Rôles et droits

Ce que fait le contrôle des droits

Chaque utilisateur du portail a un rôle dans son MSP. Le rôle fixe ce que l'utilisateur voit et ce qu'il change. BaaStide a quatre rôles. Les droits de chaque rôle sont fixes : vous ne les modifiez pas.

Deux autres porteurs d'identité appellent BaaStide sans personne devant l'écran : la clé API d'un MSP et l'accès MCP d'un assistant IA. Leurs droits sont décrits plus bas.

Prérequis

• Pour voir votre propre rôle : n'importe quel rôle.
• Pour voir la liste des utilisateurs, inviter un utilisateur ou changer son rôle : le rôle Administrateur.
• Pour créer une clé API ou une clé de provisionnement : le rôle Administrateur plateforme.
• Pour activer l'accès MCP du MSP et voir la liste des accès : le rôle Administrateur.

Les quatre rôles

Rôle	Ce qu'il fait
Administrateur plateforme	Gère tous les MSP et la plateforme. Il a aussi tous les droits du rôle Administrateur, dans le MSP qu'il a choisi comme MSP actif.
Administrateur	Gère les utilisateurs et les sauvegardes, et modifie les paramètres du MSP.
Technicien	Gère les sauvegardes et modifie les paramètres. Il ne gère pas les utilisateurs.
Lecture seule	Voit tout, ne change rien.

Un administrateur de MSP donne les rôles Administrateur, Technicien et Lecture seule. Le rôle Administrateur plateforme vient d'une invitation séparée, envoyée depuis les écrans de la plateforme.

Les droits de chaque rôle

Chaque droit couvre un groupe d'actions. Le tableau donne les droits de chaque rôle.

Droit	Ce qu'il permet	Administrateur plateforme	Administrateur	Technicien	Lecture seule
Lecture	Voit tous les clients, endpoints et sauvegardes, et le journal d'audit.	oui	oui	oui	oui
Opération	Lance les sauvegardes et les restaurations de fichiers, et modifie les politiques, les endpoints et les règles d'alerte.	oui	oui	oui	non
Gestion des utilisateurs	Invite les utilisateurs, change leur rôle et fixe la règle de vérification en deux étapes.	oui	oui	non	non
Gestion de la plateforme	Gère tous les MSP et la plateforme.	oui	non	non	non
Restauration bare metal	Restaure une machine entière.	oui	oui	non	non
Lecture des scripts	Voit les scripts lancés avant et après une sauvegarde.	oui	oui	oui	non
Écriture des scripts	Écrit ces scripts et les ajoute aux politiques, après un nouveau code de vérification.	oui	oui	non	non

Le portail écrit ces mêmes phrases sous chaque rôle que vous pouvez donner, quand vous invitez un utilisateur ou quand vous changez son rôle.

Voir son propre rôle

1. Ouvrez le menu du compte, en haut à droite du portail.
2. Choisissez Mon compte.
3. Lisez le bloc Identité. Il donne votre email, votre MSP actif et votre Rôle.

Vos droits valent dans le MSP actif. Si vous appartenez à plusieurs MSP, votre rôle peut être différent dans chacun.

Clés API d'un MSP

Une clé API est la clé d'un service, pas celle d'une personne. Elle appelle l'API REST d'un seul MSP, sans personne devant l'écran. Un administrateur de la plateforme la crée, la fait tourner et la révoque.

Une clé commence par bst_msp_. Le portail l'affiche une seule fois, à la création et à la rotation. Copiez-la à ce moment : elle n'est plus jamais affichée.

Portées d'une clé

Portée	Ce qu'elle permet
read	Toutes les lectures du MSP. Toujours présente dans une clé.
operate	Les écritures : sauvegardes, politiques, restaurations, clients, alertes, jetons d'enrôlement, Microsoft 365, partages, suppressions.
browse	Le contenu d'un point de restauration ou d'une machine : la liste des dossiers, la recherche et la taille d'une sélection.
recovery	L'appairage d'un média de restauration bare metal. Demandez-la à la création ; elle n'est jamais donnée par défaut.

Sans choix de portées, la clé reçoit read, operate et browse. Une rotation garde les portées de l'ancienne clé.

Règles d'une clé

• Un MSP a au plus deux clés vivantes. Deux clés permettent une rotation sans coupure.
• Une clé expire. Par défaut après 365 jours, et au plus après 730 jours.
• Vous pouvez limiter une clé à une liste d'adresses ou de blocs CIDR.
• Une clé avec operate agit avec les droits d'un Technicien. Une clé sans operate agit avec les droits d'un rôle Lecture seule.

Ce qu'une clé ne fait jamais

Même avec toutes les portées, BaaStide refuse :

• les routes de la plateforme, donc la création d'une autre clé ;
• la gestion des utilisateurs, les invitations, la vérification en deux étapes et les réglages de l'accès MCP ;
• les routes d'un compte utilisateur ;
• une restauration vers une machine d'un autre client ;
• toute action qui raccourcit ou approuve le délai de 72 heures. Une clé peut seulement annuler une action différée.

Clés de provisionnement

Une clé de provisionnement est la clé d'un revendeur qui crée ses MSP par l'API. Un administrateur de la plateforme la crée. Elle commence par bst_prov_.

Une clé de provisionnement crée un MSP, le suspend, le réactive, et gère les clés API des MSP qu'elle a créés. Elle ne lit pas les données d'un MSP, et elle ne supprime pas un MSP.

Il n'existe aucune clé qui atteint tous les MSP. Après la création, chaque MSP est géré avec sa propre clé API.

Accès MCP d'un assistant IA

Un assistant IA peut utiliser BaaStide par MCP (Model Context Protocol). Chaque utilisateur autorise l'assistant pour son propre compte, sur un écran de consentement. Son rôle dans le MSP s'applique toujours à chaque action de l'assistant.

Un administrateur du MSP active d'abord l'accès MCP, sur la page Accès MCP. Sans cela, aucun assistant ne peut utiliser BaaStide pour ce MSP.

Portées d'un accès MCP

Portée	Nom dans le portail	Ce qu'elle permet
read	Consulter	Tableau de bord, clients, endpoints, tâches, politiques, restaurations et journal d'audit. Aussi les noms, chemins, tailles et dates des fichiers d'un point de restauration, si le rôle de l'utilisateur peut les parcourir. Toujours donnée.
operate	Agir	Lance les sauvegardes et les restaurations, et modifie les politiques. L'utilisateur la choisit.
enroll	Enrôler des machines	Crée un client, ou un jeton d'enrôlement et les commandes d'installation. L'utilisateur la choisit, et seulement si un administrateur du MSP a activé cette option.

Règles d'un accès MCP

• Un assistant n'a jamais accès au contenu des sauvegardes. Il ne peut pas ouvrir, lire ou télécharger un fichier.
• La page Accès MCP liste les accès autorisés. Un administrateur du MSP révoque un accès ; l'assistant s'arrête tout de suite.
• Quand l'administrateur du MSP désactive l'accès MCP, tous les accès du MSP sont révoqués tout de suite.
• Un jeton d'enrôlement créé par MCP passe par le fournisseur d'IA de l'assistant. Toute personne qui l'obtient peut ajouter une machine au client, jusqu'à l'expiration du jeton.
• Une machine enrôlée par MCP n'est pas une cible de restauration pour un accès MCP pendant 24 heures. Un utilisateur approuve la machine dans le portail pour lever ce délai.

Limites et précautions

• Les droits d'un rôle sont fixes. Pour changer les droits d'une personne, changez son rôle.
• Un changement de rôle déconnecte la personne du MSP. Elle se reconnecte avec son nouveau rôle.
• Le dernier Administrateur d'un MSP ne peut pas perdre son rôle ni être retiré. Nommez un autre administrateur d'abord.
• Un rôle Lecture seule ne parcourt pas un point de restauration : parcourir demande le droit d'opération.
• Un Administrateur plateforme a toujours la vérification en deux étapes. Un MSP peut aussi la rendre obligatoire pour tous ses membres.
• Une clé API, une clé de provisionnement et un jeton MCP sont des secrets. Ne les écrivez pas dans un ticket, un message ou un dépôt de code.