Organisaation jäsenet & roolit
Jokaisella organisaatioon kutsumallasi henkilöllä on täsmälleen yksi rooli. Rooli määrittää, mitä henkilö voi tehdä organisaatiosi tenantien parissa — ja voit rajata tai laajentaa sitä vuokraajittain. Tämä sivu käsittelee portaalin tarjoamia neljää roolia, erityisroolia omistaja sekä sitä, miten vuokraajat, ryhmät ja guardrailit yhdistyvät niihin.
Missä hallitset asiaa
Avaa organisaatiosi portaalissa ja käytä Jäsenet (vaihda rooleja, myönnä vuokraajia), Kutsut (lisää henkilöitä), Yksiköt (järjestä vuokraajat) sekä, kun ne on otettu käyttöön organisaatiossasi, paneelet Ryhmät, Käytännöt ja Guardrailit.
Neljä roolia
Kun kutsut jäsenen tai vaihdat olemassa olevan jäsenen roolia, portaali tarjoaa:
| Rooli | Mitä henkilö voi tehdä |
|---|---|
| Viewer | Näkee kaiken — kaikki resurssipalvelut ja laskutustiedonne — mutta ei muuta mitään. |
| Member | Tekee töitä resursienne parissa: luo, päivittää ja poistaa instansseja, tallennustilaa, verkkoja ja kaikki muut resurssipalvelut. Ei voi hallita jäseniä tai kutsuja eikä muuttaa laskutusasetuksia. |
| Billing | Täysi hallinta rahapuolelle: laskutusprofiili, maksutavat ja laskut. Kaikki muu on vain luettavissa. |
| Admin | Pyörittää organisaatiota: täysi resurssikäyttö, API-avaimet, jäsenten ja kutsujen hallinta, vuokraajat, yksiköt ja auditointiloki. Ei voi muuttaa laskutusasetuksia eikä siirtää omistajuutta. |
Kaksi asiaa, jotka odotetaan usein toimivan eri tavalla:
- Admin ei sisällä billingiä. Admin voi lukea laskut ja laskutustiedot, mutta vain Billing (tai omistaja) voi muuttaa maksutapoja tai laskutusprofiilia. Jos ylläpitäjäsi tarvitsee myös laskutuksen hallintaa, katso Ryhmät alla.
- Viewer on todella vain luettava. Jos joku liittyy vain seuraamaan kuluja tai katselmointiin, Viewer on turvallinen oletus.
- Hallitset vain täsmälleen itseäsi alemman tason jäseniä. Admin voi vaihtaa viewer-, member-, billing-, operator- ja developer-käyttäjien rooleja — mutta ei toisen adminin, ei omistajan eikä omaansa. Jos Vaihda rooli -painiketta ei ole rivillä, kyseinen rivi on tasollasi tai yllä.
Omistaja (Owner)
Jokaisella organisaatiolla on täsmälleen yksi omistaja — asetettuna luomishetkellä. Omistaja voi tehdä kaiken, myös muuttaa laskutusasetuksia ja siirtää organisaation. Omistajuus siirtyy vain omistajuuden siirrolla (Asetukset), ei koskaan jäsenlistasta — siksi roolivalitsin ei tarjoa sitä. Roolit myönnetään kutsuilla ja niitä vaihdetaan Jäsenet-näkymässä adminin tai omistajan toimesta.
Miten rooli määrittää pääsyn
Arviointi on default-deny ja sama jokaiselle:
- Eksplisiittinen deny voittaa aina.
- Muuten eksplisiittinen allow myöntää pyynnön.
- Lukemiset ovat sallittuja: listaaminen ja katsominen on yleisesti sallittua jokaiselle jäsenelle; kirjoitukset vaativat allow:n jäsenen roolilta (tai liitetyltä käytännöltä — katso alla).
Tämä on sama käytäntömoottori, johon myös API-avainten käyttöoikeuskäytännöt nojaavat — ihmiset ja koneprinsipit arvioidaan yhtenäisellä mallilla.
Tenantikohtaiset myönnöt: rajaa jäsen tiettyihin tenanteihin
Oletuksena jäsenen rooli pätee organisaation jokaiseen tenantiin. Voit rajata se jäsenelle kohdassa Jäsenet → Myönnä vuokraajia:
- Kaikki vuokraajat (oletus) — jäsen toimii kaikkialla.
- Valitut vuokraajat — jäsenen tenant-valitsin listaa vain valitut, ja käyttö rajoittuu niihin. Rooli pysyy ennallaan vuokraajissa, joihin hän ylettyy.
Myönnöt määrää, missä jäsenen oikeudet pätevät. Ne eivät koskaan muuta, mikä rooli on — kahden eri roolin antaminen samalle henkilölle kahdessa tenantissa ei ole portaalin tarjoama vaihtoehto tänään (katso tuetut tavat osiosta Oikeuksien yhdistäminen).
Ryhmät: lisää oikeuksia päälle
Ryhmä kantaa liitettyjä käyttöoikeuskäytäntöjä, ja sen jäsenet perivät ne — roolinsa päälle. Tämä on tuettu tapa sanoa "tämä henkilö on myös laskutusadminimme":
- Pidä jäsenen roolina Admin (hänen päivätyönsä).
- Luo ryhmä, liitä käytäntö, joka sallii henkilön tarvitsemat laskutustoiminnot, ja lisää jäsen ryhmään.
Jokaisessa saavutettavissa olevassa vuokraajassa ryhmän oikeudet lisääntyvät roolin päälle; mikään muu ei muutu. Sama mekanismi rajaa lisäoikeuksia vuokraajittain: liitä käytäntö haluamallasi vuokraajalaajuudella, ja ryhmän jäsenet omistavat sen täsmälleen siellä.
Omat roolit (custom roles)
Organisaatiot voivat laatia omia rooleja — omia oikeuspaketteja, enintään laatijan itsensä hallussa olevat oikeudet. Oma rooli annetaan jäsenen kutsuttaessa (se näkyy kutsun roolilistassa); jäsen, jolla sellainen jo on, säilyttää sen, kunnes hänet siirretään takaisin standardirooliin. Olemassa olevaa jäsentä ei voi vaihtaa omaan rooliin Jäsenet-näkymästä.
Guardrailit: pohjat, joita kukaan sisällä ei voi lieventää
Ylläpitäjä voi liittää guardraileja organisaation tai yksikön (OU) tasolla. Guardrail on pelkkä deny-pohja: se kieltää operaatioluokan kaikilta sisällä, riippumatta roolista, ryhmästä tai käytännöstä. Käytä sitä koviin vaatimustenmukaisuusrajoihin ("ei instanssien poistoa tuotantoyksikössä"). Guardrailit rajoittavat — ne eivät koskaan myönnä.
Miksi minulle evättiin?
Portaalin miksi-evätty-paneeli (organisaatiosi alla) selittää jokaisen eväyksen: mikä sääntö vastasi ja tuliko se jäsenen roolista, ryhmän käytännöstä vai guardrailista. Jokainen jäsen voi tarkistaa omat oikeutensa; adminit voivat tarkistaa toisen jäsenen.
Mitä ei ole tänään
- Kahta roolia yhdelle jäsenelle. Yksi rooli per henkilö; yhdistä ryhmillä.
- Oikeudet, jotka seuraavat organisaation yksikköä. Yksikkötason guardrailit rajoittavat kaikkia yksikön tenanteissa, mutta sallivat oikeudet eivät voi kohdistua yksikköön — vain koko organisaatioon tai vuokraajalistalle. Vuokraajan siirtäminen yksiköstä toiseen ei muuta kenenkään jäsenen myöntöjä.