Роли и разрешения
Управление доступом на основе ролей (RBAC) позволяет создавать пользовательские роли и назначать участникам команды точечные разрешения. Доступно на тарифе Enterprise.
Когда RBAC включён, права каждого участника определяются его ролью — участник без роли остаётся в организации, но не имеет доступа ни к чему, пока роль не назначена. Без RBAC все, кто вступает в организацию, становятся владельцами с полным доступом, а в разделе Настройки в подразделе Роли отображается сообщение «Роли не применяются» (см. Команда).
Переключение RBAC сбрасывает роли
Когда RBAC включается или отключается для организации, каждому участнику и каждому ожидающему приглашению назначается роль Владелец — у всех будет полный доступ, включая управление платёжными данными и удаление организации, пока вы не назначите более ограниченные роли.
Разрешения#
Каждая роль включает 21 разрешение, разделённое на три группы. В подразделе Роли раздела Настройки они указаны под следующими названиями:
| Разрешение | Группа | Что даёт |
|---|---|---|
Управление командой (org:manage_team) | Организация | Приглашать и удалять участников, назначать роли, управлять пользовательскими ролями |
Управление платёжными данными (org:manage_billing) | Организация | Просматривать и изменять настройки оплаты, способы оплаты и счета |
Управление настройками (org:manage_settings) | Организация | Изменять название организации, часовой пояс, интеграции и флаги функций |
Управление API-ключами (org:manage_api_keys) | Организация | Создавать, ограничивать область видимости ключей и удалять сервисные API-ключи организации |
Управление интеграциями (org:manage_integrations) | Организация | Подключать, настраивать и отключать внешние интеграции |
Удаление организации (org:delete) | Организация | Окончательно удалить всю организацию |
Просмотр журналов аудита (org:view_audit_logs) | Организация | Читать журнал аудита организации. Требуется право доступа «Журналы аудита» |
Управление проверками (org:manage_reviews) | Организация | Просматривать историю и статистику проверок для внутренних переводов |
Управление пулами принятия решений (org:manage_decision_pools) | Организация | Создавать, переименовывать и архивировать пулы принятия решений, а также выбирать их участников |
Просмотр движков (engine:read) | Движки | Просматривать движки локализации и их конфигурацию |
Запуск переводов (engine:translate) | Движки | Запускать задания локализации с помощью движков организации |
Создание движков (engine:create) | Движки | Создавать новые движки в организации |
Редактирование движков (engine:edit) | Движки | Изменить конфигурацию движка и настройки моделей |
Удаление движков (engine:delete) | Движки | Окончательно удалять движки |
Проверка переводов (engine:review_translations) | Движки | Проверять AI-переводы во внутренней очереди проверок |
Просмотр глоссариев (org:glossary:read) | Контент | Просматривать глоссарии организации и их термины |
Редактирование глоссариев (org:glossary:edit) | Контент | Создавать, изменять и удалять глоссарии и термины, а также применять их к движкам |
Просмотр тональностей бренда (org:brandvoice:read) | Контент | Просматривать тональности бренда организации |
Редактирование тональностей бренда (org:brandvoice:edit) | Контент | Создавать, изменять и удалять тональности бренда, а также применять их к движкам |
Просмотр правил (org:ruleset:read) | Контент | Просматривать наборы правил организации и правила внутри них |
Редактирование правил (org:ruleset:edit) | Контент | Создавать, изменять и удалять наборы правил и правила, а также применять их к движкам |
Ни одно разрешение не зарезервировано исключительно для владельца. Эскалацию предотвращает простое правило: вы можете выдавать только те права, которые есть у вас самих. Создание или редактирование роли, назначение роли участнику или привязка роли к приглашению будет отклонено, если роль включает разрешение, которого нет в вашей собственной роли.
Роли#
Роли бывают двух видов:
- Владелец — единственная роль, заданная платформой по умолчанию; в разделе Настройки в подразделе Роли она отмечена как Platform default. Она включает все разрешения и не может быть изменена или удалена. Тот, кто создаёт организацию, становится её первым владельцем; владельцев может быть несколько, и хотя бы один всегда должен оставаться.
- Пользовательские роли — любая роль, созданная с помощью кнопки Новая роль в разделе Настройки в подразделе Роли: название, необязательное описание и любой набор разрешений из трёх групп. Для создания, редактирования и удаления ролей нужны RBAC и разрешение Управление командой.
В некоторых старых организациях также есть роль Full Access. Это обычная пользовательская роль — её можно редактировать или удалять, как любую другую.
Роли — это наборы разрешений
Каждый участник имеет ровно одну роль на уровне организации. Чтобы предоставить частичный доступ, создайте роль с нужным набором разрешений и назначьте её. Единственные права, выдаваемые не через роль, — это доступ к конкретным движкам и контенту; они описаны ниже.
При удалении роли все участники, у которых она была, остаются в организации без роли, а ожидающие приглашения, привязанные к ней, поступают тоже без роли. Роль, которая ещё привязана к API-ключу организации, удалить нельзя — сначала назначьте ключу другую роль или отзовите его.
Назначение роли#
Откройте раздел Настройки в подразделе Команда и на вкладке Участники выберите роль для участника. Если выбрать Без роли, участник останется в организации без разрешений — он сможет войти, но ни движки, ни настройки, ни платёжные данные ему будут недоступны. Чтобы назначить роль до того, как человек присоединится, установите Роль при вступлении при отправке приглашения с вкладки Приглашения. Для назначения ролей нужны RBAC и Управление командой, для отправки приглашений — только Управление командой.
Только владелец может назначить роль владельца другому участнику или забрать её, и последнего оставшегося владельца нельзя понизить или удалить. Приглашение не может содержать роль владельца.
Доступ к движкам#
Разрешения роли для работы с движками — Просмотр движков, Запуск переводов, Редактирование движков, Удаление движков — применяются ко всем движкам локализации в организации. Разрешение Создание движков действует только на уровне организации.
Чтобы сузить доступ, предоставьте конкретным участникам доступ к конкретным движкам. Доступ к отдельному движку даёт участнику права на просмотр, перевод, редактирование и удаление только этого движка. Доступы суммируются — если роль уже включает разрешение на работу с движками, оно распространяется на все движки без исключения. Чтобы ограничить участника одним движком, назначьте ему роль без разрешений на движки, а затем откройте доступ к нужному движку отдельно.
В дашборде нет инструментов для управления доступом к отдельным движкам — настройте его через API или MCP-сервер:
| Вызов | MCP-инструмент | Требует |
|---|---|---|
PUT /organizations/:id/users/:userId/engine-access | permissions_setUserEngineAccess | Управление командой. Заменяет список движков участника |
POST /engines/:id/members | permissions_addEngineMember | Редактирование движков на этом движке |
DELETE /engines/:id/members/:userId | permissions_removeEngineMember | Редактирование движков на этом движке |
Доступ к движкам действует только пока человек является участником организации и только когда RBAC включён.
Доступ к контенту#
Глоссарии, тональности бренда и наборы правил работают одинаково. Доступ к отдельному элементу даёт участнику права на просмотр и редактирование конкретного глоссария, тональности бренда или набора правил — в дополнение к его роли. Отдельно: любой, кто может просматривать движок, может читать применённый к нему контент — чтобы понимать, что тот выдаёт.
Доступ к отдельным элементам настраивается с помощью PUT /organizations/:id/users/:userId/content-access (MCP: permissions_setUserContentAccess) — для этого нужно разрешение Управление командой; при этом весь список контента участника заменяется полностью.
API-ключи организации#
В разделе Настройки, в подразделе Ключи API есть отдельные вкладки для личных ключей и ключей организации. Оба типа доступны на всех планах. Личные ключи работают с правами доступа тех, кто их создал. Ключи организации принадлежат организации и продолжают работать, даже когда сотрудники уходят.
Без RBAC в Enterprise ключ организации даёт доступ к чтению и переводу с помощью любого движка в организации. Он не позволяет изменять или удалять движки, проверять переводы или управлять организацией. Чтобы создать ключ, нужно разрешение Управление ключами API (org:manage_api_keys).
RBAC в Enterprise добавляет роли и ограничения по движкам:
- Ключу можно назначить роль, но она может включать только разрешения Просмотр движков (
engine:read) и Запуск переводов (engine:translate). Разрешения роли действуют во всей организации. - Разрешения для отдельных движков дают дополнительный доступ к переводу с их помощью. Вы можете предоставить доступ только к тем движкам, с которыми можете переводить сами. Разрешения роли и отдельных движков складываются.
- Чтобы изменить роль ключа, разрешения для движков или область доступа к контенту, нужны RBAC и разрешение Управление ключами API. В область доступа к контенту можно включить глоссарии, тональности бренда и наборы правил, которые вы можете редактировать.
После отключения RBAC обычные ключи организации используют описанный выше базовый доступ к чтению и переводу во всей организации. Сохранённые ограничения по ролям и движкам больше не ограничивают этот доступ. Если эти ограничения нужны, отзовите или замените ключи до отключения RBAC.
Подробнее о создании и отзыве ключей — в разделе API-ключи.
Владение#
Отдельного шага для передачи прав владельца нет. Владелец передаёт права другому участнику, выбрав для него роль Владелец в разделе Настройки в подразделе Команда; в организации всегда должен оставаться хотя бы один владелец. Поскольку приглашение не может содержать роль владельца, сначала пригласите человека с другой ролью, а после принятия сделайте его владельцем. Чтобы передать свои права, назначьте роль владельца другому участнику, затем понизьте свою роль (при включённом RBAC) или удалите себя из организации.