Role, Profile i Uprawnienia

Dostęp Członka składa się z dwóch elementów, a rozstrzyga go trzeci:

• Role kont odpowiadają na pytanie: „co ten Członek może robić i na których kontach?" Zawierają uprawnienia konta: Read, Trade, Earn Allocate, Earn Deallocate, Withdraw, Transfer – każde przypisane do określonego zestawu kont. Członek z kilkoma przypisanymi Rolami kont dziedziczy wszystkie uprawnienia wynikające z każdej z nich.
• Profil przepływu pracy odpowiada na pytanie: „jakie działania Członek może podejmować w zarządzanych operacjach?" Dla każdego przepływu pracy określa poziomy dostępu Członka: View, Initiate, Approve lub Execute. Każdy Członek może posiadać tylko jeden Profil przepływu pracy.
• Zasady odpowiadają na pytanie: „jak przebiega realizacja zarządzanej operacji?" Zasada każdego przepływu pracy decyduje, czy żądania są wykonywane natychmiast, czy wymagają wielu zatwierdzeń. Zasady omówiono w artykule Zasady, zatwierdzenia i zarządzanie.

Łącznie:

Rzeczywisty dostęp = jeden Profil przepływu pracy + suma Ról kont + zasada przepływu pracy

Role i profile są celowo oddzielone. Role kont są przypisane do kont; poziomy Profilu przepływu pracy – nie. Łączenie ich w jeden pakiet sugerowałoby, że prawa zatwierdzania różnią się w zależności od konta – a tak nigdy nie jest. Członek, który może zatwierdzać żądania wypłat, może to robić w dowolnym miejscu w Organizacji.

Uprawnienia konta są przypisane do Ról kont. Każde uprawnienie jest przyznawane osobno dla każdego konta – posiadanie go na jednym koncie nie daje żadnych praw na innym.

Uprawnienia bezpośrednie

Wchodzą w życie natychmiast – bez żądań i bez zatwierdzeń:

Uprawnienia dotyczące przepływu środków

Te dwa uprawnienia działają inaczej: samodzielnie nie przyznają żadnych możliwości. Określają natomiast, z których kont członek może dokonywać wypłat i przelewów w ramach procesu zatwierdzania. Członek musi posiadać profil przepływu pracy umożliwiający inicjowanie tych operacji.

Pełny opis procesu realizacji wypłaty lub przelewu znajdziesz w artykule Przelewy i wypłaty.

Account Role to pakiet wielokrotnego użytku: zestaw uprawnień konta przypisanych do określonych kont. Rola handlowa może nadawać uprawnienia Odczyt i Trade na kontach używanych przez jeden zespół; rola finansowa może nadawać uprawnienia Odczyt, Przelew i Wypłać na kontach zarządzanych przez dział operacyjny. Rolę definiujesz raz i przypisujesz wszystkim Członkom, którzy jej potrzebują.

• Członkowie mogą posiadać wiele ról konta. Uprawnienia sumują się – Członek posiadający zarówno rolę handlową, jak i finansową, dziedziczy obydwa zakresy dostępu.
• Role to aktywne zasoby, a nie szablony. Edycja roli natychmiast zmienia dostęp dla każdego Członka, który ją posiada. Przed zapisaniem system pokazuje, których Członków dotyczy zmiana roli i w jaki sposób.

Workflow Profile to część dostępu Członka odpowiedzialna za zarządzanie operacjami. Dla każdego przepływu pracy określa, które poziomy posiada Członek:

Poziomy to możliwości, nie rangi:

• Widok jest poziomem podstawowym. Każdy inny poziom automatycznie obejmuje Widok.
• Inicjowanie i Zatwierdzanie są niezależne. Członek może zatwierdzać żądania bez możliwości ich inicjowania – i odwrotnie. Taka szczegółowość zapewnia rozdzielenie obowiązków.
• Wykonanie obejmuje Inicjowanie i Zatwierdzanie. Członek uprawniony do realizacji działań bez dodatkowych zatwierdzeń może również inicjować żądania i je przeglądać.

Dwie właściwości zasługują na szczególną uwagę:

• Poziomy profilu obowiązują w całej Organizacji. Zatwierdzanie w ramach żądania wypłaty oznacza, że Członek może przeglądać każde żądanie wypłaty w Organizacji – niezależnie od konta, którego dotyczy. Ograniczenie do poziomu konta dotyczy wyłącznie inicjowania: Członek może inicjować wypłaty i przelewy tylko na kontach, do których posiada uprawnienie do operacji na środkach.
• Każdy Członek ma dokładnie jeden profil. Profile nie kumulują się – odczytanie profilu Członka daje pełny obraz jego uprawnień w zakresie zarządzania. Podobnie jak role kont, profile są zasobami aktywnymi: edycja profilu natychmiast zmienia uprawnienia każdego Członka, który go ma przypisany. System zawsze pokazuje listę Członków, których dotyczy zmiana, zanim zapiszesz modyfikację istniejącego profilu.

Dostępne przepływy pracy:

Każda Organizacja dysponuje domyślnym zestawem ról konta i profili procesów zdefiniowanych przez system. Obejmują typowe scenariusze, dzięki czemu możesz skonfigurować zespół bez tworzenia własnych rozwiązań od zera – i służą jako gotowe przykłady do projektowania własnego systemu zarządzania.

Systemowe role konta

Role predefiniowane obejmują wszystkie bieżące i przyszłe konta: członek posiadający rolę Trade all będzie mógł handlować na koncie utworzonym jutro bez konieczności aktualizowania jego uprawnień. Można również tworzyć role niestandardowe przypisane do określonej, stałej listy kont.

Predefiniowanych profili i ról nie można edytować ani usuwać. Można jednak sklonować profil lub rolę i dostosować kopię do potrzeb swojej Organizacji.

Predefiniowane profile przepływu pracy

Profil posiadający poziom Initiate lub Execute dla Withdrawal Request musi mieć również poziom View dla Manage Addresses. Dzięki temu dostęp do listy dozwolonych adresów wypłaty Organizacji jest widoczny w konfiguracji profilu. Poziom View w przepływie Manage Addresses nie uprawnia do inicjowania ani zatwierdzania zmian adresów.

Funds Manager może proponować nowy lub zastępczy adres wypłaty, ale nie może zatwierdzać zmian adresów. Dzięki temu zatwierdzenie zmiany adresu pozostaje niezależne od osoby, która później może inicjować lub zatwierdzać wypłaty na ten adres.

Profile Initiator, Approver i Auditor odpowiadają trzem rolom w procesie weryfikacji: osobom wnioskującym, osobom zatwierdzającym i osobom nadzorującym. Funds Manager to profil codzienny dla operatorów obsługujących przepływy środków, którzy mogą proponować potrzebne im adresy docelowe.

Rzeczywisty dostęp członka wynika z przypisanego profilu Workflow Profile i ról kont (Account Roles) oraz aktualnej polityki każdego przepływu pracy.

1. Przejdź do Zespołu i wybierz członka lub kliknij Zaproś członka, aby dodać nową osobę.
2. Wybierz Workflow Profile – jeden z predefiniowanych profili lub profil niestandardowy.
3. Dodaj co najmniej jedną rolę konta (Account Role) obejmującą konta, na których członek będzie działać.
4. Przejrzyj podgląd rzeczywistego dostępu. Podgląd wyświetla profil i role oddzielnie, a następnie je rozwiązuje: dla każdego konta pokazuje, co członek może robić bezpośrednio, a dla każdego uprawnienia do przesyłania środków – jak żądanie złożone przez tego członka zostanie zrealizowane zgodnie z aktualnymi politykami.
5. Potwierdź. Jeśli przepływ pracy Manage Team & Access wymaga zatwierdzenia, przypisanie trafia najpierw do kolejki zatwierdzeń.

Podgląd sygnalizuje również kombinacje, które zapewniają mniejszy dostęp niż wynika to z pozoru – na przykład rolę przyznającą uprawnienie Withdraw na koncie w parze z profilem, który nie może inicjować żądań wypłaty. Żadne z tych uprawnień nie jest błędne, ale łącznie nie pozwalają jeszcze członkowi na dokonanie wypłaty – podgląd pokazuje ten stan przed zapisaniem zmian.

Withdraw to uprawnienie konta określające, z których kont członek może dokonywać wypłat – o ile przypisano mu Workflow Profile umożliwiający w ogóle inicjowanie żądań wypłaty. Sprawdź profil tego członka: musi mieć poziom Initiate (lub Execute) w przepływie pracy Withdrawal Request. Podgląd rzeczywistego dostępu na stronie członka pokazuje to rozwiązanie dla każdego konta.

To zamierzone zachowanie – tak działa poziom Approve. Poziomy Workflow Profile obowiązują we wszystkich kontach organizacji. Członek z poziomem Approve dla żądań wypłaty może zatwierdzić każde żądanie wypłaty w organizacji. Aktualny model nie obsługuje uprawnień do zatwierdzania ograniczonych do poszczególnych kont.

Tak jest z założenia. Role to aktywne zasoby – każdy członek posiadający daną rolę dziedziczy wszystkie powiązane z nią uprawnienia. Podczas edycji roli w kroku potwierdzenia zobaczysz, jak zmienią się uprawnienia członków – zanim zapiszesz zmiany. Aby zmienić dostęp tylko jednego członka, zdefiniuj i przypisz nową rolę zamiast edytować rolę współdzieloną.

Każdy członek może mieć tylko jeden profil przepływu pracy. Jeśli żaden istniejący profil nie pasuje, utwórz niestandardowy profil z potrzebną kombinacją poziomów i przypisz go.

Członkowie potrzebują wglądu w konta, którymi zarządzają, a role przyznające uprawnienia do handlu zazwyczaj obejmują też uprawnienia do odczytu na tych samych kontach. Aby ograniczyć wgląd członka w inne konta przy zachowaniu możliwości handlu, zawęź zestaw kont przypisanych do jego ról, a nie uprawnienia w obrębie konta.