Ruoli del workspace e RBAC personalizzato

Elido ha quattro ruoli integrati nel workspace. Coprono la maggior parte dei team; i ruoli personalizzati su Business ti permettono di ottimizzare quando "Admin" è troppo e "Editor" è troppo poco.

Ruoli integrati#

Ruolo	Link	Membri	Domini	Fatturazione	Registro di audit
Proprietario	LR	LR	LR	LR	L
Admin	LR	LR	LR	L (sola lettura)	L
Editor	LR	L	L	—	L (solo azioni proprie)
Visualizzatore	L	L	L	—	—

L = lettura, LR = lettura/scrittura, — = nessun accesso. La matrice è una semplificazione — vedi le note per area qui sotto per i dettagli.

Cosa può fare effettivamente ogni ruolo#

Proprietario. Il ruolo usato da chi ha creato il workspace e da chiunque sia stato promosso. I Proprietari sono l'unico ruolo che può:

Cambiare il piano di fatturazione o il metodo di pagamento.
Eliminare il workspace.
Promuovere / retrocedere altri Proprietari.

Un workspace deve avere sempre almeno un Proprietario. Se l'ultimo Proprietario se ne va, il sistema promuove automaticamente l'Admin con più anzianità.

Admin. Amministrazione quotidiana del workspace senza accesso alla fatturazione. Gli Admin gestiscono link, domini, webhook, membri e integrazioni. Possono leggere le pagine di fatturazione ma non possono cambiare carte o piani.

Editor. Il default per i collaboratori individuali. Può creare / modificare / eliminare link, eseguire importazioni bulk, generare codici QR e gestire webhook. Non può invitare persone, cambiare le impostazioni del workspace o aggiungere domini personalizzati.

Visualizzatore. Sola lettura su tutta la dashboard. Vede link e analisi; non può fare clic su nessun pulsante di azione. Utile per gli stakeholder, i revisori e gli utenti BI / Looker in sola lettura.

Ruoli personalizzati (piano Business)#

I workspace Business possono definire ruoli personalizzati con una lista di autorizzazioni. Il set di autorizzazioni:

links.read / links.write
analytics.read
domains.read / domains.write
members.read / members.write
billing.read / billing.write
audit_log.read
webhooks.write
api_keys.create (emetti chiavi con ruolo ≤ il tuo)
qr.read / qr.write
bio.write
branding.write (personalizzazione white-label)

Creane uno in Impostazioni → Ruoli → Nuovo ruolo. Scegli un nome, seleziona le autorizzazioni, salva. Assegna a un membro dalla riga del membro nell'elenco dei membri. I ruoli possono essere modificati in seguito; le modifiche si propagano entro 60 secondi.

Ruoli e chiavi API#

Le chiavi API sono legate al ruolo. Una chiave API editor può scrivere link; una chiave API admin può fare tutto ciò che può fare un utente admin. Emettere una chiave con un ruolo superiore al tuo ruolo nel workspace non è consentito — l'API rifiuta con 403.

Retrocedere un utente non revoca automaticamente le sue chiavi API. Mantengono il ruolo che avevano quando sono state emesse. Per applicare la retrocessione, revoca esplicitamente le chiavi dell'utente da Impostazioni → Chiavi API → Gestisci chiavi utente.

Trasferire la proprietà#

Per cedere la proprietà a qualcun altro:

Apri la riga del membro → Imposta ruolo: Proprietario.
Facoltativamente abbassa il tuo ruolo ad Admin o inferiore.

Non esiste una procedura guidata "trasferisci workspace" — ogni Proprietario ha diritti uguali e puoi avere tutti i Proprietari che vuoi. Per un passaggio di consegne pulito, promuovi prima il nuovo Proprietario, verifica che abbia accesso, poi retrocedi te stesso.

Rimozione di un membro#

I membri rimossi perdono immediatamente l'accesso alla dashboard. Le loro chiavi API personali vengono revocate entro 60 secondi. I link che hanno creato rimangono di proprietà del workspace (non dell'utente), quindi nulla si rompe sul lato dei link.

Le voci del registro di audit create dall'utente rimosso vengono conservate indefinitamente — la rimozione non anonimizza la cronologia.

Risoluzione dei problemi#

Un utente dice che non riesce a vedere un link che ha creato. Controlla il suo ruolo — se lo hai retrocesso a Visualizzatore, può ancora vedere il link se è nel workspace, ma non può modificarlo. Se lo hai anche spostato fuori dalla cartella, ripristina l'accesso alla cartella.

La chiave API funziona per un utente anche dopo averlo retrocesso. Le chiavi API mantengono il loro ruolo originale. Revoca la chiave da Impostazioni → Chiavi API per forzare una ri-emissione.

Al ruolo personalizzato manca un'autorizzazione di cui ho bisogno. Il set di autorizzazioni è fisso (vedi elenco sopra). Se manca qualcosa di genuinamente critico, invia un'email a support@elido.app con il caso d'uso — aggiungiamo funzionalità al set di autorizzazioni quando c'è domanda.

Cambio di ruolo bulk. Usa l'API SCIM: le appartenenze ai gruppi nel tuo IdP vengono mappate ai ruoli in Elido. Vedi SSO + SCIM per la configurazione. I ruoli controllati da SCIM non possono essere modificati nella dashboard — sono quelli che dice l'IdP.