Rôles et permissions

Ce qui détermine si vous pouvez voir un écran, et les deux choses qu'un rôle ne peut pas vous faire ignorer.

L'accès se fait par rôle. Un rôle correspond à un ensemble d'autorisations de modules et d'actions, propres à chaque entreprise. Chaque entreprise possède son propre ensemble de rôles et son propre administrateur, et un rôle ne peut être attribué qu'à un utilisateur appartenant à sa propre entreprise.

Quelles autorisations sont réellement nécessaires ?

• La navigation. Un module inaccessible n'a pas d'onglet ; un écran inaccessible n'a ni vignette ni résultat de recherche.
• L'API. Chaque point de terminaison effectue une vérification, de sorte que le système retient la requête quelle que soit sa provenance : la console, une importation, une tâche planifiée ou une requête ASK.
• Rapports. Chaque cube est vérifié à chaque requête, de sorte qu'un rapport ne constitue pas une porte d'entrée plus facile vers les données que les écrans protègent.

Deux choses qu'un rôle ne vous permet pas de contourner

• Séparation des tâches. Lorsque la plateforme requiert deux personnes (par exemple, pour le calcul et l'approbation de la paie), le fait qu'une seule personne occupe les deux rôles simultanément ne permet pas de les effectuer en une seule opération.
• L'historique des opérations. Les connexions, les déconnexions et les changements de rôle sont systématiquement enregistrés et ne peuvent être désactivés par quiconque, même par un administrateur.

Chaque écran peut être mis en jeu

Un rôle qui n'est pas configuré pour toutes les actions ne voit que les écrans auxquels il a accès. Tous les écrans de la console peuvent faire l'objet d'une autorisation, y compris les tableaux, les ateliers et les rapports sans enregistrements propres : le tableau TRS, l'atelier MRP, le pipeline d'approvisionnement et tous les rapports analytiques. Sur ces derniers, seule l'autorisation d'affichage est pertinente ; les trois autres ne sont donc pas proposées. Les écrans accessibles uniquement à un administrateur (utilisateurs, rôles, paramètres d'exécution, etc.) ne figurent pas dans la grille, car une autorisation sur ces écrans serait sans effet.

Chaque module possède également un tableau de bord affichant ses statistiques, ses alertes et l'activité récente sur sa page d'accueil. Cochez la case « Affichage » pour un rôle restreint qui ne peut y accéder ; un rôle disposant de l'accès à toutes les actions dans ses modules y a déjà accès.

Les lignes d'un document en font partie intégrante. L'autorisation « Réponses » sous Chaîne d'approvisionnement → Approvisionnement stratégique inclut les lignes de la réponse : il n'existe pas d'autorisation distincte « Lignes de réponse », et seule la modification de l'en-tête permet d'ajouter ou de modifier une ligne.

Ce que chaque autorisation permet à une personne de faire

Chaque bouton permettant de modifier un élément correspond aux autorisations affichées à l'écran. La création d'un enregistrement correspond à une « ajout ». Toute action effectuée sur un enregistrement existant (approbation, validation, réception, libération, soumission, annulation, rétrogradation, modification des lignes) correspond à une « modification ». La suppression d'un enregistrement correspond à une « suppression ». La lecture, l'exécution d'un rapport ou l'affichage d'un aperçu correspondent à un affichage. Un rôle disposant uniquement du droit d'affichage sur les bons de commande permet de consulter une commande, mais ne peut ni l'approuver, ni la recevoir, ni y ajouter de ligne ; un rôle disposant du droit de « modification » le permet.

L'éditeur de rôles précise cela sur chaque ligne : « Modifier également : recevoir, soumettre pour approbation, modifier les lignes ». Chaque autorisation requise par un bouton est associée à une case à cocher. Les approbations attribuées à une personne ou un rôle spécifique ne peuvent être décidées que par cette personne ou ce rôle, et une règle d'approbation ne peut être enregistrée si elle est attribuée à un rôle qui ne peut pas ouvrir l'approbation.

Il en va de même en dehors des modules : l’ajout ou la suppression d’un document, les valeurs des champs personnalisés, les classifications, un lecteur connecté, l’importation d’une feuille de calcul, ainsi que l’annulation ou le remboursement d’une facture ou d’une commande nécessitent tous l’autorisation sur l’écran auquel appartient l’enregistrement.

Trouver un utilisateur parmi des centaines

La section Plateforme → Accès → Utilisateurs propose les mêmes options de recherche et de conditions que les autres listes : saisissez une partie d’un nom, une adresse e-mail ou un rôle, ou ajoutez une condition (par exemple : « Statut désactivé », « Rôles » inclut le secteur de la finance). Si l’adresse e-mail d’un nouvel utilisateur est déjà utilisée, son inscription sera refusée directement dans le formulaire « Nouvel utilisateur », là où vous saisissez les informations, et non dans la liste qui s’affiche en arrière-plan.

Trouver un rôle

• La section Plateforme → Accès → Rôles comporte une barre de recherche et de filtrage comme n'importe quelle liste : saisissez une partie du nom, du code ou de la description d'un rôle, ou le nom d'un module auquel il donne accès.
• Dans le tiroir Utilisateurs, où les rôles sont cochés pour une personne, la fonction Rechercher un rôle permet de restreindre la liste lorsqu'une entreprise compte de nombreux rôles.
• Les sélecteurs qui choisissent un rôle pour une limite de signature peuvent être recherchés de la même manière.

Les personnes qui se sont connectées avant de se voir attribuer un rôle

Lorsque l'authentification unique est configurée pour créer un compte pour les nouveaux utilisateurs, toute personne se connectant à l'annuaire de votre entreprise sans compte TRANXACT se voit attribuer un compte lui donnant uniquement accès à l'assistance. La liste des utilisateurs affiche la mention « Compte créé lors de la première connexion ». Ouvrez la fiche utilisateur, attribuez-lui son rôle réel ; ce changement sera pris en compte sur son prochain écran. Consultez la section « Première connexion via l'annuaire de votre entreprise ».

Les rapports ne dépassent pas les modules.

Un rapport qui s'appuie sur plusieurs modules simultanément ne répond qu'aux besoins des utilisateurs dont les fonctions permettent d'accéder à ces modules. Un utilisateur qui consulte uniquement l'Aide et le support, ou seulement le tableau de bord d'un module, n'en verra aucun.

Un nouvel écran est accordé comme n'importe quel autre

Les fonctionnalités « Détails des immobilisations », « Étiquettes des immobilisations » et « Récupération de documents », relevant de la chaîne d'approvisionnement, sont gérées séparément : le comptage des actifs nécessite l'ajout de la fonctionnalité « Détails des immobilisations », l'impression des étiquettes nécessite l'ajout de la fonctionnalité « Étiquettes des immobilisations » et la recherche d'un document de matériel s'affiche dans la fonctionnalité « Récupération de documents ». Les rôles au sein de l'entrepôt et le comptable des immobilisations disposent des ressources nécessaires à leur travail.

CRM → Contacts des prospects : les personnes associées à chaque prospect sont gérées comme n’importe quel autre écran : ajouter pour créer ou importer des contacts, modifier pour les éditer, afficher pour les consulter, supprimer pour les retirer. Un rôle de gestion des prospects nécessite généralement à la fois les rôles « Prospects » et « Contacts des prospects ».

Chaque écran ajouté par une version peut être attribué à un rôle spécifique sous Plateforme → Rôles, avec les mêmes quatre autorisations que les autres : ajouter, modifier, afficher et supprimer. Les certificats, les politiques de rétention, les exécutions de rétention et les enregistrements archivés sont les plus récents. Seul l’administrateur peut y accéder sans autorisation spécifique liée à un rôle.

L'accès au cockpit de migration et à l'état de préparation à la migration peut également être attribué par rôle. Dans le cockpit, l'ajout correspond au chargement d'un extrait, la suppression à son annulation ou à la réinitialisation du basculement, et toute autre action correspond à une modification. Les rôles de responsable de la migration et de réviseur de mise en production sont prêts à être attribués. Voir « Importation depuis un autre système » → Qui peut faire quoi.

Sur certains écrans, une autorisation a une signification plus profonde que son nom ne le suggère, car l'action qu'elle déclenche est irréversible. Dans les stratégies de rétention, l'exécution d'une purge ou l'activation d'une stratégie de purge nécessite une suppression, et non une modification : une purge supprime les enregistrements, et l'autorisation qui supprime les enregistrements un par un doit être celle qui les supprime par milliers. Voir Conservation et suppression des anciennes données.

Les actions ajoutées fin septembre sont accordées comme les autres, sur l'écran auquel elles appartiennent :

Se connecter en tant que quelqu'un d'autre

Un administrateur chargé d'enquêter sur un problème peut usurper l'identité d'un autre utilisateur pour voir ce qu'il voit. Cette opération nécessite deux approbations, l'accès est en lecture seule sauf autorisation expresse, chaque appel effectué sous cette identité est enregistré comme ayant été passé sous une identité usurpée, et la personne dont l'identité est usurpée peut voir que l'opération a eu lieu.

Since 20 October new shipped roles include Security administrator, Security & AI Governance Admin, Records & Legal Admin, Governance Auditor (read only), Benefits Administrator, GL Interface Administrator, Payroll Auditor (read only), Learning & Development Administrator, HR Auditor, HR Recruiter and EEO Officer. HR Auditor reads the HR screens — people, recruiting, time and leave, learning, skills, performance, benefits, expenses and records — but not payroll; Payroll Auditor reads payroll (runs, payslips, pay rates, tax, garnishments, the GL interface and parallel payroll). A company that wants both gives a person both roles. See HRIS/HCM capability map.