Gestion des scopes

Le catalogue des permissions élémentaires du Hub. Un scope ne se donne pas à une personne : il se range dans un rôle.

Voir l'élément dans l'écran : iam/scopes

Explication

Un scope est une permission nommée : read:users, admin:dns, send:mail… Le Hub et les applications vérifient sa présence avant d'agir.

Les scopes se déclarent ici, puis se rangent dans des rôles (IAM › Rôles), et les rôles se donnent aux comptes. À la connexion, le Hub met la liste des scopes de la personne dans son jeton (claim scopes) : c'est elle que les applications lisent.

Déclarer un scope ne donne aucun droit à personne. Le supprimer retire une entrée du catalogue, pas un droit déjà en usage : un scope encore rangé dans un rôle ne se supprime pas.

Fiche complète

Ce que l'écran lit

GET /hub/iam/scopes lit directement iam.db_scopes, avec le nombre de rôles qui utilisent chaque scope (iam.tr_role_scopes).

Pas d'action dédiée

iam_worker n'a ni create_scope ni delete_scope. Le contrôleur écrit en SQL, et trace lui-même une ligne d'audit au nom de iam_worker (create_scope, delete_scope). Si le journal d'audit est indisponible, il refuse : « Journal d'audit indisponible — création de scope refusée. ».

Conséquence pour un agent : un scope ne se crée pas par MCP. Il faut cet écran.