Gestion des autorisations des utilisateurs

Ce guide explique comment gérer les autorisations des utilisateurs à l’aide de l’API Frame.io V4. Il explique le fonctionnement des autorisations aux niveaux du compte, de l’espace de travail et du projet, ainsi que les points d’entrée à utiliser pour chacun d’entre eux.

Niveaux d’autorisation

Dans Frame.io, les autorisations sont gérées aux niveaux du compte, de l’espace de travail et du projet. Chaque niveau utilise son propre ensemble de rôles :

Account 
│
├── (admin)  - full access to all Workspaces, Projects, and Restricted Projects
│
└── (member)
        │
        ├── Workspace - (full_access | editor | edit_only | commenter | viewer)
        │       │
        │       └── Project - (full_access | editor | edit_only | commenter | viewer)
        │
        └── Restricted Project - (members require direct invite)

Chaque utilisateur dispose d’un rôle de compte. Grâce à l’API, vous pouvez définir le rôle d’un utilisateur sur admin ou membre.

Les administrateurs de compte disposent d’un accès complet à tous les espaces de travail et à tous les projets. Les membres d’un compte peuvent être ajoutés de manière sélective aux espaces de travail et aux projets dont ils ont besoin.

Lorsque vous ajoutez un membre à un espace de travail, le niveau d’autorisation que vous lui attribuez (full_access, editor, edit_only, commenter ou viewer) s’applique à tous les projets existants et futurs de cet espace. Par exemple, si vous ajoutez un membre du compte en tant que viewer, celui-ci disposera des autorisations de viewer chaque fois qu’il accédera à un projet dans cet espace de travail. Ce même membre du compte peut être ajouté à un projet spécifique au sein de cet espace de travail en tant qu’editor. Par conséquent, chaque fois qu’il accédera à ce projet, il disposera des droits d’editor. Ses autorisations de viewer restent valables pour tous les autres projets de cet espace de travail. Étant donné que les affectations de projet sont distinctes des affectations d’espace de travail, si vous supprimez ce membre du compte de l’espace de travail, il conservera ses droits d’editor pour ce projet spécifique.

Les Projets restreints constituent une exception. Les membres d’un compte doivent toujours recevoir une invitation directe. Vous trouverez plus d’informations à ce sujet dans la section Autorisations au niveau du projet ci-dessous.

Autorisations au niveau du compte

Chaque utilisateur de votre compte dispose d’un rôle :

Les administrateurs de compte disposent d’un accès complet partout. Pour limiter l’accès d’un administrateur à certaines ressources, commencez par modifier le rôle de son compte et le remplacer par « Membre », puis ajoutez-le aux espaces de travail ou aux projets dont il a besoin.

Par exemple :

curl https://api.frame.io/v4/accounts/:account_id/users \
     -H "Authorization: Bearer <token>"

curl -X PATCH https://api.frame.io/v4/accounts/:account_id/users/:user_id \
     -H "Authorization: Bearer <token>" \
     -H "Content-Type: application/json" \
     -d '{
  "data": {
    "role": "member"
  }
}'

curl -X PATCH https://api.frame.io/v4/accounts/:account_id/projects/:project_id/users/:user_id \
     -H "Authorization: Bearer <token>" \
     -H "Content-Type: application/json" \
     -d '{
  "data": {
    "role": "edit_only"
  }
}'

Points d’entrée des autorisations de compte

Autorisations au niveau de l’espace de travail

Lorsque vous ajoutez un membre du compte à un espace de travail, celui-ci dispose de ce niveau d’autorisation pour tous les projets qu’il contient. Les espaces de travail sont accessibles uniquement sur invitation ; par conséquent, les membres du compte ne voient que les espaces de travail auxquels ils ont été ajoutés.

Points d’entrée des autorisations de l’espace de travail

Autorisations au niveau du projet

Les projets utilisent les mêmes niveaux d’autorisation que les espaces de travail. Ajoutez un utilisateur directement à un projet lorsqu’il a besoin d’accéder uniquement à ce projet spécifique, ou lorsqu’il a besoin d’un niveau d’autorisation différent de celui qui lui est attribué dans son affectation dans l’espace de travail. Il n’est pas nécessaire que les utilisateurs aient accès à l’espace de travail pour être ajoutés à un projet.

curl -X PATCH https://api.frame.io/v4/accounts/:account_id/projects/:project_id/users/:user_id \
     -H "Authorization: Bearer <token>" \
     -H "Content-Type: application/json" \
     -d '{
  "data": {
    "role": "full_access"
  }
}'

Projets restreints

Les projets restreints nécessitent une invitation directe. L’accès à l’espace de travail n’est pas transféré.

Les utilisateurs ne peuvent donc accéder à un projet restreint que s’ils y ont été ajoutés directement.

Pour accorder l’accès à un membre, ajoutez-le au projet en lui attribuant le niveau d’autorisation approprié.

Points d’entrée des autorisations de projet

Ressources

Voici quelques ressources supplémentaires qui pourraient vous être utiles :

• Le forum des développeurs de Frame.io est l’endroit où les développeurs peuvent poser des questions, partager leurs commentaires et discuter de leurs projets.
• L’article du Centre d’aide sur les rôles d’utilisateurs ou d’utilisatrices et les autorisations.
• L’aide-mémoire sur les autorisations OWASP, pour plus d’informations sur le contrôle d’accès basé sur les relations et les attributs.