Roles¶

control.access.roles

Роли¶

Роль у администратора ровно одна, и выбирать приходится из четырёх:

• superadmin — всё, включая этот раздел и замену документа лицензии.
• admin — вся повседневная работа: стримы, шаблоны, машины кластера, архив, доступ к воспроизведению. Закрыты ровно две вещи — раздел «Аккаунты» и замена лицензии.
• viewer — только наблюдение: панель управления и сессии. Настройка закрыта целиком, включая чтение.
• security — надзор: журнал аудита и собственная учётная запись. Настройки и наблюдаемое состояние закрыты целиком; журнал, наоборот, не открывается ни admin, ни viewer.

Про наблюдателя стоит сказать отдельно, потому что запрет на чтение настроек выглядит избыточным. Он не избыточен: в документах настроек по построению лежат секреты — пароли доступа к чужим источникам, ключи, учётные данные машин. Отдать документ и вырезать из него секреты по дороге нельзя, поэтому наблюдателю не отдаётся документ.

Роль проверяется сервером на каждом запросе, а не только при входе.

Добавление администратора¶

Кнопка Добавить аккаунт открывает форму:

Пароль здесь вводите временный и передавайте человеку любым способом, каким передаёте пароли. Поставьте галку Потребовать смену пароля при первом входе: пароль, который вы придумали за другого, знаете и вы, а значит общим секретом он быть перестал.

В списке новая запись видна в состоянии Временный пароль:

Владелец записи при первом входе попадает не в панель, а на форму смены пароля:

До смены пароля не открывается ничего больше — это отказ сервера, а не оформление окна: даже зная адреса, обойти форму нельзя. После смены человек оказывается в панели сразу, повторно входить не нужно.

Правка, сброс пароля и отключение¶

Кнопка Правка в строке открывает всё, что можно поменять у существующей записи:

• Роль — новая роль вступает в силу немедленно: сессии записи гасятся, и человек входит заново уже с новыми правами.
• Новый пароль — то, чем возвращают к работе забывшего пароль. Своего пароля панель не покажет никому, поэтому забытый пароль не восстанавливают, а выдают новый. Выданный здесь пароль тоже временный: владелец сменит его при следующем входе. Пустое поле означает «пароль не трогать».
• Заметка — для чего эта запись и чья она. Пригодится, когда записей станет десяток.
• Отключён — доступ закрывается сразу, вместе с уже открытыми сессиями, а сама запись остаётся.

Отключение — это то, чем пользуются в большинстве случаев: человек ушёл в отпуск, сменил роль в компании, потерял ноутбук. Кнопка Удалить стирает запись насовсем; удалять стоит тогда, когда запись заведена по ошибке.

Что видит наблюдатель¶

Так выглядит та же панель под ролью viewer: в меню остались панель управления и сессии, разделы настройки не показываются.

Это удобная роль для дежурной смены и для тех, кому нужно видеть, что происходит, но не нужно ничего менять.