Rollen en toegang¶

Deze pagina legt uit hoe OS beslist wat iemand in een organisatie mag: rollen, groepen, eigenschappen, het regeldocument van de organisatie, hoe een partner bij de organisaties onder zich komt, en waarom niemand meer kan weggeven dan hij zelf heeft. Ze bevat geen stappen; de taakpagina's onder Beheren laten zien hoe je het instelt.

Een regel beslist¶

Alles wat iemand in OS mag, komt uit regels. Een regel zegt over één soort ding (een groep, een lid, een agent, een gesprek) of het iets toestaat (permit) of weigert (forbid), voor welke acties, en onder welke voorwaarden.

Er zijn vier acties:

Actie	Betekenis
`see`	het ding zien: in een lijst of als je het opent
`use`	het ding gebruiken: een agent in een gesprek, een rol toekennen aan een ander
`write`	het ding maken of wijzigen
`delete`	het ding verwijderen

Drie afspraken beslissen elk geval:

Niets mag zonder een regel die het toestaat. De volgorde van de regels maakt niet uit.
Een weigerende regel wint. Past er een forbid, dan weigert OS, wat een permit ook zegt.
Geen actie omvat een andere. Wie mag wijzigen maar niet zien, vindt het ding niet. Wat je niet mag zien, bestaat voor jou niet: OS antwoordt alsof het er niet is.

Een regel kan voorwaarden stellen aan het ding (de naam, of een label dat erop staat) en aan de persoon (een eigenschap die hij heeft). Een regel geldt alleen als al zijn voorwaarden kloppen; wie twee waarden wil toestaan, schrijft twee regels. Hoe een regel er precies uitziet, staat in Soorten en acties.

Rollen¶

Een rol is een benoemde verzameling regels. Wie een rol heeft, valt onder de regels ervan. Een lid krijgt een rol direct, of via een groep waar hij in zit.

Elke organisatie heeft dezelfde ingebouwde rollen. Ze zijn overal gelijk en je wijzigt ze niet.

Rol	Voor wie	Wat hij mag
`member`	elk actief lid, vanzelf	de organisatie, haar groepen en de ingebouwde rollen zien, en zijn eigen lidmaatschap
`people-admin`	personenbeheerder	leden en uitnodigingen zien en beheren, uitnodigingen intrekken, groepen zien en beheren, de rollen `member` en `people-admin` toekennen; de runs van virtuele medewerkers volgen, starten, stoppen en verwijderen en ze aan- en uitzetten, maar ze niet maken of wijzigen
`org-admin`	beheerder	alles in de eigen organisatie: leden, uitnodigingen, groepen, rollen, eigenschappen, het regeldocument, het logboek, domeinen, het inloggen van je bedrijf en het lezen van haar dienst
`auditor`	controleur	het logboek lezen
`operator`	Artific	wat `org-admin` mag in elke organisatie; daarnaast bepalen waar haar gegevens staan en de pakketten van Artific beheren; alleen te geven in de bovenste organisatie
`consultant`	supportmedewerkers	alles wat `member` mag, en de direct-chatbalie: een chat overnemen die iemand aan een collega gaf, erin antwoorden, hem teruggeven of sluiten
`assistant-editor`	redacteuren van assistenten	alles wat `member` mag, en de assistenten maken, wijzigen en verwijderen die bij hun waarden horen (zie Redacteuren van assistenten), evaluaties, en de runs van virtuele medewerkers volgen, starten en verwijderen

Daarnaast maakt een beheerder eigen rollen voor zijn organisatie: bijvoorbeeld een rol "Teamleider" die leden van de eigen afdeling mag beheren. Een organisatie heeft er hoogstens 100, elk met hoogstens 200 regels. Zie Rollen beheren.

Wat de ingebouwde rollen mogen in de AI-functies¶

De ingebouwde rollen bevatten ook regels over de AI-functies: modellen, agents, kennis, bestanden en gesprekken.

Elke ingebouwde rol mag alle modellen, tools, agents, prompts, skills, planningen, workflows, kennis en bestanden van de organisatie gebruiken. Wat de dienst van de organisatie niet bevat, mag ook een ingebouwde rol niet. Van gesprekken, geheugen, opgeslagen bestanden en datastore-rijen bereikt een lid zijn eigen en de gedeelde, die van niemand in het bijzonder zijn.

Een beheerder ziet nooit de gesprekken, het geheugen of de bestanden van een collega. Ook org-admin bereikt van die rijen alleen zijn eigen en de gedeelde. Wie dat anders wil, schrijft daar zelf een regel voor, en kan dat alleen als hij die toegang zelf heeft (hieronder).

Instellingen voor de hele organisatie¶

Een paar dingen gelden voor iedereen in de organisatie tegelijk en hangen niet van de persoon af. Ze staan daarom niet in een rol, maar in het regeldocument:

of de AI-functies geheugen mogen schrijven: standaard voor niemand;
of opgeslagen bestanden en pagina's via een link gedeeld mogen worden: standaard voor niemand;
of bestanden die een tool maakte gedownload mogen worden: standaard voor elk lid;
welke modelrouters gebruikt mogen worden: standaard elke, voor elk lid;
welke externe adressen de AI-functies mogen bereiken. Zonder regel daarover zijn dat de adressen die je operator voor de organisatie toestaat; een regel kan dat beperken.

Geheugen schrijven en delen via een link gaan aan zodra het regeldocument ze toestaat, en dan voor iedereen, nooit voor één persoon. Alleen wie ze zelf heeft, org-admin of operator, mag zo'n regel schrijven (hoe). Een eigen rol kan over deze dingen niets zeggen.

Groepen¶

Een groep bundelt leden, bijvoorbeeld een team of een afdeling. Een groep kan rollen en eigenschapswaarden hebben, en elk lid van de groep heeft die dan ook. Wie uit de groep gaat, of wiens groep verdwijnt, verliest wat de groep gaf. Zie Groepen beheren.

Eigenschappen¶

Een eigenschap is een feit over een lid dat regels kunnen lezen, zoals department (afdeling) of office (kantoor). De beheerder bepaalt welke eigenschappen de organisatie kent en of de waarden vrij zijn of uit een vaste lijst komen. Een lid heeft de waarden die hij zelf kreeg plus die van zijn groepen. Zie Eigenschappen beheren.

Drie eigenschappen leest OS altijd zelf af en kun je niet aanmaken:

role: elke rol die het lid heeft, direct of via een groep;
group: elke groep waar het lid in zit;
subject: wie het lid is, zodat een regel "dit is van mij" kan zeggen.

OS bepaalt deze feiten bij elk verzoek opnieuw uit wat de organisatie heeft vastgelegd. Een lid kan zijn eigen eigenschappen niet zelf opgeven.

Het regeldocument¶

Naast rollen heeft elke organisatie één regeldocument: regels die voor elk actief lid gelden. Daarin zet je wat voor iedereen geldt, zoals "niemand gebruikt het dure model" of "stagiairs gebruiken geen agents van de financiële afdeling". Ook de instellingen voor de hele organisatie staan hier. Zie Het regeldocument.

Voor een lid gelden dus samen: de regels van zijn rollen, het regeldocument, en member.

Partners en de organisaties eronder¶

Een rol wordt gegeven met een bereik:

organisation (standaard): de rol geldt in de organisatie die hem gaf.
descendants: de rol geldt in die organisatie en in elke organisatie eronder.

Zo werken de mensen van een partner in de organisaties van hun klanten, zonder daar lid te zijn. Een supportmedewerker die bij de partner org-admin heeft met bereik descendants, beheert ook de klanten onder de partner. Van de partner telt in een klantorganisatie alleen wat met bereik descendants is gegeven; het regeldocument van de partner en zijn rollen met bereik organisation reiken niet naar beneden.

Een organisatie kan het beheer dat een organisatie erboven met bereik descendants geeft niet weghalen: op beheer bestaan geen weigerende regels. Op de AI-functies wel: een forbid in het regeldocument van een organisatie geldt daar ook voor de mensen van een partner. Het logboek van de organisatie noemt bij elke wijziging uit welke organisatie de persoon handelde.

De eerste beheerder van een nieuwe organisatie krijgt org-admin met bereik descendants, zodat hij ook de afdelingen beheert die hij later onder zijn organisatie maakt.

Niemand geeft meer dan hij heeft¶

Elke wijziging die iemand meer kan laten doen, is een toekenning: een rol geven, een lid in een groep zetten, een groep een rol of waarde geven, een eigenschapswaarde geven, de regels van een eigen rol of het regeldocument schrijven, en uitnodigen met een van deze. OS staat een toekenning alleen toe als je de wijziging zelf mag doen en je zelf hebt wat je weggeeft:

een rol heb je als je hem zelf hebt (met minstens hetzelfde bereik), of elke regel ervan;
een eigenschapswaarde heb je als je hem zelf hebt, of als je die eigenschap mag toekennen (org-admin mag dat voor elke eigenschap);
een groep heb je als je elke rol en elke waarde hebt die de groep geeft;
een regel heb je als een van je eigen regels hetzelfde toestaat, over dezelfde dingen, en geen weigerende regel er iets van afneemt.

Een geweigerde toekenning verandert niets, en OS noemt wat je niet hebt. Een uitnodiging wordt bij het versturen gecontroleerd en opnieuw bij het accepteren.

Een weigerende regel over beheer (organisaties, leden, uitnodigingen, groepen, rollen, regels en eigenschappen) kun je niet schrijven. Zo'n regel zou ook de beheerders zelf rechten kunnen afnemen. Op de AI-functies kun je wel weigeren.

Binnen de dienst van de organisatie¶

Alles wat rollen, groepen en regels toestaan, geldt alleen binnen de dienst van de organisatie: wat haar pakketten en uitzonderingen bevatten. Een regel over iets wat niet in de dienst zit, staat niets toe. De dienst maakt rollen dus kleiner, nooit groter, en een weigerende regel blijft altijd gelden.

Wie een eigen rol, een groep of een regel toekent die buiten de dienst reikt, krijgt 403 met This is not part of your organisation's service, nog vóór de controle of je zelf hebt wat je weggeeft (hierboven). De ingebouwde rollen kun je altijd geven: ze zijn overal gelijk en de dienst maakt ze alleen kleiner. Het eigen beheer van de organisatie (leden, uitnodigingen, groepen, rollen, eigenschappen, regels, het logboek en het lezen van de dienst) zit altijd in de dienst (Altijd in de dienst).

Wat je in OS ziet¶

OS toont knoppen en menu's precies voor wat je mag, binnen de dienst van de organisatie: bij elk ding staat welke acties jij erop mag doen, en per soort welke acties je op minstens één ding van die soort mag. Wat je niet ziet, mag je niet. Hoe een programma dit uitleest, staat in De toegangs-API.

Het logboek¶

Elke wijziging aan de mensen, groepen, rollen, eigenschappen, regels, uitnodigingen en instellingen van een organisatie komt in haar logboek: wanneer, wie, vanuit welke organisatie, en wat er veranderde. Het logboek bevat geen wachtwoorden, sleutels of e-mailadressen. Zie Het logboek lezen.