Organisasjonsmedlemmer & roller
Alle du inviterer til organisasjonen din har nøyaktig én rolle. Rollen bestemmer hva personen kan gjøre på tvers av organisasjonens tenants — og du kan begrense eller utvide den per tenant. Denne siden forklarer de fire rollene portalen tilbyr, spesialrollen eier, og hvordan tenants, grupper og guardrails kombineres med dem.
Hvor du administrerer det
Åpne organisasjonen din i portalen og bruk Medlemmer (endre roller, gi tenant-tilgang), Invitasjoner (legg til personer), Enheter (organiser tenants) samt, når det er aktivert for organisasjonen din, panelene Grupper, Policyer og Guardrails.
De fire rollene
Når du inviterer et medlem eller endrer en eksisterende medlems rolle, tilbyr portalen:
| Rolle | Hva de kan gjøre |
|---|---|
| Viewer | Se alt — alle resurstjenester og fakturagrunnlaget deres — men endre ingenting. |
| Member | Arbeide med ressursene deres: opprette, oppdatere og slette instanser, lagring, nettverk og alle andre resurstjenester. Kan ikke administrere medlemmer eller invitasjoner, og kan ikke endre fakturainnstillinger. |
| Billing | Full kontroll på pengesiden: faktureringsprofil, betalingsmetoder og fakturaer. Alt annet er skrivebeskyttet. |
| Admin | Drive organisasjonen: full resurstilgang, API-nøkler, administrasjon av medlemmer og invitasjoner, tenants, enheter og revisjonsspor. Kan ikke endre fakturainnstillinger og kan ikke overføre eierskapet. |
To ting folk ofte forventer fungerer annerledes:
- Admin inneholder ikke billing. En admin kan lese fakturaer og fakturagrunnlag, men bare Billing (eller eieren) kan endre betalingsmetoder eller faktureringsprofilen. Trenger driftsadminen din også betalingskontroll, se Grupper nedenfor.
- Viewer er virkelig skrivebeskyttet. Skal noen bare følge kostnader eller se gjennom infrastruktur, er Viewer det trygge valget.
- Du administrerer bare medlemmer strengt under egen rolle. En admin kan endre rollene til viewer-, member-, billing-, operator- og developer-brukere — men ikke en annen admins, ikke eierens og ikke sin egen. Mangler «Endre rolle»-knappen på en rad, ligger den raden på eller over ditt nivå.
Eier (Owner)
Hver organisasjon har nøyaktig én eier — satt ved opprettelsen. Eieren kan gjøre alt, inkludert å endre fakturainnstillinger og overføre organisasjonen. Eierskap flyttes kun via overfør eierskap (Innstillinger), aldri via medlemslisten — det er derfor rollelisten ikke tilbyr det. Roller tildeles gjennom invitasjoner og endres på medlemsskjermen av en admin eller eieren.
Hvordan en rolle avgjør tilgang
Vurderingen er default-deny og lik for alle:
- En eksplisitt deny vinner alltid.
- Ellers gir en eksplisitt allow tillatelse til forespørselen.
- Lesninger er tillatt: å liste og se er generelt tillatt for hvert medlem; skriveoperasjoner krever en allow fra medlemmets rolle (eller en tilknyttet policy — se nedenfor).
Det er samme policy-motor som driver API-nøkkelenes tilgangspolicyer — mennesker og maskinprinsipper vurderes av én og samme modell.
Tenant-tildelinger: avgrens et medlem til bestemte tenants
Som standard gjelder et medlems rolle i hver tenant i organisasjonen. Du kan avgrense det per medlem under Medlemmer → Gi tenant-tilgang:
- Alle tenants (standard) — medlemmet arbeider overalt.
- Valgte tenants — medlemmets tenant-veksler viser bare valgte tenants, og tilgangen begrenses til dem. Rollen er uendret inne i tenantene de når.
Tildelinger bestemmer hvor et medlems rettigheter gjelder. De endrer aldri hva rollen er — å gi noen to ulike roller for to tenants er ikke tilbudt i portalen i dag (se Å kombinere rettigheter for den støttede måten).
Grupper: legg rettigheter oppå
En gruppe bærer tilkoblede tilgangspolicyer, og medlemmene arver dem — oppå rollen sin. Dette er den støttede måten å si «denne personen er også vår faktureringsadmin»:
- Behold medlemmets rolle som Admin (dagjobben).
- Opprett en gruppe, koble en policy som tillater faktureringsoperasjonene personen trenger, og legg medlemmet i gruppen.
I hver tenant medlemmet når, legger gruppens rettigheter seg til rollens; ingenting annet endres. Samme mekanisme avgrenser tilleggsrettigheter per tenant: koble politikken med tenant-omfanget du vil, og gruppens medlemmer har den nøyaktig der.
Egne roller (custom roles)
Organisasjoner kan lage egne roller — egne rettighetspakker, begrenset av rettighetene skaperen selv har. En egen rolle tildeles når et medlem inviteres (den vises i invitasjonens rolleliste); et medlem som allerede har en, beholder den til vedkommende flyttes tilbake til en standardrolle. Du kan ikke bytte et eksisterende medlem til en egen rolle fra medlemsskjermbildet.
Guardrails: gulv ingen inni kan løfte
En administrator kan koble guardrails på organisasjons- eller enhetsnivå (OU). En guardrail er et rent deny-gulv: den forbyr en klasse operasjoner for alle innenfor, uansett rolle, gruppe eller policy. Bruk den til harde samsvarslinjer («ingen sletting av instanser i produksjonsenheten»). Guardrails begrenser — de gir aldri.
Hvorfor ble jeg avvist?
Panelet hvorfor-avvist i portalen (under organisasjonen din) forklarer ethvert avslag: hvilken regel som svarte, og om den kom fra medlemmets rolle, en gruppepolicy eller en guardrail. Hvert medlem kan sjekke sine egne rettigheter; admins kan sjekke et annet medlems.
Det som ikke finnes i dag
- To roller for ett medlem. Én rolle per person; kombiner med grupper i stedet.
- Rettigheter som følger en enhet. Guardrails på enhetsnivå begrenser alle i enhetens tenants, men tillatende rettigheter kan ikke avgrenses til en enhet — bare til hele organisasjonen eller en liste over tenants. Å flytte en tenant mellom enheter endrer ingen medlems tildelinger.