From 427243918f96816c4c6ecde5036db105f8818bf5 Mon Sep 17 00:00:00 2001 From: William Phetsinorath Date: Tue, 20 Oct 2026 07:50:00 +0200 Subject: [PATCH] =?UTF-8?q?doc:=20retirer=20les=20groupes=20environnement?= =?UTF-8?q?=20RO/RW=20de=20la=20hi=C3=A9rarchie=20Keycloak?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit La Console ne crée plus les sous-groupes //console//{RO,RW} : ArgoCD consomme désormais les groupes projet-role uniquement. Seul Grafana conserve des sous-groupes environment-scoped. Co-authored-by: Automata --- docs/guide/rbac/keycloak.md | 3 +-- docs/platform/iam.md | 5 +---- 2 files changed, 2 insertions(+), 6 deletions(-) diff --git a/docs/guide/rbac/keycloak.md b/docs/guide/rbac/keycloak.md index e238429..86bf6dd 100644 --- a/docs/guide/rbac/keycloak.md +++ b/docs/guide/rbac/keycloak.md @@ -39,7 +39,6 @@ La Console crée et réconcilie automatiquement l'arborescence suivante, propag | `//console/developer` | Groupe projet **developer** | Tous les outils (selon outil) | | `//console/security` | Groupe projet **security** | Tous les outils (audit/lecture) | | `//console/reader` | Groupe projet **reader** | Tous les outils (lecture) | -| `//console//` | Sous-groupes **environnement** (membres en RO, propriétaires en RW) | ArgoCD (`//console//`) | | `//grafana/-` | Sous-groupes **Grafana** (environnement-scoped) | Grafana | | Groupes `AdminRole` liés via `oidcGroup` | Rôles admin Console | — | @@ -48,7 +47,7 @@ La Console crée et réconcilie automatiquement l'arborescence suivante, propag ## 3. Points d'attention - **`/admin` est le seul groupe plateforme admin.** Groupe d'amorçage géré en dehors de la Console ; il ne porte des droits que sur la Console CPiN (aucune propagation vers les outils). -- **Groupes environnement vs groupes projet.** ArgoCD et Grafana s'appuient sur des sous-groupes **environment-scoped** (`/RO|RW`, `grafana/-RO|RW`). Les autres outils s'appuient sur les groupes **projet-role** (`//console/{admin,devops,developer,reader,security}`). +- **Groupes environnement vs groupes projet.** Seul Grafana s'appuie sur des sous-groupes **environment-scoped** (`grafana/-RO/RW`). Tous les autres outils, y compris ArgoCD, s'appuient sur les groupes **projet-role** (`//console/{admin,devops,developer,reader,security}`). - **Security / Reader sont des portées de lecture/audit**, jamais d'écriture, sur la plupart des outils. - **Utilisateurs tiers (IDP externe).** Aucun groupe par défaut n'est attribué ; ils n'ont aucun droit tant qu'un membre les ajoute à un projet avec le niveau adéquat. diff --git a/docs/platform/iam.md b/docs/platform/iam.md index ad7f98b..70ac945 100644 --- a/docs/platform/iam.md +++ b/docs/platform/iam.md @@ -14,15 +14,12 @@ La Console reste la source de vérité des droits ; les services externes consom ## Groupes et rôles -La Console maintient une hiérarchie de groupes Keycloak par projet pour matérialiser les rôles et la séparation RO/RW des environnements : +La Console maintient une hiérarchie de groupes Keycloak par projet pour matérialiser les rôles : ```txt / /console / - / - /RO - /RW ``` La Console maintient ces groupes automatiquement (création des groupes manquants, mise à jour des appartenances et nettoyage des groupes orphelins).