Bug #6221
closed
Bug urgent à corriger dans config
Added by Hoffmann Dirk about 10 years ago.
Updated about 10 years ago.
Description
Je viens de constater qu'un "Advanced Reporter" peut modifier les commentaires de tous les commentaires (pas seulement les siens). C'est très probablement une erreur de paramétrage. Car les permissions de "Programmer" (normalement plus élevé) ne le permettent pas. Et il y a bien une permission "modifier ses propres commentaires" - qui devrait rester autorisée.
Ci-joint capture d'écran pour illustration. (En allemand, mais l'ordre des permissions devrait être le même pour repérage.)
J'en profite pour faire remarquer une autre config qui me semble trop restrictive : Un "Programmer" ne peut ni mettre son propre commentaire ni le ticket en "privé". Donc, si il travaille sur le ticket et se rend compte qu'il doit mettre de l'information sensible, il doit demander de l'aide à un "Advanced Reporter" ou un "Manager" avant de continuer à la remplir. Je propose de l'autoriser à faire les deux opérations également.
Files
le role Programmer n'est pas plus élevé que Advanced Reporter, c'est 2 choses parallèles.
J'ai effectivement modifié le rôle Advanced Reporter pour en faire un gestionnaire de ticket chose que le nommage 'Advanced' laisse supposer.
Tout ceci vient d'une demande de pouvoir modifier l'intitulé et la description.
Mais je suis ouvert à la discussion. Nous ferons un nettoyage et une configuration des droits après la migration mais il faut bien réfléchir.
J'ai enlevé le droit pour l'instant.
OK, merci.
Le problème est pour nous qu'un "Reporter" ne peut quasiment pas effectuer d'action qui est pourtant nécessaire pour un "contributeur" de type "membre d'une collaboration".
Je ne vois pas (dans mon champ d'application) pourquoi un "rapporteur" (même avancé) serait gestionnaire de tickets, tâche qui revient plus habituellement à un "manager" ou au programmeur chargé de l'exécution des tickets (et donc plus naturellement de leur organisation).
Vers quelle période est-ce qu'on fera cette réflexion globalisée sur les permissions et les workflows ?
Today we got a similar complaint regarding too permissive settings for an "Advanced Reporter":
Dear CTA support,
We noticed a bit of a problem in the permissions in Redmine. I created an issue in the Pipelines subproject,
where only I am the manager, but anyone can create issues. We discovered (by accident) that anyone can delete
the issue I created by clicking the delete button, and there is no way it seems to get it back! The full issue
and all attached discussions simply vanish.
Is there a way to turn off the ability of anybody but the manager deleting issues? Turning off the ability to
delete them altogether would be fine as well (I dont see any good reason why one would want to delete one, since
it can just be marked as done and hidden that way)
Currently, it's a bit dangerous, since it's far too easy to accidentally delete a lot of work...
The list of all presently defined "roles" are listed in https://forge.in2p3.fr/information/permissions for reference.
We are waiting for an answer from CC staff about the timeline for a discussion of permissions/roles.
- Target version set to Upgrade Redmine 2.5.1
- Status changed from New to Feedback
en attendant mieux, j'ai réduit un peu les droits du rôle "advanced reporter".
Rouet Jean-René wrote:
en attendant mieux, j'ai réduit un peu les droits du rôle "advanced reporter".
Merci ! Je vois que "effacer ticket" et "modifier commentaires" ont été enlevés.
Il y avait autre chose de modifié ?
j'ai enlevé les droits sur les notes privées, le fait de pouvoir passer la demande à privée et le droit d'enlever des observateurs.
- % Done changed from 0 to 50
Rouet Jean-René wrote:
j'ai enlevé les droits sur les notes privées, le fait de pouvoir passer la demande à privée et le droit d'enlever des observateurs.
Pouvoir la passer en privée est utile par contre pour tout un chacun (Programmer, Reporter) qui aurait besoin de passer une information confidentielle.
Je n'ai pas d'opinion sur l'effacement des observateurs. Par contre, en rajouter (une sorte de "Cc: pour ticket") me semble utile pour tous les trois également.
Si tu peux faire ces ajustements pour le moment, je crois qu'on peut fermer le ticket jusqu'à parution du document récapitulatif. On survivra avec la situation actuelle dans CTA.
- Status changed from Feedback to Closed
- % Done changed from 50 to 100
Hoffmann Dirk wrote:
Rouet Jean-René wrote:
j'ai enlevé les droits sur les notes privées, le fait de pouvoir passer la demande à privée et le droit d'enlever des observateurs.
Pouvoir la passer en privée est utile par contre pour tout un chacun (Programmer, Reporter) qui aurait besoin de passer une information confidentielle.
oui c'est le cas, chacun peut rendre sa demande privée.
Je n'ai pas d'opinion sur l'effacement des observateurs. Par contre, en rajouter (une sorte de "Cc: pour ticket") me semble utile pour tous les trois également.
c'est la cas également
Si tu peux faire ces ajustements pour le moment, je crois qu'on peut fermer le ticket jusqu'à parution du document récapitulatif. On survivra avec la situation actuelle dans CTA.
je ferme le ticket.
Also available in: Atom
PDF
Updated by 
Updated by