Rôles de sécurité expliqués
Ceci clôture une question reportée de la documentation CRM: "Comment puis-je contrôler quels utilisateurs peuvent voir les pistes (RBAC/territoire) ?" Il n'y a aucun concept de territoire dans le produit — la visibilité est entièrement basée sur les droits, résolu la façon dont cet article décrit. Droits spécifiques à la CRM Afficher les pistes et Afficher les plombs non assignés ce ne sont que deux feuilles dans le même arbre de droits.
Un rôle de sécurité est un ensemble nommé de permissions (« droits ») qu'un membre peut être assigné. Trois rôles de système sont ensemencés par défaut — Membres, Membres de l'équipeet Administrateur (accès complet) — à côté de tout rôle personnalisé créé par votre organisation. Les rôles système peuvent être verrouillés contre le renommage ou la suppression; lorsque les deux sont verrouillés, le rôle affiche Protégé au lieu d'un bouton Édition.
Les droits ne sont pas une liste de contrôle — ils sont un arbre
Les droits individuels ont des relations parents/enfants. Par exemple, Afficher les pistes est le parent de Créer des plombs, Modifier les pistes, Supprimer les plombs, Attribuer des plombs, Afficher les plombs non assignéset Afficher les informations de contact Autres (qui lui-même parents Modifier Lead Contact Info Autres). L'octroi d'un droit accorde automatiquement chaque ancêtre au-dessus. Refuser explicitement un droit nie automatiquement tout descendant actuellement accordé en dessous de ce droit. Certains droits — comme Gérer le CRM Paramètres — être seuls sans parents ni enfants.
Chaque droite est à trois sens, pas en marche/arrêt
Tout droit sur un rôle peut être défini comme suit:
- Accordée — le rôle a cette autorisation.
- Non spécifié — revient à n'importe quel niveau (voir la cascade suivante).
- Nuque — explicitement niés, dépassant tout ce qu'un niveau inférieur accorderait autrement.
La chute d'eau : d'où vient une autorisation effective
Les droits réels et effectifs d'un membre ne sont pas seulement « les droits de leur rôle ». Ils sont résolus à travers plusieurs couches, les gains les plus spécifiques:
Modèle de sécurité (base de référence à l'échelle de l'organisation, établie sur les types de branche) → Rôle(s) (un membre peut tenir plus d'un) → Département → Titre du poste → Équipe(s) (un membre peut être sur aucun, un ou plusieurs) → Dépassement au niveau des membres.
Un niveau plus spécifique peut l'emporter sur un niveau moins spécifique — un niveau de service Nuke peut être dépassé par le titre de travail de ce membre lui accordant, par exemple. Les ministères, les titres d'emploi, les équipes et les membres individuels peuvent tous détenir leurs propres droits directs en plus de la subvention de leurs rôles, en utilisant exactement le même arbre accordé/non spécifié/nuque. Toutes les équipes d'un membre comptent comme un niveau : une autorisation de subvention d'une équipe d'un membre est accordée, même si une autre de leurs équipes la bombarde. Voir Comment créer et gérer des équipes.
Des étiquettes honnêtes à connaître
- "Pas encore appliqué" — un droit existe et peut être bâclé, mais il n'y a encore rien dans la plate-forme. Il y en a aujourd'hui une douzaine de boulangers (essentiellement autour de l'horaire, du temps libre et de l'enregistrement des réunions) — les basculer n'a d'effet que lorsque la fonction correspondante les force.
- "Enforcement ailleurs" — ce droit a été remplacé par un nom de droit différent.
- Un objet percé "Inerte" état peut apparaître sur les anciennes données écrites avant l'existence de la hiérarchie, où un droit est accordé mais son ancêtre n'est pas — l'éditeur lui-même ne peut pas produire cela, seulement l'hériter.
