Gestion des rôles

Les rôles du Hub : chacun réunit des scopes, et se donne ensuite aux comptes. Un rôle sans scope ne donne aucun droit.

Voir l'élément dans l'écran : iam/roles

Explication

Les droits du Hub se règlent en deux étages :

1. un scope est une permission élémentaire, par exemple admin:dns ou read:apps ;
2. un rôle est un paquet de scopes, donné à des personnes.

On ne donne jamais un scope à une personne directement : on lui donne un rôle. Modifier les scopes d'un rôle change donc d'un coup les droits de tous ceux qui le portent.

La liste montre chaque rôle avec son nombre de scopes et de titulaires. Un clic sur une ligne la déplie : on y voit ses scopes, on en retire, on en ajoute.

Le rôle admin est un rôle système : le Hub le recrée et lui rend ses scopes à chaque démarrage. Il ne se supprime pas et ne perd pas de scope depuis cet écran.

Fiche complète

Ce que l'écran lit

GET /hub/iam/roles lit directement iam.db_roles, iam.tr_role_scopes et iam.tr_user_roles (comptage), puis la liste des scopes iam.db_scopes pour le menu d'ajout. Il n'y a pas d'action list_roles dans iam_worker.

Où vivent les données

Par un agent

iam_worker.create_role, delete_role, assign_scope_to_role, remove_scope_from_role font tout ce que fait l'écran, par MCP (POST /mcp) ou REST (/api/actions).