Une question de permission se pose comme une recherche et se comporte comme un calcul. Les entrées, l’ordre dans lequel elles se résolvent, pourquoi la réponse demande six écrans, et ce qu’une couche en lecture seule peut vous en dire sans rien toucher.
Mis à jour · 7 min de lecture
Demander si une personne donnée peut ouvrir un tableau de bord donné ressemble à une recherche. Cela se comporte comme un calcul, sur des entrées qui se trouvent à des endroits différents et sont modifiées par des gens différents à des jours différents.
Six entrées, et l’écran que vous regardez à cet instant en montre généralement une. C’est toute la difficulté, et c’est une propriété de tout modèle de permissions en couches, pas un défaut de celui-ci.
Une capacité se résout pour une personne dans un ordre fixe, et connaître cet ordre transforme la plupart des surprises en une réponse de cinq minutes.
Deux règles portent presque tout. Une règle écrite pour une personne bat une règle écrite pour un groupe, et un refus bat une autorisation au même niveau. La plupart des surprises d’accès se ramènent à l’une de ces deux règles, généralement la seconde, et généralement parce que quelqu’un a rejoint un groupe portant un refus posé il y a des années pour une raison sans rapport.
Le contenu hérite de l’endroit où il se trouve. Un projet peut détenir un modèle par défaut appliqué au contenu qui y est publié, et un projet peut être réglé pour gérer les permissions de tout ce qu’il contient, ce qui remonte la décision de l’élément au projet.
Une conséquence mérite d’être dite clairement, parce que c’est celle qui surprend les gens en plein rangement : déplacer du contenu change qui peut le voir. Un déplacement ressemble à du ménage et se comporte comme un changement de permission. C’est exactement pourquoi un plan de départ signale un déplacement entre projets comme un risque nommé pendant que le plan est encore en lecture seule, avant que quoi que ce soit ait été modifié.
Publier est le même événement vu de l’autre côté. Le nouveau contenu atterrit sous les règles du projet cible, et la publication s’exécute en tant qu’utilisateur connecté, donc elle s’arrête proprement si ce compte n’a pas la permission de publier ou d’écraser sur la cible. Ces deux choses valent bien mieux d’être connues avant une promotion que pendant.
Répondre pour une personne et un tableau de bord signifie ouvrir la vue, le classeur, le projet, les appartenances aux groupes, la source de données publiée et le rôle de site. Six écrans pour une réponse, et la réponse couvre une personne.
Puis elle expire. Le contenu n’a jamais été touché et la réponse a quand même changé.
Il y a un problème de direction sous tout cela. Une revue des accès demande qui peut voir ceci. Une interface construite pour le travail quotidien est organisée autour de ce que cette personne peut voir. Ce sont deux questions raisonnables, on y répond en parcourant le même graphe dans des directions opposées, et c’est pourquoi la vérification qui prend dix minutes pour une personne prend quinze jours pour un service.
La permission sur le contenu décide si la vue s’ouvre. Ce qui apparaît à l’intérieur peut être réduit encore par un filtrage de lignes, qu’il s’agisse d’un filtre utilisateur dans le classeur, d’une table de droits jointe à la source de données, ou d’une politique appliquée dans l’entrepôt.
Deux phrases sont alors vraies en même temps. Tout le monde dans le groupe peut ouvrir le tableau de bord, et chacun d’eux voit un ensemble de lignes différent. En général, c’est la conception qui fonctionne exactement comme prévu, et c’est aussi la raison la plus courante pour laquelle deux personnes comparent leurs écrans et concluent que la plateforme est cassée.
Notez quel mécanisme fait le rétrécissement, et où il vit. La gouvernance au niveau du champ s’inventorie : un profil de couche sémantique compte quelle fraction des champs porte une décision de classification et la publie comme l’une des cinq composantes de sa note de qualité. Tout ce qui est compté peut être revu. Tout ce qui ne vit qu’à l’intérieur d’un calcul que quelqu’un a écrit en 2021 se redécouvre de la manière coûteuse.
Une couche de gouvernance se pose sur le site et hérite de ses règles au lieu d’en tenir un second jeu à côté. Ici, c’est écrit dans la connexion elle-même : chaque utilisateur se connecte avec son propre jeton Tableau, et ce jeton, portant ses permissions exactes, est la frontière de chaque lecture, chaque écriture et chaque appel d’assistant fait en son nom.
Ce qui donne à la lecture une propriété agréable. Ce que le produit vous montre est ce que vous auriez déjà pu atteindre, assemblé plus vite et en un seul endroit. Répondre ainsi à une question de permission ne demande aucun compte élevé, et la lecture elle-même ne change rien : le navigateur de site est en lecture seule par construction, sans chemin de publication, sans point de terminaison d’écriture, et rien n’est gardé sur disque au-delà d’une liste de session de ce que vous avez regardé récemment.
Là où la lecture est partielle, elle dit de quelle sorte de partiel il s’agit. Un extrait de métadonnées qui rencontre un catalogue désactivé ou une frontière de permission renvoie un résultat vide avec un avertissement lisible et ne lève pas d’erreur, si bien que le rapport peut distinguer n’a rien trouvé de n’a pas pu regarder. Le score de risque fait de même par l’autre bout : l’exposition, c’est-à-dire l’étendue des permissions sur le contenu concerné, est maintenue à une valeur fixe jusqu’à ce que cette surface soit activée, et la méthodologie publiée le dit dans la même phrase que le score lui-même.
Une vue partielle qui s’annonce est utilisable lundi. Une vue partielle qui a l’air complète est celle qui vous coûte un constat d’audit, parce que tout le monde en aval la lit comme une couverture et que personne ne revérifie un résultat vert.
Les deux derniers points en font une preuve, pas une capture d’écran. Une réponse de permission portant une date, un auteur et une frontière énoncée peut être remise à quelqu’un d’autre et relancée par lui. Tout le reste est le souvenir d’un mardi, et les souvenirs de mardis sont ce que les revues des accès sont censées remplacer.
Quatre choses se font appeler gouvernance : la certification, la propriété, le contenu obsolète et le contrôle des changements. Ici, chacune est écrite comme une vérification que vous pouvez lancer, pas comme un objectif que vous pouvez énoncer. Il y est aussi question du seul changement qui passe une revue visuelle et reste faux.
Une personne s’en va. Son nom reste sur des classeurs, des planifications et des abonnements, et plusieurs d’entre eux tombent en panne sans un bruit. Ce qu’elle détient, ce qui casse, et l’ordre qui garde la licence récupérable.
Une certification est un drapeau et une phrase, posés par quelqu’un qui était sûr à ce moment-là. Ce que cela affirme, ce que cela vous laisse, qui devrait la détenir, et les trois façons dont elle cesse discrètement d’être vraie.