Référence des permissions

Ce document détaille les permissions associées à chaque rôle dans la plateforme Atlas.

Rôles principaux

Administrateur de la plateforme

• Accès à toutes les ressources
• Attribue les rôles aux administrateurs d'organisation et administrateurs de workspace
• Peut créer des zones, des organisations et des workspaces

Administrateur d'organisation

• Accède à toutes les ressources de son organisation
• Ne peut pas modifier les ressources définies à l'échelle de la plateforme
• Attribue des rôles aux administrateurs de workspace
• Peut créer des workspaces

Administrateur de workspace

• Accède à toutes les ressources de son workspace
• Ne peut pas modifier les ressources définies à l'échelle de l'organisation et de la plateforme
• Peut créer des ressources (buckets, databaseclusters, deploymenttargets)

Rôles sur les Workspaces

Les utilisateurs peuvent avoir un ou plusieurs des rôles suivants sur un ou plusieurs Workspaces :

• admin
• editor
• viewer
• secret-viewer

Permissions Vault sur Workspaces

Viewer

• Peut lire et lister les métadonnées des secrets
• Peut lire les sous-clés des secrets

Admin

• Peut créer, mettre à jour, lire, supprimer et lister les données et métadonnées des secrets
• Peut lire les sous-clés des secrets
• Peut créer et mettre à jour les opérations de suppression, de restauration et de destruction des secrets

Secret-viewer

• Peut lire les données des secrets
• Peut lire et lister les métadonnées des secrets
• Peut lire les sous-clés des secrets

Editor

• Peut créer, mettre à jour et supprimer les données des secrets
• Peut créer, mettre à jour, lire et lister les métadonnées des secrets
• Peut lire les sous-clés des secrets
• Peut créer et mettre à jour les opérations de suppression et de restauration des secrets

Permissions Kubernetes sur Workspaces

Viewer

• Peut lire (get, list, watch) toutes les ressources liées au namespace (sauf Secret)
• Peut lire les logs des pods
• Ne peut pas exécuter de commandes dans les pods
• Peut lire les ressources cluster suivantes : Namespace, ClusterIssuer, IngressClass, StorageClass, Nodes, PersistentVolume, PriorityClass, RuntimeClass

Admin

• A toutes les permissions sur les ressources liées au namespace (sauf resourcequota et limitranges)
• Peut lire resourcequota et limitranges
• A toutes les permissions sur les logs des pods
• Peut exécuter des commandes dans les pods
• Peut faire du port-forwarding sur les pods
• Inclut toutes les permissions du rôle viewer

Secret-viewer

• Peut lire les secrets (get, list, watch)

Editor

• Peut lire, créer, mettre à jour et modifier toutes les ressources liées au namespace (sauf Secret, resourcequota et limitranges)
• Peut créer, mettre à jour et modifier les secrets
• Peut lire resourcequota et limitranges
• A toutes les permissions sur les Pods, ReplicaSet, Jobs
• A toutes les permissions sur les logs des pods
• Ne peut pas exécuter de commandes dans les pods
• Peut faire du port-forwarding sur les pods
• Inclut toutes les permissions du rôle viewer

Notes importantes

• Les permissions sont cumulatives. Par exemple, un utilisateur avec les rôles editor et secret-viewer aura les permissions des deux rôles.
• Les permissions sont spécifiques à un Workspaces. Un utilisateur peut avoir différents rôles sur différents Workspaces.
• Les administrateurs de la plateforme peuvent attribuer des rôles aux utilisateurs via Keycloak.