Droits et accès
Newapp sépare deux questions que l'on confond souvent : quelles fonctionnalités un agent peut utiliser, et sur quelles données il peut agir. Ce sont deux systèmes de droits distincts, configurés indépendamment l'un de l'autre. Comprendre leur articulation est la clé pour attribuer les bons accès sans surprise.
Deux systèmes de droits qui se combinent
Dans Newapp, les droits d'un agent proviennent de deux systèmes configurés indépendamment, portant chacun leurs propres niveaux d'action (voir, ajouter ou créer, modifier, supprimer) :
- Les groupes portent les droits fonctionnels : quelles fonctionnalités l'agent peut utiliser, et avec quels niveaux d'action, de façon générale.
- Les bannettes portent les droits d'accès aux données : sur quelles données précises ces actions s'appliquent réellement.
La règle vaut niveau par niveau : voir, ajouter, modifier ou supprimer une donnée exige à chaque fois le droit correspondant dans le groupe et sur la bannette. Le droit accordé d'un seul côté ne suffit jamais.
Les deux axes¶
Chaque système porte les mêmes niveaux d'action, mais ne répond pas à la même question.
| Droits fonctionnels | Droits d'accès aux données | |
|---|---|---|
| Portés par | Les groupes | Les bannettes de l'organigramme |
| Déterminent | Quelles fonctionnalités l'agent peut utiliser, et avec quels niveaux d'action | Sur quelles données précises ces actions s'appliquent |
| Niveaux d'action | Voir, Ajouter, Modifier, Supprimer | Voir, Ajouter, Modifier, Supprimer |
| Portée | Générale, par fonctionnalité | Ciblée, bannette par bannette |
| Rattachement de l'agent | Un seul groupe par agent | Un ou plusieurs droits de bannette |
| Se configurent depuis | Administration → Groupes | Administration → Organigramme |
Deux systèmes qui se combinent¶
Les deux systèmes s'appliquent ensemble, sans jamais se remplacer, et la règle vaut niveau par niveau. Pour chacune des actions (voir, ajouter ou créer, modifier, supprimer), l'agent doit disposer du droit correspondant des deux côtés :
- son groupe doit lui accorder le droit fonctionnel de l'action considérée ;
- et la bannette qui contient la donnée doit lui accorder ce même niveau.
Si l'un des deux manque, l'action est refusée.
flowchart LR
G["Groupe<br/>droit fonctionnel<br/>(voir, ajouter, modifier, supprimer)"] --> R{ET}
B["Bannette<br/>droit correspondant<br/>(voir, créer, modifier, supprimer)"] --> R
R -->|les deux accordés| OK["Action possible"]
R -->|l'un des deux manque| KO["Action refusée"]Un agent qui n'a pas le droit fonctionnel de modifier des flux ne pourra en modifier aucun, même sur une bannette où le droit Modifier lui est accordé ; il en va de même pour voir, créer ou supprimer. À l'inverse, un droit fonctionnel ne s'applique qu'aux données des bannettes où le niveau correspondant lui est également donné.
Cette combinaison permet des réglages fins : autoriser un agent à modifier des données de façon générale (droit fonctionnel), tout en limitant cette modification à son seul service, en ne lui accordant sur les autres bannettes qu'un droit de consultation.
Configurer chaque système¶
- Groupes : définissez les droits fonctionnels et les rôles, puis affectez chaque agent à un groupe. La liste exhaustive des fonctionnalités figure dans la Référence des droits et rôles.
- Organigramme et bannettes : structurez la collectivité en services et en bannettes, puis configurez les droits sur chaque bannette. La façon dont un droit de bannette se traduit en accès à des données précises dépend de l'espace de travail : elle est détaillée dans Accès aux dossiers pour la Police Municipale et dans Droits sur les flux pour Demande.
Ces deux configurations sont indépendantes : modifier un groupe ne change jamais les droits de bannette, et inversement. Prévoyez donc les deux lors de la création d'un compte agent.