Roller, profiler och behörigheter

En medlems åtkomst byggs upp av två grundelement och avgörs av ett tredje:

• Kontoroller svarar på "vad kan den här medlemmen göra, och på vilka konton?" De innehåller kontobehörigheter – Läs, Handelstransaktion, Earn Allocate, Earn Deallocate, Uttag, Överföring – var och en kopplad till en uppsättning konton. En medlem med flera tilldelade kontoroller ärver alla behörigheter som varje roll medför.
• Arbetsflödesprofilen svarar på "vilka åtgärder kan den här medlemmen utföra på styrda operationer?" För varje arbetsflöde anger den vilka nivåer en medlem har: Visa, Initiera, Godkänna eller Utföra. Varje medlem kan bara ha en arbetsflödesprofil.
• Policyer svarar på "hur slutförs en styrd operation?" Varje arbetsflödes policy avgör om förfrågningar utförs omedelbart eller kräver flera godkännanden. Policyer beskrivs i Policyer, godkännanden och styrning.

Sammantaget:

Effektiv åtkomst = en arbetsflödesprofil + samtliga kontorollers behörigheter + arbetsflödets policy

Roller och profiler hålls avsiktligt separerade. Kontoroller är begränsade till konton; arbetsflödesprofilens nivåer är det inte. Att visa dem som ett paket skulle antyda att godkännanderättigheter varierar per konto – vilket de aldrig gör. En medlem som kan godkänna uttagsförfrågningar kan göra det på vilket konto som helst i organisationen.

Kontobehörigheter ingår i kontoroller. Varje behörighet beviljas per konto – att ha den på ett konto ger ingen åtkomst på något annat.

Direkta behörigheter

Dessa träder i kraft omedelbart – inga förfrågningar, inga godkännanden:

Behörigheter för fondöverföring

Dessa två behörigheter fungerar annorlunda: de ger ingenting på egen hand. De anger i stället från vilka konton en medlem kan göra uttag och överföringar via ett godkännandeflöde. En medlem måste ha en arbetsflödesprofil som tillåter dem att starta dessa åtgärder.

En fullständig bild av hur ett uttag eller en överföring slutförs finns i Överföringar och uttag.

En Account Role är ett återanvändbart paket: en uppsättning kontobehörigheter tillämpad på en uppsättning konton. En handelsroll kan ge Read och Trade på de konton ett handelsteam använder; en finansieringsroll kan ge Read, Transfer och Withdraw på de konton din driftsgrupp hanterar. Du definierar rollen en gång och tilldelar den till alla medlemmar som behöver den.

• Medlemmar kan ha flera Account Roles. Deras behörigheter slås samman – en medlem som har både en handelsroll och en finansieringsroll ärver båda behörighetsuppsättningarna.
• Roller är aktiva resurser, inte mallar. Redigerar du en roll ändras åtkomsten omedelbart för alla medlemmar som redan har den. Innan du sparar visar systemet vilka medlemmar som påverkas av rolländringen och hur.

Workflow Profile är styrningsdelen av en medlems åtkomst. För varje arbetsflöde anger den vilka nivåer medlemmen har:

Nivåerna är behörigheter, inte rangordningar:

• Visa är basnivån. Alla andra nivåer inkluderar alltid Visa.
• Initiera och Godkänn är oberoende av varandra. En medlem kan godkänna förfrågningar utan att kunna starta dem, eller starta förfrågningar utan att kunna godkänna dem. Den här granulariteten säkerställer separation av arbetsuppgifter.
• Kör inkluderar Initiera och Godkänn. En medlem som har behörighet att slutföra åtgärder utan ytterligare godkännanden kan också starta och granska förfrågningar.

Två egenskaper är värda att notera:

• Profilnivåer gäller för hela organisationen. Godkänn på Uttagsförfrågan innebär att medlemmen kan granska alla uttagsförfrågningar i organisationen, oavsett vilket konto de avser. Endast att initiera uttag och överföringar är kontobegränsat: en medlem kan bara initiera uttag och överföringar på konton för vilka de har en kontobehorighet för medelsförflyttning.
• Varje medlem har exakt en profil. Profiler kan inte staplas, så genom att läsa en medlems profil ser du hela deras styrningsposition på en gång. Precis som kontroller är profiler aktiva resurser: att redigera en ändrar vad varje medlem med den profilen kan göra. Systemet visar alltid berörda medlemmar innan du sparar en ändring av en befintlig profil.

Tillgängliga arbetsflöden är:

Varje organisation börjar med en uppsättning systemdefinierade kontoroller och arbetsflödesprofiler. De täcker de vanligaste mönstren så att du kan tilldela ett team åtkomst utan att behöva bygga något anpassat först, och de fungerar som praktiska exempel som hjälper dig att utforma din egen styrning.

Systemdefinierade kontoroller

De systemdefinierade rollerna täcker alla nuvarande och framtida konton: en medlem med rollen Trade all kan handla på ett konto som skapas i morgon utan att åtkomsten behöver justeras. Det går också att skapa en anpassad roll med en specifik och statisk lista över konton.

Systemdefinierade profiler och roller kan inte redigeras eller tas bort. Det går däremot att klona en och anpassa kopian efter organisationens specifika behov.

Systemdefinierade arbetsflödesprofiler

En profil med Initiate eller Execute för Withdrawal Request måste även ha View för Manage Addresses. Det gör att organisationens vitlista för uttagsadresser syns i profilkonfigurationen. View för Manage Addresses ger inte behörighet att starta eller godkänna adressändringar.

Funds Manager kan föreslå en ny eller ersättande uttagsadress, men kan inte godkänna adressändringar. Det säkerställer att godkännandet av en adressändring hålls åtskilt från den person som senare kan initiera eller godkänna uttag till adressen.

Profilerna Initiator, Approver och Auditor motsvarar de tre rollerna i en granskningsprocess: de som föreslår, de som godkänner och de som övervakar. Funds Manager är standardprofilen för operatörer som hanterar transaktioner och kan föreslå de destinationsadresser de behöver.

En medlems faktiska åtkomst bestäms av tilldelad Workflow Profile och tilldelade Account Roles, plus aktuell policy för varje arbetsflöde.

1. Gå till Team och välj medlemmen, eller välj Invite Member för att lägga till någon ny.
2. Välj Workflow Profile – en av de systemdefinierade profilerna eller en anpassad.
3. Lägg till en eller flera Account Roles som täcker de konton de arbetar med.
4. Granska förhandsgranskningen av faktisk åtkomst. Den visar profilen och rollerna separat och löser sedan dem: för varje konto visas vad medlemmen kan göra direkt, och för varje transaktionsbehörighet visas hur en förfrågan från dem slutförs enligt aktuella policyer.
5. Bekräfta. Om arbetsflödet Manage Team & Access har en policy som kräver godkännande placeras tilldelningen i godkännandekön först.

Förhandsgranskningen flaggar också kombinationer som ger mindre behörighet än de verkar ge – till exempel en roll som ger Withdraw för ett konto kombinerat med en profil som inte kan initiera Withdrawal Requests. Ingen av behörigheterna är fel i sig, men tillsammans ger de ännu inte medlemmen möjlighet att ta ut medel – och förhandsgranskningen visar detta innan du sparar.

Withdraw är en kontobehörighet som avgör vilka konton medlemmen kan ta ut medel från, förutsatt att de tilldelats en Workflow Profile som tillåter dem att starta uttagsförfrågningar. Kontrollera deras profil: de behöver Initiate (eller Execute) för arbetsflödet Withdrawal Request. Förhandsgranskningen av faktisk åtkomst på deras medlemssida visar hur åtkomsten avgörs för varje konto.

Det här är avsiktligt och så fungerar Approve. Workflow Profile-nivåer gäller för alla konton i organisationen. En medlem med nivån Approve för uttagsförfrågningar kan godkänna alla uttagsförfrågningar. Den nuvarande modellen stöder inte kontoscoped godkännanderättigheter.

Det är avsiktligt. Roller är aktiva resurser – varje medlem som innehar en roll ärver de behörigheter som rollen ger. När du redigerar en roll visar bekräftelsesteget hur medlemmarnas åtkomst ändras innan du sparar. Om du bara vill ändra åtkomsten för en enskild medlem ska du skapa och tilldela en ny roll i stället för att redigera en delad.

Varje medlem kan bara inneha en Workflow Profile. Om ingen befintlig profil passar ska du skapa en anpassad profil med den kombination av nivåer du behöver och tilldela den.

Medlemmar behöver insyn i de konton de hanterar, och roller som ger handelsbehörighet inkluderar vanligtvis läsrättigheter på samma konton. Om du vill begränsa en medlems insyn i andra konton, begränsa kontourvalet i deras roller i stället för att justera behörigheterna inom ett konto.