Pular para o conteúdo principal

Componha papéis e vincule-os a grupos

Um papel é um conjunto nomeado de códigos de permissão. As permissões efetivas de um usuário são a união de todos os papéis que ele possui — diretamente e por grupos.

Antes de começar​

  • Um provedor de identidade conectado, com usuários e grupos espelhados.
  • role.create e role.update para compor papéis; group.update para vinculá-los.

1. Leia o que um papel já concede​

A tela de papéis listando os papéis do tenant A tela de papéis. Cada linha é um papel e o número de códigos de permissão que ele carrega.

Abra um papel antes de alterá-lo. Os códigos que ele carrega são tudo o que ele concede — nada é implícito, nada é herdado de outro papel.

Um papel e os códigos de permissão anexados a ele Os códigos de permissão de um papel. Os códigos são resource.action; cada endpoint declara os que exige.

2. Crie um papel em torno de um trabalho​

O formulário de novo papel, com o seletor de papel-base, os campos de código e nome de exibição, e a lista de permissões Criando um papel. Ele pode partir de um papel existente, o que pré-seleciona as permissões daquele papel para ajustar. O código é o identificador estável; o nome de exibição é o que as pessoas leem. Cada permissão aparece com o que ela permite.

Monte papéis em torno de trabalhos, não de senioridade. "Curador" e "encarregado de conformidade" descrevem o que alguém faz; "sênior" e "júnior" não, e papéis nomeados assim acumulam permissões que ninguém consegue justificar depois.

Conceda o mínimo que o trabalho exige. Adicionar uma permissão é fácil; descobrir que um papel carregou uma desnecessária por um ano não é.

3. Vincule o papel por um grupo​

Atribua papéis a grupos e gerencie a participação no seu provedor de identidade. O acesso então acompanha entradas e saídas automaticamente.

A atribuição direta de papel é para exceções.

As permissões são resolvidas por requisição, não pelo token

As permissões efetivas são resolvidas quando a requisição chega, e não gravadas no token. Conceder ou revogar um papel vale na próxima requisição.

4. Verifique com uma conta real​

Entre como um usuário que possui o papel — não como um administrador imaginando.

  • Confirme que ele consegue fazer o trabalho.
  • Confirme que o que ele não deveria alcançar é recusado.
Teste com a conta, não com a teoria

Ler a definição de um papel diz o que aquele papel concede. Não diz o que uma pessoa pode fazer, porque ela pode deter vários.

A seguir​