Skip to content

doc: retirer les groupes environnement RO/RW de la hiérarchie Keycloak #129

New issue

Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.

Sign up for GitHub

By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.

Already on GitHub? Sign in to your account

Open
shikanime wants to merge 1 commit into
base: main
Choose a base branch
from
Open

doc: retirer les groupes environnement RO/RW de la hiérarchie Keycloak #129

Show file tree
Hide file tree
Changes from all commits
Commits
Show all changes
1 commit
Select commit
File filter

Filter by extension

Filter by extension
Conversations
Failed to load comments.
Loading
Jump to
Jump to file
Failed to load files.
Loading
Diff view
Diff view
3 changes: 1 addition & 2 deletions docs/guide/rbac/keycloak.md
View file
Open in desktop
Original file line number Diff line number Diff line change
Expand Up @@ -39,7 +39,6 @@ La Console crée et réconcilie automatiquement l'arborescence suivante, propag
| `/<slug>/console/developer` | Groupe projet **developer** | Tous les outils (selon outil) |
| `/<slug>/console/security` | Groupe projet **security** | Tous les outils (audit/lecture) |
| `/<slug>/console/reader` | Groupe projet **reader** | Tous les outils (lecture) |
| `/<slug>/console/<env>/<RO\|RW>` | Sous-groupes **environnement** (membres en RO, propriétaires en RW) | ArgoCD (`/<slug>/console/<env>/<RO\|RW>`) |
| `/<slug>/grafana/<hprod\|prod>-<RO\|RW>` | Sous-groupes **Grafana** (environnement-scoped) | Grafana |
| Groupes `AdminRole` liés via `oidcGroup` | Rôles admin Console | — |

Expand All @@ -48,7 +47,7 @@ La Console crée et réconcilie automatiquement l'arborescence suivante, propag
## 3. Points d'attention

- **`/admin` est le seul groupe plateforme admin.** Groupe d'amorçage géré en dehors de la Console ; il ne porte des droits que sur la Console CPiN (aucune propagation vers les outils).
- **Groupes environnement vs groupes projet.** ArgoCD et Grafana s'appuient sur des sous-groupes **environment-scoped** (`<env>/RO|RW`, `grafana/<hprod|prod>-RO|RW`). Les autres outils s'appuient sur les groupes **projet-role** (`/<slug>/console/{admin,devops,developer,reader,security}`).
- **Groupes environnement vs groupes projet.** Seul Grafana s'appuie sur des sous-groupes **environment-scoped** (`grafana/<hprod|prod>-RO/RW`). Tous les autres outils, y compris ArgoCD, s'appuient sur les groupes **projet-role** (`/<slug>/console/{admin,devops,developer,reader,security}`).
- **Security / Reader sont des portées de lecture/audit**, jamais d'écriture, sur la plupart des outils.
- **Utilisateurs tiers (IDP externe).** Aucun groupe par défaut n'est attribué ; ils n'ont aucun droit tant qu'un membre les ajoute à un projet avec le niveau adéquat.

Expand Down
5 changes: 1 addition & 4 deletions docs/platform/iam.md
View file
Open in desktop
Original file line number Diff line number Diff line change
Expand Up @@ -14,15 +14,12 @@ La Console reste la source de vérité des droits ; les services externes consom

## Groupes et rôles

La Console maintient une hiérarchie de groupes Keycloak par projet pour matérialiser les rôles et la séparation RO/RW des environnements :
La Console maintient une hiérarchie de groupes Keycloak par projet pour matérialiser les rôles :

```txt
/<projectSlug>
/console
/<role-group-path...>
/<environmentName>
/RO
/RW
```

La Console maintient ces groupes automatiquement (création des groupes manquants, mise à jour des appartenances et nettoyage des groupes orphelins).
Expand Down
Loading