Utilisateurs et rôles

Votre organisation et vos clients

Une instance AarView appartient à un opérateur : votre organisation. Son identifiant court est AARVIEW_OPERATOR_TENANT (par défaut operator), et son nom AARVIEW_OPERATOR_NAME apparaît sur la page de connexion, les rapports et les e-mails.

Si vous servez d’autres organisations, chacune est un client de l’instance. Le client d’un compte est un attribut de ce compte, pas un groupe du fournisseur d’identité. Un compte client ne voit que les données de son client.

Les trois rôles

Les rôles sont cumulatifs : chacun peut tout ce que peut le précédent.

Rôle	Ce qu’il ajoute
Analyste	le travail quotidien : incidents, alertes, tickets, analyse d’observables, santé des sources connectées
Administrateur	escalade et affectation des incidents, rapports, journal d’audit de son organisation, comptes, règles SOAR, collecte en lecture sur un poste, mise en quarantaine d’une machine
Super administrateur	l’instance : clients (intégration, retrait, affectation des analystes), licence, sources connectées, accès machine, santé du système, journal d’audit global

Ce que voit un compte de votre équipe :

• un analyste ne voit que les clients qui lui sont affectés, et aucun tant qu’aucun ne l’est ;
• un administrateur de votre équipe voit tous les clients ;
• le super administrateur peut voir comme un client : la console montre exactement ce que voit l’administrateur de ce client, en lecture seule. L’ouverture et la fermeture de cette vue sont journalisées.

Les actions d’exploitation (traiter un incident, analyser, collecter, mettre en quarantaine, écrire une règle SOAR, gérer l’instance) demandent un rôle dans votre organisation. Un administrateur de client garde ce qui concerne la sienne : ses rapports, son journal d’audit, ses comptes.

Gérer les comptes

• Votre équipe crée les comptes dans Admin > Utilisateurs, ou depuis la page d’un client.
• L’administrateur d’un client crée, promeut, désactive et réactive les comptes de son organisation dans Paramètres > Utilisateurs.
• Chaque nouveau compte reçoit un lien à usage unique pour définir son mot de passe, avec un message prêt à envoyer en français et en anglais. Ce lien ne modifie que le compte pour lequel il a été émis.
• Désactiver un compte ferme ses sessions et libère son siège de licence.

Un compte qu’AarView n’a pas créé (l’administrateur du fournisseur d’identité, par exemple) se modifie dans le fournisseur d’identité ; la page Paramètres le dit.

Offres de service

Chaque client est rattaché à une offre, qui détermine les fonctions auxquelles il accède. Le catalogue se modifie dans Administration > Offres de service : chaque opérateur y définit les offres qu’il vend, avec leurs capacités et leurs engagements. Une offre ne peut pas accorder plus que la licence.

Une fonction que l’offre n’inclut pas apparaît verrouillée, avec l’offre qui l’inclut.

Actions qui demandent une connexion récente

Créer ou modifier un compte, émettre un lien d’accès, des codes ou des sièges de licence, créer ou renouveler un accès machine, un webhook ou une source connectée, intégrer ou retirer un client, changer une offre et exporter le journal d’audit demandent une connexion de moins de 10 minutes. Au-delà, AarView demande de se reconnecter (mot de passe et code), puis ramène à la page : refaites alors l’action.

Un cookie de session volé ne suffit donc pas pour ces actions.