ACM : Access control management
La gestion des droits d'accès des utilisateurs à partir des attributs de contrôle d'accès n'a pas encore été déployée chez tous les clients. Si cette fonctionnalité n'est pas encore visible dans votre environnement, contactez votre Account Manager pour planifier son activation ou pour connaître sa date de déploiement sur votre espace de travail.
Que deviennent les anciens types d’espaces de travail (Privé, Ouvert, Limité) ?
Avec le nouveau système de gestion des accès (ACM), les anciens types d’espaces de travail (Privé, Ouvert, Limité) sont supprimés. Ils ne seront plus disponibles lors de la création d’un nouvel espace de travail.
Tous les nouveaux espaces de travail sont désormais fermés par défaut, c’est-à-dire que seuls les administrateurs y ont accès jusqu’à ce qu’ils accordent des droits à d’autres utilisateurs.
Lors de la création d’un espace, est-il ouvert ou fermé par défaut ?
Avec le nouveau système ACM, tous les espaces de travail sont fermés par défaut. Cela signifie que lorsque qu’un utilisateur crée un nouvel espace :
Les utilisateurs classiques (readers ou stewards) n’ont pas accès aux modules ni aux sources.
Seuls les administrateurs peuvent visualiser, modifier et gérer l’ensemble des modules et sources de l’espace.
Qui est l’administrateur d’un espace nouvellement créé ?
L’utilisateur qui crée l’espace devient automatiquement le premier administrateur de celui-ci. Il est le seul à y avoir accès initialement. Ensuite, il peut :
Définir d'autres administrateurs de l’espace.
Créer des règles pour accorder des droits à d'autres utilisateurs.
Comment ajouter d’autres administrateurs à un espace de travail ?
Le premier administrateur (créateur de l’espace) peut ajouter d'autres administrateurs en suivant ces étapes :
Aller dans l’onglet Accès.
Cliquer sur l’onglet Fonctionnalités (Features).
Cliquer sur l’icône crayon pour éditer la règle d’administration.
Sélectionner un ou plusieurs utilisateurs dans la liste déroulante.
Remarque : seuls les utilisateurs disposant d’une licence Steward apparaissent dans cette liste et peuvent devenir administrateurs.
Comment ouvrir l’accès d’un espace à tous les utilisateurs ?
Par défaut, les nouveaux espaces sont fermés. Cependant, l’administrateur peut, en quelques clics, accorder un droit de lecture à tous les utilisateurs de l’espace client, sur l’ensemble des modules et sources.
Voici comment procéder :
Cliquer sur le bouton « Créer une règle d’ouverture ».
Vérifier les champs pré-remplis :
Sélecteur : « Tous les utilisateurs »
Sélecteur : « Tous les modules et sources »
Droit d’accès : « Peut voir »
Cliquer sur « Créer ».
En validant, une règle d’ouverture est créée, donnant un accès en lecture seule à tous les utilisateurs actuels et futurs. Il s’agit d’une règle dynamique, qui s’applique automatiquement aux nouveaux utilisateurs sans action supplémentaire.
Comment accorder l’accès à un module ou une source à des utilisateurs ?
L’accès se fait via la création d’une règle d’accès.
Comment créer une règle ?
Cliquer sur le bouton « + » pour créer une nouvelle règle.
Quels sont les éléments d’une règle ?
Une règle contient les éléments suivants :
Nom de la règle
Description (visible uniquement après la création dans l’aperçu de la règle)
Utilisateurs et/ou équipes concernés
Niveau de droit (ex. : voir, éditer)
Modules et/ou sources concernés
Attributs de contrôle d'accès
Quels sont les nouveaux niveaux de droits ?
Le nouveau système ne comporte que deux niveaux de droits :
Peut voir (View) : accès en lecture seule
Peut éditer (Edit) : accès complet, avec droits de modification
Qu’en est-il du niveau de droit « Administrateur » pour un module ou une source ?
Le niveau de droit « Administrateur » pour un module ou une source a été supprimé et est maintenant fusionné avec le niveau « Editer».
Voici les changements apportés :
Le droit Administrateur n’existe plus pour les modules/sources.
Les utilisateurs ayant précédemment ce droit ont désormais un droit Editer.
Le droit Editer inclut désormais les autorisations d’import et d’export.
Pour la gestion des statuts (cycle de vie), le rôle Admin est retiré. Voir la matrice des cycles de vie.
Le droit Editer, associé à une licence Steward, permet maintenant de gérer tous les statuts du cycle de vie, y compris Validé et Obsolète.
Quel type d’accès faut-il pour importer ou exporter un module/source ?
Avec le nouveau système de gestion des accès, le niveau de permission Administrateur source/module a été supprimé et fusionné avec le niveau de permission Editer.
Pour importer un module ou une source, l’utilisateur doit disposer d’une licence Steward, et l’administrateur de l’espace de travail doit lui accorder le droit 'Editer' sur le module/source.
Pour exporter un module ou une source, l'utilisateur doit disposer d'une licence Steward ou Reader, et l'administrateur de l'espace doit lui accorder au moins le droit 'Voir' sur le module/source.
PS : Pour le dictionnaire, l'export complet est réservé uniquement aux administrateurs de l'espace de travail.
Comment le nouveau système d’accès affecte-t-il la gestion du cycle de vie ?
Le rôle Administrateur n’existe plus pour la gestion des statuts.
Le droit Editer (avec licence Steward) permet de gérer tous les statuts, y compris Validé et Obsolète.
(Le rôle Admin n’est plus requis pour cela)
Peut-on créer une règle pour une équipe ?
Oui, il est possible de créer une règle applicable à différents groupes. Vous pouvez sélectionner :
Un utilisateur unique
Plusieurs utilisateurs
Une équipe
Plusieurs équipes
Une combinaison d’utilisateurs et d’équipes
La règle s’appliquera à tous les membres des équipes et/ou utilisateurs sélectionnés.
Que se passe-t-il si un utilisateur est inclus dans une règle « Peut voir» et une autre « Peut éditer » sur le même module/source ?
L’utilisateur héritera du niveau de droit le plus élevé.
Dans ce cas, il aura donc le droit d'édition sur le module/source concerné.
Que se passe-t-il si un membre d'équipe possède une licence Reader, mais que son équipe est incluse dans une règle avec le droit de modification ?
Étant donné que les licences reader ne permettent pas de disposer du droit de modification, ces utilisateurs ne seront pas inclus lorsque la règle sera appliquée.
Que se passe-t-il si nous désactivons une règle ?
Lorsqu’une règle est désactivée, les droits d’accès accordés par cette règle sont temporairement supprimés pour tous les utilisateurs qui y sont inclus.
Cependant, vous pouvez réactiver la règle à tout moment pour restaurer les droits d’accès.
Après la migration vers le nouveau système de gestion des accès, les utilisateurs perdront-ils tous leurs droits d'accès ? L'administrateur devra-t-il recréer des règles pour accorder l'accès aux utilisateurs ?
Non, les utilisateurs ne perdront pas leurs droits d'accès.
Nous garantirons une migration fluide vers le nouveau système de gestion des accès en générant automatiquement des règles qui répliquent les droits d'accès existants. Les administrateurs n'auront pas besoin de recréer manuellement les règles.
Puis-je appliquer une règle à tous les utilisateurs ?
Oui. Pour appliquer une règle à tous les utilisateurs, activez le "Applique à tous les utilisateurs" lors de la création de la règle.
Cela inclura tous les utilisateurs actuels dans l'espace client, ainsi que tout utilisateur ajouté à l'avenir.
Cependant, gardez à l'esprit que la règle sera appliquée en fonction de la licence de chaque utilisateur. Par exemple, si un utilisateur possède une licence Reader et que la règle accorde des permissions Editer, la règle ne s'appliquera pas à cet utilisateur.
Que comprend le groupe "Tous les utilisateurs" ?
Le groupe "Tous les utilisateurs" est une équipe système qui inclut tous les utilisateurs existants dans l'espace client, ainsi que tous les utilisateurs futurs ajoutés. Cela signifie que si vous créez une règle pour tous les utilisateurs, tout nouvel utilisateur ajouté à votre espace sera automatiquement inclus, sans nécessiter de mise à jour manuelle.
Comment tous les utilisateurs peuvent-ils voir le glossaire alors qu'une équipe spécifique peut modifier d'autres modules ?
Vous pouvez réaliser cela en créant deux règles :
Première règle : Activez le "Applique à tous les utilisateurs", définissez le niveau de permission sur "Voir", et appliquez-la au module Glossaire.
Deuxième règle : Sélectionnez une équipe spécifique, définissez le niveau de permission sur "Modifier", et appliquez-la aux autres modules.
Comment configurer les attributs de contrôle d'accès avant de créer une règle ?
Depuis le bouton situé sur l'écran Accès, à côté du bouton « + ».
Comment restreindre l'accès d'une règle à une partie seulement d'un module ou d'une source ?
Vous pouvez réaliser cela en procédant comme suit :
- Configurez au préalable les attributs de contrôle d'accès souhaités (étiquette, liste à valeurs multiples, hiérarchie ou statut).
- Dans la modale de création de la règle, ajoutez un filtre sur l'un de ces attributs, dans la section "Attributs de contrôle d'accès".
Comment donner un droit de lecture à tous les utilisateurs sur un module tout en réservant l'édition à une équipe spécifique ?
Vous pouvez réaliser cela en créant deux règles :
- Première règle : Activez le "Applique à tous les utilisateurs", définissez le niveau de permission sur "Voir", et appliquez-la au module concerné.
- Deuxième règle : Sélectionnez une équipe spécifique, définissez le niveau de permission sur "Editer", et appliquez-la au même module.
Comment modifier les attributs de contrôle d'accès d'une règle déjà créée ?
Vous pouvez réaliser cela en procédant comme suit :
- Ouvrez la preview de la règle en cliquant dessus.
- Cliquez sur le bouton des attributs de contrôle d'accès et sélectionnez l'attribut et la valeur souhaités.
- Cliquez sur Sauvegarder en haut de la preview.
Que se passe-t-il en cas de conflit entre une règle "Éditer" et une règle "Voir" sur un même périmètre ?
La règle "Éditer" prévaut toujours sur la règle "Voir" pour les utilisateurs concernés par les deux.
Si un objet parent respecte les conditions d'une règle, ses objets enfants sont-ils automatiquement accessibles ?
Non. Chaque règle s'applique individuellement à chaque objet : les liens de parenté et de descendance ne sont pas pris en compte automatiquement, dans un sens comme dans l'autre.
Un utilisateur peut-il créer un objet en dehors de son périmètre d'accès ?
Non. Les attributs de contrôle d'accès sont désormais obligatoires dans la modale de création d'objet : tant qu'ils ne sont pas renseignés conformément au périmètre de l'utilisateur, le bouton Créer reste grisé.
Que se passe-t-il si un utilisateur importe des objets en dehors de son périmètre d'accès ?
L'import n'est pas bloqué, mais les objets importés deviennent inaccessibles pour l'utilisateur une fois l'import terminé. Dans ce cas, il est recommandé de contacter l'administrateur de l'espace de travail.
Qui peut exporter des objets avec ACM3 ?
Tous les utilisateurs, éditeurs comme viewers, dès lors qu'ils ont accès au module ou à l'objet concerné. L'export ne contient que les objets accessibles à l'utilisateur. Pour le module Dictionnaire, l'export complet reste toutefois réservé aux administrateurs de l'espace de travail.
Si je supprime un objet parent auquel j'ai accès en édition, mais que je n'ai pas accès à tous ses enfants, que se passe-t-il ?
La suppression du parent entraîne la suppression de toute sa descendance, y compris les objets enfants auxquels vous n'avez normalement pas accès. Cette suppression n'est pas bloquée par le système, il s'agit d'une limitation connue actuellement en cours de correction.
Si je retire une valeur (étiquette, statut...) d'un objet, celui-ci devient-il immédiatement inaccessible ?
Oui, dès lors que cette valeur ne correspond plus aux conditions d'une règle qui lui donnait accès, l'objet devient inaccessible pour les utilisateurs concernés par cette règle,.
Si un utilisateur perd l'accès à un objet parent, perd-il aussi l'accès aux objets enfants qu'il pouvait consulter avant ?
Non. L'accès à chaque objet enfant continue d'être évalué indépendamment, selon ses propres attributs. Le parent apparaîtra simplement verrouillé, sans affecter l'accès déjà accordé aux enfants.
Peut-on avoir des attributs de contrôle d'accès différents selon les modules ?
Oui, à condition que ces attributs aient été créés spécifiquement pour le module concerné (et non sous "Commun"). Un attribut créé pour un module donné ne pourra être utilisé que dans les règles portant sur ce module.
Que se passe-t-il pour un objet qui devient hors périmètre alors qu'il figure déjà dans une vue sauvegardée, un diagramme ou un dashboard ?
Il disparaît de la vue sauvegardée, des dashboards et des diagrammes existants dès qu'il devient inaccessible