Niveaux d'accès et droits supplémentaires

Dans l'espace client, chaque contact a un niveau d'accès pour votre société. Il décide des pages qu'il voit : un comptable n'a pas besoin des journaux nginx, un administrateur système n'a pas forcément à voir les factures. Votre propre niveau est rappelé dans Mon profil › Compte, sous le formulaire de profil.

Les trois niveaux

Partie de l'espace client	Technique	Administratif	Complet
Services, Docker, supervision, journaux, alertes	oui	non	oui
Sécurité : blocages, DNS, règles de pare-feu	oui	non	oui
Factures, commandes, documents	non	oui	oui
Échéances, rapports, support	oui	oui	oui
Équipe, jetons d'API, règles d'accès, activité	non	non	oui

• Technique (services, supervision, sécurité) : pour ceux qui exploitent vos machines et vos sites. Les montants n'apparaissent pas dans les échéances ni dans les rapports.
• Administratif (factures, documents) : pour la comptabilité et les achats. Il voit les montants, paie les factures et passe les commandes.
• Complet (tout, et l'équipe) : tout ce qui précède, plus l'administration de l'espace client de la société.

Le même tableau s'affiche dans la page Équipe, onglet Contacts, sous « Ce que voit chaque niveau d'accès ».

Les droits supplémentaires

En plus du niveau technique (ou complet), des droits se donnent un par un, parce qu'ils permettent d'agir sur vos machines :

• Actions Monit : démarrer, arrêter et redémarrer les contrôles Monit de vos machines ;
• Actions sur les VM : démarrer, arrêter ou redémarrer vos machines virtuelles et les autres actions qui en dépendent (sauvegarde à la demande, snapshots…) ;
• Pare-feu des VMs : modifier les règles de pare-feu de vos VM ;
• DevOps : lancer sur vos machines les opérations que nous publions pour votre société ;
• Actions Docker : démarrer, arrêter et redémarrer les conteneurs Docker de vos machines ;
• Console Docker : ouvrir une console dans ces conteneurs.

Les droits DevOps et Docker ne sont donnés que par notre équipe : demandez-les-nous.

Un contact administratif ne peut pas recevoir ces droits : passer un contact en administratif les lui retire.

Les rôles

Notre équipe peut aussi vous donner des rôles : des ensembles de permissions plus fins que les trois niveaux, accordés pour tous vos services ou pour certains seulement. Un rôle peut par exemple permettre de redémarrer une machine précise sans toucher aux autres, ou de gérer le DNS d'un seul nom de domaine.

• Les rôles s'ajoutent à votre niveau d'accès : vous gardez ce qu'il vous donne, et vous gagnez ce que le rôle permet, sur les services et les domaines qu'il nomme.
• Un contact peut aussi n'avoir que des rôles, sans niveau. Mon profil › Compte indique alors « par rôles » à la place du niveau, et le menu ne montre que les pages auxquelles ses rôles donnent accès.
• Les boutons suivent vos permissions une à une : avec un rôle qui permet d'ajouter et de modifier des enregistrements DNS sans les supprimer, Ajouter un enregistrement et Modifier s'affichent, pas Supprimer. Il en va de même pour l'alimentation d'une VM, les actions Monit, les instantanés, le pare-feu, les sondes, les canaux et les règles d'alerte.
• Dans un compte ouvert directement par rôles, chaque service livré donne de lui-même au titulaire du compte l'accès complet à ce service ; il le perd à la résiliation. Dans un compte passé des niveaux aux rôles, ce n'est pas automatique : demandez-le-nous.

Quand votre compte passe des niveaux aux rôles

Notre équipe peut convertir les niveaux d'accès de votre société en rôles. Rien ne change dans ce que chacun peut faire :

• chaque contact reçoit un rôle nommé « Ancien niveau : … », qui contient exactement ce que son niveau et ses droits supplémentaires lui donnaient ;
• Mon profil › Compte indique « par rôles » à la place du niveau ;
• dans Équipe, la colonne du niveau affiche Par rôles, et le tableau « Ce que voit chaque niveau d'accès » n'est plus affiché ;
• les nouveaux contacts s'invitent sans niveau, puis reçoivent leurs rôles.

Vous pouvez ensuite affiner : donner à un collègue un rôle sur un seul service, ou nous demander de remplacer un « Ancien niveau » par des rôles plus précis.

Donner un rôle à un collègue

Les rôles sont donnés par notre équipe et, dans votre société, par les contacts qui gèrent l'équipe.

1. Ouvrez Équipe. Le bloc Rôles liste les rôles de chaque contact.
2. Sous le contact, cliquez sur Donner un rôle et choisissez le rôle.
3. Cochez les services et les domaines concernés (chaque liste affiche combien sont cochés, et une recherche dès qu'elle est longue), puis cliquez sur Donner le rôle. Pour un rôle que vous tenez sur tout, vous pouvez aussi choisir Tous les services et domaines, ou Tous sauf… pour en écarter quelques-uns : un service livré plus tard sera alors inclus.

Reprendre retire un rôle ; le contact perd ce qu'il donnait dès sa prochaine page.

À savoir :

• Vous ne pouvez donner qu'un rôle que vous avez vous-même, et seulement sur les services et les domaines pour lesquels vous l'avez.
• Les rôles du titulaire du compte sont gérés par notre équipe.
• Dans un compte par rôles, un contact que vous invitez démarre sans aucun accès : donnez-lui ses rôles juste après l'invitation. Les niveaux d'accès n'y sont plus proposés.

Voir ce qu'un contact peut faire

Sous chaque contact du bloc Rôles, Ce qu'il peut faire déplie la liste de ses permissions, son niveau d'accès et ses rôles réunis : par rubrique (services, machines virtuelles, supervision, domaines, facturation, compte), chaque action possible et ce sur quoi elle porte — « sur tout », ou les services et domaines nommés. C'est le moyen le plus sûr de vérifier un accès avant de le confier à un prestataire.

Si le contact a des droits sur des services ou des domaines que vous ne voyez pas vous-même, la liste le signale sans les nommer.

Qui donne les accès

Notre équipe ouvre les premiers accès. Ensuite, les contacts qu'elle a autorisés à inviter gèrent l'équipe eux-mêmes, sans jamais donner plus que leurs propres droits.

Une personne qui a déjà un accès chez une autre société cliente (un prestataire qui travaille pour plusieurs entreprises, par exemple) ne peut pas être ajoutée depuis votre espace : l'invitation répond « Cette personne a déjà un accès chez une autre société ». Demandez-le à notre équipe, qui l'ajoute pour vous. Le journal d'activité ne montre que ce qui a été fait dans votre espace, jamais ce que vos contacts font chez une autre société.

Limiter un contact à certains services

Par défaut, un contact voit tous les services de votre société. Si notre équipe a ouvert la fonction pour votre compte, vous pouvez limiter un contact à quelques services : un prestataire qui ne doit voir que le serveur dont il s'occupe, par exemple.

1. Ouvrez Équipe. Sous les droits du contact, la ligne indique Tous les services.
2. Cliquez sur Choisir…, sélectionnez Seulement les services cochés ci-dessous, puis cochez les services.
3. Cliquez sur Enregistrer. La ligne affiche alors « Limité à … services ».

Le contact limité ne liste plus que ces services. Tout ce qui se rattache à un autre service lui est fermé : sa page, l'alimentation, le pare-feu, les sauvegardes, la console, y compris par ses jetons d'API.

À savoir :

• Seul un contact d'accès complet autorisé à inviter fixe ces limites, et jamais sur un autre contact d'accès complet (qui voit toujours tout).
• Ce qui se rapporte à un service suit la limite : les problèmes en cours, les incidents, les maintenances et la disponibilité ne montrent que ce qui concerne ses services.
• Les pages qui concernent toute la société (canaux d'alerte, DNS, factures, support) continuent de suivre son niveau d'accès.
• Un contact limité n'invite plus de nouveaux contacts.
• Un service ajouté plus tard n'est pas visible d'un contact limité tant que vous ne le cochez pas.

Bon à savoir

• Une page hors de votre niveau affiche « Cette page ne fait pas partie de votre accès » : demandez à un collègue d'accès complet ou à notre équipe.
• Si vous travaillez pour plusieurs sociétés, vous avez un niveau par société ; le sélecteur de société, dans le bandeau en haut de la page, permet de passer de l'une à l'autre, et les droits suivent.
• Un changement de niveau s'applique à la page suivante du contact concerné.