# Rollen en rechten In Plainwater AI bepaalt een **rol** wat iemand mag. Een rol is een bundel **rechten**, en elk scherm en elke aanroep vraagt om een specifiek recht. Rollen zijn data: je kunt eigen rollen maken zonder dat er iets aan het platform hoeft te veranderen. ## Inloggen Je logt in met je organisatieaccount via **Microsoft Entra ID**. Na het inloggen leest het platform in de eigen database welke rollen je hebt. Een gebruiker die wel kan inloggen maar niet bekend of niet actief is, mag niets. ## De vier vaste rollen | Rol | Bedoeld voor | In het kort | | --- | --- | --- | | **Beheerder** | Platformbeheer | Alle rechten, inclusief gebruikers en rollen | | **Consultant** | Wie het werk doet | Opdrachten, gesprekken, bronnen en spelregels van zijn klanten | | **Reviewer** | Wie meekijkt en goedkeurt | Lezen, beoordelen, voorstellen goed- of afkeuren | | **Kijker** | Wie alleen leest | Opdrachten en dashboards bekijken | De vaste rollen kunnen niet worden gewijzigd of verwijderd. De beheerder heeft altijd precies alle rechten die het platform kent. ## Eigen rollen Naast de vaste rollen maak je eigen rollen. Een eigen rol is een **keuze uit de bestaande rechten**. Je kunt geen nieuw recht verzinnen. Voorbeelden: - *Dashboardmaker*: dashboards en datasets maken, maar geen bronnen of spelregels wijzigen. - *Data-eigenaar*: spelregels van een klant beheren, maar geen opdrachten uitvoeren. - *Auditor*: alles lezen, inclusief transcripten, maar niets wijzigen. Alleen een beheerder maakt en wijzigt rollen. ## Rollen per klant Een gebruiker heeft een globale rol en daarnaast per klant een rol. Een consultant kan bij klant A consultant zijn en bij klant B alleen kijker. Bij een klant waar je geen rol hebt, besta je voor die klant niet. Je krijgt een 404, alsof de klant niet bestaat. ## Regels die altijd gelden - **Rechten komen uit de database**, bij elke aanroep opnieuw, nooit uit het verzoek of het token. - **Niemand wijzigt zijn eigen rollen**, ook een beheerder niet. Zo blijft er altijd minstens één beheerder over zonder dat daar een aparte regel voor nodig is. - **Niemand zet zichzelf uit.** - Elke rechtenwijziging wordt vastgelegd in de audit van het platform. :::warning Zelfverhoging is een alarm Een poging om je eigen rechten te verhogen, wordt meteen een kritieke alert bij de beheerders. ::: ## Weigeringen en alerts Elke geweigerde aanroep wordt een meetpunt, met het patroon van de route en zonder de volledige URL. Een securitymonitor herkent patronen, zoals iemand die veel klanten aftast, nachtwerk zonder voorgeschiedenis of een golf verwijderingen. Hij maakt daar een alert van onder *Beheer → Alerts*. Een alert afhandelen wordt ook vastgelegd en is definitief. ## Behandelaars Los van rollen kun je op een opdracht **behandelaars** zetten: de mensen die erop moeten reageren. Een opdracht kan meerdere behandelaars hebben of geen enkele. "Wacht op mij" telt de opdrachten die op review of op een mens wachten en waar jij behandelaar bent, plus de opdrachten zonder behandelaar. ## Voorbeeld Een adviesbureau heeft acht consultants, twee reviewers en een directeur die alleen dashboards bekijkt. De beheerder maakt de rol *Dashboardlezer* met alleen het recht om dashboards te bekijken, en geeft de directeur die rol bij alle klanten. Een nieuwe consultant krijgt de rol consultant bij twee klanten. Probeert hij een derde klant te openen, dan krijgt hij een 404. Herhaalt hij dat bij meerdere klanten, dan verschijnt er een alert bij de beheerder. :::tip Lees verder - [Spelregels per klant](https://plainwater.ai/nl/wiki/beheer/spelregels) - [Veiligheidsgaranties](https://plainwater.ai/nl/wiki/veiligheid/garanties) :::