Organisationsmedlemmar & roller
Varje person du bjuder in till din organisation har exakt en roll. Rollen bestämmer vad personen kan göra i organisationens hyresgäster (tenants) — och du kan begränsa eller utöka den per tenant. Den här sidan förklarar de fyra roller som portalen erbjuder, specialrollen ägare samt hur tenants, grupper och guardrails kombineras med dem.
Var du hanterar det
Öppna din organisation i portalen och använd Medlemmar (ändra roller, bevilja tenants), Inbjudningar (lägg till personer), Enheter (organisera tenants) samt, när det är aktiverat för din organisation, panelerna Grupper, Policyer och Guardrails.
De fyra rollerna
När du bjuder in en medlem eller ändrar en befintlig medlems roll erbjuder portalen:
| Roll | Vad personen kan göra |
|---|---|
| Viewer | Se allt — alla resurstjänster och era fakturaunderlag — men ändra inget. |
| Member | Arbeta med era resurser: skapa, uppdatera och ta bort instanser, lagring, nätverk och alla andra resurstjänster. Kan inte hantera medlemmar eller inbjudningar och kan inte ändra faktureringsinställningar. |
| Billing | Full kontroll över betalningsplanet: faktureringsprofil, betalningsmetoder och fakturor. Allt annat är skrivskyddat. |
| Admin | Driva organisationen: full resursåtkomst, API-nycklar, hantering av medlemmar och inbjudningar, tenants, enheter och revisionsspår. Kan inte ändra faktureringsinställningar och kan inte överföra ägarskapet. |
Två saker som många förväntar sig fungerar annorlunda:
- Admin innehåller inte billing. En admin kan läsa fakturor och faktureringsunderlag, men bara Billing (eller ägaren) kan ändra betalningsmetoder eller faktureringsprofilen. Behöver din driftsadmin även betalningskontroll, se Grupper nedan.
- Viewer är verkligen skrivskyddad. Ska någon bara följa kostnader eller granska infrastruktur är Viewer det säkra valet.
- Du hanterar medlemmar strikt under din egen roll. En admin kan ändra rollerna för viewer-, member-, billing-, operator- och developer-användare — men inte en annan admins, inte ägarens och inte sin egen. Saknas knappen Ändra roll på en rad ligger den raden på eller över din nivå.
Ägare (Owner)
Varje organisation har exakt en ägare — satt vid skapandet. Ägaren kan göra allt, inklusive att ändra faktureringsinställningar och överföra organisationen. Ägarskapet flyttas endast via överför ägarskap (Inställningar), aldrig via medlemslistan — därför erbjuds det inte i rollväljaren. Roller beviljas via inbjudningar och ändras på medlemsskärmen av en admin eller ägaren.
Hur en roll bestämmer åtkomst
Utvärderingen är default-deny och densamma för varje person:
- En explicit deny vinner alltid.
- Annars ger en explicit allow tillstånd till begäran.
- Läsningar är tillåtliga: att lista och visa är i allmänhet tillåtet för varje medlem; skrivningar kräver en allow från medlemmens roll (eller en kopplad policy — se nedan).
Det är samma policy-motor som driver API-nycklars åtkomstpolicyer — människor och maskinprincipaler bedöms av en och samma modell.
Tenant-beviljanden: begränsa en medlem till specifika tenants
Som standard gäller en medlems roll i varje tenant i organisationen. Du kan begränsa det per medlem under Medlemmar → Bevilja tenants:
- Alla tenants (standard) — medlemmen arbetar överallt.
- Valda tenants — medlemmens tenant-växlare listar bara de valda tenants, och deras åtkomst begränsas till dem. Rollen är oförändrad inom de tenants de kan nå.
Beviljanden bestämmer var en medlems behörigheter gäller. De ändrar aldrig vad rollen är — att ge någon två olika roller för två olika tenants är inget portalen erbjuder idag (se Att kombinera behörigheter för det sätt som stöds).
Grupper: lägg till behörigheter ovanpå
En grupp bär kopplade åtkomstpolicyer, och dess medlemmar ärver dem — ovanpå sin roll. Det är det sätt som stöds för att säga "den här personen är även vår faktureringsadmin":
- Behåll medlemmens roll som Admin (deras dagliga arbete).
- Skapa en grupp, koppla en policy som tillåter de faktureringsåtgärder personen behöver, och lägg till medlemmen i gruppen.
I varje tenant medlemmen kan nå lägger gruppens behörigheter till rollens; inget annat ändras. Samma mekanism begränsar ytterligare behörigheter per tenant: koppla policyn med den tenant-omfattning du vill, och medlemmarna i gruppen har den exakt där.
Egna roller (custom roles)
Organisationer kan skapa egna roller — egna behörighetspaket, begränsade till de behörigheter som skaparen själv har. En egen roll tilldelas när en medlem bjuds in (den syns i inbjudningens rollista); en medlem som redan har en behåller den tills hen flyttas tillbaka till en standardroll. Du kan inte byta en befintlig medlem till en egen roll från medlemsskärmen.
Guardrails: begränsningar ingen inuti kan häva
En administratör kan koppla guardrails på organisationens eller en enhets (OU) nivå. En guardrail är en ren deny-botten: den förbjuder en klass av åtgärder för alla inuti, oavsett roll, grupp eller policy. Använd den för att hålla regelefterlevnadslinjer ("ingen radering av instanser i produktionsenheten"). Guardrails begränsar — de beviljar aldrig.
Varför blev jag nekad?
Panelen varför-nekad i portalen (under din organisation) förklarar varje nekande: vilken regel som svarade, och om den kom från medlemmens roll, en grupps policy eller en guardrail. Varje medlem kan kontrollera sina egna behörigheter; admins kan kontrollera en annan medlems.
Det som inte finns idag
- Två roller för en medlem. En roll per person; kombinera med grupper istället.
- Behörigheter som följer en organisatorisk enhet. Guardrails på enhetsnivå begränsar alla i enhetens tenants, men tillåtande behörigheter kan inte begränsas till en enhet — bara av hela organisationen eller en lista av tenants. Att flytta en tenant mellan enheter ändrar inte någon medlems beviljanden.