Документация / Руководство администратора / Доступ
Роли и права
Роль в Core - это восемь прав с уровнями доступа и область видимости продуктов. У пользователя может быть несколько ролей. Раздел: "Аккаунты и роли" → "Роли". Создавать и менять роли может роль с правом "Роли и пользователи": "Изменение".
Как считаются права
- У права три уровня: "Нет", "Просмотр", "Изменение". "Просмотр" разрешает чтение, "Изменение" - чтение и запись.
- У прав "Продукты" и "Уязвимости" уровня "Нет" не бывает.
- Права всех ролей пользователя складываются: для действия достаточно одной роли с нужным уровнем.
- Область видимости считается отдельно. Права "Продукты" и "Уязвимости" действуют только в продуктах из области видимости.
- Часть функций дополнительно требует лицензии: правила автоматизации, свои импортеры, VCS, quality gate, реестры контейнеров, SSO и LLM - платной, Radar - платной или лицензии Radar. Подробнее: Лицензирование.
Права
| Право в интерфейсе | Поле API | В новой роли | "Просмотр" | "Изменение" |
|---|---|---|---|---|
| "Продукты" | products |
"Просмотр" | продукты, типы продуктов, ассеты, аудиты, шаблоны ссылок, настройки Jira продукта, оценка риска, отчёт по продуктам | создание, правка и удаление этих объектов (создание и правка типов продуктов - только вместе с "Может управлять всеми продуктами"); импорт репозиториев из VCS; удаление аудитов |
| "Уязвимости" | findings |
"Просмотр" | уязвимости, группы, комментарии, связанные задачи Jira | смена статуса, критичности и вектора CVSS, теги, группы, комментарии, удаление; загрузка отчётов; создание задач и эпиков Jira |
| "Роли и пользователи" | users_and_roles |
"Нет" | пользователи, роли, интеграции SSO | создание, правка и удаление этих объектов |
| "Правила автоматизации" | automation_rules |
"Нет" | правила и настройки валидатора, дедупликатора и CVSS | создание, правка, включение правил; настройки запуска |
| "Глобальные настройки" | global_settings |
"Нет" | обслуживание, SLA, сканеры, свои импортеры, Jira, DefectDojo, уведомления, базовая дедупликация, активные задачи | правка этих настроек; рабочий процесс, веса критичности, допустимый риск, VCS, quality gate, реестры контейнеров; удаление тегов; замена лицензии |
| "Radar" | auditor |
"Нет" | настройки Radar, последовательности, джобы, расписания, пайплайны | правка этих объектов, запуск аудитов |
| "API токен" | api_token |
"Нет" | получить свой API-токен | ротировать свой API-токен |
| "LLM" | llm |
"Нет" | LLM-чат | настройки LLM-интеграций |
Рабочий процесс, веса критичности, допустимый риск, интеграции VCS, quality gate и реестры контейнеров видят все пользователи. Менять их может только роль с "Глобальные настройки": "Изменение".
Встроенные роли
| Роль | Права | Область видимости | Кто получает |
|---|---|---|---|
default |
"Продукты" и "Уязвимости" - "Просмотр", остальные - "Нет" | нет | новый пользователь без ролей; пользователь SSO, если в интеграции не выбраны роли |
superuser |
все восемь - "Изменение" | "Может управлять всеми продуктами" | первый администратор |
- Встроенные роли нельзя удалить и переименовать: 409 "Default roles can't be deleted" и "Default roles' titles can't be edited".
- Права встроенных ролей менять можно. Не понижайте права
superuser: так можно потерять последнего администратора. - Роль
defaultнельзя снять с пользователя.
Матрица прав
Таблица показывает, какое право и уровень нужны для действия и есть ли это действие у встроенных ролей.
| Действие | Нужное право и уровень | default |
superuser |
|---|---|---|---|
| Просматривать продукты, ассеты, аудиты | "Продукты": "Просмотр" | да¹ | да |
| Создавать и менять продукты, ассеты, шаблоны ссылок, настройки Jira продукта; удалять типы продуктов | "Продукты": "Изменение" | нет | да |
| Создавать и менять типы продуктов | "Продукты": "Изменение" и "Может управлять всеми продуктами" | нет | да |
| Импортировать репозитории из VCS в продукт | "Продукты": "Изменение" | нет | да |
| Удалять аудиты | "Продукты": "Изменение", все продукты аудита в области | нет | да |
| Просматривать уязвимости и группы | "Уязвимости": "Просмотр" | да¹ | да |
| Менять статус, критичность, CVSS, теги, группы; комментировать; удалять уязвимости | "Уязвимости": "Изменение" | нет | да |
| Загружать отчёты сканеров | "Уязвимости": "Изменение" | нет | да |
| Создавать задачи и эпики Jira, связывать задачи | "Уязвимости": "Изменение" | нет | да |
| Запускать дедупликацию продукта | "Продукты" и "Уязвимости": "Изменение" | нет | да |
| Запускать дедупликацию всех продуктов | "Продукты": "Изменение" и "Может управлять всеми продуктами" | нет | да |
| Просматривать правила автоматизации | "Правила автоматизации": "Просмотр" | нет | да |
| Создавать, менять и включать правила, менять настройки запуска | "Правила автоматизации": "Изменение" | нет | да |
| Импортировать правила, менять правила с областью "Глобально" | "Правила автоматизации": "Изменение" и "Может управлять всеми продуктами" | нет | да |
| Просматривать глобальные настройки и активные задачи | "Глобальные настройки": "Просмотр" | нет | да |
| Менять обслуживание, SLA, сканеры, Jira, DefectDojo, уведомления, базовую дедупликацию | "Глобальные настройки": "Изменение" | нет | да |
| Менять рабочий процесс, веса, допустимый риск, VCS, quality gate, реестры | "Глобальные настройки": "Изменение" | нет | да |
| Удалять теги | "Глобальные настройки": "Изменение" | нет | да |
| Просматривать лицензию | любой вошедший пользователь | да | да |
| Заменять лицензию | "Глобальные настройки": "Изменение" | нет | да |
| Просматривать пользователей, роли, интеграции SSO | "Роли и пользователи": "Просмотр" | нет | да |
| Создавать и менять пользователей, роли, интеграции SSO | "Роли и пользователи": "Изменение" | нет | да |
| Просматривать настройки Radar, последовательности, расписания, пайплайны | "Radar": "Просмотр" | нет | да |
| Менять настройки Radar, запускать аудиты, вести расписания | "Radar": "Изменение" | нет | да |
| Получать свой API-токен | "API токен": "Просмотр" | нет | да |
| Ротировать свой API-токен | "API токен": "Изменение" | нет | да |
| Пользоваться LLM-чатом | "LLM": "Просмотр" | нет | да |
| Настраивать LLM-интеграции | "LLM": "Изменение" | нет | да |
¹ Только в продуктах из области видимости других ролей пользователя: своей области у default нет.
Вход в панель администратора Django (/admin/) роли не дают. Его открывает флаг пользователя "Доступ к панели администратора": Пользователи.
Право на роли и пользователей
Право "Роли и пользователи": "Изменение" выдавайте только администраторам платформы.
Область видимости продуктов
Область видимости определяет, какие продукты пользователь видит и с какими работает. По ней фильтруются списки и карточки продуктов, ассетов, уязвимостей и аудитов, дашборды и метрики.
| Поле роли | Что задаёт |
|---|---|
| "Может управлять всеми продуктами" | доступ ко всем продуктам, создание продуктов любого типа, создание и правка типов продуктов, правка объектов с областью "Глобально", импорт правил автоматизации, дедупликация всех продуктов |
| "Имеет доступ к продуктам с типами" | все продукты выбранных типов, в том числе созданные позже; создание продуктов этих типов |
| "Имеет доступ к продуктам" | выбранные продукты |
| "Исключить выбранные продукты" | выбранные продукты закрываются; поле меняет название на "Закрыт доступ к продуктам" |
Как Core считает доступ пользователя:
- Есть роль с "Может управлять всеми продуктами" - доступны все продукты.
- Иначе учитываются роли, у которых задан тип или выбраны продукты. Роли без области, например
default, доступа к продуктам не дают. - Доступны продукты выбранных типов и продукты, выбранные в ролях без исключения.
- Если у пользователя только роли с исключением и без типов, доступны все продукты.
- Из результата вычитаются продукты, выбранные в ролях с исключением.
- Ни одной роли с областью - нет доступа ни к одному продукту.
Создать продукт можно только в типе, доступном пользователю. Роль только с выбранными продуктами создавать продукты не позволяет.
После настройки роли проверьте результат под учётной записью пользователя: в форме роли виден итог "Область видимости:" с числом продуктов и типов.
Объекты с собственной областью действия
Правила валидатора, дедупликатора и CVSS, интеграции уведомлений, расписания Radar и quality gate имеют свою область действия: "Глобально" или выбранные продукты и ассеты. Что пользователь видит и может менять, зависит от его области видимости:
| Область объекта | Объект виден | Объект можно менять |
|---|---|---|
| "Глобально" | если хотя бы один продукт пользователя попадает в охват | только при "Может управлять всеми продуктами" |
| Выбранные продукты или ассеты | если хотя бы один из них в области пользователя | если все они в области пользователя |
Если менять нельзя, форма показывает "Редактирование ... недоступно" и разрешает менять выбор только в пределах доступных продуктов.
Создание роли
- Откройте "Аккаунты и роли" → "Роли" → "Создать роль".
- Укажите "Название роли". Название уникально.
- В блоке "Разрешения" выберите уровень каждого права.
- В блоке "Область видимости" задайте продукты.
- Сохраните и назначьте роль пользователям: Пользователи.
Через API уровни передают числами: 0 - "Нет", 1 - "Просмотр", 2 - "Изменение". Объект permissions передавайте целиком:
curl -X POST "https://core.example.ru/api/v1/roles/" \
-H "Authorization: Token <токен>" \
-H "Content-Type: application/json" \
-d '{
"title": "appsec-engineer",
"permissions": {"products": 2, "findings": 2, "users_and_roles": 0, "automation_rules": 2,
"global_settings": 1, "auditor": 2, "api_token": 1, "llm": 0},
"allow_all_products": false,
"allowed_product_types": [1],
"chosen_products": [],
"exclude_chosen_products": false
}'
allowed_product_types и chosen_products - идентификаторы типов продуктов и продуктов. Роль для CI-интеграций описана на странице Пользователи.