Repository navigation
Conversation
…ative/console#2654) Signed-off-by: Shikanime Deva <22115108+shikanime@users.noreply.github.com>
4f98179 to
1bcffa6
Compare
1bcffa6 to
1acb8b2
Compare
Le répertoire guide/rbac couvrait console-cpin, vault, keycloak, harbor, nexus, sonarqube et grafana mais pas GitLab. Ajout de la fiche GitLab (mapping roles projet vers niveaux d acces : Owner/Maintainer/Developer/Reporter, source plugins/gitlab members.ts) et inscription dans la sidebar. Co-authored-by: Automata <automata@shikanime.studio> Signed-off-by: William Phetsinorath <william.phetsinorath-open@interieur.gouv.fr> Change-Id: I5d9ce0bad995a6ecb3d041dc087c45a06a6a6964
6831f33 to
ce00201
Compare
Mapping des niveaux aligne sur apps/server-nestjs (gitlab.constants.ts, gitlab.utils.ts generateAccessLevelMapping) : devops -> Maintainer (et non Developer), security -> Reporter, defaut sans groupe OIDC -> Guest, plus les flags admin/auditor GitLab pour les groupes plateforme. Co-authored-by: Automata <automata@shikanime.studio> Signed-off-by: William Phetsinorath <william.phetsinorath-open@interieur.gouv.fr> Change-Id: I480b691ad25956f10520c36d0c4a9cd76a6a6964
ce00201 to
a055ed0
Compare
StephaneTrebel
left a comment
StephaneTrebel
left a comment
There was a problem hiding this comment.
Revue du brouillon centrée sur la fiche GitLab incluse dans le diff : le tableau par rôle est utile, mais les niveaux d’accès et la synchronisation gagneraient à être expliqués plus simplement, sans doublonner le tableau. Suggestions non bloquantes uniquement, en réutilisant la fiche déjà suivie par #121/#126 ; CI « Test app build » verte, pas de build local ni de recette des droits, aucun ledger modifié et aucune validation anticipée du renommage Console #2654.
| | Lecture seule | `/<slug>/console/readonly` | **Reporter** sur le groupe | | ||
| | Security | `/<slug>/console/security` | **Reporter** sur le groupe | | ||
| | Admin plateforme | `/console/admin` | **Admin GitLab** (flag instance) | | ||
| | Audit plateforme | `/console/readonly`, `/console/security` | **Auditeur GitLab** (flag auditor) | |
There was a problem hiding this comment.
⚪ suggestion (compréhension): Donner le sens des niveaux GitLab, pas seulement leur nom
Le tableau aide à trouver son rôle, mais « Maintainer », « Reporter » et « flag auditor » ne disent pas à un nouvel arrivant ce qu’il pourra faire. Garder les noms exacts affichés par GitLab, puis ajouter une courte explication en français ou un lien vers les permissions de ces rôles.
Expliquer aussi une fois que <slug> est l’identifiant technique du projet, avec un exemple comme /mon-projet/console/devops. Pour les deux dernières lignes, « administration de toute l’instance » et « audit de toute l’instance » sont plus explicites que « flag instance » et « flag auditor ».
| | `/<slug>/console/devops` | **Maintainer** | | ||
| | `/<slug>/console/developer` | **Developer** | | ||
| | `/<slug>/console/readonly` | **Reporter** | | ||
| | `/<slug>/console/security` | **Reporter** | |
There was a problem hiding this comment.
⚪ suggestion (concision): Garder un seul tableau de correspondance
Les cinq lignes de ce tableau répètent les mêmes chemins et niveaux que « Vue par rôle », quelques lignes plus haut. Le second passage augmente la longueur sans apporter d’information au lecteur et crée deux endroits à maintenir.
Conserver le premier tableau puis enchaîner directement avec les règles utiles : priorité du propriétaire, cumul des rôles, rôle sans groupe reconnu et configuration avancée. La page sera plus courte sans perdre de précision.
|
|
||
| ## 3. Points d'attention | ||
|
|
||
| - **Provisionnement autoritaire.** La Console prend le contrôle total de l'appartenance du groupe : tout membre non tracé par la Console est **supprimé**, les modifications manuelles dans GitLab sont écrasées à la synchronisation. |
There was a problem hiding this comment.
⚪ suggestion (consigne): Dire concrètement quels accès sont retirés
« Provisionnement autoritaire » et « membre non tracé » demandent de connaître le mécanisme interne ; « supprimé » peut aussi laisser croire que le compte GitLab est supprimé. Proposition :
Gérez les membres du projet depuis la Console, pas directement dans GitLab. À chaque synchronisation, la Console réapplique la liste des membres et leurs droits. Une personne ajoutée uniquement dans GitLab est retirée du groupe du projet ; les changements manuels de droits sont remplacés par ceux définis dans la Console.
L’avertissement reste visible, commence par la bonne action et distingue le retrait du groupe de la suppression d’un compte.
Issues liées
#103
Dépend de cloud-pi-native/console#2654 (rename
readonly→reader) : à fusionner après celle-ci.Quel est le comportement actuel ?
Les fiches RBAC utilisent le nouveau nommage
console/reader,console-reader,platform--readerpartout (sauf Nexus, inchangé côté console).Quel est le nouveau comportement ?
Retour temporaire à
readonly(console/readonly,console-readonly,platform--readonly) sur les fiches RBAC, en cohérence avec la console actuellement déployée surmain.Le rename complet sera réappliqué en une seule révision (renversement de ce commit) une fois cloud-pi-native/console#2654 fusionnée.
Cette PR introduit-elle un breaking change ?
Non.
Autres informations
PR stackée au-dessus de #103 (contient les corrections sémantiques : permissions Développeur, policies Vault, Limited Guest Harbor).