Comprendre les rôles et les permissions

Dans Illizeo, ce qu’une personne voit et peut faire dépend de ses rôles. Cet article explique comment un rôle est construit, comment Illizeo combine les rôles d’une même personne et ce que voit quelqu’un qui n’a pas le droit. Il s’adresse aux administrateurs qui configurent les droits de l’espace.

Avant de commencer #

• Les rôles se règlent dans Paramètres › Gérer les employés › Rôles des employés. La page s’intitule Rôles et permissions.
• Pour ouvrir cette page, il faut deux droits de la matrice des rôles, au palier Accès au moins : « Accès aux Paramètres » (rubrique Administration de la plateforme) et « Voir les cartes de rôles » (rubrique Rôles et permissions). Par défaut, seul le rôle Administrateur les détient tous les deux.
• Un bandeau rappelle en haut de la page : « Contrôlez et testez vos rôles avant d’ouvrir Illizeo à vos employés ». Vérifiez les permissions, la population cible et les membres de chaque rôle, puis testez l’accès de quelques profils types.

Un rôle, trois réglages #

Un rôle répond à trois questions, chacune réglée à un endroit précis de la page.

Un rôle est donc un ensemble de permissions, exercé sur une population, par les personnes qui le détiennent. Le rôle Manager livré en est l’exemple type : ses permissions lui permettent par exemple de fixer des objectifs ; sa population cible est « Mes N-1 (Manager) » ; il est détenu automatiquement par toute personne désignée comme manager dans le profil d’un salarié.

Comment Illizeo décide #

• Les rôles se cumulent, rôle par rôle. Une personne peut détenir plusieurs rôles. Une action sur un salarié est permise quand un même rôle accorde le palier nécessaire et compte ce salarié dans sa population cible. La permission d’un rôle ne s’exerce jamais sur la population d’un autre rôle : un rôle à population globale n’élargit pas les droits de vos autres rôles.
• Sur soi-même. Agir sur ses propres données ne passe pas par la population cible : il suffit qu’un de ses rôles accorde la permission. Un rôle peut toutefois exclure son titulaire avec le réglage « Exclure l’employé lui-même ». Il suffit alors d’un autre rôle qui accorde la même permission sans exclure son titulaire.
• Sans salarié visé. Pour un geste qui ne porte sur personne, comme ouvrir un module ou une page de réglage, le palier détenu suffit.
• Salariés partis. Un salarié inactif ne détient plus aucun droit, administrateur compris. Seul le rôle Ancien collaborateur garde, pendant l’accès après départ, la consultation de ses propres documents.
• Rôles en pause. Un rôle désactivé, ou un rôle temporaire en dehors de ses dates, ne donne plus rien à ses membres.

Les paliers #

La matrice compte deux sortes de lignes :

• Les fonctions se règlent sur une échelle à quatre niveaux : Aucun, Accès (voir), Exécuter (agir : créer, modifier, lancer) et Admin (les gestes les plus sensibles de la fonction, quand elle en a). Chaque palier comprend les précédents : Exécuter inclut Accès.
• Les champs du profil des employés se règlent par cinq cases indépendantes : Lire, Modifier, Ajouter, Supprimer et Historique. Cocher une case coche aussi Lire.

Les rôles fournis #

Chaque espace reçoit des rôles prêts à l’emploi, marqués du badge ILLIZEO. Ils ne se renomment pas et ne se suppriment pas, mais leurs permissions et leurs populations se modifient comme celles de vos propres rôles, et ils se dupliquent.

Les permissions livrées sont un point de départ. Les droits propres à chaque module, et leur répartition par défaut entre ces rôles, sont décrits dans l’article « Administrer le module » de chaque module, par exemple Administrer le module Gestion des absences ou Administrer le module Performance.

Ce que voit une personne sans le droit #

• Sans la permission, l’entrée n’existe pas pour elle : le menu, l’onglet, la tuile, le bouton ou le raccourci ne s’affiche pas, plutôt que d’apparaître grisé.
• Avec le seul palier Accès, une fonction se consulte sans pouvoir agir : les boutons d’action ne s’affichent pas.
• Si elle saisit directement l’adresse d’une page qui ne lui est pas ouverte, elle arrive sur la page Accès refusé.
• Les permissions d’un module non installé n’apparaissent pas dans la matrice. Les réglages déjà faits sont conservés et reviennent si le module est réinstallé.

Vérifier les droits d’une personne #

Le bloc Permissions effectives par employé donne la vue combinée de tous les rôles d’une personne. Il s’affiche sous la fiche du rôle quand l’onglet Population autorisée ou Historique est ouvert.

1. Cliquez sur Sélectionner un employé… et choisissez la personne.
2. Illizeo affiche ses rôles, puis chaque permission avec son Niveau effectif (le plus élevé parmi ses rôles) et sa Source (le rôle qui l’apporte).

Ce niveau ne dit pas sur qui il s’exerce : reportez-vous à la population cible du rôle source. La même vue existe dans l’onglet Rôles du profil de chaque employé.

Qui peut gérer les rôles #

La gestion des rôles a sa propre rubrique dans la matrice, Rôles et permissions. Par défaut, le rôle Administrateur détient tous ses droits au palier Admin ; Responsable RH, Gestionnaire Paie et Auditeur ont le palier Accès sur les droits de consultation (voir les rôles, le périmètre, les exclusions, les membres et la matrice).

Les gestes de modification demandent le palier Exécuter. Toute modification d’un critère de population, sur l’un ou l’autre onglet, demande en plus « Configurer membres dynamiques (pools de critères) » au palier Exécuter.

À savoir #

• Un administrateur reste toujours. Illizeo refuse tout changement qui retirerait le palier Admin de « Modifier les permissions » ou de « Ajouter un membre individuel » au dernier rôle actif qui le détient, ou au dernier membre actif nommé d’un tel rôle.
• Pas d’auto-promotion. Modifier la matrice d’un rôle que l’on détient soi-même, ou d’un rôle d’administration, demande le palier Admin de « Modifier les permissions ». S’ajouter soi-même à un rôle, ou ajouter quelqu’un à un rôle d’administration, demande le palier Admin de « Ajouter un membre individuel ».
• La séparation des tâches et la revue des habilitations sont décrites dans Gouvernance & Sécurité. L’obligation de double authentification par rôle se règle dans Paramètres › Gérer les employés › Sécurité (voir Sécurité & conformité).
• Un rôle peut aussi désigner les approbateurs d’un workflow : voir Flux & approbations.

Questions fréquentes #

Un salarié a deux rôles : lequel l’emporte ? #

Aucun ne l’emporte sur l’autre. Chaque rôle s’applique sur sa propre population cible, et le salarié peut faire tout ce qu’un de ses rôles lui permet, sur les personnes que ce rôle couvre.

Un responsable RH ne voit pas la page Rôles des employés. #

Par défaut, le rôle Responsable RH n’a pas « Accès aux Paramètres ». Il consulte les rôles d’une personne dans l’onglet Rôles de son profil. Accordez-lui « Accès aux Paramètres » si vos RH doivent ouvrir la page.