Project

General

Profile

Evolution #199

Gestion des autorisation d'accès aux données personnelles

Added by CapsLock CapsLock over 7 years ago. Updated about 7 years ago.

Status:
Nouveau
Priority:
Normal
Assignee:
-
Target version:
Start date:
06/13/2014
Due date:
06/13/2014 (over 7 years late)
% Done:

50%

Estimated time:

Description

Il est nécessaire de pouvoir cacher certaines informations personnelles concernant un membre à toute personne n'ayant pas une telle autorisation.

L'idée c'est de réserver au bureau l'accès à ces données pour protéger la vie privée des membres de l'association.

Par exemple dans la fiche Membres,
Un trésorier a besoin de la partie cotisation (cette vue est très pratique pour voir toutes les cotisations d'un membre donné), date d'adhésion, nom d'usage,...

Par contre l'accès à l'adresse, nom, prénom, n'est pas forcément nécessaire.


Related issues

Related to SI du FAI Illyse - Evolution #178: Intégrer les permissions Django à l'authentification LDAPNouveau03/06/2014

Actions
Follows SI du FAI Illyse - Evolution #198: Nom d'usageRésolu06/12/2014

Actions
#1

Updated by Baptiste Jonglez over 7 years ago

C'est une bonne idée, mais ça demande un peu de boulot.

Notamment parce qu'on ne gère pas plusieurs groupes avec des droits d'accès différents. Qui aurait le privilège d'éditer ces droits, pour pouvoir attribuer des gens aux différents rôles et droits ? (adminsys, membre du bureau, trésorier, etc)

#2

Updated by Baptiste Jonglez over 7 years ago

  • Target version set to 0.1

Notes de la réunion du 28/06 concernant les droits d'accès aux données :

  • Membre simple : uniquement accès à ses propres données (cf. #202)
  • Membre du bureau : accès à toutes les données (super-user)
  • "Gestionnaire technique" :
    • peut accéder aux informations administrative des abonnements d'un membre (mais pas à l'objet membre lui-même)
    • peut accéder à la configuration technique des services d'un membre

C'est trop compliqué de gérer des permissions plus fines au sein du bureau (factures, données personnelles, etc). En revanche, il y a quelques mesures simples qui peuvent éviter certains abus :

  • Notifications par mail lorsqu'une personne change de groupe (notifier le bureau, ou carrément notifier les gens qui sont déjà dans le groupe, utile par exemple pour un groupe adminsys)
  • Empêcher de modifier ses propres groupes ?
#3

Updated by Baptiste Jonglez about 7 years ago

  • Assignee set to CapsLock CapsLock
  • % Done changed from 0 to 50

Avec le passage à AbstractUser, on peut désormais utiliser les groupes Django pour donner l'accès à certaines applications et pas d'autres (facturation, membres, configuration VPN, etc).

https://docs.djangoproject.com/en/1.7/topics/auth/default/#topic-authorization

Ça doit être possible de créer des groupes par défaut dans une fixture.

#4

Updated by CapsLock CapsLock about 7 years ago

  • Assignee deleted (CapsLock CapsLock)

Also available in: Atom PDF