Notions importantes de gestion des utilisateurs et des accès

Pour configurer et gérer votre utilisateur New Relic , vous devez d'abord comprendre quelques concepts de base sur le fonctionnement de notre système de gestion d'utilisateurs.

Aperçu de l'accès utilisateur

L'accès de l'utilisateur aux fonctionnalités du produit est contrôlé par deux facteurs :

• Type d'utilisateur (basic utilisateur, core utilisateur, full plateforme utilisateur) : le type d'utilisateur d'un utilisateur est basé sur la mesure dans laquelle vous vous attendez à ce que cet utilisateur utilise New Relic. Le type d'utilisateur est un facteur de facturation. Ce n'est pas un moyen de définir des autorisations. Pour en savoir plus, consultez la section Type d'utilisateur.
• Contrôle d'accès basé sur les rôles : c'est ce que vous utilisez pour contrôler les autorisations de vos utilisateurs via des rôles (ensembles d'autorisations), des groupes (conteneur pour l'utilisateur) et des autorisations d'accès (liens entre les groupes et les rôles sur une cible spécifique).

Il s'agit de deux systèmes distincts. Pour pouvoir accéder à une fonctionnalité de New Relic, votre type d'utilisateur et vos autorisations basées sur les rôles doivent permettre cet accès. Pour en savoir plus sur la relation entre le type d'utilisateur et les rôles, consultez la section « Type d'utilisateur et rôles ». Ce document porte sur le contrôle d'accès basé sur les rôles.

En plus du contrôle d'accès basé sur les rôles, vous pouvez également contrôler l'accès à des données log spécifiques à l'aide du contrôle d'accès aux données, qui vous permet de restreindre les partitionslog que l'utilisateur peut consulter.

Comment les groupes, les rôles et les droits d'accès contrôlent l'accès à New Relic

Chez New Relic, utilisateur groups contient utilisateur et roles contient permissions. Vous accordez l'accès via access grants, qui relie explicitement les groupes aux rôles sur une cible spécifique. Pour qu'un utilisateur de New Relic puisse accéder aux fonctionnalités de New Relic, vous devez l'ajouter à un groupe disposant des autorisations d'accès suivantes :

• Un rôle spécifique (un rôle étant un ensemble d’ autorisations spécifiques et granulaires).
• Une cible appropriée (organisation, comptes spécifiques ou groupes cibles, selon la portée du rôle).

Les organisations disposant de l'édition Pro ou Enterprise peuvent avoir plusieurs comptes au sein de leur organisation et peuvent créer des rôles et des groupes personnalisés. Vous pouvez créer des rôles personnalisés à trois niveaux différents : au niveau de l’organisation pour les fonctions administratives, au niveau du compte pour les fonctionnalités de la plateforme ou au niveau de l’entité pour un accès précis à des ressources spécifiques. Nos éditions Free et Standard n'autorisent qu'un seul compte par organisation et ne permettent pas de créer de rôles ou de groupes personnalisés.

Lorsque vous vous inscrivez initialement à New Relic, votre organisation dispose de rôles et d'attributions de comptes intégrés pour les groupes par défautUser ou Admin . Par exemple, le groupe Admin dispose de plusieurs autorisations d'accès qui donnent à l'utilisateur de ce groupe un accès étendu à New Relic, y compris des autorisations administratives au niveau de l'organisation.

Voici un diagramme montrant comment fonctionne l’accès aux groupes et comment ils sont liés à l’organisation dans son ensemble :

Pour des conseils sur la configuration des groupes, consultez notre tutoriel sur la gestion des utilisateurs.

Subventions d'accès

Access grants Ce sont les liens explicites qui relient les groupes aux rôles sur une cible spécifique. Vous créez des autorisations d'accès pour accorder aux utilisateurs d'un groupe les permissions définies dans un rôle, appliquées à une étendue particulière.

Chaque subvention d'accès nécessite trois composantes :

• Titulaire: Le groupe qui reçoit l'accès.
• Rôle: L'ensemble des permissions accordées.
• Cible: Le périmètre de la ressource auquel le rôle s'applique.

Vous pouvez créer trois types d'autorisations d'accès en fonction de leur étendue :

Subventions aux organisations

Vous utilisez les subventions d'organisation pour accorder à un groupe des autorisations au niveau de l'organisation. Ces subventions :

• Ciblez l’ensemble de votre organisation.
• Exiger des rôles à l'échelle de l'organisation.
• Accorder aux utilisateurs les autorisations nécessaires pour les fonctions à l'échelle de l'organisation.

Accords de compte

Vous utilisez les autorisations de compte pour donner à un groupe l'accès aux fonctionnalités de la plateforme au sein de comptes spécifiques. Ces subventions :

• Exiger des rôles limités au compte.
• Vous permet de sélectionner les comptes auxquels le groupe peut accéder.
• Peut inclure des politiques d'accès aux données pour contrôler la visibilité des données log.

Subventions de groupe

Vous utilisez les subventions de groupe pour déléguer les responsabilités de gestion du groupe. Ces subventions :

• Exiger des rôles à portée de groupe (comme Administrateur de groupe).
• Vous permet de spécifier les groupes que le groupe assigné peut gérer.
• Activer la gestion distribuée des utilisateurs sans accès administratif étendu.

Pour obtenir des instructions étape par étape sur la création d'autorisations d'accès, consultez notre tutoriel sur la gestion des utilisateurs.

Groupes

Dans New Relic, placer un utilisateur dans un group permet de gérer les permissions de plusieurs utilisateurs en même temps. Par exemple, si vous utilisez notre fonctionnalité de gestion automatisée des utilisateurs , vous pouvez importer un groupe personnalisé d'utilisateurs (par exemple, External consultants) à partir de votre service de fournisseur d'identité, puis accorder un rôle et un compte à ce groupe.

Pour accéder aux fonctionnalités de New Relic, un utilisateur doit appartenir à au moins un groupe disposant d'un rôle et posséder au moins un compte. Notez que ce ne sont pas les groupes qui restreignent les permissions New Relic d'un utilisateur : c'est le role attribué à ce groupe qui accorde l'accès aux permissions.

Nous proposons par défaut deux groupes d'utilisateurs simples. Les organisations Pro et Entreprise peuvent créer des groupes personnalisés. Les utilisateurs et les groupes sont situés dans un domaine d'authentification, qui contrôle les paramètres liés à la manière dont les utilisateurs sont provisionnés (par exemple, via un fournisseur d'identité) et à la manière dont les utilisateurs log connectent.

Nos groupes d'utilisateurs par défaut

Nous avons deux groupes d'utilisateurs par défaut :

• UserUn utilisateur de ce groupe peut utiliser et configurer notre fonctionnalité d'observabilité et monitoring, mais ne peut pas effectuer de tâches au niveau du compte telles que la gestion de la facturation ou la gestion d'autres utilisateurs. Il a accès au rôle All product admin, qui accorde le contrôle sur tous les outils de la plateforme d'observabilité, et aux rôles à portée organisationnelle avec des autorisations d'administration de produits. Il ne donne pas accès aux rôles à l'échelle de l'organisation disposant de fonctionnalités de gestion des utilisateurs.
• Admin: possède le rôleAll product admin et a en outre accès aux rôles à portée organisationnelle avec toutes les autorisations disponibles au niveau de l'organisation. Par conséquent, ce groupe a accès à toutes les fonctionnalités, y compris aux fonctionnalités d'administration de niveau supérieur.

Pour modifier le groupe auquel appartient un utilisateur, vous pouvez accéder soit à l'UI Access management et modifier un groupe, soit à l'UI User management et modifier l'utilisateur.

Rôles

Nous proposons plusieurs rôles par défaut, mais les organisations disposant de l'édition Pro ou Enterprise peuvent créer leurs propres rôles personnalisés dans n'importe lequel des trois périmètres de rôle.

Étendue des rôles

Vous pouvez créer des rôles à trois niveaux différents, chacun ayant des objectifs différents :

• Rôles à l'échelle de l'organisation: Vous utilisez ces rôles pour des fonctions à l'échelle de l'organisation telles que la gestion du domaine d'authentification, la création de comptes, la configuration des paramètres de l'organisation ou la gestion des tableaux de bord et des équipes. Les rôles standards comprennent :

  • Organization manager:Autorisations liées aux paramètres de l'organisation, y compris l'ajout de comptes et la modification du nom de l'organisation et des comptes. Cela inclut également des tâches d'observabilité sensibles, telles que la suppression de certaines entités.

  • Authentication domain manager:Autorisations liées à l'ajout et à la gestion des utilisateurs, y compris la configuration du domaine d'authentification et la personnalisation des groupes et des rôles. Les options disponibles incluent :

    • Manage:Peut gérer tous les aspects du domaine d'authentification, y compris la configuration du domaine et l'ajout d'utilisateur.
    • Read only:Peut afficher le domaine d'authentification et les informations utilisateur.
    • Add users: Permet de consulter les informations utilisateur et d'ajouter un utilisateur à l'organisation, mais ne dispose pas d'autres fonctionnalités configuration et de gestion du domaine d'authentification.
    • Read users:Ne peut afficher que les informations utilisateur.

  • Billing: Permet à un utilisateur de visualiser et de gérer la facturation et l'utilisation, ainsi que la rétention des données. Pour les organisations avec plusieurs comptes, la facturation est agrégée dans le reporting account (généralement le premier compte créé dans une organisation).

  • Organization product admin: Autorisations liées aux fonctionnalités d'observabilité à l'échelle de l'organisation, telles que les tableaux de bord et la gestion d'équipe. Il s'agit de l'équivalent, à l'échelle de l'organisation, de l'administration de tous les produits.

• Rôles liés au compte: vous utilisez ces rôles pour accéder aux fonctionnalités de la plateforme au sein de comptes spécifiques, comme la configuration des paramètres APM, la gestion des alertes ou l’exécution de requêtes. Ce sont les rôles traditionnels avec lesquels la plupart des utilisateurs travaillent. Les rôles standards comprennent :

  • All product admin: Inclut toutes les autorisations de la plateforme New Relic, à l'exception de la possibilité de gérer les paramètres au niveau de l'organisation, les utilisateurs et la facturation.
  • Standard user: Donne accès aux fonctionnalités de notre plateforme mais ne dispose pas des autorisations nécessaires pour configurer ces fonctionnalités et ne dispose pas des autorisations de gestion au niveau de l'organisation et des utilisateurs.
  • Read only: Fournit un accès en lecture seule à la plateforme New Relic.

• Rôles à portée d'entité: Vous appliquez ces rôles pour un accès précis à des ressources spécifiques comme un dashboard individuel, des flottes ou une règle d'alerte. Cela permet un contrôle précis des autorisations au niveau de chaque ressource. Vous pouvez créer des rôles personnalisés au niveau de l'entité en fonction de vos besoins.

Points importants sur les rôles :

• Les rôles sont additifs : l'utilisateur avec plusieurs rôles attribués dispose du total de toutes les autorisations accordées par ces rôles. Par exemple, si vous faites partie d'un groupe qui vous attribue le rôle All product admin dans un compte et d'un autre groupe qui vous attribue un rôle Read only pour le même compte, vous disposez des deux rôles et n'êtes pas limité par le rôle Read only.
• Votre accès dépend à la fois de votre type d'utilisateur et de vos autorisations (en savoir plus).
• La création d'un rôle n'octroie pas d'accès tant que vous n'avez pas créé une autorisation d'accès liant un groupe à ce rôle.

Pour afficher les rôles et leurs autorisations, accédez à l’ UIAccess management et cliquez sur Roles.

Nos rôles standards (par défaut)

Nous avons plusieurs standard roles à portée de compte, qui sont des rôles disponibles par défaut et qui satisfont certains cas d'utilisation courants de gestion des utilisateurs.

Voici un tableau avec nos rôles standards. Pour mieux comprendre ces rôles, accédez à l’ UI de gestion des accès et sélectionnez un rôle.

Pour en savoir plus sur la manière dont vous pouvez attribuer des rôles aux groupes et créer des rôles personnalisés, consultez le didacticiel de gestion des utilisateurs.

Autorisations au niveau de l'organisation

Lorsque vous créez des rôles personnalisés à l'échelle de l'organisation, vous pouvez attribuer diverses autorisations au niveau de l'organisation, notamment la gestion des identités et des accès, les paramètres de l'organisation et l'administration des produits de l'organisation. Les administrateurs de la plateforme complète peuvent combiner ces autorisations en rôles personnalisés en fonction des besoins spécifiques de votre organisation. Un utilisateur de base ne peut pas utiliser de rôles avec ces autorisations.

Administrateur du groupe

Vous pouvez créer un rôle Group admin à attribuer à un groupe. Ce rôle permet au groupe d'ajouter et de supprimer des utilisateurs pour un ou plusieurs groupes que vous sélectionnez.

Grâce à cette fonctionnalité, vous pouvez donner à certains utilisateurs la possibilité d'ajouter et de supprimer des utilisateurs pour un groupe spécifique. Cela peut s'avérer préférable à l'octroi à l'utilisateur de rôles beaucoup plus puissants, à l'échelle de l'organisation, assortis de droits complets de gestion des utilisateurs. Par exemple, vous n'avez peut-être qu'un ou deux administrateurs dans l'entreprise disposant d'autorisations de gestion des utilisateurs à l'échelle de l'organisation, mais vous souhaitez peut-être donner à plusieurs autres responsables la possibilité de gérer les utilisateurs pour des équipes spécifiques, et ce rôle est utile à cet égard.

Pour utiliser le rôle Group admin, un utilisateur doit appartenir à un groupe disposant de rôles à portée organisationnelle incluant des autorisations de gestion du domaine d'authentification.

Autorisations

Pour plus d'informations sur les autorisations dont disposent les rôles et qui peuvent être ajoutées aux rôles personnalisés, voir Autorisations.

Gérer les utilisateurs

Pour savoir comment ajouter des utilisateurs, les affecter à des groupes et créer des groupes et des rôles personnalisés, consultez Gérer les utilisateurs.

Utiliser l'API

Pour savoir comment gérer vos utilisateurs, groupes et rôles via l'API, consultez notre documentation NerdGraph.

Termes et définitions de gestion des utilisateurs

Pour une explication du fonctionnement de l'accès des utilisateurs aux comptes et aux rôles, voir Concepts de gestion des utilisateurs. Voici quelques définitions de certains de nos termes de gestion des utilisateurs :

• Une New Relic organization est la représentation de votre organisation, contenant tous vos comptes, utilisateurs et données. Pour plus d'informations, voir organisation et structure du compte.
• Un permission est une capacité à utiliser ou à modifier une fonctionnalité New Relic spécifique et granulaire. Pour plus d'informations, voir Autorisations.
• Un role est un ensemble d’autorisations. C'est ce qui donne à un utilisateur ses autorisations. Nos rôles standard par défaut ont différentes autorisations et vous pouvez créer des rôles personnalisés dotés d'autorisations personnalisées.
• Un utilisateur group a un ou plusieurs rôles qui lui sont associés. Vous affectez votre utilisateur à un groupe. Nous avons des groupes d'utilisateurs par défaut (Admin et User), et vous pouvez créer vos propres groupes.
• Un authentication domain contient un ensemble d'utilisateurs qui sont ajoutés à New Relic et qui se connectent à New Relic de la même manière.
• Si un utilisateur est un utilisateur de base, cela a la priorité sur toutes les autorisations liées au rôle. Pour en savoir plus, voir Utilisateur et rôles de base.