Roller, profiler og tilladelser

Et medlems adgang er sammensat af to byggeklodser og afgjort af en tredje:

• Kontoroller svarer på „hvad kan dette medlem gøre, og på hvilke konti?" De indeholder kontotilladelser – Læs, Handel, Earn Allocate, Earn Deallocate, Udbetal, Overførsel – hver afgrænset til et sæt konti. Et medlem med flere tildelte kontoroller arver alle de tilladelser, de enkelte roller indeholder.
• Workflowprofilen svarer på „hvilke handlinger kan dette medlem udføre på styrede operationer?" For hvert workflow angiver den, om et medlem kan Vise, Igangsætte, Godkende eller Udføre operationen. Hvert medlem kan kun have én workflowprofil.
• Politikker svarer på „hvordan fuldføres en styret operation?" Politikken for hvert workflow afgør, om anmodninger udføres med det samme eller kræver flere godkendelser. Politikker er beskrevet i Politikker, godkendelser og ledelse.

Tilsammen:

Effektiv adgang = én workflowprofil + summen af kontoroller + workflowets politik

Roller og profiler holdes bevidst adskilt. Kontoroller er afgrænset til konti; workflowprofilniveauer er det ikke. Hvis de vises som én pakke, antyder det, at godkendelsesrettigheder varierer pr. konto – det gør de aldrig. Et medlem, der kan godkende udbetalingsanmodninger, kan gøre det på alle konti i organisationen.

Kontotilladelser er defineret i konto-roller. Hver tilladelse tildeles pr. konto: adgang på én konto giver ingen adgang på andre konti.

Direkte tilladelser

Disse træder i kraft med det samme – ingen anmodninger, ingen godkendelser:

Tilladelser til pengeoverførsler

Disse to tilladelser fungerer anderledes: de giver ikke adgang til noget i sig selv. De afgør i stedet, hvilke konti et medlem kan udbetale fra og overføre fra via en godkendelsesworkflow. Et medlem skal have en workflowprofil, der giver tilladelse til at starte disse operationer.

Se Overførsler og udbetalinger for et fuldstændigt overblik over, hvordan en udbetaling eller overførsel behandles.

En Account Role er en genanvendelig pakke: et sæt kontotilladelser knyttet til et sæt konti. En handelsrolle kan give Read og Trade på de konti, ét team bruger; en finansieringsrolle kan give Read, Transfer og Withdraw på de konti, dit driftsteam administrerer. Du definerer rollen én gang og tildeler den til alle de medlemmer, der har brug for den.

• Medlemmer kan have flere Account Roles. Tilladelserne kombineres – et medlem, der har både en handelsrolle og en finansieringsrolle, arver begge adgangssæt.
• Roller er aktive ressourcer, ikke skabeloner. Redigerer du en rolle, ændres adgangen for alle medlemmer, der allerede har den – med øjeblikkelig virkning. Inden du gemmer, viser systemet, hvilke medlemmer der påvirkes af ændringen og hvordan.

Workflow Profile er ledelsesdelen af et medlems adgang. For hvert workflow angiver den, hvilke niveauer medlemmet har:

Niveauerne er funktioner, ikke rangordener:

• Vis er grundniveauet. Alle andre niveauer inkluderer altid Vis.
• Igangsæt og Godkend er uafhængige af hinanden. Et medlem kan godkende anmodninger uden at kunne oprette dem, eller oprette anmodninger uden at kunne godkende dem. Denne granularitet sikrer funktionsadskillelse.
• Udfør inkluderer Igangsæt og Godkend. Et medlem, der har tilladelse til at gennemføre handlinger uden yderligere godkendelser, kan også oprette og gennemgå anmodninger.

To egenskaber er værd at bemærke:

• Profilniveauer gælder på tværs af hele organisationen. Godkend på Udbetalingsanmodning betyder, at medlemmet kan gennemgå alle udbetalingsanmodninger i organisationen, uanset hvilken konto de trækker fra. Kun oprettelse af udbetalinger er kontobegrænset: et medlem kan kun igangsætte udbetalinger og overførsler på konti, som de har en kontorettighed til pengebevægelser på.
• Hvert medlem har præcis én profil. Profiler kan ikke kombineres, så et medlems profil giver dig et komplet overblik over vedkommendes ledelsesrettigheder med det samme. Ligesom Account Roles er profiler aktive ressourcer: redigerer du én, ændres mulighederne for alle medlemmer med den pågældende profil. Systemet viser altid de berørte medlemmer, inden du gemmer en ændring af en eksisterende profil.

De tilgængelige arbejdsgange er:

Enhver organisation starter med et sæt systemdefinerede kontoroller og arbejdsgangsprofiler. De dækker de mest almindelige mønstre, så du kan klargøre et team uden at bygge noget tilpasset fra starten, og de fungerer som praktiske eksempler til at hjælpe dig med at udforme din egen ledelse.

Systemdefinerede kontoroller

De systemdefinerede roller dækker alle nuværende og fremtidige konti: et medlem med rollen Trade all kan handle på en konto oprettet i morgen uden at adgangen skal justeres for at inkludere den nye konto. Du kan også oprette en tilpasset rolle begrænset til en bestemt, fast liste af konti.

Systemdefinerede profiler og roller kan ikke redigeres eller slettes. Du kan dog klone en profil eller rolle og tilpasse kopien til din organisations behov.

Systemdefinerede Workflow-profiler

En profil med Initiate eller Execute på Withdrawal Request skal også have View på Manage Addresses. Det gør organisationens hvidliste over udbetalingsadresser synlig i profilkonfigurationen. View på Manage Addresses giver ikke tilladelse til at igangsætte eller godkende adresseændringer.

Funds Manager kan foreslå en ny eller erstatnings-udbetalingsadresse, men kan ikke godkende adresseændringer. Det sikrer, at godkendelse af en adresseændring er uafhængig af den person, der senere kan igangsætte eller godkende udbetalinger til den.

Profilerne Initiator, Approver og Auditor svarer til de tre roller i en godkendelsesproces: dem der foreslår, dem der godkender, og dem der fører tilsyn. Funds Manager er hverdagsprofilen for operatører, der håndterer pengebevægelser og kan foreslå de udbetalingsadresser, de har brug for.

Den adgang et medlem har, bestemmes af Workflow Profile og de tildelte Account Roles samt den aktuelle politik for hvert workflow.

1. Gå til Team og vælg medlemmet, eller vælg Invite Member for at tilføje en ny person.
2. Vælg deres Workflow Profile – en af de systemdefinerede profiler eller en brugerdefineret.
3. Tilføj én eller flere Account Roles, der dækker de konti, de arbejder med.
4. Gennemse forhåndsvisningen af den gældende adgang. Den viser profilen og rollerne separat og beregner derefter den samlede adgang: for hver konto hvad medlemmet kan gøre direkte, og for hver pengebevægelsestilladelse hvordan en anmodning fra dem gennemføres under de aktuelle politikker.
5. Bekræft. Hvis Manage Team & Access-workflowet har en politik, der kræver godkendelse, sendes tildelingen først til godkendelseskøen.

Forhåndsvisningen markerer også kombinationer, der giver mindre adgang, end de umiddelbart ser ud til – f.eks. en rolle, der giver Withdraw på en konto, kombineret med en profil, der ikke kan igangsætte Withdrawal Requests. Ingen af tildelingerne er forkerte, men tilsammen giver de endnu ikke medlemmet mulighed for at udbetale – og forhåndsvisningen viser denne tilstand, inden du gemmer.

Withdraw er en kontotilladelse, der bestemmer, hvilke konti et medlem kan udbetale fra – forudsat at de er tildelt en Workflow Profile, som giver dem adgang til at igangsætte udbetalingsanmodninger. Tjek deres profil: de skal have Initiate (eller Execute) på Withdrawal Request-workflowet. Forhåndsvisningen af den gældende adgang på deres medlemsside viser, hvordan dette er løst for hver konto.

Det er tilsigtet – sådan fungerer Godkend-niveauet. Workflow Profile-niveauer gælder på tværs af alle organisationens konti. Et medlem med Godkend-niveau på udbetalingsanmodninger kan godkende alle udbetalingsanmodninger i organisationen. Den nuværende model understøtter ikke kontoafgrænsede godkendelsesrettigheder.

Det er tilsigtet. Roller er aktive ressourcer – ethvert medlem, der har rollen, arver de rettigheder, rollen medfører. Når du redigerer en rolle, viser bekræftelsestrinnet, hvordan medlemmernes adgang vil ændre sig, inden du gemmer ændringerne. Hvis du kun vil ændre adgangen for ét medlem, skal du oprette og tildele en ny rolle frem for at redigere en delt.

Medlemmer kan kun have én Workflow Profile. Hvis ingen eksisterende profil passer, kan du oprette en brugerdefineret profil med den kombination af niveauer, du har brug for, og tildele den.

Medlemmer har brug for indblik i de konti, de arbejder med, og roller, der giver handelsrettigheder, inkluderer typisk læserettigheder på de samme konti. Hvis du vil begrænse et medlems indblik på andre konti, skal du indsnævre rollens kontosæt frem for at justere rettighederne inden for en konto.