Rôles et permissions

Imaginez que vous ayez affecté votre collègue minji.kim@example.com au Space de votre boutique de vêtements en ligne. Vous voulez bien lui confier l'enregistrement et la modification des produits, mais vous hésitez à lui laisser aussi le soin de supprimer un produit ou de le rendre public à l'extérieur. Cet ensemble de permissions qui définit « ce qu'un membre peut faire et ne peut pas faire au sein d'un Space » s'appelle le Space Role (SpaceRole).

Plutôt que d'attribuer des permissions à chaque membre individuellement, le SpaceRole consiste à préparer à l'avance un ensemble de permissions, puis à le rattacher aux membres. Par exemple, une fois que vous avez créé un rôle « qui permet seulement de lire et de modifier les produits », il vous suffit de rattacher ce seul rôle aux collègues à qui vous confiez l'enregistrement des produits. Même lorsque le nombre de membres augmente, vous n'avez pas besoin de redéfinir les permissions à chaque fois en repartant de zéro.

Cette page présente d'abord ce qu'est un SpaceRole et quelles permissions il contient, puis vous fait créer vous-même un rôle « Responsable de l'enregistrement des produits » dans le Space de la boutique de vêtements.

Le rôle de Space est différent du rôle d'Organization

Dans WEEGLOO, il existe deux endroits où l'on définit les permissions. Comme il est facile de les confondre, traçons d'abord la frontière.

• Le rôle d'Organization (Owner, Admin, Member) est un niveau qui vaut pour toute l'entreprise. Il définit qui peut accomplir les tâches qui couvrent l'ensemble de l'Organization, comme inviter des membres ou créer un nouveau Space.
• Le SpaceRole est une permission au sein d'un Space précis. Il définit jusqu'où un membre peut aller dans la manipulation du contenu une fois entré dans cet espace de travail : créer des produits, les modifier, les publier.

Vous pouvez attribuer à un même collègue un SpaceRole différent selon le Space. Par exemple, dans le Space de la boutique en ligne, vous l'autorisez à aller jusqu'à modifier les produits, tandis que dans le Space des annonces internes, vous le limitez à la lecture seule. Cette page traite uniquement du SpaceRole. Le rôle d'Organization ainsi que l'invitation et l'affectation des membres sont traités dans Organization et Space.

Ce que contient un rôle : sur quoi, quelle action

Un SpaceRole contient « sur quel objet, quelle action, autoriser ou refuser ».

Les objets sur lesquels portent les permissions se répartissent d'abord en trois catégories.

• Content Type : le modèle de formulaire, comme un produit ou une annonce.
• Content : chacun des produits créés à partir de ce modèle.
• Media : les fichiers téléversés comme des photos ou des vidéos.

Les actions que l'on peut autoriser ou refuser pour chaque objet sont les suivantes.

Les actions s'affichent en anglais à l'écran. Voici la signification de chacune.

Pour reprendre l'exemple de la boutique de vêtements, le rôle « Responsable de l'enregistrement des produits » autorise sur le Content (les produits) les actions Read, Create et Edit, sans y inclure Delete ni Publish. Ainsi, le collègue peut créer et modifier des produits, mais ne peut ni les supprimer ni les rendre publics à l'extérieur.

Ce qu'est Publish et la façon dont un élément publié est rendu public (transmis) à l'extérieur sont traités en détail dans États et publication.

Autoriser et refuser

L'écran du rôle comporte séparément une liste Allowed et une liste Denied. Le principe est d'ajouter une à une, dans la liste Allowed, les actions que l'on veut rendre possibles. Point important : toute action qui n'est pas ajoutée à la liste des actions autorisées est automatiquement refusée. Il vous suffit donc d'ajouter aux actions autorisées uniquement celles que vous voulez confier au collègue ; le reste est bloqué sans que vous ayez à le bloquer séparément.

La liste Denied est un garde-fou à utiliser « lorsque vous voulez autoriser largement, mais bloquer en exception une partie précise ». Lorsqu'une même action figure à la fois dans les autorisations et dans les refus, le refus l'emporte toujours.

Restreindre la portée à un type précis ou à une personne précise

Lorsque vous autorisez une action, vous pouvez restreindre cette autorisation à une seule catégorie ou à une condition précise. Par exemple, les restrictions suivantes sont possibles.

• À un seul type : s'appliquer uniquement au Content Type « produit », sans s'appliquer aux autres Content Type.
• Uniquement à ce que la personne a créé elle-même : permettre au membre de manipuler seulement le Content qu'il a créé lui-même, sans pouvoir toucher à ce que les autres ont créé.
• Uniquement à ce qui porte un Tag précis : s'appliquer seulement au Content ou au Media portant un Tag défini.

Si vous ne restreignez pas la portée, l'action s'applique à l'ensemble de l'objet concerné. Par exemple, si vous autorisez la lecture du Content sans la restreindre, le membre peut lire tous les Content ; si vous la restreignez au Content Type « produit », il ne peut lire que les produits.

Ce qu'est un Tag est traité dans Tag.

Le rôle Administrator fourni à la création d'un Space

Lorsque vous créez un nouveau Space, un rôle nommé Administrator est automatiquement créé en même temps. Ce rôle est le rôle au plus haut niveau de permissions, capable de tout manipuler au sein du Space. La personne qui a créé le Space commence en détenant ce rôle Administrator.

Le rôle Administrator est un rôle préparé par le système : il ne peut être ni modifié ni supprimé. Si vous voulez donner à un collègue des permissions restreintes, plutôt que de modifier l'Administrator, créez un nouveau rôle distinct comme ci-dessous et attribuez-le-lui.

Créer le rôle « Responsable de l'enregistrement des produits »

Vous allez maintenant créer vous-même, dans le Space de la boutique de vêtements, le rôle « Responsable de l'enregistrement des produits » à donner à un collègue. Ce rôle pourra faire les actions Read, Create et Edit sur les produits (Content), mais ne pourra ni les supprimer ni les publier.

1. Dans le menu de gauche, cliquez sur Roles et Permissions.
2. Cliquez sur le bouton Créer en haut à droite de la liste.
3. Dans le champ du nom de l'onglet Role detail, saisissez Responsable de l'enregistrement des produits. Le champ de description peut rester vide.

Vous définissez ensuite les actions que ce rôle peut faire sur les produits (Content). Vous ajoutez chaque action comme une règle, une par ligne, dans la liste Allowed, et vous choisissez sur la même ligne la portée d'application (Content Type).

4. Allez dans l'onglet Content.
5. Sous Allowed, cliquez sur + pour ajouter une ligne de règle.
6. Sur cette ligne, choisissez Read comme action et « produit » comme Content Type à appliquer. (Si vous laissez les champs auteur et Tag sur « Tous… », la règle s'applique à l'ensemble.)
7. De la même manière, ajoutez aussi une règle Create et une règle Edit, une par ligne. Sur les trois lignes, laissez « produit » comme Content Type.
8. N'ajoutez pas Delete (suppression) ni Publish (publication) aux actions autorisées. Comme toute action non ajoutée aux autorisations est automatiquement refusée, le collègue ne pourra ni supprimer les produits ni les rendre publics à l'extérieur.

9. Cliquez sur le bouton Enregistrer en haut à droite.

Lorsque « Responsable de l'enregistrement des produits » apparaît dans la liste, le rôle a été créé. Il s'affiche aux côtés de l'Administrator présent dès le départ.

Donner le rôle créé à un collègue

Ce n'est pas parce que vous avez créé un rôle qu'il s'applique automatiquement à quelqu'un. Pour prendre effet, le rôle créé doit être rattaché à un membre.

Au moment d'affecter un collègue à un Space, vous choisissez en même temps le rôle qu'il aura au sein de ce Space ; c'est là que vous choisissez le « Responsable de l'enregistrement des produits » que vous venez de créer. Si le collègue est déjà entré dans le Space, vous pouvez aussi modifier son rôle depuis la liste des membres pour l'appliquer. Vous pouvez également donner plusieurs rôles à un même membre. Dans ce cas, les actions autorisées par chacun des rôles se cumulent : si une action est autorisée par l'un des rôles, le membre peut la faire. (Le fait que le refus l'emporte sur l'autorisation ne vaut qu'à l'intérieur d'un même rôle. Même si une action est refusée dans un rôle, elle reste possible si un autre rôle l'autorise.)

Les étapes concrètes pour affecter un membre à un Space et choisir son rôle sont traitées dans Organization et Space.

Ce qu'il faut faire ensuite

• Organization et Space : affecter un collègue à un Space et lui rattacher le rôle que vous venez de créer.
• Tokens : gérer les tokens d'accès qui permettent non pas à une personne, mais à un site externe ou à un programme, de lire le contenu. On peut aussi rattacher un SpaceRole à un token pour restreindre la portée de ses permissions.
• Référence de l'API : traite des spécifications techniques, comme le format des requêtes, nécessaires lorsque vous créez un rôle ou manipulez les règles de permissions directement depuis un programme.