Groupes d’autorisations

Qu’est-ce que le contrôle d’accès basé sur les rôles ?

Le contrôle d’accès basé sur les rôles (Role-Based Access Control, ou RBAC) est un modèle de sécurité qui restreint l’accès au système en fonction du rôle de chaque utilisateur dans l’organisation. Les autorisations sont attribuées aux rôles plutôt qu’aux utilisateurs, qui reçoivent ensuite le rôle correspondant à leurs fonctions.

Avantages clés

Gestion simplifiée : attribuez les autorisations une seule fois à un rôle, puis ajoutez les utilisateurs à ce rôle au lieu de gérer leurs droits individuellement.
Cohérence : tous les utilisateurs qui ont le même rôle disposent de droits d’accès identiques.
Évolutivité : intégrez facilement les nouveaux membres en leur attribuant des rôles préconfigurés.
Sécurité : appliquez le principe du moindre privilège en n’accordant que les autorisations nécessaires à chaque rôle.
Audit et conformité : simplifiez les revues d’accès et les rapports de conformité en organisant les autorisations selon les fonctions.

Fonctionnement dans Corgea

Dans Corgea, vous créez des groupes d’autorisations correspondant aux différents rôles de votre organisation, par exemple administrateur, développeur ou responsable de la sécurité. Chaque groupe reçoit un ensemble d’autorisations qui définit les actions accessibles à ses membres. Les utilisateurs peuvent appartenir à un ou plusieurs groupes et cumulent alors toutes leurs autorisations.

Les autorisations sont cumulatives : un utilisateur appartenant à plusieurs groupes reçoit toutes les autorisations accordées par chacun d’eux.

Recommandations d’autorisations par rôle

Voici une matrice d’autorisations recommandée pour les différents rôles à partir des autorisations disponibles dans Corgea.

Descriptions des rôles

Administrateur

Accès complet au système : gestion de tous les aspects de la plateforme, notamment les paramètres de l’entreprise, les utilisateurs, les autorisations et les fonctionnalités de sécurité.

Responsable du développement

Peut gérer les équipes de développement, les utilisateurs et les projets, et consulter tous les problèmes de sécurité. Peut lancer des scans et gérer les affectations d’équipe, mais pas modifier les politiques de sécurité.

Développeur

Dispose d’un accès en lecture aux problèmes, aux scans, aux politiques et aux équipes. Peut lancer des scans pour ses projets, mais ses capacités de gestion sont limitées. Ce rôle est centré sur la consultation et l’analyse des problèmes de sécurité dans le code.

DevOps

Rôle opérationnel disposant d’un contrôle total sur les intégrations, les scans planifiés, les paramètres de l’agent et les règles d’automatisation des pull requests. Peut gérer les scans et consulter les problèmes, mais pas modifier les politiques de sécurité ni supprimer les problèmes.

Responsable de la sécurité

Gestion complète de la sécurité, notamment les politiques, les SLA, les règles de blocage et les utilisateurs ou équipes. Ne peut ni supprimer les groupes d’autorisations ni modifier les paramètres de l’entreprise.

Ingénieur en sécurité

Rôle de sécurité opérationnel disposant d’un contrôle total sur les problèmes de sécurité, les politiques, les scans et les paramètres de l’agent. Il couvre les opérations de sécurité quotidiennes, sans responsabilité de gestion des utilisateurs ou des équipes.

Présentation des groupes d’autorisations

Voici des suggestions de groupes d’autorisations. Le rôle Admin est fourni par défaut avec Corgea.

Permission	Admin (par défaut)	Responsable de la sécurité	Ingénieur en sécurité	Responsable du développement	Développeur	DevOps
Gestion des utilisateurs
Créer un utilisateur	✓	✓	✗	✗	✗	✗
Modifier un utilisateur	✓	✓	✗	✗	✗	✗
Supprimer un utilisateur	✓	✗	✗	✗	✗	✗
Consulter un utilisateur	✓	✓	✓	✓	✓	✓
Gestion des problèmes (SAST)
Créer un problème	✓	✗	✗	✗	✗	✗
Consulter un problème	✓	✓	✓	✓	✓	✓
Supprimer un problème	✓	✓	✓	✗	✗	✗
Gestion des problèmes SCA
Créer un problème SCA	✓	✗	✗	✗	✗	✗
Consulter un problème SCA	✓	✓	✓	✓	✓	✓
Modifier un problème SCA	✓	✓	✓	✗	✗	✗
Supprimer un problème SCA	✓	✓	✓	✗	✗	✗
Gestion des scans SAST
Créer un scan SAST	✓	✓	✓	✓	✓	✓
Consulter un scan SAST	✓	✓	✓	✓	✓	✓
Supprimer un scan SAST	✓	✓	✓	✓	✗	✓
Gestion de projet
Modifier les balises de projet	✓	✓	✗	✓	✗	✓
Modifier le projet	✓	✓	✗	✓	✗	✓
Supprimer le projet	✓	✗	✗	✓	✗	✗
Gestion des tokens d’API
Consulter les tokens d’API	✓	✓	✓	✓	✓	✓
Gérer les tokens d’API	✓	✓	✗	✗	✗	✓
Gestion des politiques
Créer une politique	✓	✓	✓	✗	✗	✗
Modifier une politique	✓	✓	✓	✗	✗	✗
Consulter une politique	✓	✓	✓	✓	✓	✓
Supprimer une politique	✓	✓	✓	✗	✗	✗
Gestion des SLA
Créer un SLA de problème	✓	✓	✓	✗	✗	✗
Modifier un SLA de problème	✓	✓	✓	✗	✗	✗
Consulter un SLA de problème	✓	✓	✓	✓	✓	✓
Supprimer un SLA de problème	✓	✓	✓	✗	✗	✗
Gestion des règles de blocage
Créer une règle de blocage	✓	✓	✓	✗	✗	✗
Modifier une règle de blocage	✓	✓	✓	✗	✗	✗
Consulter une règle de blocage	✓	✓	✓	✓	✓	✓
Supprimer une règle de blocage	✓	✓	✓	✗	✗	✗
Règles de scan et de commentaires PR
Créer une règle de scan PR et de commentaire	✓	✓	✓	✗	✗	✓
Modifier la règle de scan PR et de commentaires	✓	✓	✓	✗	✗	✓
Voir la règle de scan PR et de commentaires	✓	✓	✓	✓	✓	✓
Supprimer une règle de scan et de commentaire de pull request	✓	✓	✓	✗	✗	✓
Gestion des scans planifiés
Créer un scan planifié	✓	✓	✓	✗	✗	✓
Modifier un scan planifié	✓	✓	✓	✗	✗	✓
Consulter un scan planifié	✓	✓	✓	✗	✗	✓
Supprimer un scan planifié	✓	✓	✓	✗	✗	✓
Gestion de l’intégration
Voir l’intégration	✓	✓	✓	✓	✗	✓
Gérer l’intégration	✓	✓	✗	✗	✗	✓
Gestion des groupes d’autorisations
Créer un groupe d’autorisations	✓	✓	✗	✗	✗	✗
Modifier le groupe d’autorisations	✓	✓	✗	✗	✗	✗
Voir le groupe d’autorisation	✓	✓	✗	✓	✗	✗
Supprimer un groupe d’autorisations	✓	✗	✗	✗	✗	✗
Gestion de l’entreprise
Voir les paramètres de l’entreprise	✓	✓	✗	✓	✗	✓
Modifier les paramètres de l’entreprise	✓	✗	✗	✗	✗	✗
Paramètres Corgea Agent
Voir les paramètres de l’agent	✓	✓	✓	✗	✗	✓
Modifier les paramètres de l’agent	✓	✓	✓	✗	✗	✓
Registre des skills
Créer un skill	✓	✗	✗	✗	✗	✗
Modifier un skill	✓	✗	✗	✗	✗	✗
Consulter un skill	✓	✗	✗	✗	✗	✗
Supprimer un skill	✓	✗	✗	✗	✗	✗
Approuver un skill	✓	✗	✗	✗	✗	✗
Gestion de l’équipe
Consulter une équipe	✓	✓	✓	✓	✓	✓
Créer une équipe	✓	✓	✗	✓	✗	✗
Modifier une équipe	✓	✓	✗	✓	✗	✗
Supprimer l’équipe	✓	✗	✗	✓	✗	✗
Gestion de l’accès au contenu
Gérer l’accès au contenu	✓	✓	✗	✓	✗	✗

Bonnes pratiques

Attribution des autorisations
Considérations de sécurité
Dépannage

Identifier les rôles utilisateurs

Déterminez les rôles et responsabilités spécifiques au sein de votre organisation (par exemple, analyste sécurité, développeur, manager).

Associer les autorisations aux rôles

N’attribuez que les autorisations minimales nécessaires à chaque rôle afin de respecter le principe du moindre privilège.

Créer des groupes d’autorisations

Créez des groupes d’autorisations correspondant aux rôles de l’organisation et attribuez-leur les droits appropriés.

Assigner les utilisateurs aux groupes

Ajoutez les utilisateurs aux groupes d’autorisations appropriés en fonction de leur rôle et de leurs responsabilités.

Référentiel des autorisations

Les tableaux ci-dessous répertorient toutes les autorisations disponibles dans Corgea, avec leur description et leurs cas d’usage.

Autorisations de gestion utilisateur

Permission	Description	Cas d’utilisation
Can add user	Créer de nouveaux comptes utilisateur	Intégrer de nouveaux membres et configurer leurs comptes
Can change user	Modifier les informations et paramètres des comptes existants	Mettre à jour les profils, adresses e-mail, rôles ou autres informations du compte
Can delete user	Supprimer des comptes utilisateur	Désactiver ou supprimer définitivement les comptes devenus inutiles
Can view user	Consulter les informations et profils des utilisateurs	Accéder aux informations des membres de l’équipe ou vérifier l’état d’un compte

Autorisations de gestion des problèmes (SAST)

Permission	Description	Cas d’utilisation
Can add issue	Créer des problèmes de sécurité ou signaler manuellement des vulnérabilités	Permettre à l’équipe de sécurité de consigner les vulnérabilités ou préoccupations découvertes
Can view issue	Consulter les problèmes de sécurité, les vulnérabilités et leurs détails	Accéder aux rapports, examiner les vulnérabilités ou suivre l’état de sécurité des projets
Can delete issue	Supprimer des problèmes de sécurité	Nettoyer les faux positifs, supprimer les problèmes résolus ou gérer leur cycle de vie

Autorisations de gestion des problèmes SCA

Permission	Description	Cas d’utilisation
Can add sca issue	Créer des problèmes SCA ou signaler manuellement des vulnérabilités de dépendances	Signaler des problèmes de dépendances ou de nouvelles vulnérabilités dans des composants tiers
Can view sca issue	Consulter les problèmes SCA et les vulnérabilités de dépendances	Examiner les vulnérabilités des bibliothèques tierces et les risques liés aux composants open source
Can change sca issue	Modifier les détails, l’état ou les informations de résolution d’un problème SCA	Mettre à jour l’état, ajouter des notes de résolution ou modifier l’évaluation d’une vulnérabilité
Can delete sca issue	Supprimer des problèmes SCA	Nettoyer les faux positifs, supprimer les problèmes résolus ou gérer le cycle de vie des problèmes SCA

Autorisations de gestion des scans SAST

Permission	Description	Cas d’utilisation
Can add SAST Scan	Lancer de nouveaux scans de sécurité SAST sur les projets	Lancer des scans manuels ou planifier de nouvelles analyses de sécurité
Can view SAST Scan	Consulter les résultats, rapports et historiques des scans SAST	Examiner les résultats de sécurité ou suivre la progression et l’issue des scans
Can delete SAST Scan	Supprimer les enregistrements et résultats de scans SAST	Nettoyer les anciennes données, supprimer les scans en échec ou gérer la conservation de l’historique

Autorisations de gestion de projet

Permission	Description	Cas d’utilisation
Can modify project tags	Ajouter, supprimer ou modifier les tags des projets	Organiser et filtrer les projets par équipe, technologie ou toute autre catégorie
Can edit project	Modifier les paramètres et la configuration d’un projet	Mettre à jour les informations ou ajuster les paramètres du projet
Can delete project	Supprimer des projets (nécessite l’accès au projet lorsque le contrôle d’accès est activé)	Nettoyer les anciens projets ou gérer leur cycle de vie

Autorisations de gestion des tokens d’API

Permission	Description	Cas d’utilisation
Can view token	Consulter les tokens d’API, leurs autorisations et leur utilisation	Auditer les accès à l’API ou vérifier l’état et les autorisations des tokens
Can change token	Modifier les tokens d’API, notamment leur régénération, leur expiration ou leurs autorisations	Mettre à jour les autorisations, régénérer un token compromis ou modifier son expiration

Autorisations de gestion des politiques

Permission	Description	Cas d’utilisation
Can add Policy	Créer des politiques de sécurité et des règles de conformité	Définir de nouvelles normes, politiques de conformité ou consignes de sécurité
Can change Policy	Modifier les politiques, règles et paramètres de conformité	Adapter les exigences et normes de sécurité à l’évolution des besoins
Can view Policy	Consulter les politiques, règles de conformité et normes de sécurité	Examiner les politiques et auditer les exigences de conformité
Can delete Policy	Supprimer des politiques et règles de conformité	Nettoyer les politiques obsolètes ou gérer leur cycle de vie

Autorisations de gestion des SLA des problèmes

Permission	Description	Cas d’utilisation
Can add Issue SLA	Créer des définitions de SLA et des délais de réponse pour les problèmes	Définir les délais de traitement par type de problème et les procédures d’escalade
Can change Issue SLA	Modifier les paramètres et délais d’un SLA existant	Mettre à jour les exigences, délais de réponse ou procédures d’escalade
Can view Issue SLA	Consulter les paramètres et délais des SLA	Vérifier les engagements de réponse ou auditer le respect des SLA
Can delete Issue SLA	Supprimer des définitions de SLA	Nettoyer les exigences ou normes de délai obsolètes

Autorisations de gestion des règles de blocage

Permission	Description	Cas d’utilisation
Can add blocking rule	Créer des règles pour bloquer des actions ou déploiements précis	Bloquer les déploiements comportant des vulnérabilités critiques ou des violations de conformité
Can change blocking rule	Modifier les règles de blocage et leurs conditions	Adapter les critères, conditions ou restrictions de déploiement
Can view blocking rule	Consulter les règles de blocage et leur configuration	Comprendre les restrictions ou auditer l’efficacité des règles
Can delete blocking rule	Supprimer des règles de blocage	Nettoyer les règles obsolètes ou les restrictions inutiles

Autorisations des règles de commentaire des scans de pull request

Permission	Description	Cas d’utilisation
Can add pr scan comment rule	Créer des règles de commentaire automatique pour les scans de pull request	Configurer le feedback automatique et des modèles adaptés aux résultats
Can change pr scan comment rule	Modifier les règles et modèles de commentaire existants	Mettre à jour les modèles, règles de feedback ou paramètres de communication
Can view pr scan comment rule	Consulter les règles et leur configuration	Examiner le feedback automatique ou auditer les règles de communication
Can delete pr scan comment rule	Supprimer des règles de commentaire	Nettoyer les règles obsolètes ou le feedback automatique inutile

Autorisations de gestion des scans planifiés

Permission	Description	Cas d’utilisation
Can add Scheduled Scan	Créer des scans de sécurité planifiés avec une fréquence et des paramètres personnalisés	Mettre en place des scans réguliers et automatisés
Can change Scheduled Scan	Modifier la fréquence ou les paramètres d’un scan planifié	Adapter la fréquence et la configuration de planification
Can view Scheduled Scan	Consulter la configuration des scans planifiés	Vérifier les prochains scans ou auditer leur automatisation
Can delete Scheduled Scan	Supprimer des scans planifiés	Nettoyer les planifications obsolètes ou inutiles

Autorisations de gestion de l’intégration

Permission	Description	Cas d’utilisation
Can view integration	Consulter la configuration et les détails de connexion des intégrations	Vérifier leur état ou auditer les connexions externes
Can manage integration	Créer, modifier et configurer des intégrations avec des systèmes externes	Configurer de nouvelles intégrations ou gérer les connexions externes

Autorisations de gestion des groupes d’autorisations

Permission	Description	Cas d’utilisation
Can add Permission Group	Créer des groupes avec des ensembles d’autorisations personnalisés	Mettre en place le RBAC avec des groupes tels que « Développeurs », « Équipe de sécurité » ou « Managers »
Can change Permission Group	Modifier les paramètres et autorisations d’un groupe	Mettre à jour les droits, noms ou niveaux d’accès
Can view Permission Group	Consulter la configuration et les autorisations d’un groupe	Auditer les autorisations et comprendre la structure du contrôle d’accès
Can delete Permission Group	Supprimer des groupes d’autorisations	Nettoyer les groupes inutilisés ou les rôles obsolètes

Autorisations de gestion de l’entreprise

Permission	Description	Cas d’utilisation
Can view company	Consulter les informations, paramètres et données de facturation de l’entreprise	Vérifier les paramètres, politiques et limites de facturation à l’échelle de l’entreprise
Can change company	Modifier les paramètres, la facturation, la configuration et les informations de l’entreprise	Gérer la facturation, les politiques et la configuration générale

Autorisations des paramètres de Corgea Agent

Permission	Description	Cas d’utilisation
Can view agent settings	Consulter la configuration et les paramètres de Corgea Agent	Vérifier son état ou auditer ses paramètres
Can edit agent settings	Modifier la configuration et les paramètres de Corgea Agent	Adapter son comportement ou ses paramètres d’automatisation

Autorisations du registre des skills

Permission	Description	Cas d’utilisation
Can add skill	Créer des skills dans le registre	Rédiger les skills de l’entreprise et soumettre leur première version à la revue
Can change skill	Modifier les skills et soumettre de nouvelles versions	Mettre à jour les instructions, publier une version ou la soumettre de nouveau après une revue
Can view skill	Consulter les skills, leurs versions, leur état de revue et leur disponibilité	Parcourir les skills et vérifier si leur installation est approuvée
Can delete skill	Supprimer des skills du registre	Retirer les skills obsolètes ou inutiles
Can approve skill	Approuver ou rejeter les versions de skills	Effectuer la revue d’une version avant de la rendre installable

Autorisations de gestion d’équipe

Permission	Description	Cas d’utilisation
Can view team	Consulter les informations, membres et affectations d’une équipe	Vérifier sa composition et ses affectations
Can create team	Créer des équipes dans l’organisation	Mettre en place des équipes de développement, de sécurité ou d’autres unités
Can edit team	Modifier les informations, membres et affectations d’une équipe	Ajouter ou retirer des membres et ajuster sa configuration
Can delete team	Supprimer des équipes	Nettoyer les équipes dissoutes ou les unités obsolètes

Autorisations de gestion de l’accès au contenu

Permission	Description	Cas d’utilisation
Can manage content access	Contrôler l’accès au contenu et aux ressources de la plateforme	Définir qui peut accéder aux projets, dépôts ou données de sécurité et gérer leur visibilité

Bien démarrer

Fonctionnalités principales

Intégrations

Outils et utilitaires

Versions

Confiance et conformité

Authentification

Qu’est-ce que le contrôle d’accès basé sur les rôles ?

Avantages clés

Fonctionnement dans Corgea

Recommandations d’autorisations par rôle

Descriptions des rôles

Administrateur

Responsable du développement

Développeur

DevOps

Responsable de la sécurité

Ingénieur en sécurité

Présentation des groupes d’autorisations

Bonnes pratiques

Référentiel des autorisations

Autorisations de gestion utilisateur

Autorisations de gestion des problèmes (SAST)

Autorisations de gestion des problèmes SCA

Autorisations de gestion des scans SAST

Autorisations de gestion de projet

Autorisations de gestion des tokens d’API

Autorisations de gestion des politiques

Autorisations de gestion des SLA des problèmes

Autorisations de gestion des règles de blocage

Autorisations des règles de commentaire des scans de pull request

Autorisations de gestion des scans planifiés

Autorisations de gestion de l’intégration

Autorisations de gestion des groupes d’autorisations

Autorisations de gestion de l’entreprise

Autorisations des paramètres de Corgea Agent

Autorisations du registre des skills

Autorisations de gestion d’équipe

Autorisations de gestion de l’accès au contenu

​Qu’est-ce que le contrôle d’accès basé sur les rôles ?

​Avantages clés

​Fonctionnement dans Corgea

​Recommandations d’autorisations par rôle

​Descriptions des rôles

Administrateur

Responsable du développement

Développeur

DevOps

Responsable de la sécurité

Ingénieur en sécurité

​Présentation des groupes d’autorisations

​Bonnes pratiques

​Référentiel des autorisations

​Autorisations de gestion utilisateur

​Autorisations de gestion des problèmes (SAST)

​Autorisations de gestion des problèmes SCA

​Autorisations de gestion des scans SAST

​Autorisations de gestion de projet

​Autorisations de gestion des tokens d’API

​Autorisations de gestion des politiques

​Autorisations de gestion des SLA des problèmes

​Autorisations de gestion des règles de blocage

​Autorisations des règles de commentaire des scans de pull request

​Autorisations de gestion des scans planifiés

​Autorisations de gestion de l’intégration

​Autorisations de gestion des groupes d’autorisations

​Autorisations de gestion de l’entreprise

​Autorisations des paramètres de Corgea Agent

​Autorisations du registre des skills

​Autorisations de gestion d’équipe

​Autorisations de gestion de l’accès au contenu

Qu’est-ce que le contrôle d’accès basé sur les rôles ?

Avantages clés

Fonctionnement dans Corgea

Recommandations d’autorisations par rôle

Descriptions des rôles

Présentation des groupes d’autorisations

Bonnes pratiques

Référentiel des autorisations

Autorisations de gestion utilisateur

Autorisations de gestion des problèmes (SAST)

Autorisations de gestion des problèmes SCA

Autorisations de gestion des scans SAST

Autorisations de gestion de projet

Autorisations de gestion des tokens d’API

Autorisations de gestion des politiques

Autorisations de gestion des SLA des problèmes

Autorisations de gestion des règles de blocage

Autorisations des règles de commentaire des scans de pull request

Autorisations de gestion des scans planifiés

Autorisations de gestion de l’intégration

Autorisations de gestion des groupes d’autorisations

Autorisations de gestion de l’entreprise

Autorisations des paramètres de Corgea Agent

Autorisations du registre des skills

Autorisations de gestion d’équipe

Autorisations de gestion de l’accès au contenu