Organisations, espaces & rôles

En édition Entreprise, ycell offre une hiérarchie multi-organisations : Organisation → Espace → Document. L'autorité n'est pas gérée par un annuaire central : une appartenance enregistrée est transformée en un rôle signé que l'application de l'utilisateur transporte et que chaque accès peut vérifier hors-ligne.

La hiérarchie

• Organisation — le tenant racine (une entreprise, un cabinet).
• Espace — un sous-ensemble dans une organisation (une équipe, un client, un pôle Compta…).
• Document — un classeur, dans un espace.

Les rôles

« Gouverner » = gérer membres, espaces et rôles. La portée d'un rôle est fixée exactement à l'organisation et, le cas échéant, à l'espace de l'appartenance : un AdminEspace reçoit un rôle limité à son espace, qui ne peut pas justifier une action au niveau de l'organisation.

Côté opérateur

Depuis la console d'administration, dans la section Organisations :

1. Créer une organisation, puis ses espaces.
2. Enregistrer une appartenance (qui est quoi, où).
3. ycell délivre un rôle signé par appartenance, limité exactement à sa portée. Ce rôle est remis une seule fois à l'utilisateur.

Anti-escalade

Le rôle est validé contre une liste fermée : un rôle inconnu ou mal orthographié est rejeté, jamais silencieusement élargi. Le client ne fournit jamais le rôle, et il n'existe aucun moyen, depuis l'application, d'élargir un rôle déjà attribué.

Correspondance depuis l'annuaire

Quand l'identité vient d'un pont SSO (voir SSO & annuaire), l'opérateur configure une table groupe → rôle (par organisation et espace) depuis la console. À la connexion, pour chaque groupe vérifié de l'utilisateur ayant une correspondance, une appartenance est enregistrée et le rôle correspondant est attribué à la bonne portée. Un groupe sans correspondance n'accorde rien.