Configuration des utilisateurs et permissions

KaliaOps utilise un système de contrôle d'accès basé sur les rôles (Role-Based Access Control) pour gérer finement qui peut accéder à quoi dans votre instance. Ce système repose sur trois concepts clés :

Utilisateurs

Les personnes qui se connectent à KaliaOps. Chaque utilisateur possède un email unique, un mot de passe et peut être lié à un employé de votre organisation.

Rôles

Des ensembles de permissions qui définissent ce qu'un utilisateur peut faire. Un utilisateur se voit attribuer un rôle qui détermine ses droits d'accès.

Permissions

Les actions élémentaires autorisées ou non : voir, créer, modifier, supprimer. Chaque permission est associée à une ressource (assets, incidents, contrats, etc.).

Ce système permet d'appliquer le principe du moindre privilège : chaque utilisateur n'a accès qu'aux fonctionnalités strictement nécessaires à son travail.

KaliaOps propose 4 rôles système prédéfinis qui couvrent les besoins les plus courants. Ces rôles ne peuvent pas être supprimés mais vous pouvez créer des rôles personnalisés si nécessaire.

Administrateur

Accès complet à toutes les fonctionnalités de l'instance. L'administrateur peut :

• Gérer tous les utilisateurs, rôles et permissions
• Configurer les paramètres du tenant (SSO, webhooks, API)
• Accéder à tous les modules CMDB et ITSM
• Consulter les journaux d'audit
• Exporter toutes les données

Scope par défaut : Tout le tenant

Manager

Accès étendu avec des capacités de gestion au niveau organisationnel :

• Créer, modifier et supprimer des entités CMDB et ITSM
• Gérer les employés et équipes de son organisation
• Valider les changements et clôturer les incidents
• Accéder aux rapports et tableaux de bord

Scope par défaut : Organisation

Technicien

Accès opérationnel pour le travail quotidien :

• Consulter et modifier les entités CMDB
• Gérer les incidents, problèmes et demandes assignés
• Créer des articles de base de connaissances
• Utiliser les outils d'analyse d'impact

Scope par défaut : Équipe

Lecteur

Accès en consultation uniquement :

• Visualiser les entités CMDB et ITSM
• Consulter les tableaux de bord
• Accéder à la base de connaissances

Scope par défaut : Données personnelles

KaliaOps propose plus de 115 permissions granulaires organisées par catégorie. Chaque permission suit le format ressource.action.

Actions disponibles

Catégories de permissions

CMDB

assets, applications, contracts, vendors, clients, vlans, racks, network_flows

ITSM

incidents, problems, changes, service_requests, sla, workflows

Organisation

organizations, teams, employees, sites, projects

Administration

users, roles, api_tokens, webhooks, imports, exports, audit_logs

Permissions spéciales

Certaines permissions contrôlent des fonctionnalités avancées :

• dependencies.view : Visualiser les dépendances entre entités
• impact_analysis.view : Utiliser l'outil d'analyse d'impact
• predictive_analytics.view : Accéder aux analyses prédictives
• sso.manage : Configurer l'authentification SSO
• cloud_connections.sync : Lancer une synchronisation cloud

Les scopes définissent le périmètre des données accessibles pour chaque permission. Un utilisateur peut avoir la permission de voir les assets, mais uniquement ceux de son équipe.

Les 4 niveaux de scope

all - Tout le tenant

Accès à toutes les données de l'instance. Réservé aux administrateurs et aux rôles de supervision globale.

organization - Organisation

Accès aux données de l'organisation de l'utilisateur et de ses sous-organisations. Idéal pour les managers de département ou de filiale.

team - Équipe

Accès aux données de l'équipe de l'utilisateur. Adapté aux techniciens et aux membres d'équipe projet.

own - Données personnelles

Accès uniquement aux entités créées par l'utilisateur ou qui lui sont explicitement assignées.

Exemple pratique

Un technicien du support avec le scope « équipe » sur les incidents :

• Peut voir : les incidents assignés à son équipe
• Peut modifier : les incidents assignés à son équipe
• Ne peut pas voir : les incidents des autres équipes

KaliaOps intègre un système de protection des champs sensibles (FieldGuard) qui masque automatiquement certaines informations selon les permissions de l'utilisateur.

Champs protégés par ressource

Comportement

Lorsqu'un utilisateur n'a pas la permission de voir un champ sensible :

• Dans les vues détaillées : le champ affiche ***
• Dans les exports : le champ est omis ou masqué
• Dans l'API : le champ n'est pas inclus dans la réponse

Cette protection s'applique automatiquement, sans configuration supplémentaire.

Principe du moindre privilège

Attribuez toujours le rôle avec le minimum de permissions nécessaires. Il est plus facile d'ajouter des droits que de les retirer après un incident de sécurité.

Authentification à deux facteurs

Le 2FA est obligatoire pour les administrateurs mais nous recommandons fortement de l'activer pour tous les utilisateurs. KaliaOps supporte les applications TOTP standards (Google Authenticator, Authy, Microsoft Authenticator).

Révision régulière des accès

Planifiez une revue trimestrielle des utilisateurs et de leurs rôles :

• Désactivez les comptes des collaborateurs ayant quitté l'entreprise
• Vérifiez que les rôles correspondent toujours aux responsabilités actuelles
• Consultez les journaux d'audit pour détecter les anomalies

Utilisation des scopes

Privilégiez les scopes restrictifs (équipe, organisation) plutôt que « tout le tenant ». Cela limite l'impact d'une compromission de compte.

Liaison utilisateur-employé

Liez systématiquement les comptes utilisateurs aux fiches employés. Cela facilite :

• L'identification des personnes dans les journaux d'audit
• La désactivation automatique lors du départ d'un collaborateur
• L'attribution d'incidents et de demandes aux bonnes personnes