Zugriffsverwaltung
Der Zugriff in Codesphere wird über Rollen auf drei Ebenen vergeben: der Organization, ihren Resource Groups (früher Teams) und den Workspaces innerhalb jeder Resource Group. Auf jeder Ebene gelten zwei Regeln:
- Eine Rolle schließt jede darunterliegende Rolle ein. Ein Workspace Admin kann alles, was ein Editor kann, und ein Editor alles, was ein Viewer kann.
- Rollen fließen nach unten. Eine Rolle auf einer Organization oder Resource Group impliziert eine Rolle auf allem darin, sodass eine Person nur einmal zugewiesen werden muss, statt auf jedem Workspace einzeln.
Wie Rollen vererbt werden
- umfasst alle Berechtigungen der Rolle darunter
- gewährt diese Rolle auf allem darin
- nur Mitglieder der Organisation können einer Resource Group beitreten
Entsprechende barrierefreie Textbeschreibung
- Organization Owner ist automatisch Admin jeder Resource Group in der Organization und somit Admin jedes Workspace.
- Resource Group Admin ist automatisch Admin jedes Workspace in dieser Resource Group.
- Resource Group Member ist automatisch Viewer jedes Workspace in dieser Resource Group. Ein Workspace Admin kann ein Member auf einzelnen Workspaces zum Editor oder Admin hochstufen.
- Nur Organization Members können einer Resource Group beitreten, und nur Resource Group Members können eine Rolle auf deren Workspaces erhalten. Wird jemand aus der Organization entfernt, verliert diese Person daher überall darin den Zugriff.
Eine vererbte Rolle ist ein Mindeststandard, keine Obergrenze. Es kann eine höhere Rolle auf einem Workspace zugewiesen werden, aber die Zuweisung derselben oder einer niedrigeren Rolle hat keine Wirkung. Um den Zugriff einer Person zu verringern, muss die Rolle dort geändert werden, von wo sie vererbt wird.
Organization-Rollen
| Rolle | Was sie erlaubt |
|---|---|
| Owner | Verwaltet die Einstellungen und Mitglieder der Organization, lädt Nutzer ein, ändert Organization-Rollen und erstellt Resource Groups. Admin jeder Resource Group und jedes Workspace in der Organization. |
| Member | Keine administrativen Rechte auf der Organization selbst. Kann zu Resource Groups hinzugefügt werden und kann die Organization verlassen. |
Eine Organization muss immer mindestens einen Owner haben. Der letzte Owner muss die Owner-Rolle einer anderen Person zuweisen, bevor er die Organization verlässt.
Resource-Group-Rollen
| Berechtigung | Member | Admin |
|---|---|---|
| Die Resource Group, ihre Workspaces, Mitglieder und den Observability-Status einsehen | ✓ | ✓ |
| IPs, Domains und VPN-Konfigurationen einsehen | ✓ | ✓ |
| Managed Services und den Managed-Service-Provider-Katalog einsehen | ✓ | ✓ |
| Container-Image-Registries einsehen | ✓ | ✓ |
| Sehen, welche Secrets die gemeinsamen Vaults enthalten, ohne deren Werte | ✓ | ✓ |
| Workspaces erstellen | ✓ | ✓ |
| Ressourcennutzung einsehen | ✓ | |
| Name, Beschreibung und Avatar ändern | ✓ | |
| Mitglieder hinzufügen und entfernen sowie deren Rollen ändern | ✓ | |
| IPs, Domains und VPN-Konfigurationen verwalten | ✓ | |
| Managed Services erstellen und verwalten sowie Managed-Service-Provider registrieren | ✓ | |
| Container-Image-Registries verwalten | ✓ | |
| Gemeinsame Vaults erstellen und löschen sowie deren Secrets schreiben | ✓ | |
| Die Observability-Plattform starten und stoppen | ✓ | |
| Die Resource Group löschen | ✓ |
Workspace-Rollen
| Berechtigung | Viewer | Editor | Admin |
|---|---|---|---|
| Den Workspace öffnen und dessen Dateien, Logs und Metriken einsehen | ✓ | ✓ | ✓ |
| Dateien in der IDE bearbeiten | ✓ | ✓ | |
| Das Terminal nutzen und Befehle ausführen | ✓ | ✓ | |
| Die Landscape konfigurieren und ausführen: Pipelines, Deployments, Umgebungsvariablen und Secrets | ✓ | ✓ | |
| Die Einstellungen und den Plan des Workspace ändern und den Workspace löschen | ✓ | ✓ | |
| Workspace-Rollen zuweisen und entziehen | ✓ |
Wer einen Workspace erstellt, wird dessen erster Admin.
Rollen zuweisen
-
Organization-Rollen werden auf der Seite Members der Organization von einem Owner festgelegt.
-
Resource-Group-Rollen werden auf der Seite Members der Resource Group von einem Admin festgelegt. Mitglieder, deren Rolle von der Organization stammt, sind als vererbt gekennzeichnet.
-
Workspace-Rollen werden in den Workspace-Einstellungen unter Access festgelegt:
- Auf Add Role Assignment klicken und ein Resource-Group-Mitglied auswählen.
- Die Rolle wählen und auf Save Changes klicken.
Die Liste zeigt die zugewiesene Rolle jeder Person, kennzeichnet den Ersteller des Workspace und zeigt daneben eine von der Resource Group vererbte Rolle an.
Als Workspace-Rollen eingeführt wurden, behielten Mitglieder einer Resource Group den Editor-Zugriff auf bereits bestehende Workspaces. Danach erstellte Workspaces folgen den obigen Regeln, sodass Members als Viewer beginnen.