Groupes et profils

Les droits s'organisent sur trois niveaux, du plus fin au plus large :

permission          →     profil          →     groupe        →   utilisateur
« écrire une KB »         « Création            « Manageur »
                            pipeline »

• Une permission est un droit élémentaire, exprimé comme une ressource et une action : lire les pipelines, écrire les bases de connaissances, exécuter une indexation. La liste est figée par l'application ; elle n'est pas modifiable.
• Un profil est un paquet nommé de permissions. Il correspond à un métier : « Création pipeline », « Gestion des équipes », « Configuration système ».
• Un groupe rassemble plusieurs profils. C'est le seul objet qu'on attribue à un utilisateur, et chacun n'en porte qu'un.

Les permissions effectives d'un compte sont l'union de celles de tous les profils de son groupe.

:::note Une seule règle implicite Cocher Écriture sur une ressource donne toujours Lecture sur la même ressource : qui peut modifier peut consulter. Aucune autre permission n'en implique une autre — notamment, Exécution n'implique rien. :::

Les quatre groupes livrés

Chaque organisation démarre avec quatre groupes prêts à l'emploi. Ils sont entièrement modifiables : renommez-les, ajoutez-leur des profils, ou créez les vôtres.

Groupe	Profils inclus	Pour qui
Vérification document	Vérification document	L'utilisateur métier : il soumet des documents et lit les annotations.
Manageur	Vérification document + Création pipeline + Gestion des équipes	Il construit les pipelines et pilote les équipes.
Administrateur	Configuration utilisateurs, données, IA, système, abonnement	Il administre l'organisation.
FinOps	Gestion statistique et finances + Accès factures	Il suit la consommation, les coûts et la facturation.

:::warning L'administrateur ne fait plus tout Le groupe Administrateur n'a aucun droit métier : ni pipeline, ni base de connaissances, ni agent. C'est une séparation des tâches voulue. Un administrateur qui doit aussi construire des pipelines s'ajoute le profil « Création pipeline » à son propre groupe — il en a le droit. :::

Les dix profils livrés

Profil	Ce qu'il ouvre
Vérification document	Interface Utilisateur ; lecture et exécution des pipelines
Création pipeline	Interfaces Utilisateur et Manager ; pipelines, agents, bases de connaissances et leurs documents, indexation, profils RAG, compétences, correspondances, benchmarks, modèles IA, intercepteurs, clés API
Gestion statistique et finances	Interface Manager ; statistiques, coûts, ROI et tarifs
Gestion des équipes	Interface Manager ; création des équipes et affectation des membres
Configuration utilisateurs	Interface Admin ; comptes, profils et groupes
Configurations données	Interface Admin ; espaces de stockage, vecteurs, bases externes, rétention
Configuration IA	Interface Admin ; fournisseurs de modèles, connecteurs MCP, politique des compétences
Configuration système	Interface Admin ; paramètres, SSO, pare-feu, messagerie, tâches planifiées
Configuration abonnement	Interface Admin ; plan souscrit
Accès factures	Onglet Factures

Gestion

Depuis Admin → Utilisateurs → Groupes et Admin → Utilisateurs → Profils (permission Profils et groupes — écriture) :

• Créer un profil : un nom, une description, et la matrice des permissions à cocher (une ligne par ressource, une colonne par action). Le bouton « Tout / rien » de fin de ligne coche ou décoche la ressource entière.
• Créer un groupe : un nom et les profils qu'il rassemble. La fenêtre affiche en direct ce que la sélection donnera réellement.
• Modifier un profil ou un groupe : l'effet s'applique immédiatement à tous les comptes concernés, à leur prochaine requête.
• Supprimer : un profil encore utilisé par un groupe est refusé ; un groupe encore attribué à un utilisateur aussi. Il faut d'abord vider la référence.

Deux garde-fous

• Nul ne confère plus que ce qu'il détient. Un titulaire du seul profil « Configuration utilisateurs » ne peut pas attribuer un groupe portant des droits système ou données : sans cette règle, il s'accorderait en un clic ce qu'il n'a pas.
• Nul ne modifie un compte plus privilégié que le sien. Sans cette règle, il suffirait de réinitialiser le mot de passe de l'administrateur pour prendre sa place. Ce contrôle porte sur les droits d'administration, pas sur les droits métier : un administrateur peut donc parfaitement gérer le compte d'un manageur.

Un compte sans groupe

Un utilisateur sans groupe n'a aucune permission : il peut se connecter, mais aucun écran ne s'ouvre. C'est délibéré — un compte non rattaché est un compte qu'on a oublié de configurer, pas un compte libre. L'écran Admin → Utilisateurs le signale explicitement.