Role a oprávnění
Řízení přístupu na základě rolí (RBAC) vám umožňuje definovat vlastní role a přiřazovat členům týmu podrobná oprávnění. K dispozici v tarifu Enterprise.
Když je RBAC zapnuté, oprávnění každého člena vycházejí z přiřazené role — člen bez role v organizaci zůstává, ale přes roli se k ničemu nedostane, dokud mu nějakou nepřiřadíte. Bez RBAC se každý, kdo se připojí k organizaci, stává vlastníkem s plným přístupem a v Nastavení → Role se zobrazuje „Role se nepoužívají“ (viz Tým).
Přepnutí RBAC resetuje role
Když se pro organizaci RBAC zapne nebo vypne, každý člen i každá čekající pozvánka se nastaví na roli Owner, takže všichni mají plný přístup — včetně fakturace a smazání organizace — dokud nepřiřadíte užší role.
Oprávnění#
Každá role zahrnuje dvacet jedna oprávnění rozdělených do tří skupin. V části Nastavení → Role je najdete pod těmito názvy:
| Oprávnění | Skupina | Umožňuje |
|---|---|---|
Správa týmu (org:manage_team) | Organizace | Zvat a odebírat členy, přiřazovat role a spravovat vlastní role |
Správa fakturace (org:manage_billing) | Organizace | Zobrazovat a měnit nastavení fakturace, platební metody a faktury |
Správa nastavení (org:manage_settings) | Organizace | Měnit název organizace, časové pásmo, integrace a feature flagy |
Správa API klíčů (org:manage_api_keys) | Organizace | Vytvářet, nastavovat rozsah a mazat servisní API klíče organizace |
Správa integrací (org:manage_integrations) | Organizace | Připojovat, nastavovat a odpojovat externí integrace |
Smazání organizace (org:delete) | Organizace | Trvale smazat celou organizaci |
Zobrazení protokolu auditu (org:view_audit_logs) | Organizace | Číst auditní stopu organizace. Vyžaduje nárok Audit Logs |
Správa kontrol (org:manage_reviews) | Organizace | Zobrazovat historii kontrol a statistiky interních kontrol překladů |
Spravovat rozhodovací skupiny (org:manage_decision_pools) | Organizace | Vytvářet, přejmenovávat a archivovat rozhodovací skupiny a vybírat jejich členy |
Zobrazení engine (engine:read) | Engine | Zobrazovat lokalizační engine a jejich konfiguraci |
Spouštění překladů (engine:translate) | Engine | Spouštět lokalizační úlohy nad engine organizace |
Vytváření engine (engine:create) | Engine | Vytvářet v organizaci nové engine |
Úpravy engine (engine:edit) | Engine | Upravovat nastavení engine a modelů |
Mazání engine (engine:delete) | Engine | Trvale mazat engine |
Kontrola překladů (engine:review_translations) | Engine | Kontrolovat AI překlady v interní frontě kontrol |
Zobrazení glosářů (org:glossary:read) | Obsah | Zobrazovat glosáře organizace a jejich termíny |
Úpravy glosářů (org:glossary:edit) | Obsah | Vytvářet, měnit a mazat glosáře a termíny a používat je v engine |
Zobrazení hlasu značky (org:brandvoice:read) | Obsah | Zobrazovat hlas značky organizace |
Úpravy hlasu značky (org:brandvoice:edit) | Obsah | Vytvářet, měnit a mazat hlas značky a používat ho v engine |
Zobrazení pravidel (org:ruleset:read) | Obsah | Zobrazovat sady pravidel organizace a pravidla v nich |
Úpravy pravidel (org:ruleset:edit) | Obsah | Vytvářet, měnit a mazat sady pravidel i jednotlivá pravidla a používat je v engine |
Žádné oprávnění není vyhrazené jen pro roli Owner. Zvýšení oprávnění brání jednoduché pravidlo: můžete udělit jen to, co sami máte. Pokud role obsahuje oprávnění, které vaší vlastní roli chybí, vytvoření nebo úprava role, přiřazení role členovi i připnutí role k pozvánce se odmítne.
Role#
Existují dva typy rolí:
- Owner — jediná výchozí role platformy, označená jako Platform default v Nastavení → Role. Má všechna oprávnění a nejde ji měnit ani smazat. Člověk, který organizaci vytvoří, se stává jejím prvním Ownerem; organizace může mít několik Ownerů a vždy si ponechá alespoň jednoho.
- Vlastní role — libovolná role, kterou vytvoříte přes Nová role v Nastavení → Role: název, nepovinný popis a libovolná sada oprávnění ze tří skupin. Vytváření, úpravy a mazání rolí vyžadují RBAC a oprávnění Správa týmu.
Některé starší organizace mají také roli Full Access. Je to běžná vlastní role — můžete ji upravit nebo smazat stejně jako jakoukoli jinou.
Role jsou balíčky oprávnění
Člen má na úrovni organizace vždy právě jednu roli. Pokud chcete udělit částečný přístup, vytvořte roli s přesně touto podmnožinou oprávnění a přiřaďte ji. Jediná oprávnění mimo roli jsou přístupy ke konkrétnímu engine a ke konkrétnímu obsahu, popsané níže.
Když roli smažete, všichni, kdo ji měli, zůstanou v organizaci bez role a čekající pozvánky k ní připnuté dorazí bez role. Roli, kterou stále používá API klíč organizace, smazat nelze — nejdřív klíči přiřaďte jinou roli nebo ho zrušte.
Přiřazení role#
Otevřete Nastavení → Tým a na kartě Členové vyberte členovi roli. Volba Bez role ho ponechá jako člena bez oprávnění — stále se může přihlásit, ale bez role nezíská přístup k engine, nastavení ani fakturaci. Pokud chcete někomu přiřadit roli ještě před připojením, nastavte při pozvání z karty Pozvánky možnost Role při příchodu. Přiřazování rolí vyžaduje RBAC a oprávnění Správa týmu; odesílání pozvánek vyžaduje Správa týmu.
Pouze Owner může někomu přiřadit roli Owner nebo mu ji odebrat a poslední zbývající Owner nemůže být přeřazen na nižší roli ani odebrán. Pozvánka nemůže nést roli Owner.
Přístup k engineům#
Oprávnění role pro engine — Zobrazení engine, Spouštění překladů, Úpravy engine, Mazání engine — platí pro každý lokalizační engine v organizaci. Vytváření engine platí jen na úrovni celé organizace.
Pokud chcete přístup zúžit, udělte konkrétním uživatelům konkrétní engine. Oprávnění pro konkrétní engine dává danému členovi zobrazení, překlad, úpravy a mazání jen u tohoto jednoho engine. Oprávnění jsou aditivní — role, která už obsahuje oprávnění pro engine, pokrývá všechny engine bez ohledu na to. Pokud chcete uživatele omezit na jediný engine, dejte mu roli bez oprávnění pro engine a pak mu tento engine udělte.
V řídicím panelu není ovládací prvek pro oprávnění ke konkrétnímu engine; nastavíte je přes API nebo MCP server:
| Volání | Nástroj MCP | Vyžaduje |
|---|---|---|
PUT /organizations/:id/users/:userId/engine-access | permissions_setUserEngineAccess | Správa týmu. Nahradí seznam engine člena |
POST /engines/:id/members | permissions_addEngineMember | Úpravy engine pro daný engine |
DELETE /engines/:id/members/:userId | permissions_removeEngineMember | Úpravy engine pro daný engine |
Tato oprávnění fungují jen tehdy, když je daná osoba členem organizace, a jen když je RBAC zapnuté.
Přístup k obsahu#
Glosáře, hlas značky a sady pravidel fungují stejně. Oprávnění ke konkrétní položce dává členovi zobrazení a úpravy jen u daného glosáře, hlasu značky nebo sady pravidel navíc k jeho roli. Zároveň platí, že každý, kdo může zobrazit engine, může číst i obsah, který je k němu přiřazený, aby rozuměl jeho výstupu.
Oprávnění ke konkrétním položkám nastavíte pomocí PUT /organizations/:id/users/:userId/content-access (MCP: permissions_setUserContentAccess), což vyžaduje Správa týmu a nahradí celý seznam obsahu člena.
API klíče organizace#
Nastavení → API klíče má dvě karty. Klíče Personal jsou dostupné ve všech plánech a jednají jménem osoby, která je vytvořila, s přesně stejným přístupem. Klíče Organization patří organizaci, fungují dál i po odchodu lidí a vyžadují RBAC — bez něj karta zobrazuje „Organization keys need role-based access“.
- Vytvoření organizačního klíče a změna jeho role nebo rozsahu vyžaduje oprávnění Správa API klíčů (
org:manage_api_keys). - Role je nepovinné. Klíči lze přiřadit jen role omezené na Zobrazení engine a Spouštění překladů. Role s oprávněním Spouštění překladů má přístup ke všem engine.
- S volbou Bez role klíč „dosáhne jen na engine, které vyberete níže“ — jeho přístup vychází výhradně z engine, které u něj uvedete. Uvést můžete jen engine, na kterých sami můžete spouštět překlady.
- Po vytvoření klíče ho upravte a zadejte glosáře, hlas značky a sady pravidel, které smí používat. Klíč má přístup jen k obsahu uvedenému tam a uvést můžete jen obsah, který sami můžete upravovat.
- Pokud plán Enterprise skončí, každý organizační klíč se deaktivuje s chybou 403, která uvede příslušný nárok, takže operátor ví, že má obnovit plán nebo přejít na klíč Personal, místo aby hledal neexistující chybu v rozsahu engine.
Informace o vytváření a rušení klíčů najdete v části API Keys.
Vlastnictví#
Samostatný krok pro předání vlastnictví neexistuje. Owner předá vlastnictví někomu jinému tak, že mu v Nastavení → Tým vybere roli Owner, a organizace musí vždy mít alespoň jednoho Ownera. Protože pozvánka nemůže nést roli Owner, nejdřív danou osobu pozvěte s jinou rolí a teprve po přijetí pozvánky z ní udělejte Ownera. Pokud chcete odstoupit, nejdřív povyšte jiného člena na Ownera a pak snižte svou vlastní roli (když je RBAC zapnuté) nebo se odeberte.