Группы и RBAC#

IncidentRelay использует два слоя разрешений:

• Роли группы определяют границу доступа и администрирование на уровне группы.
• Роли команды определяют, что пользователь может делать внутри конкретной команды.

Пользователь должен принадлежать к группе, прежде чем он сможет принадлежать к команде в этой группе. Добавление пользователя в команду не добавляет пользователя в группу автоматически.

Глобальный администратор#

Глобальный администратор может управлять всей установкой:

• создавать, обновлять и удалять группы;
• создавать пользователей и управлять ими;
• добавлять существующих пользователей в группы;
• назначать любую роль группы, включая user_admin;
• управлять всеми командами и ресурсами;
• просматривать все данные.

Глобальный администратор не должен иметь возможности удалить или отключить самого себя, и система должна сохранять как минимум одного активного глобального администратора.

Роли группы#

Границы Group Admin#

user_admin намеренно ограничен:

• может создать нового пользователя только внутри выбранной группы;
• созданный пользователь автоматически привязывается к этой группе;
• не может передать или переопределить group_id в теле запроса;
• не может создать пользователя с правами глобального администратора;
• не может назначить другого user_admin;
• не может добавить существующего пользователя в группу;
• не может перемещать пользователя между группами;
• не может глобально отключить или удалить пользователя.

Границы Group Editor#

editor — это операционная роль на уровне группы.

Group Editor может:

• создавать команды внутри группы;
• создавать и редактировать операционные ресурсы на уровне группы;
• управлять командой только тогда, когда у него также есть роль manager в этой команде.

Group Editor не может:

• управлять пользователями;
• назначать роли группы;
• назначать user_admin;
• автоматически управлять каждой командой в группе;
• редактировать ротации, маршруты, сервисы, каналы или заглушки команды, где он не является Team Manager.

Когда Group Editor создаёт новую команду, IncidentRelay добавляет этого пользователя как manager созданной команды.

Добавление существующего пользователя в группу изменяет границу группы и доступно только глобальному администратору.

Роли команды#

Group editor не становится автоматически менеджером каждой команды в группе. Доступ на запись к команде требует роли команды manager.

Когда Group editor, не являющийся администратором, создаёт новую команду, IncidentRelay должен добавить этого создателя как manager созданной команды.

Матрица разрешений#