Модель ролей і дозволів

Модель RBAC

Принципи.

Кожен користувач має одну або кілька ролей.
Кожна роль вмикає набір профілів доступу («ACL-токенів»), які визначають, які плитки з’являються на Home і в хабах.
Доступ до окремих сторінок додатково фільтрують page-gate; окремі дії (переходи, зміна полів, погодження, чутливі функції) — capabilities.
Модель fail-safe: якщо персоналізація дозволів недоступна, діють дозволи за замовчуванням; дозвіл, який не надано, заборонено.
Перевизначення застосовуються як дельта відносно значень за замовчуванням: зберігаються лише ролі, що відрізняються, а зміни в коді набувають чинності під час розгортання.

Обсяг даних. Окрім функціонального RBAC, доступ до даних обмежено тенантом, а для деяких ролей (scoped-оператори, Customer Service) — договором/групою: доступ Customer Service лінійний (профіль ∪ групи клієнта); для конфіденційних HR-справ і даних про оплату праці є окремі дозволи.

Профілі доступу (токен → розділ)

Профілі доступу — це «цеглинки», з яких складається видимість ролі. Таблиця нижче показує їхню відповідність розділам посібника:

Токен	Розділ / увімкнений хаб
`ITHUB`	Хаб IT / ITSM (Хаб IT / ITSM)
`OPS`	Операційна робота service desk / черги
`NOC`	Хаб NOC / Observability (NOC, Observability та ITOM)
`SOC`	SOC — операційна безпека (Хаб безпеки)
`XDR`	XDR — Detection & Response (XDR Ops)
`ICC`	Integration & Communication Center (Реєстр проєктів / клієнтів)
`GRC`	GRC / Risk / Compliance (GRC, ризики, compliance і юридичні питання)
`HR`	Хаб HR — операційна робота (Хаб HR)
`HRHUB`	Хаб HR — головна сторінка
`HRMGR`	HR — керування (погодження, справи)
`HRREC`	HR — рекрутинг (Дії процесу)
`HRADM`	HR — адміністрування/налаштування (Залишки відпусток)
`SECHUB`	Хаб безпеки — головна сторінка (Хаб безпеки)
`DIR`	Подання для керівництва сервісом (Operations Cockpit)
`MGR`	Подання для керування командою
`EXEC`	Executive Cockpit (Призначення і мапа розділу)
`OPSDASH`	Operations Dashboard / cockpit (Global Director)
`SMD`	Service Manager Director (Operations Cockpit)
`CFG`	Лаунчер Налаштувань (Адміністрування)
`GADM`	Глобальне адміністрування (користувачі, ролі, система)
`LOGINSP`	Перевірка входів / журналів

Матриця ролі → хаби

Таблиця показує профілі доступу, надані канонічним ролям і основним розширеним ролям (значення платформи за замовчуванням; тенант може змінити їх через перевизначення).

Роль	Профілі доступу (плитки)
Administrator	Усі операційні хаби + `GADM`, `HRADM`, керівництво (super-admin)
System Admin (sadmin)	Усі профілі (`ACL_ALL`)
Senior Director	Усі профілі (`ACL_ALL`)
Service Director	Усі профілі (`ACL_ALL`)
Director	NOC, SOC, XDR, ICC, GRC, OPS, HR, DIR, MGR, HRMGR, HRREC, HRHUB, EXEC, OPSDASH
IT Manager / IT Admin	Усі профілі (`ACL_ALL`)
ITSM Manager	DIR, MGR, HRMGR, HRREC, HRHUB (+ керування IT-сервісом)
NOC Manager	DIR, MGR, HRMGR, HRREC, HRHUB, NOC
SOC Manager	DIR, MGR, HRMGR, HRREC, HRHUB, SOC
XDR Manager	DIR, MGR, HRMGR, HRREC, HRHUB, XDR
ICC Manager	DIR, MGR, HRMGR, HRREC, HRHUB, ICC
GRC Manager	DIR, MGR, HRMGR, HRREC, HRHUB, GRC
OPS Manager / L1 Manager	DIR, MGR, HRMGR, HRREC, HRHUB, OPS
Manager / Line Manager	DIR, MGR, HRMGR, HRREC, HRHUB (people management)
L1 Operator	ITHUB, OPS, LOGINSP (тріаж L1)
L2 Operator	ITHUB, OPS, LOGINSP (ескалація L2)
L3 Operator	ITHUB, OPS, LOGINSP (експерт L3)
NOC Operator	ITHUB, OPS, LOGINSP, NOC
SOC Operator	ITHUB, OPS, LOGINSP, SOC
XDR Operator	ITHUB, OPS, LOGINSP, XDR
ICC Operator	ITHUB, OPS, LOGINSP, ICC
GRC Operator	ITHUB, OPS, LOGINSP, GRC
HR Director	HR, HRMGR, HRREC, HRHUB, HRADM, DIR
HR Manager / HR Admin	HR, HRMGR, HRREC, HRHUB, HRADM
HR Specialist / HR Operator / Recruiter	HR, HRREC, HRHUB, HRADM
PMO Manager	SMD, MGR, DIR
Sales Account Manager	DIR, MGR, OPSDASH
Sales Director	EXEC, DIR, OPSDASH
Finance Manager / Controller / Treasurer	DIR, OPSDASH

Функціональні картки ролей

Нижче для основних ролей описано, що саме роль бачить і що може робити.

Оператор L1 (L1 Operator)

Бачить: Хаб IT, чергу Service Desk, KB, призначені йому тікети.
Робить: тріаж вхідних тікетів, взяття в роботу, первинну діагностику за допомогою KB та ШІ-копілота, створення тікетів через Composer, оновлення й коментарі, ескалацію на L2. Активно користується редактором тікетів (Редактор тікета).
Не робить: налаштування, погодження змін/HR, доступ до конфіденційних справ.

Оператор L2 / L3

Бачить: те саме, що L1, плюс інструменти поглибленого аналізу (Issue Inspector, внутрішні нотатки, консоль PAM для CI).
Робить: опрацювання ескалацій, технічний аналіз, вирішення; L3 працює як експерт домену і робить внесок у Problem/Known Error та KB.

Оператори доменів (NOC / SOC / XDR / ICC / GRC)

Бачить: базові хаби (IT/OPS) плюс свій домен.
Робить: опрацьовує специфічні черги домену (сповіщення NOC, сповіщення/інциденти SOC, кореляції XDR, запити ICC, контролі GRC) з окремими інструментами й типами тікетів.

HR-оператор / Recruiter / HR Specialist

Бачить: Хаб HR, HR Workspace, рекрутинг, HR-адміністрування.
Робить: опрацьовує HR-справи в Inbox для роботи (HR Workspace, Inbox для роботи), просуває процеси, керує документальними кампаніями і рекрутингом; recruiter веде воронку кандидатів і Банк CV.
Не робить (якщо немає дозволу): конфіденційні справи (дисциплінарні/домагання/етика), чутливі дані про оплату праці — вони доступні лише ролям HR Manager/Director.

Керівники доменів (ITSM / NOC / SOC / XDR / ICC / GRC / OPS)

Бачить: подання для керування і керівництва сервісом (DIR/MGR) та свій домен.
Робить: керування чергами й командами, погодження (наприклад, CAB для ITSM Manager), моніторинг SLA і продуктивності, керування ескалаціями та Major Incident.

HR Manager / HR Director

Бачить: увесь Хаб HR, керування (HRMGR), адміністрування (HRADM); HR Director — також подання для керівництва (DIR).
Робить: HR-погодження, керування конфіденційними справами й даними про оплату праці, HR-налаштування (процеси, шаблони, каталоги, кампанії), організацію і workforce planning.

Service Director / Senior Director / Director

Бачить: подання для керівництва всіма (або майже всіма) доменами, cockpit, Operations Dashboard; Service Director і Senior Director мають повну видимість (ACL_ALL).
Робить: нагляд за кількома сервісами, аналіз зведених KPI, деталізацію, керування ескалаціями на рівні керівництва; не займається налаштуванням платформи (це завдання адміністраторів), якщо не має комбінованої ролі.

Executive / CISO (Executive Cockpit)

Бачить: Executive Cockpit (EXEC) і Operations Dashboard: ключові KPI сервісу, безпеки, ризиків і фінансів.
Робить: стратегічний аналіз і деталізацію; жодної детальної операційної роботи.

Комерційні та фінансові ролі

Sales Account Manager / Sales Director: подання для керівництва та операційні дашборди (DIR/MGR/OPSDASH; account manager — щодо своїх клієнтів); Sales Director має доступ до Executive Cockpit.
Finance Manager / Controller / Treasurer / Accounts Receivable: керівні й операційні дашборди (DIR/OPSDASH) для економічних даних (маржа, виставлення рахунків PSA).

PMO Manager

Бачить: Service Manager Director (SMD), подання для керування і керівництва (MGR/DIR).
Робить: керування проєктами/замовленнями і портфелем (PSA/SPM), координацію ресурсів.

System Admin (sadmin) / IT Admin / Administrator

Бачить: усе, зокрема лаунчер Налаштувань (CFG) і глобальне адміністрування (GADM/HRADM).
Робить: повне налаштування платформи (Flow Engine, автоматизації, маршрутизація, сповіщення, workflow, каталоги), керування користувачами/командами/ролями, системою, інтеграціями та імпортом. Це роль із найширшими привілеями: найчутливіші дії (масові зміни, purge, запуск скриптів SecOps) і далі захищені бар’єрами та підтвердженнями.