Uprawnienia administracyjne i administratorzy grup

Administratorzy organizacji mogą robić wszystko w sekcji Organizacja w Ustawieniach. Dzięki uprawnieniom administracyjnym część tej pracy mogą przejąć także inne osoby – w całej organizacji albo w jednej grupie. Na przykład dział może widzieć zużycie i dziennik audytu własnej grupy oraz dodawać do niej osoby, a nikt z tego działu nie musi zostać administratorem organizacji.

Administratorzy organizacji i uprawnienia administracyjne#

• Uprawnienia administracyjne w całej organizacji obowiązują też w każdej grupie.
• Jedna osoba może mieć uprawnienia administracyjne w całej organizacji i w kilku grupach. W danej grupie obszary z obu źródeł się sumują.
• Administrator grupy nie musi być jej członkiem.
• W przeciwieństwie do ról uprawnienia administracyjne należą do jednej organizacji. Jeśli osoba należy też do innej organizacji, nie ma tam uprawnień administracyjnych, chyba że również tam je otrzyma.
• Administratorzy organizacji zawsze mają wszystkie uprawnienia. Nie są wymieniani jako administratorzy grupy i nie można im nadać uprawnień administracyjnych.

Obszary#

Uprawnienia administracyjne składają się z jednego lub kilku obszarów:

Przy uprawnieniach administracyjnych w grupie każdy obszar obejmuje tylko tę grupę: zużycie i dziennik audytu jej członków, jej członków na stronie Osoby, Relay jej członków i samą grupę na stronie Grupy.

Co pozostaje w gestii administratorów organizacji#

Uprawnienia administracyjne nigdy nie obejmują poniższych działań. Pozostają one zarezerwowane dla osób z rolą Administrator organizacji:

• strony Modele, Styl dokumentów i Klucze API,
• zapraszanie osób,
• przydzielanie ról i zmiana grup osoby w jej szczegółach,
• działania na koncie, np. Wyłącz i Usuń z organizacji,
• tworzenie, zmiana nazwy i usuwanie grup oraz decydowanie, czy grupa jest widoczna w oknach udostępniania.

Jeśli ktoś potrzebuje tego wszystkiego, nadaj mu zamiast tego rolę Administrator organizacji (zobacz Role).

Strony widoczne z uprawnieniami administracyjnymi#

Nadawanie uprawnień administracyjnych w grupie#

Aby zmienić obszary administratora grupy, wybierz Zmień w jego wierszu, dostosuj obszary i wybierz Zapisz. Aby odebrać uprawnienia administracyjne, wybierz Usuń i potwierdź. Jeśli osoba jest członkiem grupy, nadal nim pozostaje. Odznaczenie wszystkich obszarów w oknie Zmień i zapisanie również odbiera uprawnienia.

Karta Administratorzy pokazuje tylko obszary nadane w tej grupie. Administratorzy organizacji i osoby z uprawnieniami administracyjnymi tylko w całej organizacji nie są tu wymieniani, choć ich uprawnienia obowiązują także w grupie.

Nadawanie uprawnień administracyjnych w całej organizacji#

Zmień jest widoczne tylko wtedy, gdy jesteś administratorem organizacji lub sam masz uprawnienia administracyjne w całej organizacji, i tylko przy osobach, które nie są administratorami organizacji.

Sekcja Uprawnienia administracyjne w szczegółach osoby pokazuje jej obecne uprawnienia: Administrator organizacji w przypadku osób z tą rolą, Brak uprawnień administracyjnych albo jeden wiersz dla Cała organizacja i po jednym dla każdej grupy, każdy z obszarami. Uprawnienia w grupie zmienia się na karcie Administratorzy danej grupy.

Kto może nadawać uprawnienia administracyjne#

Administratorzy organizacji mogą nadawać, zmieniać i odbierać dowolne uprawnienia administracyjne. Osoby z uprawnieniami administracyjnymi mogą same wyznaczać kolejnych administratorów, ale z ograniczeniami:

• Tylko we własnym zakresie. Z uprawnieniami administracyjnymi w grupie nadajesz uprawnienia tylko w tej grupie. Z uprawnieniami administracyjnymi w całej organizacji nadajesz uprawnienia w całej organizacji i w każdej grupie.
• Najwyżej z własnymi obszarami. Obszarów, których sam nie masz, nie można zaznaczyć w oknie, a AITEZA informuje: „Możesz nadać tylko obszary, które sam posiadasz.”
• Nikt nie zmienia uprawnień wyższych niż własne. Jeśli ktoś ma obszar, którego Ty nie masz w danym zakresie, przy tej osobie nie są wyświetlane Zmień i Usuń.

Każda zmiana jest zapisywana w Dzienniku audytu w obszarze Administracja jako Nadano uprawnienia administracyjne (także przy zmianie obszarów) lub Odebrano uprawnienia administracyjne. Szczegóły zdarzenia podają zakres (organization lub group), grupę, nowe obszary (areas) i poprzednie (previousAreas) w postaci kodów obszarów (zobacz Dla operatorów platformy).

Co widzą administratorzy grupy#

Wybór grupy#

Na stronach Zużycie, Dziennik audytu i Osoby pole Grupa u góry strony określa, co pokazuje strona. Do wyboru są:

• Cała organizacja, jeśli masz obszar danej strony w całej organizacji,
• każda grupa, w której masz obszar danej strony.

Jeśli masz obszar w całej organizacji, możesz wybrać każdą grupę. Administratorzy organizacji mogą więc używać tego pola jako filtra grup. Jeśli jest tylko jedna możliwość, np. jedna grupa, pole nie jest wyświetlane, a opis strony podaje nazwę grupy, np. „Ile kosztują zapytania obecnych członków grupy Sprzedaż do modeli AI, w podziale na miesiące.”

Wybrana grupa jest częścią adresu strony. Zakładka lub udostępniony link otwiera więc stronę z tą samą grupą.

Tylko obecni członkowie#

Gdy wybrana jest grupa, strony pokazują tylko osoby, które są teraz członkami grupy:

• Zużycie: zużycie obecnych członków w całym wybranym miesiącu, nawet jeśli dołączyli do grupy w trakcie miesiąca. Osoby, które opuściły grupę, nie są uwzględniane, nawet za minione miesiące. Nie są uwzględniane także Relaye i zadania systemowe, dlatego dane wszystkich grup razem nie dają sumy organizacji. Łączny koszt, prognoza, Koszty dzienne i karta Według modeli są liczone tylko ze zużycia członków. Eksportuj CSV eksportuje wiersze członków. Zobacz Zużycie organizacji.
• Dziennik audytu: zdarzenia obecnych członków, także z okresu przed dołączeniem do grupy. Zdarzenia byłych członków nie są wyświetlane. Filtr Osoba oferuje tylko członków grupy. Zobacz Dziennik audytu.
• Osoby: tylko członkowie grupy, z wyszukiwaniem i filtrem statusu jak zwykle.

Szczegóły osoby tylko do odczytu#

Każdy, kto nie jest administratorem organizacji, widzi stronę Osoby i szczegóły osoby tylko do odczytu:

• nie ma przycisku Zaproś osoby ani menu na końcu wierszy,
• grupy i role są wyświetlane jako tekst i nie można ich zmienić,
• brakuje sekcji Konto z działaniami na koncie,
• karta Aktywność jest widoczna tylko wtedy, gdy masz też Dziennik audytu w zakresie, który pokazuje strona: w całej organizacji lub w wybranej grupie,
• Uprawnienia administracyjne pokazują uprawnienia osoby w całej organizacji. Jeśli masz Osoby i dostępy tylko w niektórych grupach, widzisz uprawnienia osoby w grupach tylko dla tych grup.

Grupy dla administratorów grupy#

Osoby, które nie są administratorami organizacji, widzą na stronie Grupy wszystkie grupy, jeśli mają Osoby i dostępy lub Zarządzanie członkami w całej organizacji, a w przeciwnym razie tylko grupy, w których mają uprawnienia administracyjne. Nie widzą przycisku Nowa grupa ani kolumny Modele.

Panel boczny grupy pokazuje tylko karty, na które pozwalają Twoje obszary:

Zarządzanie członkami#

Z obszarem Zarządzanie członkami dodajesz osoby do grupy i usuwasz je z niej.

Usuń obok członka usuwa go z grupy. Osoba pozostaje w organizacji i zachowuje konto; traci tylko dostęp, który miała przez grupę.

Administratorzy grupy nie mogą zapraszać nowych osób. Jeśli ktoś jeszcze nie należy do organizacji, poproś administratora organizacji, aby najpierw go zaprosił (zobacz Osoby i grupy).

Dla operatorów platformy#

AITEZA przechowuje uprawnienia administracyjne wyłącznie w Keycloak, a nie we własnej bazie danych, w wielowartościowym atrybucie grupy admins:

• w grupie organizacji (tenanta) /tenants/<tenant> – uprawnienia w całej organizacji,
• w grupie (bezpośredniej podgrupie grupy organizacji) – uprawnienia w tej grupie.

Każda wartość zawiera uprawnienia jednej osoby: <keycloakUserId>:<area>[,<area>…], np. 0b6c5a2e-4f1d-4c8a-9e2b-7d3f1a6c8e90:audit,usage. AITEZA zapisuje kody obszarów małymi literami i w kolejności alfabetycznej:

• Zwykłym sposobem zmiany uprawnień administracyjnych są strony ustawień: stosują opisane wyżej reguły i zapisują każdą zmianę w dzienniku audytu. Atrybut można też edytować ręcznie w konsoli administracyjnej Keycloak, w atrybutach grupy; takie zmiany nie pojawiają się w dzienniku audytu AITEZA.
• Nieznane kody obszarów są pomijane, podobnie jak wartości bez prawidłowego identyfikatora użytkownika lub bez żadnego znanego obszaru. Kilka wartości dla tego samego identyfikatora użytkownika jest łączonych.
• Osoby z rolą tenant_admin lub super_admin mają wszystkie uprawnienia i nie potrzebują żadnej wartości.
• Atrybuty grup mogą edytować tylko administratorzy Keycloak; konsola konta na to nie pozwala. Nikt nie może sam nadać sobie uprawnień administracyjnych.
• Zastosowanie zmian na innych instancjach backendu może potrwać do 30 sekund, ponieważ każda instancja przechowuje uprawnienia w pamięci przez ten czas. Instancja, która wprowadziła zmianę, stosuje ją od razu.
• Gdy ktoś zostanie usunięty z organizacji przez AITEZA, jego wartości są usuwane z grupy organizacji i ze wszystkich jej grup. Wartości osób usuniętych ręcznie w Keycloak pozostają, ale są pomijane. Zaczynają znowu obowiązywać dopiero wtedy, gdy osoba zostanie ponownie dodana ręcznie w Keycloak; ponowne dodanie przez AITEZA najpierw je usuwa.
• Usunięcie grupy usuwa także jej atrybut, więc jej administratorzy tracą uprawnienia w tej grupie.
• Przy zapisie AITEZA zmienia tylko admins; inne atrybuty, np. name i addons, pozostają bez zmian. Klient Keycloak backendu nie potrzebuje uprawnień wykraczających poza te, których i tak potrzebuje do zarządzania grupami.