Droits sur les flux de l'espace de travail Demande
Prérequis
Cette page décrit les règles d'accès aux flux spécifiques à l'espace de travail Demande. Pour la configuration des droits fonctionnels Container, Flux et Flux scénario, consultez Configurer le container Flux. Pour la configuration des ACL des bannettes, consultez Droits sur une bannette. Pour le fonctionnement de l'héritage et du déshéritage entre bannette et sous-bannette, consultez Droits sur une bannette.
L'accès d'un agent aux flux combine quatre mécanismes :
- Les droits fonctionnels Container, Flux et Flux scénario, les trois niveaux de la hiérarchie du container, déterminent si l'agent a accès à la fonctionnalité elle-même, niveau par niveau : Container conditionne l'accès au container, Flux conditionne l'accès au container de type flux, et Flux scénario conditionne l'action (Voir, Ajouter, Modifier, Supprimer) sur les flux eux-mêmes. Sans le niveau correspondant, l'action est refusée quel que soit le droit de bannette. Ces droits se configurent depuis Référence des droits et rôles et ne dépendent d'aucune bannette.
- Le droit Intégration conditionne en complément l'accès au formulaire d'enregistrement. Ce droit fonctionnel se configure également depuis Référence des droits et rôles et ne dépend d'aucune bannette.
- Les droits de bannette, détaillés ci-dessous, déterminent dans quelles bannettes l'agent peut lister, créer, voir, modifier ou supprimer des flux.
- Les diffusions donnent en complément un accès ponctuel à un flux précis à l'agent qui en est destinataire, y compris s'il n'a aucun droit sur la bannette qui le porte (voir la section Voir un flux ci-dessous). Elles peuvent s'appuyer sur un processus de diffusion préconfiguré.
Cette page détaille les droits de bannette et l'accès par diffusion. Les droits de bannette reposent sur deux mécanismes complémentaires :
- La responsabilité de bannette : responsable direct ou responsable parent (si l'héritage est actif).
- Les ACL de bannette : droits nominatifs ou par service, configurés sur chaque bannette.
L'ordre de priorité est toujours : responsable direct > responsable parent (si héritage actif) > ACL.
Rupture d'héritage
Lorsque l'héritage est rompu sur une bannette (déshéritage activé), les responsables des bannettes parentes perdent tous leurs droits sur cette bannette et ses sous-bannettes. Seuls les responsables directs et les ACL configurées localement conservent un accès.
Lister une bannette¶
Un agent peut accéder à la liste des flux d'une bannette s'il remplit l'une des conditions suivantes, par ordre de priorité :
| Priorité | Condition | Détail |
|---|---|---|
| 1 | Responsable ou co-responsable direct de la bannette | Accès toujours accordé, sans condition. |
| 2 | Responsable d'une bannette parente, héritage actif | Accès accordé si l'héritage n'a pas été rompu. |
| 3 | ACL nominatif avec droit "Voir" | L'agent est nommément listé avec ce droit sur la bannette. |
| 4 | ACL service avec droit "Voir" | L'agent appartient à un service listé avec ce droit sur la bannette. |
Sans aucune de ces conditions, l'accès est refusé.
Créer un flux¶
La création d'un flux exige les droits fonctionnels Container (Ajouter), Flux (Ajouter) et Flux scénario (Ajouter), le droit fonctionnel Intégration (accès au formulaire, voir ci-dessus), et le droit de déposer dans une bannette, décrit ici. Les conditions ci-dessous, par ordre de priorité, déterminent dans quelles bannettes l'agent peut déposer un flux :
| Priorité | Condition | Détail |
|---|---|---|
| 1 | Responsable ou co-responsable direct de la bannette | Accès toujours accordé, sans condition. |
| 2 | Responsable d'une bannette parente, héritage actif | Accès accordé si l'héritage n'a pas été rompu. |
| 3 | ACL nominatif avec droit "Ajouter" | L'agent est nommément listé avec ce droit sur la bannette. |
| 4 | ACL service avec droit "Ajouter" | L'agent appartient à un service listé avec ce droit sur la bannette. |
La rupture d'héritage bloque les responsables parents, sauf s'ils disposent d'une ACL locale.
Voir un flux¶
Prérequis : l'agent doit disposer des droits fonctionnels Container (Voir), Flux (Voir) et Flux scénario (Voir), décrits dans Configurer le container Flux.
L'accès à un flux est ensuite soumis à deux niveaux de vérification successifs.
Étape 1 : droits d'accès standard
L'agent doit satisfaire l'une des conditions suivantes :
| Condition | Détail |
|---|---|
| Créateur du flux | Accès toujours accordé. Le créateur est exempt du filtre Visa (voir ci-dessous). |
| Droit "Lister" sur la bannette | L'agent remplit l'une des conditions décrites dans la section Lister une bannette. |
| Destinataire d'une action d'information ou de traitement | L'agent a reçu une action de ce type sur le flux, qu'elle soit active ou soldée par un responsable. Si l'action a été supprimée par un responsable, l'accès est révoqué. |
| Destinataire d'une action de validation | L'agent a reçu une action de validation ET le traitement du flux est envoyé en validation. |
| Destinataire d'une @mention | L'agent a été notifié via @mention dans un commentaire du flux. |
Capture d'écran à intégrer
Ce que doit montrer cette capture : détail d'un flux avec les différentes zones concernées par les droits (actions, @mentions, bloc visa).
Fichier cible : ./demande-droits-flux-detail.png
Étape 2 : filtre Visa
Si une action de visa est en cours sur le flux, un filtre supplémentaire s'applique :
| Situation | Résultat |
|---|---|
| Flux sans action de visa | Aucun filtre. L'accès standard s'applique. |
| Flux avec toutes les actions de visa soldées | Aucun filtre. L'accès standard s'applique. |
| Flux avec un visa en cours, agent non concerné par le visa | Accès bloqué, même si les droits standard sont valides. |
| Flux avec un visa en cours, créateur du flux | Accès toujours accordé. Le créateur n'est jamais bloqué par le visa. |
Attention
Un agent disposant du droit "Lister" sur la bannette ou destinataire d'une diffusion peut se voir refuser l'accès à un flux si une action de visa est en cours et qu'il n'est pas directement concerné par ce visa.
Rôle fonctionnel "Accès Visa"¶
Le rôle canManageAllVisa lève ce filtre : un agent auquel ce rôle est attribué peut accéder aux diffusions pour visa même lorsqu'une action de visa est en cours, indépendamment de son implication dans le processus de visa. Ce rôle va au-delà de la levée du filtre de lecture : il permet aussi de solder n'importe quelle diffusion de Visa, y compris celles dont l'agent n'est pas destinataire.
Il lève enfin le blocage des diffusions pendant le visa : tant qu'un visa est en attente, un agent porteur de ce rôle peut créer de nouvelles diffusions sur le flux et modifier les diffusions non encore soldées, au même titre que le créateur du flux. Les autres agents restent bloqués, comme décrit dans Partager un flux.
Sa configuration est détaillée dans Référence des droits et rôles.
Modifier un flux¶
La modification d'un flux porte sur ses informations d'indexation (Objet, Canal, Demandeur) et sur les diffusions déjà présentes dans le flux.
Prérequis : l'agent doit disposer des droits fonctionnels Container (Modifier), Flux (Modifier) et Flux scénario (Modifier), et doit d'abord pouvoir voir le flux (conditions décrites dans la section Voir un flux).
| Priorité | Condition | Détail |
|---|---|---|
| 1 | Responsable ou co-responsable direct de la bannette | Accès toujours accordé. |
| 2 | Responsable d'une bannette parente, héritage actif | Accès accordé si l'héritage n'a pas été rompu. |
| 3 | ACL nominatif avec droit "Modifier" | L'agent est nommément listé avec ce droit sur la bannette. |
| 4 | ACL service avec droit "Modifier" | L'agent appartient à un service listé avec ce droit sur la bannette. |
Cas particulier : redistribuer un flux vers une autre bannette
Changer la valeur du champ Bannette du formulaire (redistribution) exige, en plus du droit "Modifier" sur la bannette d'origine, le droit "Ajouter" sur la bannette de destination. Un responsable ou co-responsable direct, ou un responsable d'une bannette parente (héritage actif), dispose de ce droit "Ajouter" implicitement sur tout son périmètre : il peut donc rediriger un flux vers n'importe laquelle de ses bannettes sans configuration supplémentaire.
Les diffusions déjà présentes sur le flux ne sont pas affectées par ce changement. Si la bannette de destination dispose d'un processus de diffusion par défaut, celui-ci s'applique automatiquement.
Les droits d'accès de l'agent sur le flux sont réévalués selon la nouvelle bannette (conditions de la section Voir un flux). Un responsable qui redistribue un flux hors de son périmètre de responsabilité perd ses droits implicites dessus, sauf s'il conserve un autre accès (créateur du flux, ACL nominative sur la nouvelle bannette, destinataire d'une diffusion active).
Supprimer un flux¶
Prérequis : l'agent doit disposer des droits fonctionnels Container (Supprimer), Flux (Supprimer) et Flux scénario (Supprimer), et doit d'abord pouvoir voir le flux (conditions décrites dans la section Voir un flux).
| Priorité | Condition | Détail |
|---|---|---|
| 1 | Responsable ou co-responsable direct de la bannette | Accès toujours accordé. |
| 2 | Responsable d'une bannette parente, héritage actif | Accès accordé si l'héritage n'a pas été rompu. |
| 3 | ACL nominatif avec droit "Supprimer" | L'agent est nommément listé avec ce droit sur la bannette. |
| 4 | ACL service avec droit "Supprimer" | L'agent appartient à un service listé avec ce droit sur la bannette. |
Matrice récapitulative des droits¶
Cette matrice couvre uniquement l'axe bannette (droits d'accès aux données). Chaque action nécessite en complément les droits fonctionnels Container, Flux et Flux scénario correspondants, côté groupe : consultez Configurer le container Flux.
| Action | Responsable direct | Responsable parent (héritage actif) | ACL "Voir" | ACL "Ajouter" | ACL "Modifier" | ACL "Supprimer" | Conditions supplémentaires |
|---|---|---|---|---|---|---|---|
| Lister la bannette | Oui | Oui | Oui | Non | Non | Non | |
| Créer un flux | Oui | Oui | Non | Oui | Non | Non | |
| Voir un flux | Oui | Oui | Oui | Non | Non | Non | Filtre Visa applicable (sauf créateur du flux) |
| Modifier un flux | Oui | Oui | Non | Non | Oui | Non | Prérequis : voir le flux |
| Supprimer un flux | Oui | Oui | Non | Non | Non | Oui | Prérequis : voir le flux |
Conseil
Pour attribuer un droit "Modifier" ou "Supprimer" à un agent sans lui accorder le droit "Ajouter", configurez des ACL distinctes sur la bannette concernée. Consultez Droits sur une bannette pour le détail des opérations.
La configuration du rôle fonctionnel Accès Visa (canManageAllVisa) est détaillée dans Référence des droits et rôles.