# Gérer l'équipe de votre tableau de bord L'équipe de votre tableau de bord regroupe les personnes qui travaillent dans votre compte KeenAuth : elles configurent les environnements, s'occupent des utilisateurs finaux et gèrent la facturation. Les membres de l'équipe sont distincts de vos utilisateurs finaux et des administrateurs des organisations de vos clients. Ouvrez **Équipe** dans le tableau de bord pour consulter les membres, les invitations en attente et, sur Enterprise, les rôles personnalisés. Une même personne peut appartenir à plusieurs comptes KeenAuth avec le même identifiant de connexion. Le sélecteur de compte dans la barre supérieure permet de passer de l'un à l'autre. Lorsque le compte vers lequel vous basculez nécessite un autre identifiant de connexion, le tableau de bord vous demande de vous reconnecter pour ce compte. ## Rôles intégrés Chaque membre détient une ou plusieurs attributions de rôle. Un rôle attribué pour l'ensemble du compte s'applique à chaque projet et à chaque environnement du compte. | Rôle | Ce qu'il permet | |---|---| | `owner` | Tout, y compris la clôture du compte, le transfert de propriété, la création d'environnements `production`, la suppression d'environnements, la modification du mode d'émetteur, ainsi que les changements de forfait et de facturation. | | `admin` | Tout ce que peut faire un propriétaire, à l'exception des actions réservées aux propriétaires mentionnées ci-dessus et de la facturation. Gère l'équipe et les rôles personnalisés, mais ne peut pas inviter, attribuer, révoquer ou retirer un propriétaire. | | `developer` | Lit et écrit la configuration des environnements (applications, connexions, image de marque, hooks et éléments similaires). Crée des clés d'API de gestion et des clients de gestion uniquement dans les environnements `development` et `staging`. Voit les données personnelles des utilisateurs finaux masquées et ne peut pas agir sur ces utilisateurs. | | `support` | Lit la configuration, les journaux et les événements d'audit, et agit sur les utilisateurs finaux : blocage, fin de sessions, réinitialisation des identifiants, suppression d'utilisateurs. Voit les données personnelles des utilisateurs finaux en intégralité. Ne peut pas modifier la configuration. | | `billing` | Consulte l'utilisation, le forfait et les factures, et modifie le forfait. N'a pas accès à la configuration des environnements ni aux utilisateurs finaux. | | `viewer` | Lit la configuration, les journaux, les événements d'audit et l'utilisation. Voit les données personnelles des utilisateurs finaux masquées. | Tous les rôles peuvent consulter la liste de l'équipe. Les paramètres de sécurité, les clés de signature, les domaines personnalisés, l'export et l'import en masse, ainsi que les autorisations d'accès du support de la plateforme sont réservés aux rôles `owner` et `admin`. ### Actions nécessitant une connexion récente Certaines actions ne sont acceptées que si vous vous êtes connecté au cours des 5 dernières minutes. Sinon, le tableau de bord vous demande de vous reconnecter, puis poursuit l'action : - inviter des membres, attribuer et révoquer des rôles, retirer des membres - créer, modifier et supprimer des rôles personnalisés - transférer la propriété et clôturer le compte - créer des environnements `production`, supprimer des environnements et modifier le mode d'émetteur - modifier le forfait et la facturation - accorder un accès au support de la plateforme et modifier les paramètres de sécurité du tableau de bord ## Inviter un membre Seul un `owner` ou un `admin` peut inviter. Un `admin` ne peut pas inviter quelqu'un en tant que `owner`. 1. Ouvrez **Équipe**, puis choisissez **Inviter un membre**. 2. Saisissez l'adresse e-mail, le rôle et la portée. Le rôle `owner` ne peut être attribué que pour l'ensemble du compte. Les portées par projet et par environnement nécessitent le forfait Enterprise ; voir « Rôles personnalisés et attributions limitées » ci-dessous. 3. Choisissez **Créer l'invitation**. Le tableau de bord n'affiche le lien d'invitation qu'une seule fois. Copiez-le à ce moment-là : il ne pourra plus être affiché. Le tableau de bord indique également si un e-mail d'invitation a été envoyé à la personne invitée. Cet e-mail est rédigé dans la langue de votre tableau de bord, ou en anglais. Si aucun e-mail n'a été envoyé, transmettez le lien à la personne invitée par un canal de confiance. Limites : - Une invitation expire 7 jours après sa création. - Un compte peut créer au maximum 50 invitations en 24 heures et compter au maximum 100 invitations en attente. - Une adresse ne peut avoir qu'une seule invitation en attente dans un compte à la fois. Pour retirer une invitation, ouvrez **Invitations** et choisissez **Révoquer l'invitation**. Le lien cesse immédiatement de fonctionner. ### Accepter une invitation La personne invitée ouvre le lien et se connecte au tableau de bord. L'invitation ne peut être acceptée que par un utilisateur du tableau de bord dont l'adresse e-mail principale vérifiée correspond à l'adresse invitée ; se connecter avec une autre adresse ne fonctionne pas. Après acceptation, le membre est actif avec le rôle invité. Une invitation porte les droits du membre qui l'a envoyée. Si ce membre n'est plus un membre actif au moment où le lien est utilisé, ou ne peut plus accorder le rôle invité, l'invitation ne fonctionne plus. Un lien expiré, déjà utilisé, révoqué ou inconnu, ainsi qu'un lien ouvert avec la mauvaise adresse, affichent tous le même message : demandez à la personne qui vous a invité un nouveau lien. ## Modifier des rôles et retirer des membres Depuis le menu du membre dans **Membres** : - **Attribuer un rôle** ajoute une attribution. Un membre peut détenir plusieurs attributions ; le même rôle avec la même portée ne peut pas être attribué deux fois. - **Révoquer** supprime une attribution. - **Retirer le membre** supprime toutes les attributions du membre et met fin à son appartenance. Le membre perd immédiatement l'accès au compte. Un `admin` ne peut pas révoquer le rôle `owner` d'un propriétaire ni retirer un propriétaire. Le dernier `owner` actif d'un compte ne peut ni être retiré ni perdre le rôle `owner`, afin qu'un compte dispose toujours d'un propriétaire. Lorsqu'un rôle est révoqué ou qu'un membre est retiré, les sessions du tableau de bord de cette personne et son accès au compte sont également révoqués. Voir [Sécurité de l'accès au tableau de bord](/docs/security/dashboard-access). ## Transférer la propriété Seul un `owner` peut transférer la propriété. Le nouveau propriétaire doit être un autre membre actif, qui n'est pas déjà propriétaire et qui s'est connecté au tableau de bord avec l'authentification multifacteur au moins une fois. Choisissez **Transférer la propriété** dans le menu du membre et saisissez l'identifiant du membre pour confirmer. En une seule étape, le membre devient `owner` et votre propre rôle `owner` devient `admin`. Seul un propriétaire peut vous redonner le rôle de propriétaire. ## Rôles personnalisés et attributions limitées Les rôles personnalisés et les attributions limitées à un projet ou à un environnement sont disponibles avec le forfait Enterprise. Sur les autres forfaits, le tableau de bord affiche l'onglet **Rôles personnalisés** accompagné d'un avis de forfait, et l'attribution d'un rôle personnalisé ou d'un rôle limité est refusée. ### Créer un rôle personnalisé Les membres `owner` et `admin` gèrent les rôles personnalisés sous **Équipe** > **Rôles personnalisés**. - **Clé du rôle** : de 3 à 40 caractères parmi les lettres minuscules, les chiffres et les tirets bas, commençant par une lettre. Elle ne peut pas reprendre le nom d'un rôle intégré et ne peut pas être modifiée ultérieurement. - **Nom** : de 1 à 100 caractères. - **Autorisations** : autorisations de l'API de gestion applicables dans les environnements où le rôle est attribué, au maximum 200. - **Actions du tableau de bord** : actions sur le compte, le projet, l'environnement et la facturation dans le tableau de bord. Un rôle doit comporter au moins une autorisation ou une action du tableau de bord. Ces limites s'appliquent : - Les actions réservées aux propriétaires (clôture du compte, transfert de propriété, création d'environnements `production`, suppression d'environnements, modification du mode d'émetteur) ne peuvent pas faire partie d'un rôle personnalisé. - Vous ne pouvez accorder que les autorisations et actions que votre propre rôle détient dans un environnement `production`. Le tableau de bord ne propose que celles-ci. - Pour modifier un rôle, vous devez détenir tout ce qui figure à la fois dans son contenu actuel et dans son nouveau contenu. Si un rôle accorde davantage que votre propre rôle, demandez à un propriétaire du compte de le modifier. - Un rôle encore attribué ou désigné par une invitation en attente ne peut pas être supprimé. Révoquez-les d'abord. La suppression reste possible même après que le compte a quitté le forfait Enterprise. Inviter des membres, attribuer des rôles et gérer les rôles personnalisés nécessitent toujours le rôle intégré `owner` ou `admin` pour l'ensemble du compte ; un rôle personnalisé n'accorde pas ces actions sur l'équipe. ### Attributions limitées Un rôle peut être attribué pour l'ensemble du compte, pour un seul projet (chaque environnement de ce projet) ou pour un seul environnement. Le projet ou l'environnement doit appartenir au compte. Un membre qui ne dispose que d'attributions limitées ne voit que les projets et environnements couverts par ces attributions, et n'accède au tableau de bord que pour ces environnements. Lorsque plusieurs attributions couvrent le même environnement, le membre dispose là-bas des autorisations de toutes. Le rôle `owner` ne peut pas être limité. ## Pages associées - [Sécurité de l'accès au tableau de bord](/docs/security/dashboard-access) - [Isolation des données entre environnements](/docs/security/tenant-isolation)