Матрица прав

Принципы

• Все permissions проверяются на сервере.
• Dashboard visibility не заменяет permission на чувствительную метрику.
• Drill-down к исходному домену требует права в management и права в исходном домене.
• Финансовые, персональные и restricted-метрики требуют специальных permissions.
• Все изменения формул, прав, планов, задач, alerts и exports аудируются.

Permissions

Permission	Назначение
management.metrics.read	читать обычные метрики
management.metrics.read_financial	читать финансовые метрики
management.metrics.read_personal	читать персональные метрики
management.metrics.read_restricted	читать restricted-метрики
management.metrics.manage	создавать и редактировать метрики
management.metrics.recalculate	запускать пересчёт
management.dashboards.read	читать dashboards
management.dashboards.manage	редактировать dashboards
management.dashboards.publish	публиковать dashboards
management.plans.read	читать планы
management.plans.manage	создавать и изменять планы
management.plans.approve	утверждать планы
management.tasks.read	читать задачи
management.tasks.manage	создавать и изменять задачи
management.tasks.comment	комментировать задачи
management.alerts.read	читать alerts
management.alerts.manage	управлять rules и alerts
management.data_quality.read	читать качество данных
management.data_quality.manage	закрывать issues
management.data_sources.manage	управлять источниками данных
management.actions.read	читать actions
management.actions.execute	запускать actions
management.exports.create	создавать exports
management.audit.read	читать audit
management.admin	системные настройки
management.goals.read	читать цели и goal profiles
management.goals.manage	управлять целями
management.recommendations.read	читать рекомендации
management.recommendations.publish	публиковать рекомендации
management.recommendations.dismiss	отклонять рекомендации
management.diagnostics.read	читать диагностики
management.diagnostics.manage	назначать и завершать диагностики

Actor contexts

Context	Scope fields
global	без ограничения scope
department	department_key
product	product_key
subject	subject_key
organization	organization_id
personal	assignee_user_id, owner_user_id

Endpoint matrix

Endpoint/action	Permission	Scope	Audit
GET /metrics	management.metrics.read	sensitivity + actor context	no
POST /metrics	management.metrics.manage	global/analytics	yes
POST /metrics/{id}/versions	management.metrics.manage	global/analytics	yes
POST /metrics/{key}/recalculate	management.metrics.recalculate	metric owner/global	yes
GET /dashboards	management.dashboards.read	visibility rule	no
POST /dashboards	management.dashboards.manage	dashboard owner/global	yes
POST /dashboards/{id}/publish	management.dashboards.publish	dashboard owner/global	yes
GET /plans	management.plans.read	owner/department/product/global	no
POST /plans	management.plans.manage	owner/department/product/global	yes
POST /plans/{id}/approve	management.plans.approve	approver scope	yes
GET /tasks	management.tasks.read	assignee/reporter/source/global	no
POST /tasks	management.tasks.manage	source scope	yes
PATCH /tasks/{id}/status	management.tasks.manage	assignee/reporter/global	yes
POST /tasks/{id}/comments	management.tasks.comment	task visible	yes
GET /alerts	management.alerts.read	rule scope + sensitivity	no
POST /alerts/{id}/resolve	management.alerts.manage	alert owner/global	yes
GET /data-quality/issues	management.data_quality.read	data source scope	no
POST /data-quality/issues/{id}/resolve	management.data_quality.manage	data source owner/global	yes
POST /actions	management.actions.execute	action-specific	yes
POST /goals	management.goals.manage	owner/global	yes
POST /goals/{id}/activate	management.goals.manage	owner/global	yes
POST /recommendations/{id}/publish	management.recommendations.publish	owner/global	yes
POST /recommendations/{id}/dismiss	management.recommendations.dismiss	owner/global	yes
POST /diagnostics	management.diagnostics.manage	owner/global	yes
POST /exports	management.exports.create	dashboard/metric scope	yes
GET /audit-logs	management.audit.read	global/security	yes

Sensitivity rules

Sensitivity	Требование
public	можно показывать всем авторизованным или публично, если dashboard опубликован
internal	management.metrics.read
financial	management.metrics.read_financial
personal	management.metrics.read_personal, минимизация сегментов
restricted	management.metrics.read_restricted, явный allowlist

Ролевые наборы

Роль	Базовые permissions
management.viewer	dashboards/read, metrics/read internal, tasks/read personal
management.lead	viewer + plans/manage, tasks/manage, alerts/read
management.analytics_owner	metrics/manage, recalculate, data_quality/manage
management.finance_viewer	viewer + metrics/read_financial
management.people_viewer	viewer + metrics/read_personal
management.admin	все management permissions кроме security-only audit export

Audit events

Аудировать обязательно:

• создание и изменение metric formula;
• публикацию dashboard;
• создание, утверждение, отмену и закрытие plan;
• смену task status, assignee, due date и priority;
• создание task из alert;
• acknowledge/resolve critical alert;
• управление data sources;
• запуск export;
• запуск action;
• чтение audit logs.