes les lignes que ses autres autorisations lui permettent de voir.

Un Architecte de projet ouvre Accès aux lignes depuis une table dans l’explorateur de tables, depuis le menu à facettes d’une colonne ou depuis l’onglet Sécurité du projet, et l’enregistrement prend effet immédiatement — dans les tableaux de bord en une minute environ, sans rien d’autre à appliquer. Le détail du fonctionnement — restreindre une colonne, accorder des valeurs et suivre la modification jusqu’aux tableaux de bord — est traité en détail dans Gérer l’accès aux lignes ; ce tutoriel s’arrête volontairement à cette référence.

L’accès aux lignes suit la personne, partout où elle lit des données. Une fois enregistrées, les attributions de lignes d’un groupe filtrent ce que ses membres voient dans les tableaux de bord et dans les applications qui lisent en tant que lecteur — le même modèle par lecteur qu’utilise une application Panel lorsqu’elle s’authentifie en tant qu’utilisateur connecté. Consultez Lecture des données et utilisateur connecté pour ce parcours.

Restreindre des lignes limite aussi qui peut modifier le projet. Dès qu’un projet restreint une colonne, seuls ses Architectes et les administrateurs du tenant peuvent modifier ses workflows, ses étapes, ses fonctions définies par l’utilisateur, ses planifications et ses variables ; tous les autres peuvent toujours les exécuter. Consultez Qui peut modifier un projet qui restreint des lignes.

Étape 5 : vérifier votre travail

Avant de considérer que c’est terminé, vérifiez que les affectations correspondent à ce que vous pensez.

Ouvrez Identité → Sécurité et cliquez sur Audit des groupes de sécurité dans le menu déroulant.
Passez en revue l’appartenance aux groupes pour tous les membres et tous les groupes en un seul endroit.
Pour conserver une trace, cliquez sur l’icône tout à droite de Nom d’utilisateur dans le tableau et choisissez Exporter en CSV ou Export XLSX.

Relancez cet audit chaque fois que les rôles changent : c’est le seul écran qui montre l’image complète de qui appartient à quel groupe.

C’est prêt. Vous disposez maintenant d’un groupe de sécurité, de membres qui lui sont affectés et d’un accès délimité de l’espace de travail jusqu’au projet — et, là où vous en avez besoin, jusqu’à la ligne.

Pour aller plus loin

Gérer les groupes de sécurité et les affectations — la référence complète sur les groupes, l’accès aux lignes, les groupes par défaut et l’audit de sécurité
Gestion des identités et des accès (IAM) — le modèle d’accès, le schéma et l’emplacement de tous les guides d’accès
Organisations et espaces de travail expliqués — les frontières entre les couches que vous avez délimitées à l’étape 4
Gestion des membres de l’espace de travail — inviter, ajouter et supprimer des membres
Lecture des données et utilisateur connecté — comment le même modèle d’accès par lecteur s’applique aux applications qui lisent les données au nom de la personne qui les consulte