Gestione delle autorizzazioni utente

Questa guida spiega come gestire le autorizzazioni utente con l’API Frame.io V4. Spiega come funzionano le autorizzazioni ai vari livelli di account, area di lavoro e progetto e quali endpoint utilizzare in ciascun caso.

Livelli di autorizzazione

Le autorizzazioni in Frame.io sono gestite a livello di account, area di lavoro e progetto. Ogni livello utilizza una serie specifica di ruoli:

Account 
│
├── (admin)  - full access to all Workspaces, Projects, and Restricted Projects
│
└── (member)
        │
        ├── Workspace - (full_access | editor | edit_only | commenter | viewer)
        │       │
        │       └── Project - (full_access | editor | edit_only | commenter | viewer)
        │
        └── Restricted Project - (members require direct invite)

Ogni utente ha un ruolo account. Tramite l’API puoi impostare il ruolo di un utente su admin o member.

Gli amministratori degli account hanno l’accesso completo a tutti le aree di lavoro e a tutti i progetti. I membri dell’account possono essere aggiunti selettivamente alle aree di lavoro e ai progetti di cui hanno bisogno.

Quando aggiungi un membro dell’account a un’area di lavoro, il valore di autorizzazione che assegni (full_access, editor, edit_only, commenter o viewer) si applica a tutti i progetti esistenti e futuri al suo interno. Ad esempio, se aggiungi un membro dell’account come viewer, avrà le autorizzazioni di viewer ogni volta che accede a qualsiasi progetto in quella area di lavoro. Lo stesso membro dell’account può essere aggiunto a un progetto specifico all’interno di quell’area di lavoro come editor. Di conseguenza, ogni volta che accede a quel progetto, avrà le autorizzazioni di editor. Le sue autorizzazioni di viewer continuano a essere valide per tutti gli altri progetti in quell’area di lavoro. Poiché le assegnazioni dei progetto sono separate dalle assegnazioni delle aree di lavoro, se rimuovi quel membro dell’account dell’area di lavoro, manterrà le sue autorizzazioni di editor per quel singolo progetto.

Fanno eccezione i progetti limitati. I membri dell’account devono essere sempre invitati direttamente. Scopri di più al riguardo nella sezione Autorizzazioni a livello di progetto di seguito.

Autorizzazioni a livello di account

Ogni utente nell’account ha un ruolo:

Gli amministratori dell’account hanno l’accesso completo ovunque. Per limitare l’accesso di un amministratore a risorse specifiche, cambia prima il ruolo dell’account in Member, poi aggiungilo alle aree di lavoro o ai progetti di cui ha bisogno.

Ad esempio:

$
curl https://api.frame.io/v4/accounts/:account_id/users \
>
     -H "Authorization: Bearer <token>"

$
curl -X PATCH https://api.frame.io/v4/accounts/:account_id/users/:user_id \
>
     -H "Authorization: Bearer <token>" \
>
     -H "Content-Type: application/json" \
>
     -d '{
>
  "data": {
>
    "role": "member"
>
  }
>
}'

$
curl -X PATCH https://api.frame.io/v4/accounts/:account_id/projects/:project_id/users/:user_id \
>
     -H "Authorization: Bearer <token>" \
>
     -H "Content-Type: application/json" \
>
     -d '{
>
  "data": {
>
    "role": "edit_only"
>
  }
>
}'

Endpoint delle autorizzazioni dell’account

Autorizzazioni a livello di area di lavoro

Quando un membro viene dell’account viene aggiunto a un’area di lavoro, avrà questo livello di autorizzazione su tutti i progetti all’interno dell’area di lavoro. Le aree di lavoro sono solo su invito, perciò i membri dell’account vedono solo quelle a cui vengono aggiunti.

Endpoint delle autorizzazioni dell’area di lavoro

Autorizzazioni a livello di progetto

I progetti utilizzano gli stessi livelli di autorizzazione delle aree di lavoro. Aggiungi un utente direttamente al progetto quando l’utente ha bisogno di accedere solo al progetto specifico oppure se ha bisogno di un livello di autorizzazione diverso rispetto all’assegnazione dell’area di lavoro. Gli utenti non hanno bisogno dell’accesso all’area di lavoro per essere aggiunti a un progetto.

$
curl -X PATCH https://api.frame.io/v4/accounts/:account_id/projects/:project_id/users/:user_id \
>
     -H "Authorization: Bearer <token>" \
>
     -H "Content-Type: application/json" \
>
     -d '{
>
  "data": {
>
    "role": "full_access"
>
  }
>
}'

Progetti limitati

I progetti limitati richiedono un invito diretto. L’accesso all’area di lavoro non si può trasferire automaticamente,

perciò gli utenti possono accedere a un progetto limitato solo se sono stati aggiunti direttamente.

Per concedere l’accesso a un membro, aggiungilo al progetto con il livello di autorizzazione appropriato.

Endpoint delle autorizzazioni del progetto

Risorse

Risorse aggiuntive che potrebbero esserti utili:

• Il forum per sviluppatori di Frame.io è dove gli sviluppatori possono fare domande, condividere feedback e parlare di ciò che stanno creando
• Articolo del centro assistenza su ruoli e autorizzazioni degli utenti
• L’Authorization Cheat Sheet di OWASP, per informazioni aggiuntive sul controllo dell’accesso basato su relazioni e attributi