Les rôles

L'app connaît douze rôles : six rôles standard et six gestionnaires par domaine. Les droits de chacun, domaine par domaine, sont dans la matrice des droits. Cette page explique comment on les attribue et comment ils sont vérifiés.

Les douze rôles#

Les rôles sont additifs : une personne détient l'ensemble des droits de tous ses rôles, de ceux de ses groupes Jira et de l'accès par défaut. Gagner un rôle ne retire jamais un droit.

Qui détient quoi par défaut#

• Toute personne qui peut ouvrir l'app a l'accès par défaut de l'installation. Tant que personne ne l'a changé, c'est « Lecteur » : elle lit les écrans, avec la vue réduite que décrit la matrice des droits.
• Un administrateur Jira détient les droits du rôle Administrateur, sans attribution, et n'est jamais bloqué hors de l'app.
• Pour tous les autres rôles, il faut une attribution.

Attribuer un rôle#

1. Ouvrez la page « Réglages », puis l'onglet « Accès » (l'autre onglet est « Général »).
2. Sous « Personnes et groupes », cliquez sur « Attribuer un rôle ».
3. Dans « À qui », choisissez « Une personne » ou « Un groupe Jira ». Pour une personne, tapez deux lettres dans « Chercher une personne » (seules les personnes actives de votre Jira apparaissent) et choisissez-la. Pour un groupe, saisissez son nom tel qu'il s'écrit dans Jira.
4. Choisissez le « Rôle » : les « Rôles standard », puis, si votre édition les inclut, les « Rôles sur mesure ».
5. « Valable jusqu'au » est facultatif, sauf pour l'auditeur : ce rôle exige une date de fin, 366 jours au plus.
6. Cliquez sur « Attribuer ».

Dans le tableau « Personnes et groupes », « Changer la date » déplace ou retire la date de fin (sauf pour l'auditeur, qui en garde toujours une) et « Retirer » supprime l'attribution. Une attribution dont la date est passée s'affiche « Expiré » et ne donne plus aucun droit.

Chaque attribution, changement de date et retrait est inscrit au journal et listé sous « Journal des attributions » (identifiants seulement ; le détail est dans le journal d'audit).

Voir ce que permet un rôle#

Sous « Rôles », chaque rôle est décrit en une phrase. « Voir la matrice » ouvre, pour ce rôle, le tableau domaine par domaine : c'est le tableau que génère le serveur, le même que celui de la matrice des droits.

Rôles sur mesure (édition Advanced)#

Sous « Rôles sur mesure », « Créer un rôle sur mesure » compose un rôle avec un niveau par domaine : « Aucun », « Lire », « Lire et modifier » ou « Lire, modifier et approuver ». Chaque niveau comprend les précédents. L'identifiant commence par custom_ et ne change plus. L'administration (rôles et réglages) n'en fait jamais partie : un rôle sur mesure ne permet pas de gérer les rôles. Un rôle encore attribué ne peut pas être supprimé.

Accès par défaut#

Sous « Accès par défaut », choisissez ce que toute personne a sans rôle attribué :

• « Lecteur : lit la plupart des registres (comportement actuel) » : la vue réduite de quatre registres est décrite dans la matrice des droits ;
• « Contributeur : ne voit que ce qui lui est assigné ». C'est plus strict : sans rôle, personne ne voit les registres, seulement ses propres tâches, contrôles et tests.

Revue des accès à NexusGRC#

Sous « Revue des accès à NexusGRC », « Lancer une revue des accès à NexusGRC » crée une campagne dans le module Revues d'accès : chaque personne qui a un rôle est mise devant vous, pour confirmer ou retirer. Vous en êtes le relecteur ; vous choisissez la date « À terminer avant le ». Les groupes Jira ne sont pas développés : leurs membres se relisent avec les groupes dans une campagne Jira, et l'écran indique combien d'attributions à un groupe n'ont pas été développées.

Comment les droits sont vérifiés#

• Le serveur vérifie le droit à chaque appel. Masquer un bouton à l'écran n'est jamais la seule protection. Plusieurs écrans disent aussi à qui l'action est réservée, par une phrase du type « Réservé aux responsables conformité et aux administrateurs. »
• Le droit d'administrateur Jira est demandé à Jira avec l'identité de la personne qui appelle ; il n'est jamais lu depuis le navigateur. Si Jira ne répond pas, l'app ne prend pas la personne pour un administrateur : l'action échoue sans rien modifier, sauf si un rôle déjà attribué suffit.
• Les droits sur un objet précis (le propriétaire, la personne à qui il est assigné, le relecteur ou l'approbateur nommé) s'ajoutent à ceux des rôles et n'en retirent aucun.
• Sans licence active, l'app est en lecture seule pour tout le monde, quel que soit le rôle ; certaines actions dépendent aussi de l'édition.