Organisationsmedlemmer & roller
Alle du inviterer til din organisation har præcis én rolle. Rollen bestemmer, hvad personen kan gøre på tværs af organisationens tenants — og du kan indsnævre eller udvide den pr. tenant. Denne side forklarer de fire roller, portalen tilbyder, specialrollen ejer samt hvordan tenants, grupper og guardrails kombineres med dem.
Hvor du administrerer det
Åbn din organisation i portalen og brug Medlemmer (skift roller, giv tenant-adgang), Invitationer (tilføj personer), Enheder (organiser tenants) samt, når det er aktiveret for din organisation, panelerne Grupper, Politikker og Guardrails.
De fire roller
Når du inviterer et medlem eller ændrer en eksisterende medlems rolle, tilbyder portalen:
| Rolle | Hvad personen kan gøre |
|---|---|
| Viewer | Se alt — alle resurstjenester og jeres fakturagrundlag — men ændre intet. |
| Member | Arbejde med jeres ressourcer: oprette, opdatere og slette instanser, lager, netværk og alle andre resurstjenester. Kan ikke administrere medlemmer eller invitationer og kan ikke ændre faktureringsindstillinger. |
| Billing | Fuld kontrol på pengeplanen: faktureringsprofil, betalingsmetoder og fakturaer. Alt andet er skrivebeskyttet. |
| Admin | Drive organisationen: fuld resursadgang, API-nøgler, styring af medlemmer og invitationer, tenants, enheder og revisionsspor. Kan ikke ændre faktureringsindstillinger og kan ikke overdrage ejerskabet. |
To ting, folk ofte forventer, fungerer anderledes:
- Admin indeholder ikke billing. En admin kan læse fakturaer og fakturagrundlag, men kun Billing (eller ejeren) kan ændre betalingsmetoder eller faktureringsprofilen. Har din driftsadmin også brug for betalingskontrol, se Grupper nedenfor.
- Viewer er virkelig skrivebeskyttet. Skal en person kun følge omkostninger eller gennemgå infrastruktur, er Viewer det sikre valget.
- Du styrer kun medlemmer strengt under din egen rolle. En admin kan ændre rollerne for viewer-, member-, billing-, operator- og developer-brugere — men ikke en anden admins, ikke ejerens og ikke sin egen. Mangler knappen «Skift rolle» på en række, ligger den række på eller over dit niveau.
Ejer (Owner)
Hver organisation har præcis én ejer — sat ved oprettelsen. Ejeren kan gøre alt, herunder ændre faktureringsindstillinger og overdrage organisationen. Ejerskab flyttes kun via overdrag ejerskab (Indstillinger), aldrig via medlemslisten — derfor tilbyder rollevalget det ikke. Roller tildeles via invitationer og ændres på medlemsskærmen af en admin eller ejeren.
Hvordan en rolle afgør adgang
Evalueringen er default-deny og den samme for alle:
- En eksplicit deny vinder altid.
- Ellers giver en eksplicit allow tilladelse til anmodningen.
- Læsninger er tilladte: at liste og se er generelt tilladt for hvert medlem; skrivninger kræver en allow fra medlemmets rolle (eller en tilknyttet politik — se nedenfor).
Det er samme politikmotor, der driver API-nøglernes adgangspolitikker — mennesker og maskinprincipaler vurderes af én og samme model.
Tenant-tildelinger: begræns et medlem til bestemte tenants
Som standard gælder et medlems rolle i hver tenant i organisationen. Du kan indsnævre det pr. medlem under Medlemmer → Giv tenant-adgang:
- Alle tenants (standard) — medlemmet arbejder overalt.
- Valgte tenants — medlemmets tenant-skifter viser kun de valgte tenants, og adgangen begrænses til dem. Rollen er uændret inden for de tenants, vedkommende kan nå.
Tildelinger bestemmer, hvor et medlems rettigheder gælder. De ændrer aldrig, hvad rollen er — at give én person to forskellige roller til to tenants er ikke noget, portalen tilbyder i dag (se den understøttede måde i Sådan kombinerer du rettigheder).
Grupper: tilføj rettigheder ovenpå
En gruppe bærer tilknyttede adgangspolitikker, og dens medlemmer arver dem — ovenpå deres rolle. Det er den understøttede måde at sige "denne person er også vores faktureringsadmin":
- Behold medlemmets rolle som Admin (deres daglige arbejde).
- Opret en gruppe, tilknyt en politik, der tillader de faktureringshandlinger, personen har brug for, og tilføj medlemmet til gruppen.
I hver tenant, medlemmet kan nå, lægger gruppens rettigheder sig til rollens; intet andet ændres. Samme mekanisme afgrænser supplerende rettigheder pr. tenant: tilknyt politikken med det tenant-omfang, du ønsker, og gruppens medlemmer har den præcis dér.
Egne roller (custom roles)
Organisationer kan oprette egne roller — egne rettighedspakker, højst med de rettigheder, som ophavsmanden selv har. En egen rolle tildeles, når et medlem inviteres (den vises i invitationens roleliste); et medlem, der allerede har en, beholder den, indtil vedkommende flyttes tilbage til en standardrolle. Du kan ikke skifte et eksisterende medlem til en egen rolle fra medlemsskærmen.
Guardrails: gulve, ingen indeni kan løfte
En administrator kan tilknytte guardrails på organisations- eller enheds- (OU-)niveau. En guardrail er et rent deny-gulv: det forbyder en klasse af handlinger for alle indeni, uanset rolle, gruppe eller politik. Brug den til faste compliance-linjer ("ingen sletning af instanser i produktionsenheden"). Guardrails begrænser — de tildeler aldrig.
Hvorfor blev jeg afvist?
Panelet hvorfor-afvist i portalen (under din organisation) forklarer ethvert afslag: hvilken regel der svarede, og om den kom fra medlemmets rolle, en gruppepolitik eller en guardrail. Hvert medlem kan tjekke sine egne rettigheder; admins kan tjekke et andet medlems.
Det, der ikke findes i dag
- To roller til ét medlem. Én rolle pr. person; kombiner med grupper i stedet.
- Rettigheder, der følger en enhed. Guardrails på enhedsniveau begrænser alle i enhedens tenants, men tilladende rettigheder kan ikke afgrænses til en enhet — kun til hele organisationen eller en liste over tenants. At flytte en tenant mellem enheder ændrer ikke et eneste medlems tildelinger.