Habilitations

Introduction

Ce manuel a pour objectif de guider son lecteur dans les opérations suivantes :

• Description du process de création et d'habilitation
• Création et Mise à jour d'un nouvel utilisateur
• Habilitation d'un utilisateur aux fonctionnalités

Ces actions sont à réaliser à travers l'espace PARAMETRES / ADMINISTRATION de la plateforme.

Description globale

Cinématique générale

Les « habilitations » d'un utilisateur permettent de donner accès ou de supprimer l'accès aux fonctionnalités d'Orkestra.

Ces habilitations peuvent se faire à une maille très agrégée, ou d'agir à la maille la plus fine, à savoir aux Modules pour Data Fabrik, et à l'Etiquette pour le Data Shop.

Elles se synthétisent comme suit :

Gestion d'un utilisateur

Création d'un utilisateur

La création d'un utilisateur se fait en 2 étapes :

• Création
  • Process avec authentification « SSO »
  • Process avec authentification « LDAP »
  • Process avec authentification interne
• Attribution d'habilitations

Authentification unique (SSO – SAML2)

Permet aux utilisateurs de se connecter à la plateforme Orkestra via leur compte d'entreprise, sans avoir à gérer un mot de passe spécifique à la plateforme.

L'authentification unique (SSO – Single Sign-On) repose sur le protocole SAML2 et s'intègre au système d'identité existant (Active Directory, Azure AD, etc.).

Principe général

Lorsqu'un utilisateur accède à la plateforme Orkestra :

1. Il est redirigé vers le fournisseur d'identité (Identity Provider – IdP) de son entreprise.
2. L'IdP authentifie l'utilisateur selon les règles internes de sécurité (politique de mot de passe, etc.).
3. L'IdP renvoie une assertion SAML signée à Orkestra, confirmant l'identité de l'utilisateur.
4. Orkestra crée ou met à jour la session de l'utilisateur selon les droits associés à son compte.

L'utilisateur est ainsi automatiquement connecté à Orkestra, sans ressaisie de ses identifiants.

Configuration technique

L'activation du SSO SAML2 nécessite les éléments suivants :

Élément	Description
Certificat X.509 valide	Utilisé pour signer et valider les échanges SAML entre Orkestra et l'IdP.
Métadonnées IdP	Fournies par le service d'identité (ex. fichier XML contenant les endpoints et les clés publiques).
URL du point d'entrée (Single Sign-On URL)	Adresse de redirection vers le fournisseur d'identité.
Audience / Entity ID	Identifiant unique d'Orkestra auprès de l'IdP.

Ces paramètres sont configurés dans les fichiers appsettings.json.

Remarque

Le mode SSO remplace l'authentification LDAP ou interne lorsque le protocole SAML2 est activé.

L'activation doit être réalisée par un administrateur système disposant des droits sur le serveur IIS et les certificats. Voir le manuel d'installation SAML.

Création d'un utilisateur avec SSO actif

Lorsqu'Orkestra est configuré avec SSO :

• La création d'un utilisateur ne nécessite pas de mot de passe dans l'interface d'administration.
• Le champ Login doit correspondre à l'identifiant unique envoyé par le fournisseur d'identité (souvent l'adresse e-mail professionnelle).

Gestion des droits et rôles

L'authentification SSO ne modifie pas la gestion des habilitations internes à Orkestra :

• Les rôles (Visualisateur, Créateur, Super-Admin) restent définis dans Administration / Utilisateurs.
• Les droits applicatifs sont attribués de la même manière que pour un utilisateur SSO, LDAP ou interne.
• Les restrictions DTF et DTS continuent de s'appliquer normalement.

Process avec authentification LDAP

Ce process concerne les plateformes Orkestra installée avec une authentification liée au LDAP de l'entreprise.

Actions :

1. Se rendre sur Paramètres/Administration/Utilisateur
2. Cliquer sur « + Ajouter » sur le menu horizontal

3. Saisir les informations attendues dans le pop-up de création d'un utilisateur

A noter

• Statut : sélectionner Actif/Inactif
• NE PAS Cocher la case « Authentification interne »
• Login : saisir le login RESEAU (idem que pour l'ouverture d'une session Windows par exemple)

4. Puis cliquer sur Enregistrer

L'accès à la plateforme se fera en saisissant les login & mot de passe Réseau.

Process avec une authentification interne

Ce process concerne les plateformes Orkestra installée sur un réseau mais dont l'authentification utilisateur est autonome, c'est-à-dire sans connexion au LDAP de l'entreprise.

Actions :

1. Se rendre sur Paramètres/Administration/Utilisateur
2. Cliquer sur « + Ajouter » sur le menu horizontal
3. Saisir les informations attendues dans le pop-up de création d'un utilisateur

A noter

• Statut : sélectionner Actif/Inactif
• Cocher la case « Authentification interne »
• Login : saisir un login au choix

4. Puis cliquer sur Enregistrer Le nouvel utilisateur apparait alors dans la liste des utilisateurs créés.

A noter

En authentification interne uniquement, le mot de passe associé est par défaut le login de l'utilisateur. Il est recommandé de le modifier dès la première connexion (voir ci-dessous).

Une fois connecté sous son profil, l'utilisateur peut modifier son mot de passe via l'écran Profil, onglet Sécurité.

Attribution de rôles

L'utilisateur étant créé, il convient maintenant de lui associer des rôles. Pour cela :

1. Cliquer sur la flèche noire, puis « + Ajouter »

Informations à remplir :

• Statut : sélectionner Actif/Inactif
• Application : sélectionner l'application

A noter

ETL, MSO et ParallelU sont non applicables

• Choisir un rôle (du plus restrictif au plus ouvert)
  • Visualisateur
  • Créateur
  • Data Driven (uniquement utile pour Data Fabrik)*
  • Admin-Exploit (non applicable)
  • Admin Référentiels (non applicable)
  • Super-Admin (aussi appelé Administrateur)
• Description de l'affectation : saisir un commentaire au choix

2. Cliquer sur Enregistrer

*Ce rôle est nécessaire uniquement pour voir donner accès à une liste restrictive d'UTD/Module à un utilisateur. Il ne doit donc pas se cumuler avec Visualisateur, Créateur ou Administrateur (voir rubrique Habilitations DTF, restreindre les accès UTD/Module).

L'utilisateur a été mis à jour :

Gestion d'un utilisateur

Modification des informations générales

Il est possible de modifier les informations générales d'un utilisateur en sélectionnant la ligne puis cliquant sur « Editer » ou en double-cliquant dessus.

Modification des habilitations

De même :

1. Sélectionner la ligne de l'utilisateur
2. Cliquer sur la flèche noire
3. Sélectionner l'habilitation à modifier
4. Cliquer sur « Editer » ou double-cliquer sur la ligne

Les modifications des rôles seront visibles par l'utilisateur impacté à sa prochaine connexion au site. S'il est connecté, il doit donc se déconnecter / réauthentifier.

Liste des actions Applications / Rôles

Application	Écran	Onglet / Niveau	Action	Visualisateur (read)	Créateur (read/write)	Administrateur (read/write/config)
Data Fabrik	Production UTD			X	X	X
			Produire		X	X
	Calendrier des productions	Calendrier		X	X	X
		Planification		X	X	X
			Modifier la planification		X	X
			Dupliquer la planification		X	X
			Désactiver la planification		X	X
Data Gouvernance	Actions de gouvernance	Actions		X	X	X
			Editer / double clic sur une ligne		X	X
		Gestion		X	X	X
			Editer / double clic sur une ligne		X	X
			Gestion express des habilitations		X	X
		Historique		X	X	X
		Linéage instancié		X	X	X
	Contexte de gouvernance			X	X	X
			Accéder à l'arborescence	X	X	X
	Qualité des productions			X	X	X
			Télécharger le recueil		X	X
Data Shop	Data Product			X	X	X
	Commandes	Liste		X	X	X
			Commander	X	X	X
			Télécharger documents		X	X
			Editer la commande		X	X
			Annuler la commande		X	X
			Dupliquer la commande		X	X
		Suivi		X	X	X
			Déplacer les tuiles	X	X	X
UTD Manager	Déclaration			X	X	X
			Ajouter		X	X
			Editer		X	X
			Désactiver		X	X
	UTD version			X	X	X
			Ajouter		X	X
			Editer		X	X
			Télécharger Env. vierge		X	X
			Gestion Env. vierge		X	X
			Catalogue		X	X
			Dupliquer		X	X
	UTD version module			X	X	X
			Ajouter		X	X
			Editer		X	X
			Loupe	X	X	X
			Gérer les associations		X	X
Etiquettes Manager	Configurateur	Objets étiquetés		X	X	X
			Ajouter		X	X
			Editer		X	X
			Supprimer		X	X
			Export CSV		X	X
			Editer une règle		X	X
		Périmètres		X	X	X
			Ajouter		X	X
			Editer		X	X
			Supprimer		X	X
		Domaines		X	X	X
			Ajouter		X	X
			Editer		X	X
			Supprimer		X	X
	Simulateur		Evaluer l'étiquette	X	X	X
	Personnalisation des règles	Règles de gouvernance		X	X	X
		Valeur des règles		X	X	X
		Valeur des règles liées		X	X	X
	Configuration	Formats d'objets		X	X	X
			Ajouter			X
			Editer			X
		Nature d'objets		X	X	X
			Ajouter			X
			Editer			X
		Types de domaines		X	X	X
		Codification des étiquettes		X	X	X
		Types d'évènements		X	X	X
			Ajouter			X
			Editer			X
		Types de ressources (entrées)		X	X	X
			Ajouter			X
			Editer			X
		Actions		X	X	X
Ref Manager	Référentiels		Afficher	X	X	X
			Forcer le rechargement		X	X
			Cloner		X	X
			Valider		X	X
			Ajouter		X	X
			Editer		X	X
			Supprimer		X	X
	Historique			X	X	X
	Configuration	Configuration		X	X	X
			Ajouter			X
			Editer			X
			Supprimer			X
		Connexions
			Ajouter			X
			Editer			X
			Supprimer			X

Journaux : applicable via l'Application « Administration » dans le paramétrage d'un User.

Application	Écran	Onglet / Niveau	Action	Visualisateur (read)	Créateur (read/write)	Administrateur (read/write/config)
Journaux	Instances Parallèle U				X	X
			Service démarré		X	X
	Logs Orkestra				X	X
UTD	Journaux			X	X	X
	Suivi			X	X	X
			Télécharger		X	X
Administration	Utilisateurs			X	X	X
			Ajouter		X	X
			Editer		X	X
			Ajouter rôle		X	X
			Editer rôle		X	X
			Supprimer rôle		X	X
	Habilitations	DTF / Associations		X	X	X
			Ajouter		X	X
			Editer		X	X
		DTF / Dupliquer les droits		X	X	X
			Enregistrer		X	X
		DTS		X	X	X
			Ajouter		X	X
			Editer		X	X

Configuration : les sous-menus Etiquette Manager et REF Manager sont décrits ci-dessus (pages 14 à 16 du manuel source). Les « Rôles » des applications ne sont pas configurables.

Application	Écran	Onglet / Niveau	Action	Visualisateur (read)	Créateur (read/write)	Administrateur (read/write/config)
Configuration	Modèles d'emails			X	X	X
			Editer	X	X	X
			Editer / Sauvegarder			X
	Instances Parallel U	Catégories		X	X	X
			Ajouter			X
			Editer			X
			Supprimer			X
		Serveurs		X	X	X
			Ajouter			X
			Editer			X
		Paramètres serveur		X	X	X
			Ajouter			X
			Editer			X
		Clients Parallel U		X	X	X
			Ajouter			X
			Editer			X
		Paramètres client Parallel U		X	X	X
			Ajouter			X
			Editer			X
		Fermes		X	X	X
			Ajouter			X
			Editer			X
		Fermes de client Parallel U		X	X	X
			Ajouter			X
			Editer			X
		Logiciels		X	X	X
			Ajouter			X
			Editer			X
		Version de logiciels		X	X	X
			Ajouter			X
			Editer			X

Habilitations DTF, restreindre les accès UTD/Module

Les rôles CREATEUR et ADMINISTRATEUR, s'ils sont associés à un Utilisateur sur l'application Data Fabrik, donnent accès à la fonction de produire sur TOUTES LES UTD et tous les MODULES.

S'il est nécessaire de réduire ces accès à certaines UTD et/ou MODULE, il convient alors d'associer le rôle DATA DRIVEN à cet utilisateur. Les rôles CREATEUR ou ADMINISTRATEUR sont alors à DESACTIVER. Il sera dès lors possible de paramétrer ses accès grâce au menu Habilitations décrit ci-dessous.

Pour cela, il faut de se rendre sur le menu PARAMETRES/Administration/Habilitation disponible sur le menu vertical de gauche.

Créer une habilitation DTF

Informations à saisir :

• Utilisateur : sélectionner l'utilisateur concerné
• Profil (voir Synthèse des droits accordés à chaque profil ci-dessous) :
  • Contremaitre
  • Contrôleur
  • Producteur
• Catégorie : permet de filtrer la liste des UTD/Module dans le champ suivant parmi les catégories existantes
• Module : permet de sélectionner l'UTD et/ou le(s) module(s) pour lesquels l'utilisateur sera habilité
• Commentaire : saisir un commentaire libre

Puis :

• Cliquer sur Enregistrer

Synthèse des droits accordés à chaque profil :

Fonction	Actions/Profil	Producteur	Contrôleur	Contremaitre
UNITE DE TRAITEMENT DE DONNEES	Produire	1
UNITE DE TRAITEMENT DE DONNEES	Arrêter une demande	1
UNITE DE TRAITEMENT DE DONNEES	Télécharger les ressources	1	1
UNITE DE TRAITEMENT DE DONNEES	Télécharger les contrôles	1	1
UNITE DE TRAITEMENT DE DONNEES	Télécharger les résultats	1	1	1
UNITE DE TRAITEMENT DE DONNEES	Information	1	1	1
UNITE DE TRAITEMENT DE DONNEES	Visualiser les demandes	1	1	1
PLANIFICATIONS	Dupliquer une planification	1
PLANIFICATIONS	Modifier une planification	1
PLANIFICATIONS	Annuler une planification	1
PLANIFICATIONS	Consulter une planification	1	1
PLANIFICATIONS	Télécharger les ressources	1	1

Le résultat apparait comme suit :

Dupliquer une habilitation DTF

Il est possible de dupliquer les droits d'un utilisateur sur la base des habilitations d'un autre via la fonction « DUPLIQUER LES DROITS »

1. Sélectionner l'utilisateur Cible
2. Puis l'utilisateur Modèle
3. Cliquer sur Enregistrer

A noter

Les habilitations de l'utilisateur Modèle viennent SE RAJOUTER à celles déjà en place sur l'utilisateur CIBLE

Modifier une habilitation DTF

Modifier une habilitation revient à la rendre inactive.

Si l'utilisateur doit se voir appliquer un changement de Profil (Contremaitre, Contrôleur ou Producteur), alors il convient d'Inactiver une habilitation et en Créer une nouvelle.

Actions :

1. Sélectionner une ligne à modifier
2. Cliquer sur Editer
3. Changer le statut en « Inactif »
4. Enregistrer

Habilitations DTS

Les habilitations permettent aussi d'attribuer des droits d'usage directement sur une étiquette, c'est-à-dire sur un résultat de production. Les conséquences sont les mêmes que sur une action de gouvernance de diffusion (voir Guide « Manuel de Gouvernance »).

Cette configuration se fait via le menu Paramètres/Administration/Habilitation/DTS :

Créer une habilitation DTS

Pour créer un droit d'accès à une étiquette pour un utilisateur, il convient d'associer l'étiquette au dit Utilisateur. Pour cela :

1. Cliquer sur « + Ajouter »
2. Utilisateur : sélectionner l'utilisateur concerné
3. Etiquette : sélectionner l'étiquette concernée
4. Commentaire : saisir un commentaire libre
5. Enregistrer

La nouvelle ligne apparait.

L'utilisateur verra alors le jeu de données relatif à cette étiquette dans le Data Shop.

Modifier une habilitation

1. Sélectionner la ligne à modifier

2. Cliquer sur « Editer », ou double-cliquer
3. Changer le statut en « Inactif »
4. Commentaire : saisir un commentaire libre
5. Enregistrer

Utilisateurs modèles

Simplifier la configuration des rôles en permettant de créer des comptes modèles servant de référence pour attribuer rapidement des ensembles de droits homogènes à d'autres utilisateurs.

Un utilisateur modèle est un compte spécial configuré par un administrateur :

• Il ne peut pas se connecter à la plateforme.
• Il est de type exploitation = Modèle
• Il possède une configuration d'habilitations complète (applications et rôles).
• Ses droits peuvent être dupliqués sur un ou plusieurs utilisateurs réels.

Exemples de modèles :

• MODELE_SUPERADMIN : dispose des droits complets sur l'ensemble des modules.
• MODELE_DTF_CREATOR : configuré pour un profil "Créateur Data Fabrik".
• MODELE_REF_VIEWER : réservé à la consultation des référentiels.

Interface et duplication des droits

Une nouvelle fonctionnalité « Dupliquer les droits à partir d'un utilisateur modèle » est disponible depuis le menu :

Paramètres / Administration / Habilitations / Utilisateurs

Les droits de l'utilisateur modèle viennent remplacer ceux de l'utilisateur cible.

L'utilisateur KADMIN

Par défaut et à l'installation de la plateforme, un utilisateur initial est créé et dont la dénomination est KADMIN.

Mot de passe par défaut

Un mot de passe par défaut est défini à l'installation (voir la procédure d'installation).

Après l'installation, la première connexion doit être effectuée avec cet utilisateur et le mot de passe doit être modifié.

Il convient alors :

• De créer un nouveau USER type Administrateur
• De modifier le mode de passe d'accès de KADMIN ou de le désactiver.